Hochrisiko-KI-System: Einstufung und Pflichten im AI Act

Die Hochrisiko-Frage ist die einzige im EU AI Act, bei der zwei Fehler gleich teuer sind. Wer sein System zu Unrecht als hochriskant einstuft, baut monatelang Dokumentation für eine Klasse, in die es nie gehörte. Wer die Einstufung übersieht, betreibt ein System ohne Risikomanagement, ohne Protokollierung und ohne Konformitätsbewertung - und merkt das im Zweifel erst, wenn jemand danach fragt.

Erschwerend kommt hinzu, dass die Klasse selten so aussieht wie erwartet. In der Debatte wirkt Hochrisiko wie ein Thema für Medizintechnik und Grenzkontrolle. Tatsächlich reicht in vielen Betrieben ein einziger Anwendungsfall im Personalbereich, um mitten hineinzurutschen - mit derselben Software, die eine Woche vorher nur Textentwürfe geschrieben hat.

Dieser Artikel klärt die Einstufung praktisch: welche zwei Wege in die Hochrisiko-Klasse führen, welche acht Bereiche Anhang III listet, wann die Ausnahme nach Artikel 6 Absatz 3 greift und wann sie entfällt, welche Pflichten daran hängen und ab wann sie gelten. Alle Fristen und Artikelnummern stammen aus der Verordnung selbst und sind unten verlinkt. Eine Einordnung vorweg: Der Beitrag erklärt die Rechtslage praxisnah, er ist keine Rechtsberatung - für die verbindliche Bewertung deines Einzelfalls gehört ein Anwalt an den Tisch.

Was ein Hochrisiko-KI-System ist: Definition und Einordnung

Ein Hochrisiko-KI-System ist ein KI-System, das nach Artikel 6 der Verordnung (EU) 2024/1689 in die zweithöchste von vier Risikoklassen fällt, weil sein Einsatz erhebliche Risiken für Gesundheit, Sicherheit oder Grundrechte mit sich bringen kann. Die Einstufung folgt nicht aus der Technologie, sondern aus dem Zweck, für den das System eingesetzt wird.

Der AI Act arbeitet mit vier Stufen: unannehmbares Risiko (Art. 5, verboten seit dem 2. Februar 2025), hohes Risiko (Art. 6, erlaubt, aber streng reguliert), begrenztes Risiko mit Transparenzpflicht nach Artikel 50 und minimales Risiko, das keine Pflichten auslöst - dort liegt der Großteil aller heute eingesetzten KI. Wie die Stufen zusammenhängen, steht im Überblicksartikel zum EU AI Act.

Zwei Missverständnisse räumt man am besten sofort weg. Erstens: Hochrisiko bedeutet nicht verboten - verboten sind nur die Praktiken aus Artikel 5. Hochrisiko-Systeme dürfen auf den Markt und in den Betrieb, wenn die Anforderungen erfüllt sind. Zweitens: Kein Modell ist von sich aus hochriskant. Dasselbe Sprachmodell, das Textentwürfe schreibt, ist im Marketing minimal riskant und in der Bewerbervorauswahl hochriskant. Die Frage lautet nie "welche KI nutzt du", sondern "was entscheidest du damit über wen".

Die zwei Wege in die Hochrisiko-Klasse

KIMit KI erzeugtes Bild

Die Einstufungsregeln in Artikel 6 kennen genau zwei Türen. Beide führen in dieselbe Klasse, öffnen aber zu unterschiedlichen Zeitpunkten.

Weg eins - Produktsicherheit nach Anhang I (Art. 6 Abs. 1). Das KI-System ist Sicherheitskomponente eines Produkts, oder selbst ein Produkt, das unter das EU-Harmonisierungsrecht aus Anhang I fällt und einer Konformitätsbewertung durch Dritte unterliegt. Das ist die Tür für Maschinenbau, Medizintechnik, Fahrzeuge, Aufzüge. Sie öffnet erst am 2. August 2027.

