Kostenlose AI-Act-Risikoklassifizierung in 5 Minuten

Die Risikoklassifizierung ist die erste Entscheidung, die jedes KI-Unternehmen unter dem EU AI Act treffen muss. Bevor Sie Ihre Risikostufe kennen, können Sie nicht bestimmen, welche Pflichten gelten, welche Dokumentation Sie brauchen oder wie viel Aufwand und Budget die Compliance erfordert.

Das Problem ist, dass sich die Klassifizierungslogik des AI Act über mehrere Artikel, zwei Anhänge und mehrere Querverweise auf andere EU-Rechtsvorschriften erstreckt, was es für Nicht-Fachleute schwer macht, ohne rechtliche Unterstützung zu einer sicheren Antwort zu kommen.

Legalithms kostenlose AI-Act-Risikoklassifizierung löst diesen ersten Schritt. Beschreiben Sie Ihr KI-System in einfacher Sprache, und das Tool ordnet Ihren Anwendungsfall dem Risikorahmen der Verordnung zu, ermittelt Ihre wahrscheinliche Rolle (Anbieter, Betreiber oder beides) und skizziert die geltenden Pflichten, in Minuten, nicht Wochen.

Dieser Artikel erklärt, wie die Risikoklassifizierung unter dem AI Act funktioniert, geht die vier Stufen mit konkreten Beispielen durch, beschreibt, was Ihnen die Bewertung sagt, und zeigt, was drei verschiedene Arten von Unternehmen aus dem Prozess gelernt haben.

• Der EU AI Act nutzt einen vierstufigen Risikorahmen: verboten, Hochrisiko, begrenztes Risiko und minimales Risiko.
• Ihre Risikostufe bestimmt Ihr gesamtes Compliance-Programm, von keinen Pflichten (minimales Risiko) bis zu einem vollständigen Verbot (verboten).
• Die Klassifizierung hängt vom vorgesehenen Zweck des KI-Systems ab, nicht von der zugrunde liegenden Technologie. Dasselbe Modell kann in einer Anwendung minimales Risiko und in einer anderen Hochrisiko sein.
• Verbotene Praktiken sind seit dem 2. Februar 2025 durchsetzbar. Hochrisiko-Pflichten gelten ab dem 2. Dezember 2027 (verschoben vom 2. August 2026 durch das Digital-Omnibus, Verordnung (EU) 2026/1744).
• Eine Fehlklassifizierung Ihres Systems, in beide Richtungen, hat echte Folgen: Unterklassifizierung schafft regulatorische Exposition; Überklassifizierung verschwendet Compliance-Ressourcen.
• Die kostenlose AI-Act-Bewertung liefert in weniger als fünf Minuten eine vorläufige Klassifizierung, die je nach Rolle geltenden Pflichten und eine Anleitung für die nächsten Schritte.
• Nach der Klassifizierung sind die nächsten Schritte: ein Verzeichnis der KI-Systeme erstellen, der Compliance-Checkliste folgen und technische Dokumentation vorbereiten, wenn Sie Hochrisiko sind.

Warum die Risikoklassifizierung der wesentliche erste Schritt ist

Jede andere Compliance-Aktivität hängt von Ihrer Risikostufe ab:

Ohne eine klare Klassifizierung verschwenden Organisationen entweder Monate mit dem Aufbau von Compliance-Infrastruktur für ein System, das sich als minimales Risiko herausstellt, oder, schlimmer, sie entdecken zu spät, dass ihr System Hochrisiko ist, und sehen sich Durchsetzungsmaßnahmen ohne jede Dokumentation gegenüber.

Die Klassifizierungsentscheidung bestimmt außerdem:

• Budgetverteilung, Hochrisiko-Compliance kann erhebliche Investitionen in Dokumentation, Tests und Überwachung erfordern. Systeme mit minimalem Risiko brauchen nichts davon.
• Produkt-Roadmap, Wenn eine geplante Funktion das System in Hochrisiko-Territorium schieben würde, muss das Produktteam das vor Entwicklungsbeginn wissen.
• Lieferanten-Due-Diligence, Betreiber müssen die Risikostufe von KI-Systemen prüfen, die sie von Drittanbietern beziehen.
• Vertrauen von Investoren und Kunden, Nachzuweisen, dass Sie Ihre Systeme klassifiziert haben und Ihre Pflichten verstehen, wird zunehmend zur Anforderung in der Due Diligence.

