Hochrisiko-KI-Systeme: Definition, Beispiele und Pflichten

Kaum ein Begriff aus dem EU AI Act sorgt für so viel Unsicherheit wie „Hochrisiko-KI". Viele Unternehmen fürchten, jeder KI-Einsatz falle automatisch in diese Kategorie mit ihren strengen Auflagen. Das ist nicht so. Hochrisiko ist eine eng umrissene Stufe, die nur bestimmte Einsatzfelder betrifft. Dieser Beitrag erklärt, wann ein System als hochriskant gilt, nennt konkrete Beispiele und hilft Ihnen einzuschätzen, ob es Sie betrifft.

Was ein KI-System hochriskant macht

Der AI Act kennt zwei Wege in die Hochrisiko-Stufe.

Der erste betrifft KI, die als Sicherheitsbauteil in ein bereits reguliertes Produkt eingebaut ist, etwa in Maschinen, Medizinprodukten oder Fahrzeugen. Diese Fälle sind in Anhang I der Verordnung erfasst und betreffen vor allem Hersteller solcher Produkte.

Der zweite, für die meisten Unternehmen relevantere Weg führt über Anhang III. Dort listet die Verordnung konkrete Einsatzbereiche, in denen KI als hochriskant gilt, weil dort viel auf dem Spiel steht: Grundrechte, Sicherheit, Zugang zu wichtigen Leistungen.

Beispiele für Hochrisiko-Bereiche

Anhang III nennt unter anderem diese Felder:

• Beschäftigung: KI zur Auswahl von Bewerbern, zur Bewertung von Leistung oder für Entscheidungen über Beförderung und Kündigung.
• Kreditwürdigkeit: Systeme, die über die Bonität natürlicher Personen oder den Zugang zu Krediten entscheiden.
• Kritische Infrastruktur: KI zur Steuerung von Strom, Wasser oder Verkehr.
• Bildung: Systeme, die über Zugang, Bewertung oder Prüfungen mitentscheiden.
• Strafverfolgung, Migration, Justiz: besonders grundrechtssensible Anwendungen.

Entscheidend ist immer der Zweck, nicht das Werkzeug. Ein Sprachmodell ist nicht per se hochriskant. Setzen Sie es aber ein, um automatisiert Bewerbungen vorzusortieren, bewegen Sie sich im Hochrisiko-Bereich.

Welche Pflichten für Hochrisiko-KI gelten

Wer ein Hochrisiko-System anbietet oder betreibt, muss deutlich mehr leisten als bei einfacher KI. Dazu gehören ein Risikomanagement über den gesamten Lebenszyklus, Anforderungen an die Datenqualität, eine technische Dokumentation, eine Protokollierung der Vorgänge, eine wirksame menschliche Aufsicht sowie Vorgaben zu Genauigkeit und Robustheit. Betreiber müssen das System zudem bestimmungsgemäß einsetzen und die Aufsicht sicherstellen.

Diese Pflichten greifen für den Großteil ab dem 2. August 2026. Sie sind anspruchsvoll, aber sie betreffen eben nur die klar abgegrenzten Hochrisiko-Fälle.

Sind Sie betroffen?

Für die meisten Betriebe lautet die Antwort: bei den schweren Hochrisiko-Pflichten nein, bei der KI-Kompetenz-Pflicht ja. Prüfen Sie ehrlich, ob eines Ihrer KI-Systeme in einem der Anhang-III-Felder Entscheidungen über Menschen trifft oder vorbereitet. Wenn nicht, bewegen Sie sich meist im Bereich des begrenzten oder minimalen Risikos, wie im Überblick zum EU AI Act beschrieben.

Eine Anforderung bleibt in jedem Fall: die KI-Kompetenz nach Artikel 4. Sie gilt unabhängig von der Risikostufe. Bei Hochrisiko-Systemen ist nur das nötige Niveau höher, weil mehr auf dem Spiel steht. Was die Pflicht konkret verlangt, lesen Sie im Leitfaden zu Artikel 4.