Welche Risikoklassen kennt der EU AI Act?

Vier: inakzeptables Risiko (verboten, Art. 5), hohes Risiko (strenge Pflichten, u. a. Anhang III), begrenztes Risiko (Transparenzpflichten nach Art. 50, z. B. bei Chatbots) und minimales Risiko (weitgehend unreguliert).

Was gilt als Hochrisiko-KI?

KI als Sicherheitsbauteil regulierter Produkte sowie KI in sensiblen Einsatzbereichen nach Anhang III – etwa kritische Infrastruktur, Beschäftigung und Personalauswahl, Bildung, Strafverfolgung oder Kreditwürdigkeitsprüfung. Diese Systeme müssen Risikomanagement, Dokumentation, menschliche Aufsicht und Konformitätsbewertung erfüllen.

Wer muss den AI Act umsetzen – Anbieter oder Betreiber?

Beide, mit unterschiedlichem Umfang. Anbieter tragen die Hauptpflichten für Entwicklung und Inverkehrbringen; Betreiber (Deployer) haben eigene Pflichten beim Einsatz, etwa menschliche Aufsicht und zweckkonforme Nutzung. Wer ein System wesentlich ändert oder unter eigenem Namen anbietet, kann zum Anbieter werden.

Hilft ISO 42001 bei der AI-Act-Umsetzung?

Ja. ISO/IEC 42001 definiert ein KI-Managementsystem, mit dem sich viele AI-Act-Anforderungen (Risikomanagement, Governance, Dokumentation, Nachweise) strukturiert und auditfest umsetzen lassen. Es ersetzt nicht die gesetzliche Konformitätsbewertung, erleichtert sie aber.

Wissen · EU AI Act

EU AI Act: Risikoklassen und Pflichten im Überblick

Der EU AI Act (KI-Verordnung, Verordnung (EU) 2024/1689) reguliert Künstliche Intelligenz nach einem risikobasierten Ansatz mit vier Stufen: KI mit inakzeptablem Risiko ist verboten, Hochrisiko-KI unterliegt strengen Pflichten, KI mit begrenztem Risiko muss Transparenzpflichten erfüllen, und KI mit minimalem Risiko bleibt weitgehend frei. Welche Stufe gilt, hängt vom Einsatzzweck ab – nicht von der Technik.

Rechtsgrundlage: Verordnung (EU) 2024/1689 (AI Act)
Risikoklassen: inakzeptabel / hoch / begrenzt / minimal
Verbote: Art. 5 (inakzeptables Risiko)
Transparenz: Art. 50 (begrenztes Risiko)
Managementsystem: ISO/IEC 42001 unterstützt Umsetzung

Die vier Risikoklassen

Inakzeptables Risiko (verboten, Art. 5): Praktiken wie Social Scoring durch Behörden, manipulative Systeme oder bestimmte biometrische Fernidentifizierung sind untersagt. Hohes Risiko: KI in sicherheitskritischen Produkten sowie in sensiblen Bereichen nach Anhang III (u. a. kritische Infrastruktur, Beschäftigung/HR, Bildung, Strafverfolgung, Kreditwürdigkeit) unterliegt umfangreichen Anforderungen.

Begrenztes Risiko: Systeme wie Chatbots oder KI-generierte Inhalte müssen Transparenzpflichten erfüllen (Art. 50) – Nutzer müssen erkennen können, dass sie mit KI interagieren bzw. dass Inhalte KI-generiert sind. Minimales Risiko: der Großteil der KI (z. B. Spamfilter, KI in Spielen) ist nicht gesondert reguliert; freiwillige Verhaltenskodizes sind möglich.

Pflichten bei Hochrisiko-KI

Für Hochrisiko-Systeme verlangt der AI Act u. a. ein Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz gegenüber Betreibern, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit. Anbieter müssen zudem ein Qualitätsmanagementsystem betreiben und eine Konformitätsbewertung durchlaufen.

Ein anerkanntes KI-Managementsystem nach ISO/IEC 42001 hilft, diese Anforderungen strukturiert und nachweisbar umzusetzen.

Wer ist verantwortlich?

Der AI Act unterscheidet Rollen: Anbieter (entwickeln/bringen KI in Verkehr) tragen die Hauptpflichten; Betreiber (Deployer) setzen KI unter eigener Verantwortung ein und haben eigene Pflichten, etwa zur menschlichen Aufsicht und zweckkonformen Nutzung. Auch Einführer und Händler sind adressiert. Wichtig: Wer ein Hochrisiko-System wesentlich verändert oder unter eigenem Namen anbietet, kann selbst zum Anbieter werden.

Zeitplan – gestaffelte Anwendbarkeit

Der AI Act gilt nicht auf einen Schlag: Die Verbote inakzeptabler Praktiken greifen zuerst, Pflichten für KI mit allgemeinem Verwendungszweck (GPAI) folgen, und die Anforderungen an Hochrisiko-Systeme treten gestaffelt danach in Kraft. Unternehmen sollten daher früh ein KI-Inventar aufbauen und ihre Systeme klassifizieren, um rechtzeitig vorbereitet zu sein.

Mit dem KIMS-Modul in MGMSYS erfassen und klassifizieren Sie Ihre KI-Systeme, leiten die passenden Anforderungen ab, führen Nachweise und dokumentieren Rollen und Maßnahmen – nachvollziehbar für Audits und Aufsicht.

Häufige Fragen

Welche Risikoklassen kennt der EU AI Act?: Vier: inakzeptables Risiko (verboten, Art. 5), hohes Risiko (strenge Pflichten, u. a. Anhang III), begrenztes Risiko (Transparenzpflichten nach Art. 50, z. B. bei Chatbots) und minimales Risiko (weitgehend unreguliert).
Was gilt als Hochrisiko-KI?: KI als Sicherheitsbauteil regulierter Produkte sowie KI in sensiblen Einsatzbereichen nach Anhang III – etwa kritische Infrastruktur, Beschäftigung und Personalauswahl, Bildung, Strafverfolgung oder Kreditwürdigkeitsprüfung. Diese Systeme müssen Risikomanagement, Dokumentation, menschliche Aufsicht und Konformitätsbewertung erfüllen.
Wer muss den AI Act umsetzen – Anbieter oder Betreiber?: Beide, mit unterschiedlichem Umfang. Anbieter tragen die Hauptpflichten für Entwicklung und Inverkehrbringen; Betreiber (Deployer) haben eigene Pflichten beim Einsatz, etwa menschliche Aufsicht und zweckkonforme Nutzung. Wer ein System wesentlich ändert oder unter eigenem Namen anbietet, kann zum Anbieter werden.
Hilft ISO 42001 bei der AI-Act-Umsetzung?: Ja. ISO/IEC 42001 definiert ein KI-Managementsystem, mit dem sich viele AI-Act-Anforderungen (Risikomanagement, Governance, Dokumentation, Nachweise) strukturiert und auditfest umsetzen lassen. Es ersetzt nicht die gesetzliche Konformitätsbewertung, erleichtert sie aber.