Die vier Risikostufen erklärt

Stufe 1: Verbotene KI-Praktiken

Artikel 5 verbietet KI-Praktiken, die die EU als inakzeptable Bedrohung der Grundrechte ansieht. Diese sind seit dem 2. Februar 2025 durchsetzbar.

Zu den verbotenen Praktiken gehören:

Sanktion für verbotene Praktiken: Bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist.

Wenn die Bewertung ergibt, dass Ihr System eine verbotene Praktik beinhalten könnte, ist die sofortige Maßnahme, den Einsatz in der EU zu stoppen und Rechtsberatung dazu einzuholen, ob das System so umgestaltet werden kann, dass es außerhalb des Verbots liegt.

Stufe 2: Hochrisiko-KI-Systeme

Die Einstufung als Hochrisiko löst die umfassendsten Pflichten unter dem AI Act aus. Es gibt zwei Wege:

Weg A, Sicherheitsbauteile (Artikel 6(1)): Ihr KI-System ist ein Sicherheitsbauteil eines Produkts (oder ist selbst ein solches Produkt), das unter das in Anhang I aufgeführte harmonisierte EU-Recht fällt, und dieses Produkt erfordert eine Konformitätsbewertung durch Dritte. Das erfasst KI in Medizinprodukten, Maschinen, Spielzeug, Schiffsausrüstung, Zivilluftfahrt, Kraftfahrzeugen und mehr.

Weg B, Anhang-III-Anwendungsfälle (Artikel 6(2)): Ihr KI-System fällt in einen der acht Hochrisiko-Bereiche, die in Anhang III aufgeführt sind:

1. Biometrie, Biometrische Fernidentifizierung (nicht in Echtzeit im öffentlichen Raum, was verboten ist), biometrische Kategorisierung (nicht nach sensiblen Merkmalen, was verboten ist), Emotionserkennung (nicht am Arbeitsplatz/in Schulen, was verboten ist).
2. Kritische Infrastruktur, KI, die Strom, Gas, Heizung, Wasserversorgung, digitale Infrastruktur oder den Straßenverkehr steuert.
3. Bildung, KI, die den Zugang zu Bildung bestimmt, Lernergebnisse bewertet, verbotenes Verhalten während Prüfungen überwacht oder angemessene Bildungsniveaus einschätzt.
4. Beschäftigung, KI für die Personalbeschaffung (Lebenslauf-Filterung, Bewertung von Vorstellungsgesprächen), Beförderungs-/Kündigungsentscheidungen, Aufgabenzuweisung oder Leistungsüberwachung.
5. Zugang zu wesentlichen Diensten, Kreditscoring, Bewertung von Versicherungsrisiken, Anspruch auf öffentliche Leistungen, Priorisierung von Notrufeinsätzen.
6. Strafverfolgung, Lügendetektion, Bewertung der Zuverlässigkeit von Beweismitteln, Bewertung des Risikos einer Straftat, Kriminalitätsanalyse (nicht individuelle vorhersagende Polizeiarbeit).
7. Migration und Grenzkontrolle, Risikobewertung von Reisenden, Prüfung von Visa- und Asylanträgen, Dokumentenprüfung.
8. Rechtspflege, KI, die richterliche Entscheidungen unterstützt, alternative Streitbeilegung, Rechtsprechungsrecherche, die Verfahrensausgänge beeinflusst.

Wichtige Ausnahme: Artikel 6(3) sieht vor, dass ein in Anhang III aufgeführtes KI-System nicht Hochrisiko ist, wenn es kein erhebliches Risiko der Beeinträchtigung von Gesundheit, Sicherheit oder Grundrechten natürlicher Personen darstellt, etwa wenn es eine eng umgrenzte Verfahrensaufgabe erfüllt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit verbessert, Entscheidungsmuster erkennt, ohne die menschliche Bewertung zu ersetzen, oder eine vorbereitende Aufgabe erfüllt. Systeme, die Personen profilieren, gelten jedoch ungeachtet dieser Ausnahme stets als Hochrisiko.

Praxisbeispiel: Ein SaaS-Unternehmen bietet ein KI-Tool an, das Lebensläufe analysiert und Kandidaten für Recruiter ordnet. Das liegt eindeutig im Bereich 4 von Anhang III (Beschäftigung, Personalbeschaffung). Das System ist Hochrisiko. Der Anbieter muss die vollständige Reihe der Pflichten aus Kapitel III umsetzen, bevor er es auf dem EU-Markt in Verkehr bringt.

