AI-Act-Risiko-Check: In welche Klasse fällt Ihr System?
Eine oder zwei Fragen genügen, um Ihren Einsatzfall einzuordnen: verboten, hochriskant, transparenzpflichtig oder minimal. Sie erhalten die Klasse, den Rechtsgrund und die konkreten Pflichten - mit den Fristen nach dem Digital Omnibus.
Von Michael Kaiser, Gründer von ArkeonTech Stand:
Rechtsstand: KI-Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 (Digital Omnibus)
Frage 1
Welche Aufgabe übernimmt das KI-System?
Keine Angabe wird übertragen oder gespeichert.
Die vier Risikoklassen des AI Act
Die Verordnung staffelt ihre Pflichten nach dem Risiko des Einsatzfalls. Verboten sind Praktiken wie Emotionserkennung am Arbeitsplatz (außer aus medizinischen oder Sicherheitsgründen), Social Scoring und biometrische Kategorisierung sensibler Merkmale - sie gelten seit dem 2. Februar 2025 ohne Übergangsfrist. Hochriskant sind unter anderem Systeme für Bewerbung und Personalentscheidungen, die Bonität von Privatpersonen und die Bildung; ihre Pflichten gelten nach dem Digital Omnibus ab dem 2. Dezember 2027. Begrenzte Transparenzpflichten treffen Chatbots und Voice-Assistenten sowie Deepfakes und KI-Texte zu Themen öffentlichen Interesses - Art. 50 gilt seit dem 2. August 2026. Alles Übrige ist minimales Risiko und bleibt ohne eigene Pflichten aus dem AI Act.
Wie der Check einordnet
Entscheidend ist nicht das Werkzeug, sondern der Einsatz: Dasselbe Sprachmodell ist als Chatbot transparenzpflichtig, als Bewerberauswahl hochriskant und als interner Textentwurf pflichtfrei. Der Check fragt deshalb zuerst den Einsatzbereich und vertieft nur dort, wo der AI Act Unterarten unterscheidet. Das Ergebnis nennt die Klasse, den Rechtsgrund und die Pflichtenliste - bei Hochrisiko auch die Ausnahme nach Art. 6 Abs. 3 für Systeme, die Personen nicht bewerten.
Was dieser Check nicht leistet
Er ersetzt keine Rechtsberatung und keine Vollprüfung: Die Grenzen zwischen erlaubt, hochriskant und verboten verlaufen entlang technischer Details, die ein Entscheidungsbaum nicht abbilden kann. Bei Grenzfällen - individualisierte Preise, Überwachungsfunktionen, gemischte Einsätze - empfiehlt das Ergebnis bewusst die Einzelfallprüfung statt einer falschen Sicherheit.
Häufige Fragen
Gestaffelt: Die Verbote des Art. 5 und die Kompetenzpflicht des Art. 4 gelten seit dem 2. Februar 2025, die Transparenzpflichten des Art. 50 seit dem 2. August 2026. Die Pflichten für Hochrisiko-Systeme nach Anhang III hat der Digital Omnibus (Verordnung (EU) 2026/1744) auf den 2. Dezember 2027 verschoben, für Hochrisiko-Systeme in Produkten nach Anhang I auf den 2. August 2028.
Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. Euro oder 3 % bei Verstößen gegen die übrigen Pflichten. Grundsätzlich gilt der höhere der beiden Beträge, für kleine und mittlere Unternehmen der niedrigere (Art. 99 Abs. 6).
Der Check ordnet den Einsatzfall ein, nicht das Produkt. ChatGPT als interner Textentwurf ist pflichtfrei, als Kundenservice-Chatbot transparenzpflichtig, als Bewerberauswahl hochriskant - und wer es für Emotionserkennung am Arbeitsplatz oder Social Scoring einsetzt, verstößt gegen Art. 5.
Als Betreiber setzen Sie das System nach der Betriebsanleitung des Anbieters ein, übertragen die Aufsicht geschulten Personen, bewahren die Protokolle mindestens sechs Monate auf und informieren Beschäftigte und Betroffene (Art. 26). Die Konformitätsbewertung liegt beim Anbieter. Die Pflichten gelten ab dem 2. Dezember 2027.
Er gilt überall dort, wo die Ausgabe des Systems in der EU genutzt wird - ein Schweizer Unternehmen, das KI für EU-Kunden einsetzt, fällt darunter. Wer ausschließlich im Inland tätig ist, unterliegt ihm nicht direkt.
Nein. Er bildet die Hauptlinien der Verordnung ab und nennt den Rechtsgrund je Ergebnis. Grenzfälle - individualisierte Preise, Überwachungsfunktionen, Mischeinsätze - gehören in die anwaltliche Einzelfallprüfung.
Passende Leistung von ArkeonTech
Hochrisiko heißt nicht unmöglich - nur dokumentiert
Wir bauen KI-Systeme so, dass die Pflichten von Anfang an mitgedacht sind: Betriebsanleitung, menschliche Aufsicht, Protokollierung und die Dokumentation, die der AI Act verlangt.