Der EU AI Act (Verordnung (EU) 2024/1689) teilt KI-Systeme in Risikoklassen ein. Die meiste Aufmerksamkeit – und die meisten Pflichten – entfallen auf die Hochrisiko-Systeme. Ob Ihr System dazugehört, entscheidet sich in zwei Schritten: Fällt es in einen der in Anhang III genannten Bereiche? Und spielt es dort eine relevante Rolle bei Entscheidungen über Menschen?
Dieser Beitrag erklärt den ersten Schritt: die acht Bereiche, die der Gesetzgeber als grundsätzlich hochriskant einstuft.
Warum Anhang III so wichtig ist
Anhang III ist die Liste der Anwendungsfälle, in denen ein KI-System nach Art. 6 Abs. 2 als Hochrisiko gilt. Die Logik dahinter: In diesen Bereichen kann eine fehlerhafte oder voreingenommene KI-Entscheidung erhebliche Folgen für Gesundheit, Sicherheit oder die Grundrechte von Personen haben – etwa wenn jemand einen Job, einen Kredit oder den Zugang zu einer Leistung nicht erhält.
Wichtig: Anhang III beschreibt Einsatzzwecke, nicht Technologien. Es kommt nicht darauf an, ob Sie ein neuronales Netz, ein klassisches Scoring-Modell oder ein Sprachmodell verwenden, sondern wofür Sie es einsetzen.
Die acht Bereiche im Überblick
- Biometrie – Fernidentifizierung, biometrische Kategorisierung und Emotionserkennung anhand biometrischer Merkmale.
- Kritische Infrastruktur – sicherheitsrelevante Steuerung von Strom, Wasser, Wärme, Verkehr und digitaler Infrastruktur.
- Bildung und Berufsbildung – Zugang, Zuweisung, Bewertung von Prüfungen oder Überwachung von Prüfungen.
- Beschäftigung und Personalmanagement – Recruiting, Bewerber-Scoring, Aufgabenverteilung, Beförderung und Überwachung von Beschäftigten.
- Zugang zu essenziellen Leistungen – unter anderem Kreditwürdigkeits- und Bonitätsbewertung natürlicher Personen (außer reiner Betrugserkennung), Risikobewertung in der Lebens- und Krankenversicherung sowie der Zugang zu öffentlichen Leistungen.
- Strafverfolgung – Risikobewertungen, Beweiswürdigung und ähnliche Anwendungen durch Behörden.
- Migration, Asyl und Grenzkontrolle – Prüfung von Anträgen und Risikoeinschätzungen.
- Rechtspflege und demokratische Prozesse – Unterstützung richterlicher Entscheidungen und Beeinflussung von Wahlen.
Für kommerzielle Anbieter im Mittelstand sind in der Praxis vor allem die Bereiche 4 (Recruiting), 5 (Bonität/Scoring), 1 (Biometrie) und 2 (kritische Infrastruktur) relevant.
„Wir sind in Anhang III” – und jetzt?
Ein Treffer in Anhang III bedeutet nicht automatisch, dass alle Hochrisiko-Pflichten greifen. Der EU AI Act kennt eine eng gefasste Ausnahme: Erfüllt Ihr System nur eine eng begrenzte Hilfsaufgabe und beeinflusst es die Entscheidung nicht wesentlich, kann es nach Art. 6 Abs. 3 doch nicht als Hochrisiko gelten. Sobald jedoch ein Profiling natürlicher Personen stattfindet, entfällt diese Ausnahme. Wie diese Ausnahme genau funktioniert, lesen Sie in unserem Beitrag zur Art-6-Abs-3-Ausnahme.
Greift die Ausnahme nicht, kommen umfangreiche Pflichten auf Sie zu – von Risikomanagement bis Konformitätsbewertung. Diese fassen wir im Beitrag zu den Pflichten nach Art. 9–15 zusammen.
Der schnellste Weg zur Ersteinschätzung
Statt sich durch den Verordnungstext zu arbeiten, können Sie Ihr System in zwei Minuten einordnen: Unser kostenloser Hochrisiko-Check führt Sie durch vier präzise Fragen zu Einsatzbereich, Entscheidungsrelevanz und Personenbezug und liefert eine erste Einstufung samt Pflichtenliste.