Praxisbeispiel: Ein Versorgungsunternehmen nutzt ein KI-System, um den Strombedarf vorherzusagen und die Lastverteilung im Netz zu optimieren. Das fällt unter Bereich 2 von Anhang III (kritische Infrastruktur, Steuerung der Stromversorgung). Die Einstufung als Hochrisiko gilt und erfordert ein Risikomanagement-System, technische Dokumentation und laufende Überwachung.

Praxisbeispiel: Ein Legal-Tech-Startup bietet ein KI-Tool an, das Rechtsprechung durchsucht und relevante Präzedenzfälle für Anwälte hervorhebt. Wenn das Tool nur eine vorbereitende Aufgabe erfüllt (relevante Fälle finden), ohne die richterliche Bewertung zu ersetzen oder wesentlich zu beeinflussen, kann es für die Ausnahme nach Artikel 6(3) infrage kommen und nicht als Hochrisiko eingestuft werden. Wenn das Tool jedoch Fälle nach der vorhergesagten Relevanz für den Ausgang ordnet oder vorschlägt, wie ein Richter entscheiden sollte, wäre es Hochrisiko nach Anhang III, Bereich 8.

Die vollständige Klassifizierungsmethodik finden Sie unter Ist mein KI-System Hochrisiko?.

Stufe 3: Begrenztes Risiko (Transparenzpflichten)

Artikel 50 legt bestimmten KI-Systemen Transparenzpflichten auf, unabhängig davon, ob sie Hochrisiko sind:

• KI-Systeme, die mit Menschen interagieren, müssen offenlegen, dass der Nutzer mit einem KI-System interagiert (z. B. Chatbots, virtuelle Assistenten).
• Systeme zur Emotionserkennung und biometrischen Kategorisierung (soweit nicht bereits verboten) müssen die betroffenen Personen informieren.
• KI-generierte oder manipulierte Inhalte (Deepfakes, synthetische Audio-/Video-/Bilddateien) müssen in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert gekennzeichnet werden.
• KI-generierter Text, der zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht wird, muss als KI-generiert gekennzeichnet werden (es sei denn, er wurde einer redaktionellen menschlichen Prüfung unterzogen).

Praxisbeispiel: Eine Marketingagentur nutzt KI, um Produktfotos zu erzeugen, die realistisch wirkende Menschen zeigen, die nicht existieren. Nach Artikel 50 müssen diese Bilder als KI-generiert gekennzeichnet werden. Die Agentur muss außerdem sicherstellen, dass die Metadaten einen maschinenlesbaren Marker enthalten, der die künstliche Erzeugung anzeigt.

Stufe 4: Minimales Risiko

KI-Systeme, die in keine der oben genannten Kategorien fallen, haben unter dem AI Act keine besonderen Pflichten. Dazu gehören:

• KI-gestützte Spamfilter
• Tools zur Bestandsoptimierung
• Empfehlungssysteme für Inhalte (für Unterhaltung, nicht für wesentliche Dienste)
• KI-gestützte Code-Vervollständigungs-Tools
• Interne Analyse-Dashboards
• KI-gestützte Suche (nicht biometrisch)

Anbietern von Systemen mit minimalem Risiko wird empfohlen, freiwillige Verhaltenskodizes zu übernehmen, und sie sollten daran denken, dass die DSGVO, das Verbraucherschutzrecht und andere Regelwerke weiterhin gelten können.

Wie die kostenlose Bewertung funktioniert

Die Legalithm-Bewertung zur AI-Act-Risikoklassifizierung folgt einem strukturierten Prozess:

Schritt 1: Beschreiben Sie Ihr KI-System

Sie geben eine Beschreibung des vorgesehenen Zwecks Ihres KI-Systems in einfacher Sprache an, den Kontext, in dem es arbeitet, und wen es betrifft. Keine rechtliche Expertise erforderlich, beschreiben Sie, was das System tut, so, wie Sie es einem Kollegen erklären würden.