Weg zwei - Anwendungsfall nach Anhang III (Art. 6 Abs. 2). Das KI-System wird in einem der acht in Anhang III gelisteten Bereiche eingesetzt. Das ist die Tür, durch die normale Unternehmen gehen, ohne ein Produkt zu bauen - allein durch die Art, wie sie KI intern verwenden. Sie öffnet am 2. August 2026.

Für die Praxis heißt das: Wer keine regulierten Produkte herstellt, prüft ausschließlich Weg zwei - und hat dafür ein Jahr weniger Zeit. Die Verordnung verpflichtet die Kommission zudem, Leitlinien zur Umsetzung von Artikel 6 bereitzustellen (Art. 6 Abs. 5); der Zeitplan nennt dafür den 2. Februar 2026. Bis sie greifen, bleibt die Einstufung Auslegungsarbeit am Wortlaut.

Die acht Anhang-III-Bereiche mit Beispielen

KIMit KI erzeugtes Bild

Anhang III ist eine abschließende Liste, keine Beispielsammlung. Acht Bereiche, jeder mit eigenen Ausnahmen:

Für Unternehmen außerhalb von Behörden, Banken, Versicherungen und Versorgern sind praktisch zwei Zeilen relevant: Bereich 4 und Bereich 5. Bereich 4 ist dabei der Klassiker, weil er keinen besonderen Betrieb voraussetzt - jedes Unternehmen mit Personalabteilung kann hineinlaufen, sobald KI Bewerbungen vorsortiert, Kandidaten bewertet oder Leistung überwacht. Bereich 5 wird dagegen überschätzt: Ein System, das Anfragen annimmt und weiterleitet - etwa in der KI-Telefonie -, wird nicht dadurch hochriskant, dass es telefoniert; gelistet ist die Notruf-Triage.

Wie viele das heute tun, ist überschaubar: Laut Bitkom-Befragung von März 2025 screent je 1 Prozent der Unternehmen Bewerbungen mit KI oder lässt Bewerbungsgespräche von einer KI führen, 3 Prozent nutzen eine KI-basierte Kompetenz- oder Potenzialanalyse. Ein Prozent ist wenig - aber es ist nicht null, und es ist genau der Anteil, für den die Hochrisiko-Pflichten im August 2026 scharf werden.

Die Ausnahme nach Artikel 6 Absatz 3 - und wann sie entfällt

Nicht jedes System, das einen Anhang-III-Bereich berührt, ist automatisch hochriskant. Artikel 6 Absatz 3 nimmt Systeme wieder heraus, die kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellen und eine von vier Bedingungen erfüllen:

• Das System erfüllt nur eine eng umrissene prozedurale Aufgabe.
• Es verbessert lediglich das Ergebnis einer bereits abgeschlossenen menschlichen Tätigkeit.
• Es erkennt Entscheidungsmuster oder Abweichungen davon, ohne die menschliche Bewertung zu ersetzen.
• Es bereitet eine Bewertung lediglich vor.

Diese Ausnahme trägt in der Praxis mehr, als man erwartet. Ein System, das eingehende Bewerbungen nach Eingangsdatum sortiert, Anhänge in ein einheitliches Format bringt oder fehlende Unterlagen erkennt, erfüllt eine eng umrissene prozedurale Aufgabe. Es wertet nicht, es räumt auf.

Dann kommt der Satz, der die Ausnahme in vielen Fällen wieder zunichtemacht: Nimmt das System Profiling natürlicher Personen vor, bleibt es immer hochriskant - unabhängig davon, welche der vier Bedingungen sonst erfüllt wäre. Genau hier scheitern die meisten Selbstentwarnungen. "Wir bewerten nicht, wir sortieren nur vor" klingt nach prozeduraler Aufgabe. Sobald die Vorsortierung aber auf Merkmalen und Verhaltensmustern einzelner Bewerber beruht und daraus eine Reihenfolge ableitet, ist die Grenze zur Bewertung längst überschritten. Wer sich auf Artikel 6 Absatz 3 stützt, muss diese Begründung dokumentieren statt sie nur zu behaupten - und sie hält nur, wenn sie zum tatsächlichen Verhalten des Systems passt, nicht zur Absicht bei der Einführung.

