Risikoklassen der KI-Verordnung: die Übersicht

An der Spitze der Pyramide stehen Praktiken, die der Gesetzgeber für so gefährlich hält, dass keine noch so strenge Pflicht sie ausgleichen könnte. Art. 5 verbietet sie seit dem 2. Februar 2025 vollständig: Sie dürfen weder in Verkehr gebracht noch in Betrieb genommen oder verwendet werden. Das Verbot trifft Anbieter und Betreiber gleichermaßen; eine Übergangsfrist oder einen Bestandsschutz gibt es nicht.

Entscheidend ist der Einsatz, nicht die Technik. Gesichtserkennung ist nicht per se verboten, wohl aber das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung, um Datenbanken aufzubauen. Emotionserkennung ist nicht generell untersagt, wohl aber am Arbeitsplatz und in Bildungseinrichtungen – mit Ausnahmen für medizinische und Sicherheitsgründe. Außerhalb dieser Bereiche fällt sie unter die Transparenzpflichten.

Der Digital Omnibus (VO (EU) 2026/1744) ergänzt den Katalog: Ab dem 2. Dezember 2026 ist auch KI verboten, die intime Darstellungen identifizierbarer Personen ohne deren Einwilligung erzeugt oder manipuliert, sowie KI zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs. Für Anbieter generativer Bild- und Videowerkzeuge heißt das: Schutzmechanismen müssen bis dahin stehen.

Für die meisten Unternehmen ist das Verbot nicht das Kernproblem, aber ein Pflichtprüfpunkt. Wer etwa eine Software zur Stimmungsanalyse von Beschäftigten im Callcenter einsetzt, muss diese Funktion abschalten – auch wenn sie nur ein Nebenfeature eines größeren Tools ist. Prüfen Sie deshalb jedes System zuerst gegen Art. 5, bevor Sie über die anderen Klassen nachdenken.

Hochrisiko-KI ist die Klasse mit den meisten Pflichten. Art. 6 kennt zwei Wege hinein. Erstens Anhang I: Das KI-System ist selbst ein Produkt oder das Sicherheitsbauteil eines Produkts, das unter EU-Harmonisierungsvorschriften fällt – etwa Maschinen, Spielzeug, Aufzüge oder Medizinprodukte – und für das eine Konformitätsbewertung durch Dritte vorgeschrieben ist. Diese Pflichten gelten nach dem Digital Omnibus ab dem 2. August 2028.

Zweitens Anhang III: KI-Systeme, die in einem von acht sensiblen Bereichen eingesetzt werden – Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen privaten und öffentlichen Diensten (darunter Kreditwürdigkeitsprüfung sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung), Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse. Für diese Systeme gelten die Pflichten ab dem 2. Dezember 2027.

Nicht jedes System in einem Anhang-III-Bereich ist automatisch hochriskant. Art. 6 Abs. 3 nimmt Systeme aus, die kein erhebliches Risiko bergen, weil sie nur eine eng gefasste Verfahrensaufgabe erfüllen, das Ergebnis einer bereits abgeschlossenen menschlichen Tätigkeit verbessern, Entscheidungsmuster erkennen, ohne die menschliche Bewertung zu ersetzen, oder eine vorbereitende Aufgabe übernehmen. Führt das System ein Profiling natürlicher Personen durch, ist es immer hochriskant. Wer sich auf die Ausnahme beruft, muss die Bewertung dokumentieren (Art. 6 Abs. 4) und das System in der EU-Datenbank registrieren (Art. 49 Abs. 2). Der Digital Omnibus hat die dafür nötigen Angaben verschlankt: Die Begründung der Nicht-Einstufung und die Liste der Mitgliedstaaten müssen nicht mehr eingetragen werden (Anhang VIII Abschnitt B, Nr. 7 und 9 gestrichen durch Art. 1 Nr. 42 VO (EU) 2026/1744; ErwG 22). Die Dokumentationspflicht bleibt.