Schritt 2: Systemanalyse

Die Bewertung analysiert Ihre Beschreibung anhand der Klassifizierungskriterien des AI Act:

• Beinhaltet das System eine verbotene Praktik nach Artikel 5?
• Fällt es in einen Hochrisiko-Bereich nach Anhang III?
• Ist es ein Sicherheitsbauteil eines Produkts, das unter bestehendes EU-Produktsicherheitsrecht (Anhang I) fällt?
• Löst es Transparenzpflichten nach Artikel 50 aus?
• Gilt die Ausnahme nach Artikel 6(3)?

Schritt 3: Rollenbestimmung

Die Bewertung ermittelt Ihre wahrscheinliche Rolle unter dem AI Act:

• Anbieter, Sie entwickeln das KI-System oder bringen es unter Ihrem Namen auf den Markt.
• Betreiber, Sie nutzen ein KI-System eines Drittanbieters unter Ihrer eigenen Verantwortung.
• Beides, Sie entwickeln einige Systeme und betreiben andere.

Ihre Rolle bestimmt, welche spezifischen Pflichten gelten. Siehe Anbieter- vs. Betreiberpflichten für die vollständige Aufschlüsselung.

Schritt 4: Ergebnisse und nächste Schritte

Sie erhalten:

• Risikoklassifizierung, in welche Stufe Ihr System fällt.
• Geltende Pflichten, eine auf Ihre Risikostufe und Rolle zugeschnittene Liste von Anforderungen.
• Durchsetzungs-Zeitplan, welche Fristen für Ihre Pflichten gelten.
• Anleitung für die nächsten Schritte, konkrete Maßnahmen, mit Links zu relevanten Ressourcen.

Der gesamte Prozess dauert weniger als fünf Minuten. Führen Sie jetzt die kostenlose AI-Act-Bewertung durch.

Was Sie aus der Bewertung erfahren

Wenn Ihr System Hochrisiko ist

Die Bewertung erkennt, dass Ihr System das vollständige Compliance-Programm nach Kapitel III erfordert, und skizziert die wichtigsten Arbeitsstränge:

1. Risikomanagement-System, einen iterativen Risikobewertungsprozess gestalten und umsetzen (Artikel 9).
2. Technische Dokumentation, die neun verpflichtenden Abschnitte der Anhang-IV-Dokumentation vorbereiten.
3. Daten-Governance, sicherstellen, dass Trainings-, Validierungs- und Testdatensätze Qualitätsstandards erfüllen (Artikel 10).
4. Konformitätsbewertung, bestimmen, ob Selbstbewertung oder eine benannte Stelle erforderlich ist.
5. Marktbeobachtung, kontinuierliche Überwachungs- und Vorfallmeldeprozesse einrichten.

Wenn Ihr System begrenztes Risiko ist

Die Bewertung erkennt die spezifischen Transparenzpflichten, die gelten, und gibt praktische Hinweise zur Umsetzung, zum Beispiel, wie sich Chatbot-Offenlegungshinweise umsetzen lassen, die Artikel 50 erfüllen.

Wenn Ihr System minimales Risiko ist

Die Bewertung bestätigt, dass Sie keine besonderen AI-Act-Pflichten haben, und schlägt freiwillige bewährte Praktiken vor, während sie Sie daran erinnert, dass die DSGVO, sektorspezifische Regulierung und Anforderungen an die KI-Kompetenz (bereits in Kraft) weiterhin gelten können.

Wenn Ihr System möglicherweise verboten ist

Die Bewertung markiert das relevante Verbot nach Artikel 5 und empfiehlt eine sofortige Prüfung durch Rechtsberater. Sie erkennt, ob das System so umgestaltet werden könnte, dass es außerhalb des Verbots liegt (z. B. durch das Hinzufügen sinnvoller menschlicher Aufsicht, um eine verbotene vollautomatisierte Praktik in einen zulässigen, menschlich beaufsichtigten Prozess umzuwandeln).

Für wen die Bewertung gedacht ist

Startup-Gründer

Sie bauen ein KI-Produkt und müssen Ihre regulatorische Position vor der nächsten Finanzierungsrunde verstehen. Investoren, besonders europäische VCs und institutionelle Investoren, fragen in der Due Diligence zunehmend nach AI-Act-Compliance-Bewertungen. Die kostenlose Bewertung gibt Ihnen eine belastbare erste Antwort auf die Frage "Haben Sie Ihre AI-Act-Pflichten bewertet?"

