Die Risikobewertung ordnet jedes KI-System einer Risikoklasse zu. Sie läuft regelbasiert und ohne KI: Dieselben Antworten ergeben immer dasselbe Ergebnis, und die Begründung nennt die Vorschriften, auf denen es beruht. Seit dem Regelsatz V3.0 entsteht „Hochrisiko“ nur noch auf den beiden Wegen, die Art. 6 KI-VO vorsieht: über Anhang III oder über Anhang I.

Auf einen Blick

Enthalten ab: Starter
Wo in der App: Einstufen & bewerten → Risikobewertung
Ergebnis: Risikoklasse mit Begründung, anwendbaren Artikeln und Versionshistorie
Rechtsbezug: Art. 5, 6, 50, 53, 55 KI-VO
API: /api/v1/risk-assessments

Ergebnis: vier Risikoklassen

Die Prüfung läuft in fester Reihenfolge. Die erste zutreffende Stufe entscheidet.

Klasse	Wann
PROHIBITED: Verboten	Mindestens eine verbotene Praktik nach Art. 5 trifft zu. Geht allen anderen Antworten vor.
HIGH: Hochrisiko	Ein Anhang-III-Bereich ist gewählt und die Ausnahme nach Art. 6 Abs. 3 greift nicht (Art. 6 Abs. 2), oder das System ist Sicherheitsbauteil bzw. Produkt nach Anhang I mit Konformitätsbewertung durch Dritte (Art. 6 Abs. 1).
LIMITED: Begrenztes Risiko	Kein Hochrisiko, aber eine Transparenzpflicht nach Art. 50 greift. Bei Hochrisiko-Systemen gelten die Transparenzpflichten zusätzlich (Art. 50 Abs. 6).
MINIMAL: Minimales Risiko	Keine der obigen Stufen trifft zu.

Der Fragebogen

Ja/Nein-Fragen lassen sich auch mit „unsicher“ beantworten. „Unsicher“ zählt wie „Ja“. Die Einstufung fällt im Zweifel nie zu niedrig aus. Einzige Ausnahme ist a8: Die Ausnahme nach Art. 6 Abs. 3 gilt nur bei einem ausdrücklichen „Ja“.

Abschnitt	Fragen	Wirkung
0: Verbotene Praktiken (Art. 5)	p1–p8: manipulative Techniken, Ausnutzen von Schutzbedürftigkeit, Social Scoring, biometrische Kategorisierung nach sensiblen Merkmalen, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, ungezieltes Auslesen von Gesichtsbildern, Straftatenprognose allein aus Profiling, biometrische Echtzeit-Fernidentifizierung zur Strafverfolgung. p9: intime Deepfakes ohne Einwilligung. p10: Material über sexuellen Kindesmissbrauch.	Ein „Ja“ ergibt PROHIBITED (zu p9/p10 siehe unten).
A: Hochrisiko (Art. 6)	a5: Anhang-III-Bereich (Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, wesentliche Dienstleistungen, Strafverfolgung, Migration, Justiz und Demokratie). a6/a7: Anhang-I-Produkt und Konformitätsbewertung durch Dritte. a8: Berufung auf Art. 6 Abs. 3. a9: Profiling.	Einziger Weg zu HIGH.
B: Transparenz (Art. 50)	b1: Interaktion mit Menschen, b2: Erzeugung von Inhalten (beide Abs. 1/2, Anbieter), b3: Verwechslungsgefahr (nur dokumentiert), b4: Emotionserkennung oder biometrische Kategorisierung (Abs. 3, Betreiber), b5: Deepfakes oder Texte zu Angelegenheiten von öffentlichem Interesse (Abs. 4, Betreiber).	LIMITED, sofern nicht HIGH.
C: Entscheidungen über Personen (DSGVO)	a1: Entscheidungen über natürliche Personen, a2: automatisiert oder maßgeblich vorbereitet, a3: rechtliche oder vergleichbare Wirkung, a4: besondere Kategorien nach Art. 9 DSGVO.	Ändert die Risikoklasse nicht. Erzeugt einen DSGVO-Hinweis (Art. 22, 35 DSGVO) und einen Prüfhinweis zu Anhang III Nr. 4/5.
D: Kontext & Nutzung	c1: nur unterstützend, c2: nur intern, c3: sensibler Unternehmensbereich.	Nur Dokumentation, keine Einstufung.
E: GPAI-Modelle	d1: Sie stellen ein KI-Modell mit allgemeinem Verwendungszweck selbst bereit, d2: systemisches Risiko (mehr als 10^25 FLOPs oder Einstufung durch die Kommission).	Ergänzt Art. 53 bzw. Art. 55.

