Vier Prüfgruppen für die Risikoeinordnung

Risiko ist nicht gleich Risiko

Der Aufwand hängt nicht allein von einer umgangssprachlichen Risikoklasse ab, sondern von Rolle, Zweck und konkreter Vorschrift. In dieser Lektion lernen Sie eine erste Struktur für die Prüfung kennen.

Prüfgruppe 1: Verbotene KI-Praktiken (Art. 5)

Bestimmte KI-Anwendungen sind in der EU grundsätzlich untersagt. Die wichtigsten Beispiele:

• Social Scoring durch staatliche Stellen, das Bürger auf Basis ihres Verhaltens oder persönlicher Merkmale in gesellschaftlichen Bereichen ungleich behandelt.
• Manipulative KI-Systeme, die vulnerable Gruppen (Kinder, Personen mit Behinderung, ältere Menschen) in einer Weise ausnutzen, die ihnen erheblich schadet.
• Echtzeit-Fernidentifizierung per Gesichtserkennung im öffentlichen Raum durch Strafverfolgungsbehörden, außer in eng umrissenen Ausnahmen.
• Prädiktive Strafverfolgung, die allein auf Profiling basiert.
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus Sicherheits- oder medizinischen Gründen.
• Biometrische Kategorisierung zur Ableitung sensibler Merkmale wie Ethnie, politischer Meinung oder sexueller Orientierung.

Viele der verbotenen Praktiken sind für den üblichen Büroalltag nicht naheliegend. Ein kurzer Abgleich bleibt dennoch notwendig, etwa wenn biometrische Daten, Emotionserkennung oder manipulative Verfahren eingesetzt werden.

Prüfgruppe 2: Hochrisiko-KI-Systeme

Artikel 6, Anhang I und Anhang III sind zentrale Grundlagen für die Hochrisiko-Einordnung. Anhang III nennt unter anderem folgende Einsatzbereiche:

1. Biometrie (außerhalb der verbotenen Anwendungen)
2. Kritische Infrastrukturen (z. B. Stromversorgung, Wasserversorgung, Verkehr)
3. Allgemeine und berufliche Bildung (Prüfungsbewertung, Zuweisung zu Bildungseinrichtungen)
4. Beschäftigung und Personalmanagement (automatisierte Bewerberauswahl, Leistungsbewertung)
5. Wesentliche private und öffentliche Dienstleistungen (Kreditwürdigkeitsprüfung, Zugang zu Sozialleistungen, Notrufsysteme)
6. Strafverfolgung
7. Migration, Asyl, Grenzkontrolle
8. Justiz und demokratische Prozesse

Für den Mittelstand relevant ist vor allem Bereich 4 (Personalentscheidungen). Wer KI-Tools einsetzt, die Bewerbungen automatisiert vorsortieren, Leistungsbeurteilungen durchführen oder Kündigungsempfehlungen aussprechen, fällt potenziell in diese Klasse.

Für Betreiber können nach Anwendbarkeit der Hochrisiko-Regeln unter anderem folgende Pflichten relevant werden:

• Nutzung nach Anbieter-Vorgaben
• Monitoring während des Betriebs
• Menschliche Aufsicht
• Dokumentation der Nutzung
• Information der betroffenen Personen
• In einigen Fällen: Durchführung einer Grundrechte-Folgenabschätzung

Für Anbieter kommen zusätzlich Konformitätsbewertung, technische Dokumentation, Risiko-Management, Datenqualitätssicherung und CE-Kennzeichnung dazu.

Gruppe 3: Transparenzpflichten

Artikel 50 enthält Transparenzpflichten für bestimmte Einsatzarten. Nach der aktuellen Umsetzungsübersicht werden sie ab dem 2. August 2026 anwendbar:

• Chatbots: Nutzer müssen erkennen können, dass sie mit einer KI kommunizieren — nicht mit einem Menschen.
• Generierte Bilder, Texte, Videos: Deepfakes und KI-generierte Inhalte müssen als solche gekennzeichnet sein.
• Emotionserkennung oder biometrische Kategorisierung (außerhalb verbotener Anwendungen): Betroffene müssen informiert werden.

Wer einen KI-Assistenten auf der Website oder im Support betreibt, sollte prüfen, welche Information in der konkreten Interaktion erforderlich ist. Ob ein kurzer Hinweis genügt, hängt von Gestaltung und Einsatz ab.

Gruppe 4: Andere Anwendungen

Viele Produktivitäts- und Suchwerkzeuge fallen nicht allein wegen ihrer Produktkategorie unter die Hochrisiko-Regeln. Die konkrete Zweckbestimmung bleibt entscheidend.

Achtung: Eine Einordnung außerhalb der Hochrisiko-Regeln bedeutet nicht, dass keine Anforderungen gelten. Artikel 4, Datenschutz, Urheberrecht, Geheimnisschutz und berufliche Sorgfalt können je nach Fall relevant bleiben.

So ordnen Sie Ihre Anwendungen ein

In der Praxis hilft ein einfaches Vorgehen:

1. KI-Register anlegen. Listen Sie alle KI-Anwendungen, die bei Ihnen eingesetzt oder eingeführt werden sollen.
2. Zweck prüfen. Wofür wird das System eingesetzt? Welche Entscheidungen oder Vorgänge beeinflusst es?
3. Anhang III abgleichen. Fällt der Einsatzbereich unter einen der acht Hochrisiko-Bereiche?
4. Transparenzpflicht prüfen. Interagiert das System direkt mit Personen? Erzeugt oder verändert es Inhalte, für die Artikel 50 eine Kennzeichnung vorsieht?
5. Ergebnis dokumentieren. Halten Sie die Einordnung und die Begründung schriftlich fest.

Das Ergebnis kann je Unternehmen unterschiedlich ausfallen. Personal, Kreditwürdigkeit, Bildung, kritische Infrastruktur und biometrische Anwendungen verdienen besondere Aufmerksamkeit.

Was Sie aus dieser Lektion mitnehmen

Die vier Gruppen helfen als Einstieg, ersetzen aber keine Prüfung der Artikel und Anhänge. Für viele Unternehmen sind Artikel 4 und die Transparenzpflichten wichtige Prüfpunkte. Im nächsten Kapitel geht es um KI-Kompetenz nach Artikel 4.