Produkt- und Engineering-Teams

Sie gestalten neue KI-Funktionen und müssen verstehen, ob eine geplante Funktion die Einstufung als Hochrisiko auslösen würde. Die Bewertung hilft Ihnen, risikoinformierte Produktentscheidungen zu treffen, bevor Sie Entwicklungsressourcen binden, nicht danach.

Rechts- und Compliance-Teams

Sie sind für die regulatorische Aufstellung der Organisation verantwortlich und brauchen einen strukturierten Ausgangspunkt für das AI-Act-Compliance-Programm. Die Bewertung liefert das Klassifizierungsfundament, auf dem Ihre Compliance-Roadmap aufbaut.

Einkauf und Lieferantenmanagement

Sie bewerten KI-Tools von Drittanbietern und müssen die Risikostufe der Systeme verstehen, die Sie einsetzen. Als Betreiber haben Sie eigene Pflichten, und diese hängen von der Risikoklassifizierung des Anbieters ab.

Berater und Beauftragte

Sie beraten Mandanten zur AI-Act-Compliance und brauchen ein schnelles, evidenzbasiertes Klassifizierungs-Tool für Mandantenprojekte. Die Bewertung liefert ein strukturiertes Ergebnis, das als Grundlage für tiefergehende Beratungsarbeit dient.

Fallstudien: drei Unternehmen, drei Klassifizierungen

Fallstudie 1: Hochrisiko, HR-Tech-Startup

Unternehmen: Ein Startup mit 15 Beschäftigten, das ein KI-gestütztes Bewerbermanagementsystem anbietet, das Lebensläufe vorwählt, Kandidaten ordnet und Shortlists für Recruiter erstellt.

Bewertungsergebnis: Hochrisiko (Anhang III, Bereich 4, Beschäftigung, konkret KI für Personalentscheidungen). Das System beeinflusst direkt, welche Kandidaten weiterkommen und welche herausgefiltert werden, und erreicht damit die Schwelle einer erheblichen Auswirkung auf die Beschäftigungschancen von Personen.

Rolle: Anbieter (sie entwickeln und vermarkten das System unter ihrer eigenen Marke).

Ermittelte Pflichten:

• Ein Risikomanagement-System umsetzen, das Verzerrungs-, Genauigkeits- und Robustheitsrisiken im Recruiting-Kontext adressiert.
• Technische Dokumentation nach Anhang IV vorbereiten, die Modellarchitektur, Zusammensetzung der Trainingsdaten, Bewertungskennzahlen und bekannte Grenzen abdeckt.
• Ein Selbstbewertungsverfahren zur Konformität durchführen (Anhang VI), benannte Stelle für Beschäftigungs-KI nicht erforderlich.
• Protokollierung umsetzen, damit einsetzende Arbeitgeber prüfen können, welche Kandidaten wie eingeordnet wurden und warum.
• Marktbeobachtung für Verzerrungsdrift und nachlassende Genauigkeit einrichten.
• Vor dem Inverkehrbringen in der EU-Datenbank registrieren.

Getroffene nächste Schritte: Das Team folgte der Compliance-Checkliste, erstellte sein Verzeichnis der KI-Systeme und begann mit dem Entwurf der Anhang-IV-Dokumentation.

Fallstudie 2: Begrenztes Risiko, Kundensupport-SaaS

Unternehmen: Ein SaaS-Unternehmen mit 50 Beschäftigten, das einen KI-Chatbot für den E-Commerce-Kundensupport anbietet. Der Chatbot beantwortet Produktfragen, wickelt Rücksendungen ab und eskaliert komplexe Fälle an menschliche Mitarbeitende. Er trifft keine Entscheidungen mit rechtlicher oder erheblicher Wirkung, er erleichtert Kundenservice-Interaktionen.

Bewertungsergebnis: Begrenztes Risiko, der Chatbot ist ein KI-System, das direkt mit natürlichen Personen interagiert, was die Transparenzpflichten nach Artikel 50 auslöst. Er ist nicht Hochrisiko, weil Kundensupport-Chatbots für allgemeine Einzelhandelsanfragen in keinen Anhang-III-Bereich fallen und keine Entscheidungen mit rechtlicher oder erheblicher Wirkung auf Personen treffen.

Rolle: Anbieter (sie entwickeln und verkaufen das Chatbot-Produkt).

