Was ist ein Hochrisiko-KI-System nach dem EU AI Act?

Ein Hochrisiko-KI-System ist laut EU AI Act (Anhang III) ein System, das in sensiblen Bereichen eingesetzt wird – etwa bei der Personalauswahl, Kreditvergabe, Bildungszugang oder kritischer Infrastruktur. Entscheidend ist nicht die Technologie, sondern der Verwendungszweck. Die vollständige Liste der Hochrisiko-Bereiche ist in Anhang III der Verordnung (EU) 2024/1689 geregelt.

Bin ich als kleines Unternehmen vom EU AI Act ausgenommen?

Nein, eine generelle Ausnahme für KMU gibt es nicht. Der EU AI Act unterscheidet nach Rolle – Anbieter, Betreiber (Deployer), Importeur oder Händler – und nach Risikokategorie. Setzt du ein Hochrisiko-System ein, gelten Pflichten auch für kleine Betriebe. Die Verordnung sieht jedoch vereinfachte Verfahren und ausdrückliche Unterstützungsangebote für KMU vor.

Wann muss ich als KMU handeln – welche Fristen gelten?

Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten ab dem 2. August 2026. Ab diesem Datum müssen betroffene Anbieter und Betreiber unter anderem Risikomanagement, technische Dokumentation und Konformitätsbewertungen nachweisen können. Wer noch keine Bestandsaufnahme gemacht hat, sollte das unverzüglich nachholen.

Hochrisiko-KI — betrifft mich das als KMU?

Du verwendest KI in deinem Betrieb — und plötzlich taucht der Begriff “Hochrisiko” auf. Jetzt fragst du dich, ob das wirklich dich betrifft oder ob das nur ein Problem für Großkonzerne ist.

Die ehrliche Antwort: Es kommt darauf an, was du mit KI machst. Der EU AI Act stuft nicht Technologien ein, sondern Anwendungsfälle. Wer das falsch einschätzt, riskiert Bußgelder und Vertrauensverlust — wer es richtig versteht, kann sich gezielt vorbereiten.

Betrifft Hochrisiko-KI auch KMU?

Ja — sobald du ein KI-System in einem der regulierten Hochrisiko-Bereiche einsetzt oder betreibst, gelten die Pflichten des EU AI Act auch für dich, unabhängig von der Unternehmensgröße. Eine pauschale Ausnahme für kleine und mittlere Unternehmen sieht die Verordnung (EU) 2024/1689 nicht vor. Entscheidend ist deine Rolle im KI-Wertschöpfungsprozess — Anbieter, Betreiber, Importeur oder Händler — sowie der konkrete Einsatzbereich des Systems.

Welche Bereiche gelten als Hochrisiko?

Der EU AI Act listet in Anhang III konkret auf, welche Anwendungsbereiche als Hochrisiko eingestuft werden. Die folgende Tabelle gibt dir einen Überblick — geprüft anhand der Primärquelle auf EUR-Lex (Verordnung (EU) 2024/1689, Anhang III):

Bereich	Typisches KMU-Szenario
Personalwesen	KI-gestützte Bewerbungsauswahl, automatisierte Leistungsbeurteilung
Kreditvergabe / Scoring	Bonitätsprüfung durch KI, automatisierte Kreditentscheidungen
Bildung und Berufsausbildung	Automatische Bewertung von Prüfungsleistungen, Zugangsentscheidungen
Kritische Infrastruktur	KI zur Steuerung von Energie-, Wasser- oder Verkehrssystemen
Strafverfolgung / Justiz	Risikoeinschätzung von Personen (für KMU selten relevant)
Migrations- und Grenzkontrolle	Prüfung von Dokumenten und Anträgen (behördennah)
Wesentliche private Dienstleistungen	Automatisierte Entscheidungen über Versicherungsleistungen

Quelle: Verordnung (EU) 2024/1689, Anhang III — abrufbar auf eur-lex.europa.eu

Wichtig: Nicht jeder KI-Einsatz in diesen Bereichen ist automatisch Hochrisiko. Artikel 6 der Verordnung enthält Ausnahmen, wenn das System keine wesentlichen Auswirkungen auf Entscheidungen hat, die Menschen betreffen. Genau diese Abgrenzung ist in der Praxis oft entscheidend.