So prüfst du dein System Schritt für Schritt

Ein Prüfweg, der ohne Gutachten funktioniert und pro System in etwa einer Stunde durchläuft.

Erstens: Systeme auflisten, nicht Werkzeuge. Nicht "wir nutzen ein Sprachmodell", sondern "wir nutzen ein Sprachmodell, um X über Y zu entscheiden". Jeder Anwendungsfall ist eine eigene Zeile, auch wenn zehn Fälle auf derselben Lizenz laufen. Es ist derselbe Bestand, den du für die KI-Schulungspflicht nach Artikel 4 ohnehin brauchst.

Zweitens: Artikel 5 zuerst. Bevor du über Hochrisiko nachdenkst, prüfe die Verbote. Emotionserkennung am Arbeitsplatz, Social Scoring, biometrische Kategorisierung nach sensiblen Merkmalen - das sind keine Hochrisiko-Fälle mit Pflichten, sondern Praktiken, die seit dem 2. Februar 2025 nicht eingesetzt werden dürfen.

Drittens: die zwei Türen prüfen. Sicherheitskomponente eines Produkts aus Anhang I? Anwendungsfall in einem der acht Anhang-III-Bereiche? Bei zwei Mal "nein" landet das System im begrenzten oder minimalen Risiko - dann bleibt nur die Kennzeichnung nach Artikel 50.

Viertens: bei einem Anhang-III-Treffer die Ausnahme prüfen. Erhebliches Risiko? Eine der vier Bedingungen erfüllt? Profiling im Spiel? Das Ergebnis dieser drei Fragen gehört schriftlich in die Akte, mit Datum und Begründung.

Fünftens: Rolle bestimmen. Bist du Betreiber oder Anbieter? Diese Frage entscheidet über den Umfang der Pflichten stärker als die Einstufung selbst.

Sechstens: Wiedervorlage setzen. Ein System, das heute nur vorbereitet, kann nach dem nächsten Update bewerten. Ohne festen Prüftermin merkt das niemand.

Welche Pflichten ein Hochrisiko-System auslöst

KIMit KI erzeugtes Bild

Fällt ein System in die Klasse, greift der umfangreichste Anforderungskatalog der Verordnung. In der Übersicht: ein Risikomanagementsystem, Daten-Governance für Trainings-, Validierungs- und Testdaten, technische Dokumentation nach Anhang IV, automatische Aufzeichnung von Ereignissen über die Laufzeit, Transparenz samt Bedienungsanleitung, menschliche Aufsicht nach Artikel 14, Genauigkeit, Robustheit und Cybersicherheit, ein Qualitätsmanagementsystem nach Artikel 17, eine Konformitätsbewertung sowie die Registrierung in der EU-Datenbank (Kapitel VIII, Art. 71).

Die menschliche Aufsicht nach Artikel 14 wird am häufigsten unterschätzt. Sie verlangt nicht, dass irgendwo ein Mensch zuständig ist, sondern dass das System so gestaltet ist, dass Menschen es wirksam beaufsichtigen können: eingreifen, überstimmen, abschalten. Ein System, dessen Ergebnis im Alltag niemand mehr sinnvoll prüfen kann, erfüllt das nicht - auch wenn ein Vier-Augen-Prinzip auf dem Papier steht.

Wichtig für die Kalkulation: Das ist kein Formular, sondern Bauplanung. Daten-Governance und Protokollierung gehören in die Architektur, nicht darüber - nachträglich sind sie nur teuer herzustellen. Deshalb wird die Einstufung vor dem Bau beantwortet: dann kostet sie eine Stunde, danach ein Projekt.

Anbieter oder Betreiber: Wer die Pflichten trägt

Der AI Act kennt vier Akteure: Anbieter entwickeln ein KI-System und bringen es unter eigenem Namen auf den EU-Markt, Betreiber setzen es in beruflicher Funktion ein, Importeure bringen Systeme aus Drittländern in die EU, Händler stellen sie in der Lieferkette bereit. Der Katalog der Hochrisiko-Anforderungen adressiert in erster Linie den Anbieter - er muss das System konform bauen, bewerten lassen und registrieren.