Ermittelte Pflichten:

• Zu Beginn jedes Gesprächs offenlegen, dass Nutzer mit einem KI-System interagieren.
• Wenn der Chatbot Text erzeugt, der im Namen des E-Commerce-Kunden veröffentlicht wird, sicherstellen, dass eine Kennzeichnung als KI-generiert vorhanden ist.
• Keine Pflichten nach Kapitel III (Risikomanagement-System, Konformitätsbewertung usw.) erforderlich.

Zusätzliche Überlegungen: Auch wenn die AI-Act-Pflichten begrenzt sind, verarbeitet der Chatbot personenbezogene Daten (Kundennamen, Bestellnummern, Gesprächsinhalte), sodass die DSGVO-Compliance weiterhin wesentlich ist. Das Unternehmen muss außerdem sicherstellen, dass seine Datenschutzerklärung die Datenverarbeitung des Chatbots abdeckt.

Getroffene nächste Schritte: Das Team fügte der Chatbot-Oberfläche ein dauerhaftes KI-Offenlegungsbanner hinzu und aktualisierte seine Datenschutzerklärung, um die Datenverarbeitung des Chatbots zu beschreiben.

Fallstudie 3: Minimales Risiko, internes Analyse-Tool

Unternehmen: Ein Fertigungsunternehmen mit 200 Beschäftigten nutzt ein intern entwickeltes ML-Modell, um den Wartungsbedarf von Anlagen auf Basis von Sensordaten (Vibration, Temperatur, Druck) vorherzusagen. Das System benachrichtigt Wartungsteams, um proaktive Wartungen zu planen. Es interagiert nicht mit der Öffentlichkeit, verarbeitet keine personenbezogenen Daten und trifft keine Entscheidungen, die Personen betreffen.

Bewertungsergebnis: Minimales Risiko, vorausschauende Wartung an Industrieanlagen mit nicht personenbezogenen Sensordaten fällt in keinen Anhang-III-Bereich, beinhaltet keine verbotene Praktik und interagiert nicht in einer Weise mit natürlichen Personen, die Artikel 50 auslöst.

Rolle: Betreiber des eigenen internen Systems (sie haben es für den eigenen Gebrauch entwickelt; sie bringen es nicht auf den Markt).

Ermittelte Pflichten:

• Keine besonderen AI-Act-Pflichten.
• Anforderung an die KI-Kompetenz (bereits in Kraft): sicherstellen, dass das Wartungspersonal, das das System nutzt, dessen Fähigkeiten und Grenzen ausreichend versteht.
• Freiwillige Verhaltenskodizes für verantwortungsvolle KI-Nutzung erwägen.

Getroffene nächste Schritte: Das Unternehmen dokumentierte das System zu Governance-Zwecken in seinem internen KI-Verzeichnis und schulte die Wartungsteams im Interpretieren der Warnungen des Modells.

Was nach der Klassifizierung zu tun ist

Die Klassifizierung ist die Startlinie, nicht das Ziel. Hier der Workflow nach der Klassifizierung:

Für Hochrisiko-Systeme

1. Erstellen Sie Ihr Verzeichnis der KI-Systeme, Erfassen Sie für jedes System das Klassifizierungsergebnis, den vorgesehenen Zweck, die Risikostufe und die Rolle. Siehe So erstellen Sie ein Verzeichnis der KI-Systeme.
2. Folgen Sie der Compliance-Checkliste, Die EU-AI-Act-Compliance-Checkliste für 2026 bietet einen Schritt-für-Schritt-Aktionsplan.
3. Beginnen Sie mit der technischen Dokumentation, Beginnen Sie so früh wie möglich mit dem Entwurf der Anhang-IV-Dokumentation. Das ist in der Regel der zeitaufwendigste Arbeitsstrang.
4. Führen Sie eine FRIA durch, Wenn Sie Betreiber sind (besonders im öffentlichen Sektor), schließen Sie eine Grundrechte-Folgenabschätzung ab.
5. Bereiten Sie sich auf die Konformitätsbewertung vor, Bestimmen Sie, ob Selbstbewertung oder eine benannte Stelle gilt.
6. Stimmen Sie sich mit der DSGVO-Compliance ab, Wenn Ihr System personenbezogene Daten verarbeitet, richten Sie Ihr AI-Act-Programm an Ihren DSGVO-Pflichten aus. Siehe EU AI Act vs. DSGVO.