Leitlinien der Kommission: Nach Art. 6 Abs. 5 muss die Kommission Leitlinien mit praktischen Beispielen für hochriskante und nicht hochriskante Systeme bereitstellen. Am 19. Mai 2026 hat sie dazu einen Entwurf veröffentlicht. Die gezielte Konsultation wurde bis zum 23. Juli 2026 verlängert, die finale Fassung will die Kommission bis Ende 2026 annehmen. Stand 7. Oktober 2026 gibt es keine finale Fassung. Der Entwurf ist eine Orientierungshilfe, aber nicht verbindlich (Rn. 6).

Kernaussagen des Entwurfs: Menschliche Beteiligung ändert nichts an der Einstufung nach Art. 6 Abs. 2 (Rn. 70–71). Die Ausnahmen nach Art. 6 Abs. 3 sind abschließend und eng auszulegen, Profiling schließt sie immer aus (Rn. 88–89). Wer eine Software breit anpreist und Hochrisiko-Einsätze nur in den Nutzungsbedingungen ausschließt, bleibt im Hochrisiko-Bereich (Rn. 12). Mehrere Bausteine, die zusammen eine Einzelentscheidung prägen, werden als ein System bewertet, auch agentische Systeme (Rn. 75).

Die Pflichten verteilen sich nach Rollen. Anbieter tragen die Hauptlast: Risikomanagement (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Aufzeichnung (Art. 12), Transparenz und Betriebsanleitung (Art. 13), menschliche Aufsicht (Art. 14), Genauigkeit, Robustheit und Cybersicherheit (Art. 15), Qualitätsmanagement (Art. 17), Konformitätsbewertung (Art. 43) und Registrierung in der EU-Datenbank (Art. 49). Betreiber müssen das System nach der Betriebsanleitung einsetzen, die menschliche Aufsicht kompetenten Personen übertragen, Eingabedaten und Protokolle im Blick behalten und Betroffene informieren (Art. 26). Öffentliche Stellen und bestimmte private Betreiber, etwa bei Kreditwürdigkeit oder Versicherungstarifen, führen zusätzlich eine Grundrechte-Folgenabschätzung durch (Art. 27).

Diese Übersicht hält Hochrisiko bewusst kompakt. Alle acht Anhang-III-Bereiche mit Beispielen, Grenzfällen und der Ausnahmeprüfung Schritt für Schritt finden Sie in unserem Leitfaden zu Anhang III.

Die dritte Klasse heißt in vielen Übersichten „begrenztes Risiko“. Der Begriff steht so nicht in der Verordnung, hat sich aber als Kurzform für die Transparenzpflichten nach Art. 50 durchgesetzt. Gemeint sind KI-Systeme, bei denen das Hauptrisiko darin liegt, dass Menschen nicht erkennen, dass sie mit einer Maschine sprechen oder künstlich erzeugte Inhalte vor sich haben.

Art. 50 regelt vier Fälle. Anbieter müssen Systeme, die direkt mit Menschen interagieren, so gestalten, dass diese davon erfahren (Abs. 1), und synthetische Audio-, Bild-, Video- und Textinhalte maschinenlesbar markieren (Abs. 2). Betreiber müssen Betroffene informieren, wenn sie Emotionserkennung oder biometrische Kategorisierung einsetzen (Abs. 3), und offenlegen, dass Deepfakes oder KI-Texte zu Angelegenheiten von öffentlichem Interesse künstlich erzeugt wurden (Abs. 4). Absatz 5 legt fest, dass die Hinweise klar, rechtzeitig und barrierefrei sein müssen.

Die Pflichten gelten seit dem 2. August 2026. Für die maschinenlesbare Markierung von Systemen, die schon vorher in Verkehr gebracht wurden, hat der Digital Omnibus eine Übergangsfrist bis zum 2. Dezember 2026 eingeführt. Für Hinweise bei Chatbots, Emotionserkennung und Deepfakes gibt es keine Übergangsfrist.

