Hochrisiko-KI-System: Wann fällt unser Einsatz darunter?

Kurzantwort: Ein Hochrisiko-KI-System entsteht auf zwei Wegen: Nach Artikel 6 Absatz 1 muss es Sicherheitsbauteil eines Anhang-I-Produkts oder selbst ein solches Produkt sein, und das Produkt oder System muss eine Dritt-Konformitätsbewertung erfordern. Daneben erfasst Absatz 2 bestimmte Anhang-III-Zwecke; nur dort schließt Profiling die Ausnahmen des Absatzes 3 aus.

Zusammenfassung als Mindmap

Hochrisiko KI System: Wann fällt unser Einsatz darunter?
│
├─ Zwei Einstufungswege
│   ├─ Anhang I: Produkt plus Drittbewertung
│   └─ Anhang III: genau bestimmter sensibler Zweck
│
├─ Entscheidende Grenzen
│   ├─ Sicherheitsbauteil nur bei Gefahr durch Ausfall
│   ├─ Vier enge Ausnahmen für Anhang-III-Systeme
│   └─ Profiling bleibt immer hochriskant
│
├─ Rollen und Nachweise
│   ├─ Anbieter dokumentiert die Einstufung
│   ├─ Betreiber prüft seinen tatsächlichen Zweck
│   └─ Bestimmte Betreiber bewerten Grundrechte
│
└─ Praktischer Ablauf
    ├─ Inventar erstellen und Zwecke trennen
    ├─ Beide Anhänge nachvollziehbar abgleichen
    └─ Pflichten vor dem jeweiligen Termin planen

Zwei Wege führen zur Hochrisiko-Einstufung

Artikel 6 kennt zwei getrennte Einstufungswege. Der erste verbindet das KI-System mit reguliertem Produktrecht aus Anhang I. Der zweite erfasst bestimmte sensible Verwendungszwecke aus Anhang III.¹ Ein Betrieb muss beide Wege prüfen, weil dieselbe Software je nach Zweck unterschiedlich eingestuft werden kann. Die Bundesnetzagentur nennt den Verwendungszweck als entscheidendes Merkmal.²

Bei Anhang I müssen beide Bedingungen gemeinsam erfüllt sein. Das KI-System soll als Sicherheitsbauteil eines Produkts unter den in Anhang I genannten Harmonisierungsrechtsvorschriften verwendet werden oder selbst ein solches Produkt sein. Zudem muss dieses Produkt oder System vor Inverkehrbringen oder Inbetriebnahme einer Konformitätsbewertung durch Dritte unterliegen.¹

Anhang III arbeitet anders. Nicht die Branche allein, sondern der konkrete, bestimmungsgemäße Einsatz entscheidet. Eine Personalabteilung ist nicht automatisch ein Hochrisikobereich. Ein System zur Filterung von Bewerbungen kann jedoch ausdrücklich erfasst sein.¹

Sicherheitsbauteile sind enger als jede KI in einem Produkt

Eine KI-Funktion in einer Maschine ist nicht automatisch ein Sicherheitsbauteil. Die durch Verordnung (EU) 2026/1744 eingefügten Absätze 1a und 1b verdeutlichen die Grenze. KI-Systeme, die ausschließlich nicht sicherheitsrelevante Aspekte der Nutzerunterstützung, Leistungsoptimierung, Effizienz, Automatisierung, Benutzerfreundlichkeit oder Qualitätskontrolle erfüllen, gelten nicht als Sicherheitsbauteile.¹

Ein System gilt dagegen als Sicherheitsbauteil, wenn sein Ausfall oder seine Fehlfunktion Gesundheit und Sicherheit gefährden würde.¹ Das ist eine Funktionsprüfung. Eine optische Qualitätskontrolle, die nur Oberflächenfehler markiert, kann außerhalb dieser Definition liegen. Steuert dieselbe Art von System eine Schutzabschaltung, kann die Sicherheitsrelevanz anders ausfallen. Entscheidend sind Zweck, Systemgrenzen und die Folgen des Ausfalls.