Für Systeme mit begrenztem Risiko

1. Setzen Sie Transparenz-Offenlegungen um, KI-Interaktionshinweise, Kennzeichnung von Inhalten, Benachrichtigungen zu Emotionserkennung/biometrischer Kategorisierung, soweit zutreffend.
2. Aktualisieren Sie Ihre Datenschutzerklärung, Siehe die Checkliste zur Datenschutzerklärung für KI-Unternehmen.
3. Dokumentieren Sie die Klassifizierung, Halten Sie fest, warum das System begrenztes Risiko ist, nicht Hochrisiko. Das ist Ihr Nachweis, wenn eine Behörde fragt.

Für Systeme mit minimalem Risiko

1. Dokumentieren Sie die Klassifizierungsentscheidung, Halten Sie die Bewertung und die Begründung in Ihren internen Aufzeichnungen fest.
2. Erfüllen Sie die Anforderungen an die KI-Kompetenz, Bereits seit Februar 2025 durchsetzbar.
3. Erwägen Sie freiwillige bewährte Praktiken, Verhaltenskodizes und Frameworks für verantwortungsvolle KI schaffen Vertrauen bei Kunden und Behörden.
4. Beobachten Sie eine mögliche Neuklassifizierung, Wenn sich der vorgesehene Zweck des Systems ändert oder die Kommission die Anhang-III-Liste aktualisiert, bewerten Sie erneut.

Anforderungen an die KI-Kompetenz, bereits in Kraft

Eine Pflicht gilt für alle Organisationen, die KI-Systeme betreiben, unabhängig von der Risikostufe: Artikel 4 verlangt, dass Anbieter und Betreiber sicherstellen, dass ihr Personal und andere Personen, die in ihrem Namen mit KI umgehen, ein ausreichendes Maß an KI-Kompetenz haben, wobei Folgendes zu berücksichtigen ist:

• Ihr technisches Wissen und ihre Erfahrung.
• Der Kontext, in dem die KI-Systeme genutzt werden.
• Die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden.

Diese Pflicht ist seit dem 2. Februar 2025 durchsetzbar. Zu den praktischen Schritten gehören:

• Schulungsprogramme für Beschäftigte, die mit KI-Systemen interagieren.
• Rollenspezifische Weiterbildung (technische Teams brauchen andere Schulungen als Endnutzer).
• Dokumentierte Aufzeichnungen über durchgeführte Schulungen.
• Regelmäßige Auffrischungsschulungen, während sich KI-Systeme und Regelwerke weiterentwickeln.

Anstehende Fristen

Die Frist am 2. Dezember 2027 für die Hochrisiko-Pflichten ist operativ am anspruchsvollsten. Organisationen, die ihre KI-Systeme noch nicht klassifiziert haben, sind gegenüber dem empfohlenen Zeitplan für das Erreichen der Compliance bis zu diesem Datum bereits im Rückstand.

Häufige Fehler bei der Risikoklassifizierung

1. Nach Technologie klassifizieren, nicht nach Zweck. Ein großes Sprachmodell ist nicht per se Hochrisiko. Ein großes Sprachmodell, das zur Vorauswahl von Bewerbungen genutzt wird, ist es. Die Klassifizierung hängt vom vorgesehenen Zweck und Kontext ab, nicht von der zugrunde liegenden Technologie.
2. Den Aktualisierungsmechanismus von Anhang III ignorieren. Die Europäische Kommission kann über delegierte Rechtsakte neue Hochrisiko-Anwendungsfälle zu Anhang III hinzufügen. Ein System, das heute als minimales Risiko eingestuft ist, könnte künftig Hochrisiko werden, wenn die Liste erweitert wird.
3. Annehmen, Betreiber müssten nicht klassifizieren. Betreiber von Hochrisiko-KI-Systemen haben eigene Pflichten, und sie müssen die Klassifizierung des Anbieters prüfen. Ändert ein Betreiber den vorgesehenen Zweck eines Systems, muss das System neu klassifiziert werden, und der Betreiber kann zum Anbieter werden.
4. Sich ohne Dokumentation auf die Ausnahme nach Artikel 6(3) verlassen. Die Ausnahme für Anhang-III-Systeme, die kein erhebliches Risiko darstellen, ist eng. Wenn Sie sich darauf verlassen, dokumentieren Sie Ihre Begründung gründlich, Behörden erwarten Nachweise, keine Behauptungen.
5. Einmal klassifizieren und nie wieder prüfen. Die Klassifizierung muss neu bewertet werden, wenn sich der vorgesehene Zweck des Systems ändert, wenn das System verändert wird (z. B. für einen neuen Anwendungsfall feinabgestimmt) oder wenn der regulatorische Rahmen aktualisiert wird. Bauen Sie Auslöser für eine Neubewertung in Ihren Compliance-Prozess ein.
6. Die AI-Act-Klassifizierung mit der internen Risikobewertung vermengen. Ihr internes Risikoframework mag ein System für geschäftliche Zwecke als "mittleres Risiko" einstufen, aber der AI Act hat seine eigene binäre Logik: Entweder fällt ein System in einen Anhang-III-Bereich (Hochrisiko) oder nicht. Interne Einstufungen setzen die regulatorische Klassifizierung nicht außer Kraft.

