KI in kritischer Infrastruktur: Hochrisiko nach EU AI Act?

Warum dieser Bereich als Hochrisiko gilt

Anhang III Nr. 2 erfasst KI-Systeme, die als Sicherheitsbauteil beim Betrieb und der Steuerung kritischer Infrastruktur dienen — etwa in der Versorgung mit Strom, Wasser, Gas und Wärme, im Straßenverkehr oder in der kritischen digitalen Infrastruktur.

Der Maßstab ist hier die funktionale Sicherheit: Fällt das System aus oder trifft es falsche Entscheidungen, kann das die Gesundheit und Sicherheit vieler Menschen gefährden. Anders als in anderen Bereichen steht nicht das Profiling im Mittelpunkt.

Typische Systeme in diesem Bereich

KI zur Laststeuerung und Netzstabilisierung in der Energieversorgung
Steuerung und Überwachung in der Wasser- und Wärmeversorgung
KI-gestützte Verkehrssteuerung und -leittechnik
Sicherheitsrelevante Steuerung kritischer digitaler Infrastruktur

Diese Pflichten greifen

Risikomanagement mit Fokus auf funktionale Sicherheit und Ausfallszenarien
Genauigkeit, Robustheit und Cybersicherheit (Art. 15)
Technische Dokumentation, Protokollierung und menschliche Aufsicht
Konformitätsbewertung und Registrierung vor Inbetriebnahme

Die Ausnahme nach Art. 6 Abs. 3

Weil hier seltener ein Profiling natürlicher Personen stattfindet, kann die Ausnahme nach Art. 6 Abs. 3 eher in Betracht kommen als in anderen Bereichen — etwa wenn die KI nur eine eng begrenzte, vorbereitende Aufgabe erfüllt. Auch das ist jedoch zu begründen und zu dokumentieren.

Häufige Fragen

Wann ist KI in kritischer Infrastruktur ein Hochrisiko-System?

Wenn sie als Sicherheitsbauteil beim Betrieb oder der Steuerung kritischer Infrastruktur dient und ein Ausfall die Sicherheit von Menschen gefährden könnte. Das ist in Anhang III Nr. 2 erfasst.

Gilt das auch für interne Optimierungs-KI ohne Sicherheitsfunktion?

Nicht zwangsläufig. Entscheidend ist die Rolle als Sicherheitsbauteil. Eine reine Effizienz-Optimierung ohne Sicherheitsrelevanz kann anders einzuordnen sein — die Abgrenzung sollte dokumentiert werden.

Greift die Art-6-Abs-3-Ausnahme in der Infrastruktur?

Eher als in personenbezogenen Bereichen, da seltener ein Profiling stattfindet. Sie muss aber begründet und dokumentiert sein und entfällt, sobald das System die Sicherheitsentscheidung wesentlich bestimmt.