Zum Inhalt springen

Leitfäden

EU AI Act Risikocheck

Beantworten Sie bis zu sechs Fragen zu einem KI-Einsatz und sehen Sie, in welche der vier Risikostufen des EU AI Act er voraussichtlich fällt, was das für Sie bedeutet und ab wann.

Verfasst und geprüft von Solorai

Kurz gesagt

Der EU AI Act ordnet jeden KI-Einsatz einer von vier Stufen zu: verboten, hohes Risiko, Transparenz und minimal. Dieser Check führt einen Einsatz durch die Prüfungen der Artikel 5, 6 und 50 und des Anhangs III in der Fassung der Verordnung (EU) 2026/1744 und zeigt die wahrscheinliche Stufe, ihre Bedeutung und das Datum, ab dem sie gilt.

Er gibt eine erste Orientierung für die Planung, keine Rechtsberatung. Stufen Sie jeden Einsatz ein, nicht jedes Produkt: Führen Sie den Check für jede Art durch, wie Sie ein System nutzen.

Einen KI-Einsatz prüfen

Denken Sie an einen konkreten Einsatz, etwa einen Assistenten, der Bewerbungen vorsortiert. Antworten Sie nur für diesen Einsatz.

Entspricht der Einsatz einer verbotenen Praxis?

Artikel 5 verbietet diese Praktiken:

  • Manipulative oder täuschende Techniken, die das Verhalten einer Person verzerren und erheblichen Schaden verursachen
  • Ausnutzen von Schwächen aufgrund von Alter, Behinderung oder sozialer oder wirtschaftlicher Lage
  • Social Scoring, das zu sachfremder oder unverhältnismäßiger Behandlung führt
  • Vorhersage des Risikos einer Straftat allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen
  • Aufbau von Gesichtserkennungsdatenbanken durch ungezieltes Auslesen von Bildern
  • Ableiten von Emotionen am Arbeitsplatz oder in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen
  • Biometrische Kategorisierung, die auf Rasse, politische Meinungen, Religion, Gewerkschaftszugehörigkeit, Sexualleben oder sexuelle Orientierung schließt
  • Biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen zur Strafverfolgung, außerhalb enger Ausnahmen
  • Ab 2. Dezember 2026: Erstellen oder Manipulieren intimer oder sexuell expliziter Bilder identifizierbarer Personen ohne deren Einwilligung oder von Darstellungen sexuellen Kindesmissbrauchs
Ist die KI eine Sicherheitskomponente eines regulierten Produkts?

Gemeint ist KI, die eine Sicherheitskomponente eines Produkts nach den in Anhang I aufgeführten EU-Produktvorschriften ist, etwa Maschinen, Medizinprodukte, Spielzeug, Aufzüge oder Fahrzeuge, oder die selbst ein solches Produkt ist, wenn das Produkt eine Konformitätsbewertung durch Dritte benötigt. KI, die nur dem Komfort, der Effizienz oder der Qualitätskontrolle dient, ist keine Sicherheitskomponente, es sei denn, ihr Ausfall würde Gesundheit oder Sicherheit gefährden.

Wird sie in einem dieser Bereiche eingesetzt?

Anhang III nennt die Hochrisiko-Bereiche:

  • Biometrie: Fernidentifizierung, Kategorisierung nach sensiblen Merkmalen, Emotionserkennung
  • Kritische Infrastruktur: Sicherheitskomponenten für digitale Infrastruktur, Straßenverkehr, Wasser, Gas, Wärme oder Strom
  • Bildung und Ausbildung: Zulassung, Bewertung von Lernergebnissen, Überwachung bei Prüfungen
  • Beschäftigung: Personalauswahl, Entscheidungen über das Arbeitsverhältnis, Aufgabenzuweisung, Überwachung von Leistung oder Verhalten
  • Grundlegende Dienste: Anspruch auf öffentliche Leistungen, Kreditwürdigkeitsprüfung, Preisbildung bei Lebens- und Krankenversicherungen, Einstufung von Notrufen
  • Strafverfolgung
  • Migration, Asyl und Grenzkontrolle
  • Justiz und demokratische Prozesse: Unterstützung von Gerichten, Beeinflussung von Wahlen
Erstellt sie Profile von Personen?