Wichtig: Art. 50 ist keine Alternative zu Hochrisiko, sondern eine zusätzliche Schicht. Ein Chatbot, der Bewerber vorauswählt, ist hochriskant und muss sich zugleich als KI zu erkennen geben. Umgekehrt hilft ein Hinweis nicht weiter, wo ein Verbot greift: Emotionserkennung am Arbeitsplatz bleibt verboten, auch wenn die Beschäftigten informiert werden.

Die breite Basis der Pyramide bilden KI-Systeme mit minimalem Risiko: Spamfilter, Produktempfehlungen im Onlineshop, Predictive Maintenance in der Produktion, Rechtschreibkorrektur oder die Optimierung von Lagerbeständen. Für sie sieht die KI-Verordnung keine spezifischen Pflichten vor. In der Praxis landen hier viele der KI-Anwendungen, die Unternehmen nutzen.

„Keine spezifischen Pflichten“ heißt aber nicht „nichts zu tun“. Art. 4 verpflichtet seit dem 2. Februar 2025 Anbieter und Betreiber aller KI-Systeme – also unabhängig von der Klasse – zur KI-Kompetenz. Der Digital Omnibus hat die Vorschrift neu gefasst: Unternehmen ergreifen Maßnahmen, um die KI-Kompetenz der Menschen zu unterstützen, die KI in ihrem Auftrag nutzen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren.

Darüber hinaus können sich Anbieter und Betreiber freiwilligen Verhaltenskodizes nach Art. 95 anschließen, etwa um Anforderungen für Hochrisiko-Systeme freiwillig anzuwenden. Und weil fast jede KI personenbezogene Daten verarbeitet, bleibt die DSGVO voll anwendbar – unabhängig davon, wie die KI-Verordnung das System einstuft.

Wichtig ist die Begründung: Eine Einstufung als minimal sollte dokumentiert sein, mit Einsatzzweck und Hinweis, warum weder Art. 5 noch Anhang I oder III noch Art. 50 greifen. Ändert sich der Zweck, ist die Einstufung neu zu prüfen. Genau diese Dokumentation fehlt bei Prüfungen am häufigsten.

Große Sprach-, Bild- und Multimodalmodelle passen nicht in die Pyramide, weil sie keinen festen Einsatzzweck haben. Die KI-Verordnung regelt sie deshalb in einem eigenen Kapitel V. Die Pflichten treffen den Anbieter des Modells – also das Unternehmen, das ein solches Modell entwickelt und in Verkehr bringt – und gelten seit dem 2. August 2025.

Jeder GPAI-Anbieter muss eine technische Dokumentation führen, nachgelagerten Anbietern, die das Modell in eigene KI-Systeme einbauen, die nötigen Informationen bereitstellen, eine Strategie zur Einhaltung des Urheberrechts umsetzen und eine Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen. Für Modelle mit systemischem Risiko – die leistungsfähigsten Modelle, bestimmt nach den Kriterien in Art. 51 – kommen Modellbewertung, Bewertung und Minderung systemischer Risiken, Meldung schwerwiegender Vorfälle und angemessene Cybersicherheit hinzu.

Für Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, gilt eine Übergangsfrist bis zum 2. August 2027. Seit dem 2. August 2026 kann die Kommission Geldbußen gegen GPAI-Anbieter verhängen; anders als bei KI-Systemen liegt die Aufsicht hier bei der EU-Ebene.

Für die meisten Unternehmen ist GPAI eine Frage der Lieferkette, nicht der eigenen Pflichten: Wer ChatGPT oder ein vergleichbares Modell über eine Schnittstelle nutzt, ist in der Regel nicht Anbieter des Modells. Die Risikoklasse des eigenen Systems richtet sich dann nach dessen Einsatzzweck. Wer ein Modell jedoch erheblich verändert und unter eigenem Namen anbietet, sollte prüfen, ob er selbst Pflichten nach Kapitel V übernimmt.