Warum die neuen High-Risk-Guidelines des EU AI Act Unternehmen jetzt betreffen
Neue Draft Guidelines der EU-Kommission könnten die Hochrisiko-Regeln deutlich ausweiten
Viele Unternehmen gehen aktuell davon aus, dass Hochrisiko-KI nur spezialisierte Systeme betrifft. Bewerber-Scoring, Kreditvergabe oder biometrische Überwachung – klar. Aber Chatbots, Copilots oder allgemeine KI-Assistenten? Eher nicht.
Die neuen Draft Guidelines der EU-Kommission zur Einstufung von Hochrisiko-KI könnten diese Annahme jetzt deutlich verändern.
Die 167 Seiten starken Leitlinien konkretisieren erstmals detailliert, wann KI-Systeme unter die strengsten Anforderungen des EU AI Act fallen. Und die Auswirkungen könnten deutlich größer sein als viele Unternehmen bislang erwarten.
Besonders brisant: Nicht nur die Technologie selbst entscheidet künftig über die Risikoklasse, sondern vor allem ihr tatsächlicher Einsatzkontext, ihre Dokumentation und ihr Zusammenspiel mit anderen Systemen.
Wichtigster Punkt:
Selbst allgemeine KI-Systeme können künftig als Hochrisiko gelten, wenn ihre Dokumentation, ihr Marketing oder ihre Nutzung Hochrisiko-Anwendungsfälle nicht klar ausschließen.
Was genau wurde veröffentlicht?
Die Europäische Kommission hat neue Entwürfe für die Klassifizierung von Hochrisiko-KI-Systemen veröffentlicht. Die Guidelines sollen Unternehmen helfen zu verstehen, wann ein KI-System unter die strengsten Anforderungen des EU AI Act fällt.
Die Leitlinien befinden sich aktuell noch in der öffentlichen Konsultation. Unternehmen können bis Juni 2026 Feedback einreichen.
Die Veröffentlichung war lange erwartet worden. Einerseits wegen der hohen praktischen Relevanz. Andererseits, weil die Leitlinien ursprünglich bereits deutlich früher erwartet wurden.
Besonders relevant: Die neuen Auslegungen betreffen potenziell deutlich mehr Unternehmen als viele bisherige Diskussionen rund um verbotene KI-Praktiken oder Foundation Models.
Warum die neuen Leitlinien so relevant sind
Viele Unternehmen betrachten ihre eingesetzten KI-Systeme aktuell als „Limited Risk“ oder „Minimal Risk“. Genau diese Einschätzung könnte künftig schwieriger werden.
Die Kommission macht deutlich: Nicht nur die Technologie selbst entscheidet über die Risikoklasse, sondern vor allem der tatsächliche Einsatzzweck.
🤖
GPAI-Systeme im Fokus
Auch allgemeine KI-Systeme wie Chatbots, Copilots oder Agentensysteme können unter Hochrisiko-Regeln fallen, wenn ihre Dokumentation Hochrisiko-Anwendungsfälle nicht klar ausschließt.
📄
Dokumentation wird entscheidend
Marketingtexte, technische Dokumentation und öffentliche Beschreibungen können künftig darüber entscheiden, ob ein KI-System als Hochrisiko eingestuft wird.
Warum jetzt auch Chatbots und Copilots kritisch werden könnten
Viele Unternehmen nutzen allgemeine KI-Systeme aktuell ohne formale Risikobewertung. Genau das könnte problematisch werden.
Die neuen Leitlinien zeigen deutlich: Entscheidend ist nicht nur die Technologie selbst, sondern der tatsächliche Einsatzkontext.
Ein allgemeiner KI-Assistent kann dadurch plötzlich in den Hochrisiko-Bereich fallen, wenn er beispielsweise:
- Mitarbeiter bewertet
- Bewerber vorsortiert
- Kreditentscheidungen vorbereitet
- automatisierte Empfehlungen für Personen erzeugt
- Produktivitätsdaten analysiert
- Verhaltensmuster bewertet
Das betrifft potenziell auch Standardsoftware wie Copilots, interne Chatbots oder KI-Funktionen innerhalb bestehender SaaS-Plattformen.
Viele Unternehmen unterschätzen aktuell, wie schnell sich allgemeine KI-Systeme funktional in Richtung Hochrisiko bewegen können.
Human Oversight reicht nicht automatisch aus
Ein weiterer wichtiger Punkt der neuen Leitlinien: Menschliche Kontrolle schützt nicht automatisch vor einer Hochrisiko-Einstufung.
Viele Unternehmen argumentieren aktuell:
„Am Ende entscheidet ja immer noch ein Mensch.“
Die Kommission sieht das deutlich enger. Entscheidend bleibt weiterhin der eigentliche Einsatzzweck des Systems.
Wenn ein KI-System beispielsweise Bewerber bewertet, Kreditentscheidungen vorbereitet oder Mitarbeiter überwacht, bleibt es potenziell Hochrisiko – auch wenn Menschen die finale Entscheidung treffen.
Damit wird klar: Human Oversight allein reicht künftig vermutlich nicht mehr als pauschales Entlastungsargument.
Welche Systeme jetzt besonders kritisch werden könnten
Die neuen Leitlinien enthalten zahlreiche Praxisbeispiele. Besonders relevant sind dabei drei Bereiche.
Recruiting- und HR-Systeme
KI-Systeme für Bewerberbewertung, Vorauswahl oder Mitarbeiterbewertung bleiben ein zentraler Hochrisiko-Bereich. Die Kommission stellt außerdem klar, dass dies auch Freelancer-, Plattform- und Gig-Economy-Modelle betreffen kann.
