EU AI Act Risikoklassifizierung: die 4 Klassen nach Anwendungsfall

Die Risikoklassifizierung macht aus dem EU AI Act eine konkrete To-do-Liste: Sobald Sie wissen, in welche Klasse ein Anwendungsfall fällt, kennen Sie die Pflichten. Der Punkt, den die meisten KMU übersehen: Die Klasse folgt dem Anwendungsfall, nicht der Software - Klassifizierung erfolgt also je Nutzung, nicht je Tool. Dieser Leitfaden geht die vier Klassen mit KMU-Beispielen durch und zeigt, wie Sie Ihre Systeme einordnen. Den größeren Zusammenhang finden Sie auf der EU AI Act Compliance (Pillar).

Die vier Risikoklassen

Wie klassifiziert der AI Act KI-Systeme?

Für die meisten KMU liegt die tägliche KI-Nutzung - Entwürfe, Zusammenfassungen, Support-Chat - im begrenzten Risiko. Hochrisiko taucht in konkreten, folgenreichen Nutzungen auf, vor allem in HR und jedem Scoring von Personen.

Warum die Klassifizierung dem Anwendungsfall folgt

Dasselbe Tool, zwei verschiedene Klassen?

Ja. ChatGPT für interne Textentwürfe ist begrenztes Risiko. Dasselbe Modell zur Vorauswahl von Bewerbungen ist Hochrisiko, mit deutlich strengeren Anforderungen - vollständige technische Dokumentation, nachweisliche menschliche Aufsicht und in aller Regel eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO (eine FRIA nach Art. 27 AI Act käme nur hinzu, wenn Sie eine öffentliche Stelle sind oder das System zur Kreditwürdigkeits- oder Versicherungsrisikobewertung einsetzen). Deshalb klärt „wir nutzen nur ChatGPT“ die Frage nicht: Entscheidend ist, wofür Sie es nutzen. Klassifizieren Sie jeden Anwendungsfall für sich.

So klassifizieren Sie Ihre KI-Systeme

Wie geht das praktisch?

1. Beginnen Sie mit Ihrem AI-Inventory - jedes Tool und jede einzelne Art der Nutzung.

2. Fragen Sie je Nutzung: trifft oder bereitet sie eine Entscheidung über eine Person vor? Personalauswahl, Kredit, Zugang zu Leistungen deuten auf Hochrisiko.

3. Prüfen Sie die Trigger für begrenztes Risiko - interagiert es mit Menschen oder erzeugt Inhalte? Dann gilt Transparenz nach Art. 50.

4. Erfassen Sie die Klasse je Anwendungsfall in Ihrer Dokumentation, damit die Pflichten automatisch folgen.

Was jede Klasse für Ihren Zeitplan bedeutet

Wann gelten diese Pflichten?

AI Literacy (Art. 4) und das Verbot inakzeptabler Nutzungen sind jetzt durchsetzbar. Transparenzpflichten (Art. 50) gelten ab dem 2. August 2026. Die Hochrisiko-Pflichten, für Deployer wie für Anbieter, wurden über den Digital Omnibus auf 2027-2028 verschoben - Ihre Klassifizierungs- und Dokumentationsarbeit ist trotzdem das, was kurzfristig zählt. Den vollen Zeitplan zeigt die Pillar-Timeline.

Quellen & weiterführende Links