Als Hochrisiko gelten KI-Systeme, die in sensiblen Bereichen wie Recruiting, Bildung, Kreditwürdigkeit, kritischer Infrastruktur oder Strafverfolgung eingesetzt werden (Anhang III), sowie KI als Sicherheitskomponente regulierter Produkte. Sie unterliegen strengen Pflichten zu Risikomanagement, Dokumentation, Datenqualität und menschlicher Aufsicht.
Der AI Act kennt zwei Wege, über die ein System als hochriskant eingestuft wird. Erstens, wenn die KI als Sicherheitskomponente eines Produkts dient, das bereits einer EU-Sicherheitsprüfung unterliegt (etwa Maschinen oder Medizinprodukte). Zweitens, wenn das System in einem der in Anhang III genannten sensiblen Bereiche eingesetzt wird.
Anhang III listet konkrete Anwendungsfelder, in denen KI typischerweise als hochriskant gilt:
Anbieter von Hochrisiko-KI müssen unter anderem ein Risikomanagementsystem einrichten, eine umfassende technische Dokumentation führen, hohe Anforderungen an Datenqualität erfüllen, menschliche Aufsicht ermöglichen sowie eine Konformitätsbewertung durchführen. Betreiber müssen die Systeme bestimmungsgemäß einsetzen und die menschliche Aufsicht sicherstellen.
Ja. Ein System, das zwar in einem Anhang-III-Bereich liegt, aber kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt – etwa weil es nur eine eng begrenzte Hilfsaufgabe erfüllt – kann unter bestimmten Voraussetzungen von der Hochrisiko-Einstufung ausgenommen sein. Die Einschätzung muss jedoch dokumentiert werden.
Voraussichtlich ja – aber noch nicht verbindlich. Der im Mai 2026 politisch vereinbarte „Digital Omnibus“ sieht vor, die Pflichten für Hochrisiko-KI nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 und für KI in regulierten Produkten (Anhang I) auf den 2. August 2028 zu verschieben.
Solange der Omnibus nicht im EU-Amtsblatt veröffentlicht ist, gelten formal die ursprünglichen Fristen. Wer Hochrisiko-KI einsetzt, sollte die zusätzliche Zeit zur Vorbereitung nutzen – etwa für Risikomanagement, Dokumentation und die menschliche Aufsicht.
Viele Recruiting- und Bewertungssysteme fallen unter Anhang III und gelten als hochriskant. Es kommt jedoch auf den konkreten Einsatz an; rein unterstützende Funktionen ohne erheblichen Einfluss können ausgenommen sein – das muss aber begründet und dokumentiert werden.
Allgemeine Assistenzsysteme sind in der Regel kein Hochrisiko per se. Entscheidend ist der Einsatzkontext: Wird ein solches Tool in einem Anhang-III-Bereich für maßgebliche Entscheidungen genutzt, kann eine strengere Einstufung greifen.
Ursprünglich ab dem 2. August 2026. Der Digital Omnibus soll sie auf den 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I) verschieben – diese Verschiebung ist aber erst mit der Veröffentlichung im EU-Amtsblatt verbindlich.
Für Hochrisiko-KI (Anhang III) gelten strenge Pflichten: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht sowie Genauigkeit und Sicherheit. Betreiber müssen das System bestimmungsgemäß einsetzen, überwachen und ihre Mitarbeitenden entsprechend schulen.