Besonders relevant: Automatische Ranking-Systeme, Bewerberfilter, Produktivitätsbewertungen oder algorithmische Schichtplanung.
Emotionserkennung und Biometrics
Die Leitlinien gehen ausführlich auf Emotionserkennung ein. Systeme, die Emotionen, Stimmungen oder Verhaltenszustände erkennen sollen, geraten besonders in den Fokus.
Betroffen sein könnten: Callcenter-Analyse, Smart Devices, Event-Sicherheitssysteme oder KI-basierte Verhaltensanalysen.
Kreditwürdigkeit und Scoring
Auch Credit-Scoring-Systeme bleiben klar im Hochrisiko-Bereich. Interessant: Laut Kommission muss ein „Score“ nicht zwingend numerisch sein. Auch Rankings oder Labels können darunter fallen.
Wichtig: Auch kombinierte Systeme aus Risikobewertung und Preisberechnung können gemeinsam bewertet werden.
Das eigentliche Risiko: Unternehmen kennen ihre KI-Systeme oft nicht vollständig
Die neuen Guidelines verschärfen ein Problem, das viele Unternehmen bereits heute haben: Shadow AI.
Mitarbeiter nutzen KI-Systeme häufig ohne zentrale Freigabe – etwa ChatGPT, Copilot-Erweiterungen, Browser-Plugins oder KI-Funktionen innerhalb bestehender SaaS-Tools.
Problematisch wird das vor allem dann, wenn:
• personenbezogene Daten verarbeitet werden
• KI-Systeme Entscheidungen vorbereiten
• keine Dokumentation existiert
• Fachabteilungen eigenständig KI einführen
Viele Unternehmen unterschätzen aktuell, wie viele KI-Systeme tatsächlich produktiv genutzt werden.
Warum manuelle KI-Listen dafür schnell an Grenzen stoßen
Die neuen Leitlinien erhöhen vor allem den Dokumentationsaufwand.
Unternehmen müssen künftig nicht nur KI-Systeme erfassen, sondern auch nachvollziehbar dokumentieren:
- welche Use Cases ausgeschlossen wurden
- warum eine Einstufung erfolgt ist
- welche Änderungen vorgenommen wurden
- wie Systeme miteinander interagieren
- welche Bewertungen durchgeführt wurden
Viele Unternehmen versuchen das aktuell noch mit Excel-Listen, Word-Dokumenten und Einzelbewertungen abzubilden. Spätestens bei mehreren Fachabteilungen wird das jedoch schnell unübersichtlich.
Was Unternehmen im Audit nachweisen müssen könnten
Die neuen Leitlinien zeigen außerdem deutlich, dass Unternehmen ihre Einstufungen künftig nachvollziehbar dokumentieren müssen.
Besonders kritisch dürfte künftig die Frage werden:
„Warum wurde dieses KI-System nicht als Hochrisiko eingestuft?“
Unternehmen sollten deshalb bereits heute dokumentieren:
- welche KI-Systeme eingesetzt werden
- welche Risikoklasse vergeben wurde
- welche Kriterien geprüft wurden
- welche Ausnahmen angewendet wurden
- wer die Bewertung durchgeführt hat
- welche Änderungen vorgenommen wurden
Was viele Unternehmen aktuell falsch einschätzen
Häufige Annahmen
„Wir nutzen nur Standard-KI.“
„Ein Mensch kontrolliert das Ergebnis.“
„Unser Tool trifft keine Entscheidungen.“
„Das betrifft nur große Konzerne.“
Die neuen Leitlinien zeigen jedoch
Der tatsächliche Einsatzkontext ist entscheidend.
Auch allgemeine KI-Systeme können Hochrisiko werden.
Dokumentation und Zweckbeschreibung werden zentral.
Betroffen sind auch Mittelstand und SaaS-Unternehmen.
Was Unternehmen jetzt tun sollten
Sofortmaßnahmen für Unternehmen
☐ Dokumentation aller eingesetzten KI-Systeme prüfen
☐ Marketing- und Produkttexte überprüfen
☐ Hochrisiko-Anwendungsfälle identifizieren
☐ Recruiting- und HR-Systeme neu bewerten
☐ KI-Komponenten als Gesamtsystem betrachten
☐ Bewertungen und Ausnahmen dokumentieren
☐ Verantwortlichkeiten für AI Governance festlegen
☐ Shadow AI sichtbar machen
Fazit
Die neuen Draft Guidelines der EU-Kommission könnten den Anwendungsbereich der Hochrisiko-Regeln deutlich erweitern.
Besonders Unternehmen, die allgemeine KI-Systeme produktiv einsetzen, sollten ihre aktuelle Einstufung kritisch überprüfen. Denn künftig entscheidet nicht nur die Technologie selbst, sondern vor allem ihr tatsächlicher Einsatzzweck, ihre Dokumentation und ihr Zusammenspiel mit anderen Systemen.
Viele Unternehmen dürften aktuell noch unterschätzen, wie schnell ihre KI-Anwendungen in den Hochrisiko-Bereich fallen können.
Die entscheidende Herausforderung wird deshalb nicht nur die regulatorische Einordnung sein, sondern vor allem die operative Governance: Welche Systeme existieren? Wer bewertet sie? Welche Risiken entstehen? Und wie wird das nachvollziehbar dokumentiert?
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die Draft Guidelines befinden sich aktuell noch in der Konsultationsphase und können sich bis zur finalen Veröffentlichung ändern.
Über SimpleAct: SimpleAct unterstützt Unternehmen dabei, KI-Systeme strukturiert zu dokumentieren, Risikoklassen nachvollziehbar zu bewerten und Anforderungen des EU AI Act audit-ready umzusetzen.
Tags
Kamill Jarzebowski | SimpleAct
Autor · SimpleAct Team
