Risikoklassen im AI Act: Wie Sie Ihre KI-Systeme richtig einstufen

Sie wissen, dass der AI Act existiert. Vielleicht haben Sie sogar schon ein KI-Inventar erstellt. Aber jetzt kommt die entscheidende Frage: In welche Risikoklasse fällt jedes einzelne System?

Die Antwort bestimmt alles Weitere – Dokumentationspflichten, Schulungsaufwand, Behördenmeldungen, Bußgeldrisiko. Wer hier falsch einstuft, riskiert entweder unnötigen Aufwand oder empfindliche Strafen.

Das Problem: Die meisten Leitfäden erklären die vier Risikoklassen abstrakt. Was fehlt, ist die Brücke zur Praxis. Dieser Artikel liefert sie – mit einem Entscheidungsbaum, konkreten KMU-Beispielen und einer Zuordnungstabelle für gängige Tools.

Warum ist das so dringend? Die Fristen laufen. Seit Februar 2025 gelten die Verbote nach Art. 5 und die AI-Literacy-Pflicht nach Art. 4. Ab August 2026 greifen die Pflichten für Hochrisiko-KI-Systeme nach Anhang III. Wer bis dahin nicht eingestuft hat, operiert im regulatorischen Blindflug.

Der risikobasierte Ansatz des AI Act – warum die Einstufung alles entscheidet

Der AI Act reguliert nicht KI-Technologie an sich, sondern deren konkreten Einsatzzweck. Derselbe Algorithmus kann je nach Anwendung in unterschiedliche Risikoklassen fallen.

Ein Bilderkennungsalgorithmus in einer Qualitätskontrolle? Minimales Risiko. Derselbe Algorithmus zur biometrischen Identifizierung von Mitarbeitenden? Hochrisiko. Zur verdeckten Verhaltensmanipulation? Verboten.

Dieses Prinzip ist die wichtigste Erkenntnis für die Praxis: Nicht die Technologie bestimmt die Risikoklasse, sondern der Use Case. Deshalb reicht es nicht, im KI-Inventar nur das Tool zu erfassen – Sie müssen für jedes System den konkreten Einsatzzweck dokumentieren.

Das bedeutet auch: Die Risikoklasse ist nicht statisch. Sie kann sich ändern, wenn sich der Einsatzzweck ändert, der Anbieter neue Funktionen ausrollt oder Ihr Unternehmen das System anders nutzt als ursprünglich vorgesehen. Diese Dynamik macht eine regelmäßige Überprüfung im Rahmen des KI-Compliance Monitorings unabdingbar.

Die 4 Risikoklassen im Detail

Der AI Act unterscheidet vier Stufen. Je höher das Risiko, desto strenger die Anforderungen:

Für die meisten KMU ist die entscheidende Frage: Nutzen wir ein Hochrisiko-System? Denn hier entstehen die umfangreichsten Pflichten. Die gute Nachricht: Die Mehrheit der KI-Anwendungen im Unternehmensalltag fällt in die Klassen „begrenztes“ oder „minimales Risiko“.

Hochrisiko-KI nach Anhang III: Die 8 Bereiche, die KMU betreffen

Neben Sicherheitskomponenten in regulierten Produkten (Anhang I) definiert der AI Act in Anhang III acht Anwendungsbereiche, in denen KI-Systeme automatisch als hochriskant gelten. Für KMU sind vor allem drei davon praxisrelevant:

1. Personalmanagement und Beschäftigung (Anhang III Nr. 4)

Das ist der Bereich, der die meisten KMU trifft. KI-Systeme gelten hier als hochriskant, wenn sie:

• Stellenanzeigen gezielt ausspielen oder filtern

• Bewerbungen automatisiert vorsortieren oder bewerten

• Entscheidungen über Einstellung, Beförderung oder Kündigung beeinflussen

• Leistung oder Verhalten von Mitarbeitenden bewerten

Praxis-Beispiel: Wenn Ihr HR-Tool Personio oder Workday KI-gestützte Funktionen zur Bewerbervorauswahl nutzt, fallen diese Funktionen unter Anhang III Nr. 4 – und damit in die Hochrisiko-Klasse. Das gilt auch, wenn die KI-Funktion nur optional ist – sobald Sie sie aktivieren und sie Einstellungsentscheidungen beeinflusst, greift die Einstufung.

Viele KMU unterschiätzen diesen Bereich, weil sie KI nicht bewusst im HR einsetzen. Aber: Moderne HR-Plattformen integrieren zunehmend KI-Funktionen im Hintergrund – vom automatischen Matching über Score-basierte Kandidatenlisten bis hin zu KI-gestützten Empfehlungen für Leistungsbeurteilungen. Prüfen Sie bei jedem HR-Tool die Feature-Dokumentation des Anbieters.