Anhang I umfasst Produktrecht etwa für Maschinen, Medizinprodukte und Funkanlagen. Nach der Funktionsprüfung bleibt die zweite Bedingung bestehen: Das Produkt oder das KI-System selbst muss eine Dritt-Konformitätsbewertung benötigen.¹

Die Produktprüfung braucht deshalb drei getrennte Belege. Erstens beschreibt der Betrieb die KI-Funktion und grenzt sie vom übrigen Produkt ab. Zweitens hält er fest, ob ein Ausfall oder eine Fehlfunktion Gesundheit oder Sicherheit gefährden könnte. Drittens klärt er, ob das Produkt oder das KI-System für Inverkehrbringen oder Inbetriebnahme eine Konformitätsbewertung durch Dritte durchlaufen muss.¹ Ein „Ja“ zur Sicherheitsfunktion allein genügt für Artikel 6 Absatz 1 nicht. Auch die Drittbewertung muss erforderlich sein. Umgekehrt macht eine produktrechtliche Bewertung aus einer ausschließlich nicht sicherheitsrelevanten Optimierungs- oder Qualitätskontrollfunktion noch kein Sicherheitsbauteil.¹

Anhang III nennt acht sensible Bereiche

Anhang III listet acht Bereiche. Es sind Biometrie; kritische Infrastruktur; allgemeine und berufliche Bildung; Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit; Zugang zu grundlegenden privaten und öffentlichen Diensten und Leistungen; Strafverfolgung; Migration, Asyl und Grenzkontrolle; sowie Rechtspflege und demokratische Prozesse.²

Für typische Mittelständler sind vor allem konkrete Anwendungen in Personal, Bonität, Bildung und kritischer Infrastruktur relevant.

Ordnen Sie nicht die ganze Organisation einem Bereich zu, sondern jede Anwendung ihrem dokumentierten Zweck. Halten Sie beim Personalweg getrennt fest, ob die KI Stellenanzeigen ausspielt, Bewerbungen sichtet oder filtert, Bewerber bewertet, Arbeitsbedingungen beeinflusst, Aufgaben zuweist oder Leistung und Verhalten beobachtet.¹ Prüfen Sie beim Bonitätsweg, ob eine natürliche Person bewertet wird, und halten Sie die in Anhang III Nummer 5 Buchstabe b ausgenommene Betrugserkennung separat fest.¹ Gleichen Sie ein Bildungssystem mit dem genannten Bereich der allgemeinen oder beruflichen Bildung ab.² Bei kritischer Infrastruktur kommt es auf den Zweck als Sicherheitsbauteil an. Das umfasst die Verwaltung oder den Betrieb digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- oder Stromversorgung.¹ Diese getrennten Einträge verhindern, dass ein nicht erfasster Anwendungszweck die Prüfung eines anderen, sensiblen Zwecks verdeckt.

Artikel 6 Absatz 2 erfasst genau die in Anhang III beschriebenen Systeme.¹ Ein allgemeines Textwerkzeug wird nicht allein dadurch hochriskant, dass Personal es gelegentlich nutzt. Wird es dagegen bestimmungsgemäß eingesetzt, um Bewerbungen zu filtern oder Personen zu bewerten, trifft die Beschreibung aus Anhang III Nummer 4.¹

Die meisten KI-Anwendungen tragen nach Darstellung der Bundesnetzagentur keine besonderen Risiken. Spamfilter, personalisierte Produktvorschläge und Chatbots in der Kundenkommunikation unterliegen keinen oder nur geringen Anforderungen wie Transparenzvorgaben.³ Diese Beispiele ersetzen jedoch nicht die Zweckprüfung eines konkreten Systems.

Für den Anhang-III-Abgleich ist die Formulierung des Zwecks entscheidend. „Unterstützt die Personalabteilung“ ist zu weit. „Filtert eingehende Bewerbungen vor der menschlichen Sichtung“ beschreibt dagegen Aufgabe, Objekt und Stelle im Entscheidungsprozess. Genau diese Präzision erlaubt den Vergleich mit Anhang III Nummer 4.¹ Dasselbe gilt für Bonität: Eine Prüfung der Kreditwürdigkeit einer natürlichen Person fällt in den genannten Tatbestand, während die dort ausdrücklich ausgenommene Betrugserkennung nicht mit der Bonitätsbewertung gleichgesetzt werden darf.¹

Bei Anhang III schließt Profiling die Ausnahme aus

Ein System aus Anhang III kann nach Artikel 6 Absatz 3 ausnahmsweise nicht hochriskant sein, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte natürlicher Personen birgt. Zusätzlich muss sein Zweck in eine von vier Fallgruppen passen.¹

Die vier Gruppen sind: eine eng gefasste Verfahrensaufgabe; die Verbesserung des Ergebnisses einer bereits abgeschlossenen menschlichen Tätigkeit; die Erkennung von Entscheidungsmustern oder Abweichungen, ohne die zuvor abgeschlossene menschliche Bewertung ohne angemessene menschliche Überprüfung zu ersetzen; oder eine vorbereitende Aufgabe für eine relevante Bewertung.¹