Für die meisten Unternehmen ist das die gute Nachricht: Sie sind Betreiber. Wer ein zugekauftes Hochrisiko-System einsetzt, schreibt keine technische Dokumentation nach Anhang IV - er trägt die Verantwortung, das System bestimmungsgemäß und unter wirksamer menschlicher Aufsicht zu betreiben.

Die Weiche, an der das kippt, ist für alle wichtig, die KI nicht nur nutzen, sondern in eigene Abläufe und Produkte einbauen: Wer ein zugekauftes KI-System wesentlich verändert oder unter eigenem Namen weitervertreibt, kann rechtlich zum Anbieter werden - mit den strengeren Anbieterpflichten. Wer ein Fremdmodell in eine eigene Anwendung packt, ihr einen Produktnamen gibt und sie Kunden zur Verfügung stellt, sollte diese Frage geklärt haben, bevor die Anwendung live geht. Wie sich Rollen und Verantwortlichkeiten organisatorisch verankern lassen, steht im Beitrag zum KI-Beauftragten - eine Pflichtrolle schreibt der AI Act nicht vor, aber ohne Zuständigen bleibt die Einstufung liegen.

Ab wann die Hochrisiko-Pflichten greifen

Die Verordnung trat am 1. August 2024 in Kraft, ihre Pflichten greifen gestaffelt (Art. 113). Für die Hochrisiko-Klasse zählen zwei Daten, und sie liegen ein Jahr auseinander.

Der offizielle Zeitplan zur Anwendbarkeit führt jedes Datum mit Artikelbezug auf. Die Sanktionsvorschriften (Kapitel XII, Art. 99 bis 101) sind seit dem 2. August 2025 wirksam - die Durchsetzungsmechanik steht also, bevor die Hochrisiko-Pflichten selbst greifen. Für KMU und Start-ups wird das Bußgeld nach dem jeweils niedrigeren der in Artikel 99 genannten Werte bemessen.

Der Leitfaden für kleine Unternehmen nennt Erleichterungen, die genau an dieser Klasse hängen: vorrangiger und kostenloser Zugang zu regulatorischen Reallaboren (Art. 57, 58, 62), deren dokumentierte Teilnahme als Konformitätsnachweis dienen kann, reduzierte Gebühren für die Konformitätsbewertung (Art. 62) und vereinfachte Dokumentationsformulare für Kleinstunternehmen. Sie betreffen die Hochrisiko-Pflichten, nicht die Verbote und nicht die KI-Kompetenz.

Häufige Fehler bei der Hochrisiko-Einstufung

Der häufigste Fehler ist die Einstufung nach Werkzeug statt nach Anwendungsfall. Aus über 600 umgesetzten Projekten seit 2012 in mehr als 20 Branchen ist das die konsistenteste Beobachtung: Unternehmen führen eine Liste ihrer KI-Tools und halten die Frage damit für beantwortet. Dieselbe Lizenz kann aber zehn minimale und einen hochriskanten Anwendungsfall tragen - in der Tool-Liste sieht man nur die Lizenz. Wir führen deshalb im eigenen Betrieb ein Verzeichnis nach Anwendungsfall, offen einsehbar auf der Seite zur KI-Transparenz - erst dieses Format macht die Einstufungsfrage überhaupt beantwortbar.

Der zweite Fehler ist die vorschnelle Selbstentwarnung über Artikel 6 Absatz 3. "Bei uns entscheidet am Ende immer ein Mensch" trägt nur, wenn dieser Mensch die Entscheidung tatsächlich prüfen kann und nicht bloß eine vorsortierte Reihenfolge abnickt. Ein System, dessen Rangfolge fast immer übernommen wird, ersetzt die menschliche Bewertung faktisch. Kommt Profiling hinzu, greift die Ausnahme ohnehin nicht mehr.

