Hochrisiko-KI: Einstufung und Pflichten
In die Hochrisiko-Kategorie führen zwei Wege: über Produkte, die ohnehin einer Konformitätsbewertung unterliegen, sowie über die im Anhang genannten Einsatzbereiche. Beide sind getrennt zu prüfen.
Die Einstufung ist keine Geschmacksfrage und keine Selbsteinschätzung ins Blaue. Sie folgt vielmehr einem festen Prüfweg und ist zu dokumentieren, auch wenn sie gegen die Hochrisiko-Kategorie ausfällt.
Die beiden Wege hinein
Über das Produkt
- Das System ist Sicherheitsbauteil eines regulierten Produkts
- Oder es ist selbst ein solches Produkt
- Voraussetzung ist eine Konformitätsbewertung durch Dritte nach anderem Unionsrecht
- Typisch bei Maschinen, Medizinprodukten und Fahrzeugen
Über den Einsatzbereich
- Der Anhang nennt die erfassten Bereiche, darunter Beschäftigung und Bildung
- Erfasst sind auch Auswahl, Beförderung und Bewertung von Leistung und Verhalten
- Es hängt am Zweck des Einsatzes, nicht an der Technik
- Deshalb kann dasselbe Werkzeug je nach Verwendung anders einzuordnen sein
Der Prüfweg
Schritt 1: Verbotene Praktiken ausschließen
Zuerst ist zu klären, ob der geplante Einsatz überhaupt zulässig ist. Manche Praktiken sind untersagt, etwa das Ableiten von Emotionen am Arbeitsplatz außerhalb enger Ausnahmen.
Schritt 2: Beide Wege prüfen
Produktweg und Anhangsbereich sind getrennt zu betrachten. Ein System kann über den einen erfasst sein und über den anderen nicht.
Schritt 3: Ausnahme prüfen und dokumentieren
Fällt der Einsatz in einen Anhangsbereich, ist zu prüfen, ob er dennoch kein erhebliches Risiko birgt. Diese Einschätzung ist zu dokumentieren.
Schritt 4: Rolle bestimmen
Erst mit der Rolle als Anbieter oder Betreiber steht fest, welche Pflichten Sie treffen und welche Nachweise Sie führen müssen.
Die Termine
Die KI-Verordnung ist am 1. August 2024 in Kraft getreten und gilt gestaffelt. Die verbotenen Praktiken und die Pflicht zur KI-Kompetenz greifen seit dem 2. Februar 2025, der Hauptteil der Verordnung seit dem 2. August 2026. Für Hochrisiko-Systeme gelten eigene Termine.
02.02.2025
Verbotene Praktiken
Systeme, die einen Verbotstatbestand erfüllen, mussten bis zu diesem Tag eingestellt oder so angepasst werden, dass sie ihn nicht mehr erfüllen.
02.08.2026
Hauptteil der Verordnung
Marktüberwachung und die allgemeinen Transparenzvorschriften. Die technische Kennzeichnung nach Art. 50 KI-VO folgt am 2. Dezember 2026.
02.12.2027
Anhang III
Die kontextbezogenen Hochrisiko-Systeme, etwa in Beschäftigung, Bildung und Kreditwürdigkeit. Der Digital Omnibus hat den Termin vom 2. August 2026 verschoben.
02.08.2028
Produktbezogene Systeme
Hochrisiko-Systeme, die Produkte oder Sicherheitsbauteile sind, samt der Pflichten der beteiligten Akteure. Zuvor war der 2. August 2027 vorgesehen.
Wie wir unterstützen
Wir führen die Einstufung entlang dieses Wegs, halten die Begründung schriftlich fest und leiten daraus das Pflichtenprogramm ab. Fällt die Prüfung gegen die Hochrisiko-Kategorie aus, ist die Dokumentation ebenso wichtig, denn sie ist Ihre Antwort, wenn die Frage später gestellt wird.
Die Einstufung entscheidet über das Pflichtenprogramm.
Wir führen die Einstufung und dokumentieren die Begründung.
Einstufung anfragenHäufige Fragen
Wie kommt ein System in die Hochrisiko-Kategorie?
Auf zwei Wegen. Der erste führt über das Sicherheitsbauteil eines Produkts, das nach anderen Rechtsakten der Union ohnehin einer Konformitätsbewertung unterliegt. Der zweite führt über die im Anhang genannten Einsatzbereiche, darunter Beschäftigung, Bildung, Kreditwürdigkeit und bestimmte Bereiche der Verwaltung. Dieser zweite Weg wird häufiger übersehen, weil er am Einsatzzweck hängt und nicht am Produkt.
Gibt es Ausnahmen innerhalb der Anhangsbereiche?
Ja. Ein System in diesen Bereichen gilt nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt. Das ist etwa der Fall, wenn es nur eine eng umgrenzte Verfahrensaufgabe erfüllt oder eine menschliche Bewertung vorbereitet. Diese Einschätzung ist zu dokumentieren.
Ab wann gelten die Pflichten für Hochrisiko-Systeme?
Gestaffelt, wobei der Digital Omnibus die Termine verschoben hat. Für die kontextbezogenen Systeme aus Anhang III gelten die Vorgaben ab dem 2. Dezember 2027, ursprünglich war der 2. August 2026 vorgesehen. Für Hochrisiko-Systeme, die Produkte oder Sicherheitsbauteile von Produkten sind, gelten sie ab dem 2. August 2028 statt ab dem 2. August 2027. Die Verschiebung wird damit begründet, dass die technischen Normen rechtzeitig vorliegen sollen. Sie ist kein Anlass zu warten, weil die Vorbereitung eines Konformitätsverfahrens länger dauert als die verbleibende Zeit.
Wir berechnen einen Score. Ist das schon eine Entscheidung?
Es kann eine sein. Der Gerichtshof der Europäischen Union hat am 7. Dezember 2023 entschieden, dass die automatisierte Erstellung eines Wahrscheinlichkeitswerts zur künftigen Zahlungsfähigkeit bereits eine automatisierte Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO ist, sofern von diesem Wert maßgeblich abhängt, ob ein Dritter ein Vertragsverhältnis begründet, durchführt oder beendet (C-634/21). Der Score wandert damit von der Vorbereitung in die Entscheidung. Die Einstufung nach der KI-Verordnung tritt daneben und ersetzt diese Prüfung nicht.
Was folgt aus der Einstufung?
Für Anbieter ein umfangreiches Programm aus Risikomanagement, Datenqualität, technischer Dokumentation, Protokollierung, Transparenz, menschlicher Aufsicht, Genauigkeit und Cybersicherheit, dazu die Konformitätsbewertung. Für Betreiber deutlich weniger, aber nicht nichts: Verwendung nach Anweisung, geeignete Aufsicht, Aufbewahrung der Protokolle und Information der Betroffenen.