Praxisbeispiel

Personaldienstleistung · 18 Mitarbeiter

Ein mittelständisches Personalvermittlungsunternehmen setzt seit einigen Jahren ein KI-gestütztes Tool ein, das eingehende Bewerbungsunterlagen vorsortiert und anhand von Profilen priorisiert. Die Ergebnisse des Tools fließen direkt in die Empfehlung an den Kunden ein — ohne dass ein Personaler die Rohdaten nochmals vollständig prüft.

Genau dieses Szenario fällt unter Anhang III, Nr. 4 des EU AI Act: KI-Systeme, die für die Einstellung, Auswahl oder Beförderung natürlicher Personen verwendet werden. Das Unternehmen ist in diesem Fall Betreiber (Deployer) — und damit verpflichtet, unter anderem eine Risikobewertung durchzuführen, Transparenzpflichten gegenüber betroffenen Personen zu erfüllen und sicherzustellen, dass menschliche Aufsicht tatsächlich stattfindet.

Viele KMU in dieser Situation haben das Tool vom Anbieter eingekauft und davon ausgegangen, dass die Verantwortung beim Hersteller liegt. Das stimmt nur teilweise. Als Betreiber trägst du eigene Pflichten — unabhängig davon, was im Lizenzvertrag steht.

Diese Verwechslung von Anbieter- und Betreiberpflichten gehört zu den häufigen Compliance-Lücken bei KMU, auf die das BMWK in seinen Informationsangeboten zur KI-Regulierung ausdrücklich hinweist.

Das sagt Olga Reyes-Busch

“Die größte Gefahr für KMU ist nicht Unwissenheit über den AI Act — es ist die Annahme, dass der Anbieter des Tools schon alles geregelt hat. Als Betreiber bist du mitverantwortlich. Wer das früh versteht, spart sich teure Nacharbeit.”

— Olga Reyes-Busch, KI-Expertin für KMU · HeadUpHigh GmbH

In fünf Schritten prüfen, ob dein KI-Einsatz Hochrisiko ist

Inventur machen: Liste alle KI-Systeme auf, die du aktuell nutzt oder planst einzusetzen — auch eingekaufte Softwarelösungen mit KI-Funktionen zählen dazu.
Einsatzbereich bestimmen: Ordne jedes System einem oder mehreren Bereichen zu. Nutze dafür die Kategorien aus Anhang III der Verordnung (EU) 2024/1689 als Checkliste.
Rolle klären: Bist du Anbieter (du entwickelst das System), Betreiber (du setzt ein fremdes System ein), Importeur oder Händler? Jede Rolle hat andere Pflichten.
Ausnahmeregelung prüfen: Artikel 6 Absatz 3 sieht vor, dass bestimmte Systeme trotz Hochrisiko-Bereich ausgenommen sind — etwa wenn sie keine Entscheidungen über Personen vorbereiten oder beeinflussen. Lass das im Zweifel rechtlich einschätzen.
Dokumentation starten: Auch wenn du zu dem Schluss kommst, dass kein Hochrisiko-System vorliegt, halte diese Prüfung schriftlich fest. Eine nachvollziehbare Begründung schützt dich im Zweifelsfall — das empfiehlt auch das BSI für den Umgang mit KI-Systemen in Unternehmen.

So bringt dich HeadUpHigh weiter

Wenn du verstehen willst, was der EU AI Act konkret für deinen Betrieb bedeutet, hilft eine strukturierte Schulung mehr als das Durcharbeiten von Gesetzestexten. In der Online-Schulung lernst du, wie du Hochrisiko-Systeme erkennst, deine Rolle als Betreiber einordnest und die notwendigen Schritte umsetzt — praxisnah und ohne unnötigen Behördendeutsch.

Zuletzt geprüft

Dieser Artikel wurde am 3. August 2026 aktualisiert.

Sonnige Grüße, Olga

Fragen? Einfach melden — oder direkt ein kurzes Gespräch buchen.

Kurzes Gespräch buchen →