2. Zugang zu wesentlichen Diensten (Anhang III Nr. 5)

KI-Systeme, die über den Zugang zu Versicherungen, Krediten, öffentlichen Leistungen oder Notdiensten mitentscheiden. Relevant für KMU im Finanz- und Versicherungssektor.

3. Kritische Infrastruktur (Anhang III Nr. 2)

KI im Betrieb von Strom-, Gas-, Wasser- oder digitaler Infrastruktur. Betrifft KMU als Betreiber solcher Anlagen oder als Zulieferer.

Entscheidungsbaum: In 4 Schritten zur richtigen Risikoklasse

Statt abstrakter Rechtstexte brauchen Sie eine klare Entscheidungslogik. Dieser Entscheidungsbaum bildet die Art. 5 und Art. 6 AI Act-Logik für die Praxis ab:

Schritt 1: Ist die Anwendung verboten?

Prüfen Sie gegen die Verbotsliste in Art. 5: Social Scoring, unterschwellige Manipulation, Ausnutzung von Schwachstellen, biometrische Echtzeit-Fernüberwachung im öffentlichen Raum, Emotionserkennung am Arbeitsplatz (ohne medizinischen oder sicherheitsrelevanten Grund). Wenn ja: Einsatz sofort einstellen. Wenn nein: weiter zu Schritt 2.

Schritt 2: Ist das KI-System eine Sicherheitskomponente eines regulierten Produkts?

Prüfen Sie gegen Anhang I: Fällt das Produkt unter EU-Harmonisierungsvorschriften (Maschinenverordnung, Medizinprodukte, Spielzeugsicherheit etc.)? Wenn ja und eine Drittkonformitätsbewertung erforderlich ist: Hochrisiko. Wenn nein: weiter zu Schritt 3.

Schritt 3: Fällt der Einsatzzweck unter Anhang III?

Prüfen Sie die 8 Bereiche: Biometrie, kritische Infrastruktur, Bildung, Personalmanagement, wesentliche Dienste, Strafverfolgung, Migration, Justiz. Wenn ja: grundsätzlich Hochrisiko – aber prüfen Sie die Ausnahme-Klausel (Schritt 4). Wenn nein: weiter zur Transparenzprüfung.

Schritt 4: Greift die Ausnahme-Klausel nach Art. 6 Abs. 3?

Auch wenn ein System unter Anhang III fällt, gilt es nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt. Das ist der Fall, wenn das System:

• nur eingeschränkte, prozedurale Aufgaben erledigt

• das Ergebnis einer bereits abgeschlossenen menschlichen Tätigkeit verbessert

• Entscheidungsmuster oder Abweichungen erkennt, ohne die menschliche Beurteilung zu ersetzen

• nur vorbereitende Aufgaben für eine Anhang-III-relevante Bewertung durchführt

Achtung: Wenn das System ein Profiling natürlicher Personen vornimmt, greift die Ausnahme niemals – unabhängig davon, wie eingeschränkt die Aufgabe ist.

Kein Anhang-III-Treffer? Dann prüfen Sie, ob Transparenzpflichten nach Art. 50 greifen (Chatbot, Deepfake, KI-generierte Inhalte). Wenn ja: Begrenztes Risiko. Wenn nein: Minimales Risiko.

Praxis-Zuordnung: 8 gängige KMU-Tools und ihre Risikoklasse

Theorie ist das eine – aber wie sieht die Einstufung für Tools aus, die in fast jedem KMU laufen? Diese Tabelle zeigt die Zuordnung für typische Anwendungen:

Achtung Rollenwechsel: Wann der Deployer zum Provider wird

Die meisten KMU sind Deployer – sie setzen KI ein, entwickeln sie aber nicht selbst. Die Pflichten als Deployer sind überschaubar (dazu mehr im Artikel Deployer-Pflichten nach dem AI Act).

Aber Vorsicht: In drei Szenarien werden Sie vom Deployer zum Provider – mit deutlich umfangreicheren Pflichten:

• Sie verändern den Verwendungszweck eines Hochrisiko-Systems wesentlich (Art. 25 Abs. 1 lit. c)

• Sie setzen Ihren Namen oder Ihre Marke auf ein bestehendes Hochrisiko-System

• Sie modifizieren das System wesentlich – etwa durch Finetuning oder eigene Trainingsdaten

Ein Beispiel: Sie kaufen ein Standard-Recruiting-Tool, trainieren es aber mit eigenen Daten nach und verändern die Bewertungskriterien. Damit werden Sie zum Provider – und müssen die vollen Konformitätsanforderungen erfüllen.