Die Ausnahme ist kein Etikett für „unterstützende KI“. Der tatsächliche Einfluss muss zu der engen Fallgruppe passen. Besonders wichtig ist die Rückausnahme: Führt ein in Anhang III genanntes System Profiling natürlicher Personen durch, gilt es immer als hochriskant.¹

Vor dieser Zuordnung steht die Risikofrage: Das System darf kein erhebliches Risiko der Beeinträchtigung von Gesundheit, Sicherheit oder Grundrechten natürlicher Personen bergen.¹ Danach prüft der Anbieter die passende Fallgruppe und zuletzt gesondert, ob Profiling natürlicher Personen stattfindet. Diese Reihenfolge verhindert, dass eine zutreffende Aufgabenbeschreibung die vorgelagerte Risikobedingung oder die zwingende Profiling-Regel verdeckt.

Der Anbieter trägt die formelle Dokumentationspflicht für eine Nicht-Hochrisiko-Bewertung. Nach Artikel 6 Absatz 4 dokumentiert er seine Beurteilung vor Inverkehrbringen oder Inbetriebnahme. Er erfüllt die Registrierungspflicht aus Artikel 49 Absatz 2 und legt die Unterlagen auf Verlangen einer zuständigen nationalen Behörde vor.¹ Ein Betreiber sollte diese Bewertung beschaffen, aber nicht so behandeln, als ersetze sie die Prüfung seines eigenen Verwendungszwecks.

Anbieter und Betreiber haben unterschiedliche Pflichten

Für Hochrisiko-Systeme gelten die Anforderungen der Artikel 8 bis 15. Die Bundesnetzagentur fasst sie als Risikomanagement, Datenqualität, technische Dokumentation, automatische Protokollierung, Informationen für Betreiber, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit zusammen.² Diese Anforderungen richten sich im Schwerpunkt an Anbieter, die die Konformität des Systems sicherstellen müssen.

Betreiber müssen nach Artikel 26 Absätze 1 und 2 geeignete technische und organisatorische Maßnahmen treffen, damit sie das Hochrisiko-KI-System entsprechend der beigefügten Betriebsanleitung verwenden. Sie müssen die menschliche Aufsicht natürlichen Personen übertragen, die dafür die erforderliche Kompetenz, Ausbildung und Befugnis besitzen.¹

Artikel 27 verlangt vor Inbetriebnahme für bestimmte Betreiber eine Grundrechte-Folgenabschätzung. Erfasst sind Einrichtungen des öffentlichen Rechts, private Einrichtungen mit öffentlichen Dienstleistungen und Betreiber bestimmter Systeme nach Anhang III Nummer 5 Buchstaben b und c. Dazu gehört die Kreditwürdigkeitsprüfung natürlicher Personen.¹ Die Bewertung beschreibt unter anderem Betreiberverfahren, Zeitraum und Häufigkeit der Nutzung sowie die betroffenen Personengruppen.¹

Trennen Sie die Pflichten nach Rollen. Ordnen Sie dem Anbieter die Anforderungen aus Artikel 8 bis 15 zu und prüfen Sie beim Betreiber, ob Artikel 27 Absatz 1 eine Grundrechte-Folgenabschätzung verlangt.^1,2 So wird aus der Hochrisiko-Einstufung kein pauschaler Pflichtenkatalog für jede beteiligte Stelle.

Menschliche Aufsicht ist damit keine bloße Bestätigungsschaltfläche. Unser Beitrag zu Human-in-the-loop als Gestaltungsdisziplin erklärt, wie eine wirksame Eingriffsmöglichkeit in den Prozess eingebaut wird. Eine breitere Einordnung finden Sie in KI-Governance zwischen UK GDPR und EU AI Act.

Fristen und Drei-Schritt-Prüfung für den Betrieb

Die Hochrisiko-Anforderungen starten je nach Weg zu unterschiedlichen Terminen. Kapitel III Abschnitte 1 bis 3 gelten ab 2. Dezember 2027 für Systeme nach Artikel 6 Absatz 2 und Anhang III. Für Systeme nach Artikel 6 Absatz 1 und Anhang I gelten sie ab 2. August 2028.¹

Für Hochrisiko-KI-Systeme, die schon vor dem jeweils einschlägigen Beginn dieser Anforderungen in Verkehr gebracht oder in Betrieb genommen wurden, gilt die Verordnung nach Artikel 111 Absatz 2 nur, wenn sie danach in ihrer Konzeption erheblich verändert werden. Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, müssen die Anforderungen bis 2. August 2030 erfüllen.¹

Für einen Betrieb mit 50 bis 500 Beschäftigten eignet sich eine Prüfung in drei Schritten:

1. Inventar erstellen. Erfassen Sie System, Anbieter, Nutzer, betroffene Personen, Eingaben, Ausgaben, Schnittstellen und Produktbezug. Der KI-Register-Leitfaden zeigt die nötige Grundstruktur.
2. Zweck festhalten. Beschreiben Sie die bestimmungsgemäße und tatsächliche Verwendung als Entscheidung oder Aufgabe, nicht als Produktname. Trennen Sie mehrere Zwecke desselben Werkzeugs.
3. Anhänge abgleichen. Prüfen Sie zuerst Anhang I einschließlich Sicherheitsbauteil und Drittbewertung, dann jeden passenden Anhang-III-Tatbestand und zuletzt eine mögliche Ausnahme mit Profiling-Sperre.

Ein Maschinenbauer mit 180 Beschäftigten kann diesen Ablauf an zwei Anwendungen durchspielen. Im Inventar steht erstens ein System, das eingehende Bewerbungen filtert und Bewerber bewertet. Seine Zweckbeschreibung führt direkt zum Abgleich mit Anhang III Nummer 4.¹ Der Betrieb fordert die Einstufung des Anbieters an. Dann prüft er, ob dessen Einsatzbeschreibung mit dem eigenen Verfahren übereinstimmt. Beruft sich der Anbieter auf Artikel 6 Absatz 3, muss er sowohl das fehlende erhebliche Risiko als auch eine der vier Fallgruppen dokumentieren. Profiling würde die Ausnahme ausschließen.¹

Zweitens erfasst das Inventar eine KI-gestützte optische Qualitätskontrolle an einer Maschine. Dient sie ausschließlich der nicht sicherheitsrelevanten Qualitätskontrolle, behandelt Artikel 6 Absatz 1a sie nicht als Sicherheitsbauteil.¹ Steuert die Funktion dagegen eine Schutzabschaltung und könnte ihr Ausfall Gesundheit oder Sicherheit gefährden, weist Absatz 1b in Richtung Sicherheitsbauteil.¹ Dann ist zusätzlich zu klären, ob das Produkt oder System nach dem einschlägigen Anhang-I-Produktrecht eine Konformitätsbewertung durch Dritte benötigt. So entstehen aus einem Inventar zwei getrennte, belegte Prüfpfade statt einer pauschalen Einstufung des gesamten Betriebs. Der Betrieb hält für jeden Pfad außerdem die beobachtete Funktion, die betroffene Personengruppe, die offene Anbieterangabe und den jeweils geprüften Artikel fest.

Halten Sie je KI-Anwendung fest: den Zweck, den möglichen Anhang-I-Produktbezug, die Sicherheitsfunktion und die erforderliche Drittbewertung. Dokumentieren Sie außerdem den geprüften Anhang-III-Tatbestand und gegebenenfalls jede Bedingung der Ausnahme nach Artikel 6 Absatz 3. Behandeln Sie Profiling als eigenen Entscheidungspunkt. Fordern Sie für eine beanspruchte Anhang-III-Ausnahme die vor Inverkehrbringen oder Inbetriebnahme erstellte Anbieterbewertung, den Nachweis der Registrierung nach Artikel 49 Absatz 2 und die Dokumentation an, die der Anbieter einer zuständigen nationalen Behörde auf Verlangen vorlegen muss.¹ Halten Sie bei einem Hochrisiko-Ergebnis den zutreffenden Beginn, 2. Dezember 2027 oder 2. August 2028, beim jeweiligen Artikel-6-Weg fest.¹

In Worten verzweigt sich der Entscheidungsbaum so:

Erfasst das Inventar einen Produktbezug, werden Sicherheitsbauteil und Drittbewertung gemeinsam geprüft. Ohne Treffer folgt der genaue Abgleich mit Anhang III. Passt ein Tatbestand, kann nur eine enge Ausnahme helfen; bei einem in Anhang III genannten System beendet Profiling die Ausnahmeprüfung mit Hochrisiko. Ohne Treffer bleibt die Anwendung außerhalb dieser Hochrisiko-Wege.

Wo diese Prüfung nicht genügt

Die Einstufung ist keine vollständige Konformitätsbewertung. Sie sagt, ob das Hochrisiko-Regime greift, aber nicht, ob alle Anbieter- oder Betreiberpflichten erfüllt sind. Produktrecht, Datenschutz, Arbeitsrecht und Mitbestimmung können daneben gelten.

