Die vier Risikoklassen des EU AI Act einfach erklärt

Der EU AI Act reguliert nicht "die KI" als Ganzes, sondern konkrete Anwendungsfälle, und zwar nach ihrem Risiko für Menschen und Grundrechte. Dieselbe Technologie kann je nach Einsatzzweck völlig unterschiedlich eingestuft werden: Ein Sprachmodell als Brainstorming-Hilfe ist etwas anderes als dasselbe Modell im Bewerbungsverfahren.

Stufe 1: Minimales Risiko

Die große Mehrheit aller KI-Anwendungen fällt hierunter: Spamfilter, Produktempfehlungen, Rechtschreibkorrektur. Der AI Act stellt hier praktisch keine Anforderungen. Trotzdem lohnt es sich, auch diese Systeme im KI-Inventar zu führen. Spätestens im Audit willst du belegen können, dass du deine Einstufung geprüft hast.

Stufe 2: Begrenztes Risiko

Hier geht es vor allem um Transparenz. Chatbots, generative Texte, KI-erzeugte Bilder: Nutzer:innen müssen erkennen können, dass sie es mit einer KI zu tun haben. Deepfakes müssen als solche gekennzeichnet werden. Die Pflichten aus Art. 50 sind überschaubar, gelten aber seit August 2026 verbindlich und werden häufig vergessen.

Stufe 3: Hohes Risiko

Jetzt wird es ernst. Hochrisiko-KI ist überall dort, wo Entscheidungen über Menschen fallen: Bewerber-Scoring, Bonitätsprüfung, Zugang zu Bildung, medizinische Anwendungen. Wer solche Systeme anbietet oder einsetzt, muss ein ganzes Pflichtenpaket erfüllen:

• Risikomanagement über den gesamten Lebenszyklus
• Technische Dokumentation und Konformitätsbewertung
• Logging und Nachvollziehbarkeit der Ergebnisse
• Menschliche Aufsicht: Eine Person muss eingreifen können
• Registrierung in der EU-Datenbank für Hochrisiko-Systeme

Zeitlich hat sich hier zuletzt etwas getan: Nach der Verschiebung durch den Digital Omnibus greifen diese Pflichten für die meisten Anwendungen ab dem 2. Dezember 2027 statt wie ursprünglich geplant ab August 2026. Wer Hochrisiko-KI einsetzt, sollte die Zeit trotzdem nutzen, denn das Pflichtenpaket ist umfangreich.

Die wichtigste Frage ist nicht "Nutzen wir KI?", sondern "Worüber entscheidet unsere KI?". Daran hängt fast alles.

Stufe 4: Unannehmbares Risiko

Diese Anwendungen sind seit Februar 2025 schlicht verboten: Social Scoring, manipulative Techniken, die Schwächen ausnutzen, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Scraping von Gesichtsbildern. Hier gibt es keine Übergangsfrist und keine Ausnahme für kleine Unternehmen.

Und wo steht deine KI?

Die Einstufung ist der erste und wichtigste Schritt jeder AI-Act-Compliance, denn alles Weitere leitet sich daraus ab. Die gute Nachricht: Für die meisten Anwendungen ist die Antwort "minimal" oder "begrenzt", und die Pflichten sind schnell erfüllt.

So stuft Klaus deine KI ein

Wer die Einstufung selbst vornimmt, muss Anhang III, die Ausnahmen in Art. 6 Abs. 3 und die Verbotsliste aus Art. 5 gegeneinander abwägen. Genau das übernimmt Klaus: Zuerst nimmt er im kostenlosen Check-up dein KI-Inventar auf und screent jedes Tool auf Hochrisiko-Verdacht. Für die verbindliche Antwort startest du dann ein Prüfprojekt, in dem Klaus jedes System durch dieselbe Prüfkaskade schickt, mit der auch Jurist:innen arbeiten:

Zwei Eigenheiten machen diese Prüfung belastbar. Erstens prüft Klaus zweimal: Die Einschätzung aus der Bestandsaufnahme ist nur vorläufig und wird in der regulatorischen Prüfung systematisch neu vorgenommen. Ergibt die Kaskade, dass kein Hochrisiko-Bereich einschlägig ist, wird herabgestuft. Klaus stuft also nicht vorsichtshalber alles als Hochrisiko ein, ein häufiger Fehler pauschaler Beratung, der dir ein Pflichtenpaket auflädt, das du gar nicht brauchst. Zweitens bekommst du am Ende nicht nur ein Label: Das Ergebnis nennt die Risikoklasse mit Begründung, deinen DSGVO-Status, ob eine Datenschutz-Folgenabschätzung nötig ist, und die konkreten Aufgaben, abgestimmt auf deine Rolle als Betreiber oder Anbieter.