Ein weiteres Szenario, das KMU häufig betrifft: Sie nutzen eine KI-Plattform wie Azure OpenAI Service, bauen darauf eine eigene Anwendung auf und bieten diese Ihren Kunden an – unter Ihrem eigenen Firmennamen. Auch hier findet ein Rollenwechsel statt. Sie nutzen die KI nicht mehr nur als Deployer, sondern bringen ein eigenes KI-gestütztes Produkt in Verkehr.

Die Abgrenzung zwischen Deployer und Provider ist einer der komplexesten Aspekte des AI Act. Im Zweifel gilt: Wenn Sie unsicher sind, dokumentieren Sie Ihre Einschätzung und holen Sie eine Rechtsberatung ein. Die Bußgelder für eine falsche Rollenzuordnung können erheblich sein.

Die Ausnahme-Klausel: Wann ein Anhang-III-System doch nicht hochriskant ist

Art. 6 Abs. 3 ist die Klausel, die viele übersehen – obwohl sie für KMU erhebliche praktische Bedeutung hat.

Sie besagt: Ein Anhang-III-System gilt nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt. Konkret muss mindestens eine dieser Bedingungen erfüllt sein:

1. Das System erledigt nur eingeschränkte, prozedurale Aufgaben

2. Es verbessert das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit

3. Es erkennt Muster oder Abweichungen, ohne die menschliche Beurteilung zu ersetzen

4. Es führt nur vorbereitende Aufgaben für eine Anhang-III-relevante Bewertung durch

Praxis-Beispiel: Ihr HR-Tool schlagt auf Basis von Stichworten passende interne Stellenausschreibungen vor, aber ein Recruiter trifft die Auswahl. Das System erkennt Muster, ersetzt aber nicht die menschliche Entscheidung – die Ausnahme könnte greifen.

Gegenbeispiel: Dasselbe Tool sortiert Bewerbungen automatisiert in A/B/C-Kategorien und leitet nur A-Kandidaten weiter. Hier beeinflusst die KI das Ergebnis wesentlich – die Ausnahme greift nicht.

Die Ausnahme-Klausel ist kein Freibrief. Sie erfordert eine sorgfältige Dokumentation, warum das System kein erhebliches Risiko darstellt. Wenn die Behörde diese Dokumentation anfordert und sie fehlt oder unzureichend ist, drohen Bußgelder von bis zu 7,5 Millionen Euro. Die EU-Kommission wird zudem Leitlinien mit Beispielen für hochriskante und nicht hochriskante Anhang-III-Systeme veröffentlichen – bis diese vorliegen, empfiehlt sich eine konservative Einstufung.

Was nach der Einstufung kommt – Pflichten je Risikoklasse

Die Einstufung ist nicht das Ziel – sie ist der Ausgangspunkt. Je nach Risikoklasse ergeben sich unterschiedliche Handlungsfelder:

Unabhängig von der Risikoklasse gilt seit Februar 2025 die Schulungspflicht nach Art. 4: Alle Personen, die mit KI-Systemen arbeiten, müssen über ausreichende KI-Kompetenz verfügen.

Die Risikoklassifizierung ist auch kein einmaliges Projekt. Wenn sich der Einsatzzweck eines Systems ändert, der Anbieter ein Update ausliefert oder Sie das System modifizieren, kann sich die Risikoklasse verschieben. Deshalb gehört die regelmäßige Überprüfung in Ihr KI-Compliance Monitoring.

Ein häufig übersehener Punkt: Auch die Kombination mehrerer Systeme kann eine neue Risikoklasse begründen. Wenn Sie ein Chatbot-System (begrenztes Risiko) mit einem Kunden-Scoring-Tool verknüpfen und daraus automatisierte Kreditentscheidungen ableiten, entsteht ein Hochrisiko-System – obwohl keines der Einzelsysteme allein als hochriskant einzustufen wäre.

Dokumentieren Sie daher nicht nur die Einstufung jedes Einzelsystems, sondern auch die Datenflüsse zwischen Systemen. Genau dafür ist die Spalte „Datenflüsse“ im KI-Inventar vorgesehen.

Ihre nächsten 3 Schritte

1. KI-Inventar prüfen: Haben Sie für jedes System den konkreten Einsatzzweck dokumentiert? Falls nicht: Anleitung zum KI-Inventar

2. Entscheidungsbaum durchlaufen: Nehmen Sie jedes System aus Ihrem Inventar und durchlaufen Sie die 4 Schritte. Dokumentieren Sie die Einstufung und die Begründung.

3. Hochrisiko-Systeme priorisieren: Für jedes Hochrisiko-System müssen Sie die Deployer-Pflichten umsetzen – beginnen Sie mit dem System, das die größte Grundrechts-Relevanz hat.

Noch mehr zum Gesamtbild der AI-Act-Umsetzung für KMU finden Sie im Pillar-Artikel: EU AI Act für KMU – Der vollständige Umsetzungsleitfaden 2026.