Der dritte Fehler ist die unbemerkte KI in der Personalabteilung. Laut dem Work Trend Index von Microsoft und LinkedIn bringen 78 Prozent der KI-Nutzenden eigene Werkzeuge mit zur Arbeit, in kleinen und mittleren Unternehmen sogar 80 Prozent. Wer 500 Bewerbungen mit einem privat mitgebrachten Werkzeug vorsortiert, produziert einen Anhang-III-Anwendungsfall, der in keiner Liste steht. Wie KI-Tools im Unternehmen tatsächlich genutzt werden, erfährt man nicht durch eine Lizenzabfrage, sondern durch Nachfragen.

Der vierte Fehler ist die Reihenfolge. Monate in die Hochrisiko-Prüfung zu stecken und dabei die Pflichten liegen zu lassen, die längst gelten, ist der teuerste Weg durch den AI Act. Richtig ist: erst Artikel 5 prüfen, dann Artikel 4 erledigen, dann die Kennzeichnung nach Artikel 50 für den August 2026 aufsetzen - und die Hochrisiko-Frage sauber, aber ohne Panik beantworten. Für die meisten Betriebe endet sie mit einem dokumentierten Nein, und genau das ist das Ergebnis, das zählt.

So gehst du die Einstufung an

Der praktikable Weg besteht aus drei Bewegungen. Erstens: das Verzeichnis nach Anwendungsfall aufbauen, nicht nach Werkzeug - inklusive der Fälle, die niemand offiziell eingeführt hat. Zweitens: pro Fall die zwei Türen aus Artikel 6 prüfen und das Ergebnis mit Begründung und Datum festhalten, auch und besonders bei "nein". Drittens: die Rollenfrage klären, bevor eigene Anwendungen mit KI-Bausteinen nach außen gehen - der Rollenwechsel zum Anbieter passiert leise. Halten wird die Einstufung nur, wenn die Leute sie kennen: eine KI-Schulung für dein Team verankert die Grenze dort, wo sie täglich gebraucht wird.

Diese Einordnung stammt nicht aus zweiter Hand. René Tzschoppe, EU AI Act Beauftragter mit TÜV Rheinland geprüfter Qualifikation, trägt das Prüfzeichen mit der ID 0217466644, gültig bis 27.07.2029 - die Prüfung umfasst die Risikoklassifizierung nach Verordnung (EU) 2024/1689, KI-Kompetenz nach Artikel 4, Transparenzpflichten nach Artikel 50 sowie Konformitätsbewertung und Dokumentation.

Die Qualifikation belegt Fachkunde, keine Rechtsberatung - der Hinweis vom Anfang gilt unverändert. Praktisch bedeutet sie, dass die Einstufungsfrage Teil der Bauplanung ist, wenn wir als KI-Agentur Systeme entwickeln, in der KI-Strategie-Beratung den Fahrplan aufsetzen oder mit Prozessautomatisierung für den Mittelstand Abläufe umbauen: Bevor gebaut wird, steht fest, welche Klasse der Ablauf berührt. Welche Anwendungsfälle wie eingeordnet werden, zeigen unsere KI-Anwendungsfälle; Begriffe wie Anbieter, Betreiber oder Profiling stehen im Glossar.

Die ehrliche Zusammenfassung: Für die große Mehrheit der Unternehmen endet die Hochrisiko-Prüfung mit einem Nein - aber mit einem begründeten, das im Zweifel trägt. Wer stattdessen auf Tool-Ebene diskutiert, produziert Aufregung ohne Ergebnis und verpasst dabei die Pflichten, die schon gelten: die KI-Kompetenz seit Februar 2025 und die Kennzeichnung ab August 2026, die jeden KI-Chatbot und jedes veröffentlichte KI-Bild betrifft. Wer die Einstufung einmal sauber macht und danach nur pflegt, hat den unangenehmsten Teil des AI Act hinter sich - und kommt aus der Möglichkeitslähmung heraus zu dem, was zählt: aus KI-Bereitschaft echte Produktivität machen.