Profiling ist die automatisierte Verarbeitung personenbezogener Daten, um Aspekte einer Person zu bewerten, etwa Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Vorlieben oder Verhalten.

Erfüllt sie nur eine begrenzte Aufgabe?

Nach Artikel 6 Absatz 3 ist ein Einsatz in einem Bereich des Anhangs III nicht hochriskant, wenn er kein erhebliches Risiko birgt und die Entscheidung nicht wesentlich beeinflusst, weil er nur:

  • Eine eng gefasste Verfahrensaufgabe ausführt
  • Das Ergebnis einer bereits abgeschlossenen menschlichen Tätigkeit verbessert
  • Muster in früheren Entscheidungen erkennt, ohne die menschliche Bewertung zu ersetzen oder zu beeinflussen
  • Eine vorbereitende Aufgabe für eine Bewertung ausführt
Interagiert sie mit Menschen oder erzeugt sie Inhalte?

Artikel 50 erfasst Systeme, die:

  • Direkt mit Menschen interagieren, etwa Chatbots und Sprachagenten
  • Text, Bilder, Audio oder Video erzeugen
  • Deepfakes erstellen

Wahrscheinlich verboten

Der Einsatz entspricht einer nach Artikel 5 verbotenen Praxis. Beenden Sie die Nutzung. Die Verbote gelten seit dem 2. Februar 2025, die beiden durch den Digital Omnibus ergänzten ab dem 2. Dezember 2026. Die Geldbußen reichen bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes.

Wahrscheinlich hohes Risiko: KI in einem regulierten Produkt

Die KI ist eine Sicherheitskomponente eines Produkts nach Anhang I. Die vollen Pflichten für Anbieter und Betreiber gelten ab dem 2. August 2028.

Wahrscheinlich hohes Risiko: Einsatz nach Anhang III

Der Einsatz fällt in einen Bereich des Anhangs III. Die vollen Pflichten gelten ab dem 2. Dezember 2027. Wenn Sie das System eines Anbieters nutzen, sind Sie Betreiber: Befolgen Sie die Gebrauchsanweisung, übertragen Sie die menschliche Aufsicht, bewahren Sie die Protokolle mindestens sechs Monate auf und informieren Sie die Betroffenen.

Wahrscheinlich nicht hochriskant, nach Artikel 6 Absatz 3

Der Einsatz liegt in einem Bereich des Anhangs III, erfüllt aber nur eine begrenzte Aufgabe. Der Anbieter dokumentiert diese Bewertung, bevor das System in Verkehr gebracht wird, registriert es und legt die Dokumentation den Behörden auf Anfrage vor.

Es gelten Transparenzpflichten

Nach Artikel 50, seit dem 2. August 2026: Menschen müssen wissen, dass sie es mit KI zu tun haben, sofern es nicht offensichtlich ist, KI-generierte Inhalte werden maschinenlesbar gekennzeichnet und Deepfakes offengelegt.

Wahrscheinlich minimales Risiko

Keine besonderen Pflichten über die KI-Kompetenz hinaus. Die meisten Einsätze, etwa Entwerfen, Zusammenfassen und Analysieren, fallen hierunter.

Was jetzt zu tun ist

Halten Sie das Ergebnis in Ihrem KI-Register fest, mit dem Zweck des Einsatzes und der verantwortlichen Person. Unabhängig von der Stufe verlangt Artikel 4, die KI-Kompetenz der Menschen zu fördern, die das System nutzen.

Zur EU AI Act Checkliste für Unternehmen.

