Die vier Risikoklassen im Überblick
1. Verbotene Praktiken (Art. 5)
Acht KI-Praktiken sind im EU AI Act vollständig verboten — kein „mit Auflagen erlaubt“, sondern ein totales Einsatzverbot. Für den Mittelstand sind drei davon relevant:
- Subliminale Beeinflussung, die Menschen schädigt (z. B. manipulative Werbe-KI).
- Ausnutzung von Schutzbedürftigkeit (z. B. KI-basierte Vertriebsstrategien gegenüber Kindern oder geistig Beeinträchtigten).
- Soziale Bewertung (Social Scoring) durch Behörden oder im Auftrag.
Die anderen fünf (biometrische Echtzeit-Identifikation, Emotionserkennung am Arbeitsplatz / in Bildung, biometrische Kategorisierung sensibler Merkmale etc.) betreffen meist nur sehr spezifische Anwendungen.
2. Hochrisiko-KI (Art. 6 + Annex III)
Hochrisiko-KI ist erlaubt, aber stark reguliert. Acht Anwendungsbereiche aus Annex III sind besonders relevant:
- Kritische Infrastruktur (Energienetze, Wasser, Verkehr).
- Bildung & Berufsausbildung (KI-Bewertung von Schülern, Zugangsentscheidungen).
- Beschäftigung & Personalmanagement (KI-Recruiting, Performance-Bewertung, Beförderungsentscheidungen).
- Wesentliche private Dienste (Kreditwürdigkeit, Lebens-/Krankenversicherungs-Pricing).
- Strafverfolgung (Risikobewertung, Beweismittelanalyse).
- Migration & Grenzkontrolle.
- Rechtsprechung & demokratische Prozesse.
- Sicherheitskomponenten in geregelten Produkten (Medizinprodukte, Maschinen, Spielzeug etc.).
Pflichten umfassen: Risikomanagement-System, Daten-Governance, technische Dokumentation, Logging, Mensch-im-Loop, Genauigkeit-Robustheit-Cybersicherheit, Konformitätsbewertung, EU-Datenbank-Registrierung. Mehr Details im EU-AI-Act-Pillar-Guide.
3. Begrenztes Risiko (Transparenzpflichten)
Drei spezifische Anwendungen mit reinen Transparenzpflichten:
- Chatbots: Nutzer muss erkennen, dass er mit einer KI spricht.
- Emotion- / Biometrie-Erkennung (außerhalb verbotener Kontexte): Hinweispflicht.
- Generierte / manipulierte Inhalte (Deepfakes): Kennzeichnungspflicht.
Betrifft viele Mittelstands-Anwendungen — auch unsere typischen KI-Chatbots und Voice-AI-Lösungen. Erfüllung ist trivial: Hinweis im Eröffnungsdialog.
4. Minimales Risiko (keine Auflagen)
Alle KI-Anwendungen, die nicht in den anderen drei Klassen fallen. Beispiele aus dem Mittelstand: Spam-Filter, KI-Übersetzung, Marketing-Texterstellung, Wissens-RAG für interne Dokumente, KI-gestützte Code-Generierung. Schätzungsweise 60–70 % aller Mittelstands-KI-Anwendungen fallen hier rein. Keine EU-AI-Act-Auflagen — DSGVO und allgemeine IT-Compliance gelten weiterhin.
Entscheidungsbaum (vereinfacht)
Schritt 1: Fällt der Use Case unter eine verbotene Praktik (Art. 5)? Wenn ja → STOPP.
Schritt 2: Ist es ein Sicherheitsbestandteil eines geregelten Produkts (Anhang II — z. B. Medizinprodukt) ODER fällt es unter einen der 8 Annex-III-Bereiche? Wenn ja → Hochrisiko.
Schritt 3: Interagiert das System direkt mit Menschen ODER erzeugt es Deepfake-/synthetische Inhalte? Wenn ja → Begrenztes Risiko (Transparenzpflichten).
Schritt 4: Sonst → Minimales Risiko (keine spezifischen AI-Act-Pflichten).
Sonderfall General Purpose AI (GPAI): wenn Sie selbst Foundation-Models trainieren oder fine-tunen, gelten zusätzliche GPAI-Pflichten. Für die meisten Mittelständler nicht relevant — wir nutzen fertige Modelle, nicht eigene.
Vollständige Matrix anfordern
Wir senden Ihnen die vollständige Klassifizierungsmatrix als PDF (entscheidungsbaum-basiert, mit allen Annex-III-Use-Cases, Pflichten-Tabellen und Beispielen) plus Excel-Tracker für Ihr KI-Inventar kostenfrei. Anfrage über die kostenfreie Potenzialanalyse mit Stichwort „AI-Act-Matrix“.
Bei Hochrisiko-Klassifizierung Ihrer Anwendung übernehmen wir gerne die vollständige Konformitäts-Implementierung — Erstgespräch über die Potenzialanalyse oder direkt im Discovery-Workshop.