Eine Anbieterbeschreibung ist ebenfalls nicht immer die letzte Antwort. Der Betreiber kennt seinen tatsächlichen Zweck, die eingebundenen Daten und den Einfluss auf Entscheidungen. Weicht die Nutzung von der vorgesehenen Verwendung ab oder wird das System wesentlich verändert, braucht die Rollen- und Pflichtenprüfung besondere Aufmerksamkeit.

Auch ein Ergebnis „nicht hochriskant nach Artikel 6“ ist begrenzt. Es bedeutet nur, dass keiner der beiden hier geprüften Hochrisiko-Wege greift oder eine dokumentierte Ausnahme trägt. Die Bundesnetzagentur weist darauf hin, dass für manche andere Anwendungen geringe Anforderungen wie Transparenzvorgaben bestehen können.³ Nennen Sie deshalb in der Einstufungsakte den geprüften Umfang, ohne den Eindruck zu erwecken, sämtliche Regeln für das System seien erledigt.

Was Sie als Nächstes tun sollten

Schließen Sie zuerst das KI-Inventar und die Zweckbeschreibung ab. Fordern Sie anschließend beim Anbieter die Einstufung, Anhang-Begründung und Rollenunterlagen an. Dokumentieren Sie jeden Anhang-I- und Anhang-III-Abgleich, einschließlich einer beanspruchten Ausnahme und der Profiling-Prüfung.

Erstellen Sie die für Ihren nächsten Schritt benötigten Unterlagen mit dem EU AI Act Documentation Pack.

Häufig gestellte Fragen

Wann ist ein KI-System nach Artikel 6 hochriskant?

Es gibt zwei Wege. Nach Artikel 6 Absatz 1 muss das KI-System Sicherheitsbauteil eines Anhang-I-Produkts oder selbst ein solches Produkt sein; zusätzlich muss das Produkt oder System eine Konformitätsbewertung durch Dritte benötigen. Absatz 2 erfasst bestimmte Anhang-III-Zwecke. Nur bei dort genannten Systemen schließt Profiling die Ausnahmen des Absatzes 3 aus.

Ist jedes KI-System in einer Maschine ein Sicherheitsbauteil?

Nein. Die Neufassung stellt klar, dass KI für ausschließlich nicht sicherheitsrelevante Nutzerunterstützung, Optimierung, Effizienz, Automatisierung, Benutzerfreundlichkeit oder Qualitätskontrolle kein Sicherheitsbauteil ist. Ein Sicherheitsbauteil liegt dagegen vor, wenn Ausfall oder Fehlfunktion Gesundheit und Sicherheit gefährden würde. Zusätzlich muss die produktrechtliche Drittbewertung erforderlich sein. Beide Bedingungen sind gemeinsam zu dokumentieren.

Ist KI für die Personalauswahl immer hochriskant?

Anhang III erfasst Systeme für gezielte Stellenanzeigen, Sichtung oder Filterung von Bewerbungen, Bewerberbewertung sowie bestimmte Personalentscheidungen und Leistungsüberwachung. Ob das konkrete System unter die Beschreibung fällt, bestimmt sein Verwendungszweck. Eine Ausnahme kann nur unter Artikel 6 Absatz 3 greifen; führt das System Profiling durch, bleibt es immer hochriskant.

Wer dokumentiert eine Ausnahme von Anhang III?

Der Anbieter dokumentiert vor Inverkehrbringen oder Inbetriebnahme, warum ein in Anhang III genanntes System nicht hochriskant sein soll. Er muss außerdem die Registrierungspflicht nach Artikel 49 Absatz 2 erfüllen und die Bewertung einer zuständigen nationalen Behörde auf Verlangen vorlegen. Betreiber sollten die Anbieterbewertung für ihre eigene Einsatzakte anfordern.

Welche Frist gilt für Hochrisiko-KI nach Anhang III?

Kapitel III Abschnitte 1 bis 3 gelten für Systeme nach Artikel 6 Absatz 2 und Anhang III ab 2. Dezember 2027. Für Systeme nach Artikel 6 Absatz 1 und Anhang I gelten diese Abschnitte ab 2. August 2028. Die Einstufung sollte deutlich vorher abgeschlossen sein, damit Pflichten geplant werden können.

Braucht jeder Betreiber eine Grundrechte-Folgenabschätzung?

Nein. Artikel 27 Absatz 1 nennt öffentliche Stellen, private Stellen mit öffentlichen Dienstleistungen und Betreiber bestimmter Systeme nach Anhang III Nummer 5 Buchstaben b und c. Dazu gehört die Bonitätsbewertung natürlicher Personen. Die Bewertung erfolgt vor Inbetriebnahme und beschreibt unter anderem Verfahren, Zeitraum, Häufigkeit und betroffene Personengruppen.