Die vier Risikostufen

Jeder Einsatz fällt in eine von vier Stufen. Klassifizieren Sie jeden Einsatz, nicht jedes Produkt: Derselbe Assistent kann beim Entwerfen von E-Mails minimales Risiko bedeuten und hohes Risiko, wenn er Bewerbungen vorsortiert.

StufeWas sie umfasstWas das für Sie bedeutet
VerbotenNach Artikel 5 verbotene Praktiken wie Social Scoring oder Emotionserkennung am Arbeitsplatz und ab dem 2. Dezember 2026 KI, die nicht einvernehmliche intime Bilder erzeugtNutzung einstellen
Hohes RisikoIn Anhang III genannte Einsatzfelder wie Recruiting, Kreditscoring und Zugang zu grundlegenden Diensten sowie KI in Produkten nach Anhang IVolle Pflichten ab dem 2. Dezember 2027 oder dem 2. August 2028
TransparenzSysteme, die mit Menschen interagieren, Inhalte erzeugen oder Deepfakes erstellenMenschen informieren und Inhalte kennzeichnen, nach Artikel 50, seit dem 2. August 2026
MinimalDie meisten übrigen Einsatzfelder wie Entwerfen, Zusammenfassen und AnalysierenKeine besonderen Pflichten über die KI-Kompetenz hinaus

Was der Check nicht abdeckt

  • Ihre Rolle: Die Pflichten unterscheiden sich für Anbieter und Betreiber. Die meisten Unternehmen sind Betreiber.
  • KI-Modelle mit allgemeinem Verwendungszweck: Für ihre Anbieter gelten eigene Pflichten.
  • Systeme im Bestand: Hochrisiko-Systeme, die vor ihrem Stichtag auf dem Markt waren, sind nur erfasst, wenn sie danach wesentlich geändert werden; von Behörden genutzte Systeme müssen bis zum 2. August 2030 konform sein.
  • Anderes Recht: Die DSGVO, Branchenregeln und nationales Recht gelten neben dem AI Act.

Für eine belastbare Einstufung lassen Sie jeden Einsatz anhand der Leitlinien der Kommission und mit Ihrer Rechtsberatung prüfen. Zur EU AI Act Compliance.

Quellen

FAQ

Fragen zu den Risikostufen des AI Act

Ist ein Assistent wie Claude, ChatGPT oder Copilot nach dem EU AI Act hochriskant?

Das hängt vom Einsatz ab, nicht vom Produkt. Entwerfen, Zusammenfassen und Analysieren sind minimales Risiko. Derselbe Assistent fällt bei der Vorauswahl von Bewerbern in einen Bereich des Anhangs III und ist wahrscheinlich hochriskant.

Wer muss ein KI-System einstufen?

Der Anbieter stuft das System ein, das er in Verkehr bringt. Ein Betreiber muss die Stufe jedes Einsatzes kennen, um seine eigenen Pflichten zu erfüllen, und wird zum Anbieter, wenn er den Zweck eines Systems so ändert, dass es hochriskant wird.

Ab wann gelten die Hochrisiko-Pflichten?

Ab dem 2. Dezember 2027 für die in Anhang III genannten Einsätze und ab dem 2. August 2028 für KI in Produkten nach Anhang I, nach dem AI Act in der Fassung der Verordnung (EU) 2026/1744.

Ist das Ergebnis dieses Checks rechtlich verbindlich?

Nein. Es ist eine erste Orientierung für die Planung. Die Einstufung hängt von den Umständen jedes Einsatzes und von den Leitlinien der Europäischen Kommission ab.

Weiterlesen

Stufen Sie jeden KI-Einsatz ein. Starten Sie mit einem 30-minütigen Briefing.

Sagen Sie uns, welche KI-Systeme Sie heute nutzen. Wir antworten mit einem klaren nächsten Schritt.

Briefing buchenSchreiben Sie uns