Häufig gestellte Fragen

Ist die Risikoklassifizierungs-Bewertung wirklich kostenlos?

Ja. Die kostenlose AI-Act-Bewertung liefert eine vollständige Risikoklassifizierung, Rollenbestimmung und Zusammenfassung der Pflichten ohne Kosten. Wenn Sie zum detaillierten Entwurf der Anhang-IV-Dokumentation und zum PDF-Export weitergehen möchten, ist das im kostenpflichtigen Workflow verfügbar, aber die Klassifizierung selbst ist kostenlos.

Wie genau ist die automatisierte Klassifizierung?

Die Bewertung ordnet Ihre Beschreibung systematisch den Klassifizierungskriterien des AI Act zu. Sie liefert eine belastbare vorläufige Klassifizierung, die für Planungszwecke geeignet ist. Für Grenzfälle oder Systeme, die für die Ausnahme nach Artikel 6(3) infrage kommen könnten, empfehlen wir, das Ergebnis mit Rechtsberatern zu validieren, bevor Sie Ihre Compliance-Strategie festlegen.

Kann ich mehrere KI-Systeme klassifizieren?

Ja. Führen Sie die Bewertung für jedes einzelne KI-System separat durch. Verschiedene Systeme innerhalb derselben Organisation können unterschiedliche Risikostufen haben, ein KI-gestützter Kundensupport-Chatbot (begrenztes Risiko) und ein KI-basiertes Kreditscoring-Modell (Hochrisiko) im selben Unternehmen erfordern unterschiedliche Compliance-Ansätze.

Was, wenn mein System mehrere Anhang-III-Bereiche umfasst?

Ein einzelnes System kann unter mehreren Anhang-III-Kategorien Hochrisiko sein (z. B. berührt ein biometrisches System, das in der Strafverfolgung genutzt wird, sowohl Bereich 1 als auch Bereich 6). Das System wird als Hochrisiko klassifiziert, und die Pflichten gelten auf Grundlage der anspruchsvollsten anwendbaren Kategorie. Die Bewertung erkennt alle relevanten Bereiche.

Ändert sich die Klassifizierung, wenn ich mein KI-System verändere?

Ja. Wenn Sie den vorgesehenen Zweck ändern, den Einsatzkontext erweitern oder die Funktionalität des Systems wesentlich verändern, müssen Sie die Klassifizierung neu bewerten. Das Hinzufügen eines neuen Anwendungsfalls (z. B. die Anpassung eines internen Analyse-Tools zur Bewertung der Mitarbeiterleistung) kann ein System mit minimalem Risiko zu Hochrisiko machen.

Was sollte ich zur Bewertung mitbringen?

Sie sollten Folgendes beschreiben können: was das KI-System tut, welche Entscheidungen oder Ergebnisse es produziert, wer von diesen Ergebnissen betroffen ist und in welchem Kontext es arbeitet (Branche, Geografie, Nutzerbasis). Technische Details zur Modellarchitektur sind hilfreich, aber für die Klassifizierung nicht erforderlich.

Bereit, Ihr KI-System zu klassifizieren? Führen Sie die kostenlose AI-Act-Bewertung durch und erhalten Sie Ihre Risikoklassifizierung, die geltenden Pflichten und die nächsten Schritte in weniger als fünf Minuten.

Das vollständige regulatorische Bild finden Sie im vollständigen AI-Act-Leitfaden.

Legalithm ist ein KI-gestütztes Compliance-Workflow-Tool, keine Rechtsberatung. Endgültige Compliance-Entscheidungen sollten von qualifizierten Rechtsberatern geprüft werden.