Ein Hochrisiko-KI-System ist nach dem EU AI Act eine KI-Anwendung, die erhebliche Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte von Menschen haben kann. Systeme dieser Klasse sind nicht verboten, unterliegen aber den strengsten Pflichten der Verordnung — von der Risikoanalyse bis zur Konformitätsbewertung vor dem Inverkehrbringen.
Einordnung in die Risikoklassen
Der EU AI Act sortiert KI in vier Stufen. Hochrisiko ist die zweithöchste — darüber steht nur das komplette Verbot bestimmter Praktiken.
| Klasse | Bedeutung | Beispiel |
|---|---|---|
| Verboten | Unzulässige Praktik | Social Scoring durch Behörden |
| Hochrisiko | Strenge Auflagen | KI zur Bewerberauswahl |
| Begrenzt | Transparenzpflicht | Chatbot, KI-Bilder |
| Minimal | Keine Sonderpflichten | Spamfilter |
Eine ausführlichere Übersicht bietet der Eintrag zu den Risikoklassen.
Zwei Wege in die Hochrisiko-Klasse
Sicherheitskomponenten regulierter Produkte — KI, die in Maschinen, Medizinprodukten, Fahrzeugen oder Aufzügen eine sicherheitsrelevante Funktion übernimmt und schon heute einer Produktzulassung unterliegt.
Anwendungen aus Anhang III — hier zählt der Einsatzzweck. Dazu gehören unter anderem Personalauswahl und Beförderungsentscheidungen, Zugang zu Bildung, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Strafverfolgung und Teile der öffentlichen Verwaltung.
Die Pflichten im Überblick
Betreiber und Anbieter eines Hochrisiko-Systems müssen unter anderem nachweisen:
- ein Risikomanagementsystem über den gesamten Lebenszyklus,
- Datenqualitätsanforderungen an die Trainings- und Eingabedaten,
- eine technische Dokumentation und automatische Protokollierung,
- menschliche Aufsicht über das System,
- definierte Genauigkeit, Robustheit und Cybersicherheit,
- eine Konformitätsbewertung vor dem Inverkehrbringen.
Was das für den Mittelstand bedeutet
Für die große Mehrheit mittelständischer KI-Anwendungen — Textassistenten, Workflow-Automatisierung, Kundenservice-Chatbots — greift keine der Hochrisiko-Kategorien. Diese Systeme fallen meist in die Klasse „begrenztes Risiko“ mit reiner Transparenzpflicht.
Fristen
Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. August 2026. Für KI als Sicherheitskomponente regulierter Produkte greift die Frist erst 2027. Unabhängig davon gilt die Pflicht zur KI-Kompetenz bereits seit Februar 2025 für alle Unternehmen. Wer prüfen will, ob eine geplante Anwendung betroffen ist, findet eine Entscheidungshilfe im Ratgeber EU AI Act — für wen gilt er?, die Termine im Überblick unter EU AI Act Fristen.
Häufige Fragen
Betrifft das den Mittelstand?
In den meisten Fällen nicht. Die praktisch relevanteste Ausnahme ist der Personalbereich — Bewerberauswahl und Leistungsbeurteilung.
Ab wann gelten die Pflichten?
Für Hochrisiko-Systeme nach Anhang III seit dem 2. August 2026, für Sicherheitskomponenten regulierter Produkte ab 2027.
Welche Anwendungen gelten als Hochrisiko-KI?
Es gibt zwei Wege in die Klasse: KI als Sicherheitskomponente regulierter Produkte (Maschinen, Medizinprodukte, Fahrzeuge, Aufzüge) und Anwendungen aus Anhang III — darunter Personalauswahl, Kreditwürdigkeitsprüfung, Zugang zu Bildung, kritische Infrastruktur und Teile der Verwaltung.
Sind Hochrisiko-KI-Systeme verboten?
Nein. Verboten sind nur unzulässige Praktiken wie Social Scoring durch Behörden. Hochrisiko-Systeme dürfen betrieben werden, unterliegen aber den strengsten Pflichten der Verordnung — von der Risikoanalyse bis zur Konformitätsbewertung vor dem Inverkehrbringen.
Welche Pflichten gelten für Hochrisiko-Systeme?
Unter anderem ein Risikomanagementsystem über den gesamten Lebenszyklus, Anforderungen an die Datenqualität, technische Dokumentation mit automatischer Protokollierung, menschliche Aufsicht sowie definierte Genauigkeit, Robustheit und Cybersicherheit.
Ist ein Chatbot ein Hochrisiko-System?
In der Regel nicht. Kundenservice-Chatbots, Textassistenten und Workflow-Automatisierung fallen meist in die Klasse „begrenztes Risiko“ mit reiner Transparenzpflicht — solange sie nicht etwa im Personalbereich Bewerber bewerten.