p9 und p10: ab 02.12.2026 Pflicht

Die Verbote nach Art. 5 Abs. 1 lit. ba und bb wurden durch die VO (EU) 2026/1744 eingefügt und gelten ab dem 02.12.2026. Bis dahin sind p9 und p10 optional, und ein „Ja“ erscheint als Hinweis. Ab dem 02.12.2026 sind beide Fragen Pflicht, und ein „Ja“ führt zur Einstufung PROHIBITED. Beantworten Sie sie am besten schon jetzt.

Die Ausnahme nach Art. 6 Abs. 3

Ein Anhang-III-System ist nicht hochriskant, wenn kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte besteht. Die App bildet das so ab:

Nur auf ausdrückliches „Ja“ (a8)

Die Ausnahme greift nur, wenn Sie sich ausdrücklich darauf berufen. „Unsicher“ genügt nicht. Die Begründung nennt dann Art. 6 Abs. 4 (Dokumentation der Einschätzung) und Art. 49 Abs. 2 (Registrierung).

Nie bei Profiling (a9)

Nimmt das System Profiling natürlicher Personen vor, gilt es nach Art. 6 Abs. 3 UAbs. 3 immer als hochriskant, auch wenn a8 mit „Ja“ beantwortet ist. „Unsicher“ bei a9 zählt als Profiling.

Nur für Anhang III

Für Anhang-I-Systeme (Art. 6 Abs. 1) gibt es diese Ausnahme nicht.

Prüfhinweis bei unterstützender Rolle

Ist ein Anhang-III-System nur unterstützend im Einsatz (c1) und wurde die Ausnahme nicht beansprucht, weist die App darauf hin, die Ausnahme zu prüfen, bei Profiling dagegen darauf, dass sie ausgeschlossen ist.

Rolle: Anbieter oder Betreiber

Die Risikoklasse sagt noch nicht, welche Pflichten Sie treffen. Das hängt von Ihrer Rolle ab. Die Rolle leitet die Rechtslogik ab (Regelsatz V1.1): Wer ein System selbst entwickelt oder ein fremdes System wesentlich verändert (etwa durch Fine-Tuning oder die Integration in ein eigenes System) und es Dritten bereitstellt oder unter eigener Verantwortung betreibt, ist Anbieter (Art. 3 Nr. 3 und Nr. 11 KI-VO). Das gilt auch, wenn das System nur im eigenen Haus eingesetzt wird.

Versionierung und ältere Bewertungen

Jede Bewertung speichert den Regelsatz, mit dem sie erstellt wurde (aktuell EU_AI_ACT_V3.0), dazu Antworten, Begründung und Entscheidungslogik.
Bewertungen älterer Regelsätze behalten ihre Risikoklasse und Begründung. Sie werden nicht still neu berechnet, sondern tragen den Hinweis „Regelwerk aktualisiert, bitte neu bewerten“.
Bei „Neu bewerten“ werden die alten Antworten vorbefüllt. Umbenannte Fragen aus V2.3 (b4, b5, b6) werden dabei auf die heutigen Fragen übertragen.
Ändern sich Nutzung, Datenbasis oder Systemgrenzen, legen Sie eine neue Bewertung an. Die Historie bleibt prüfbar.

Wirkung auf den Compliance-Score

Ein als PROHIBITED eingestuftes System zählt im Compliance-Score mit 0 Punkten, und der Gesamtscore der Organisation ist auf höchstens 49 gedeckelt, solange ein solches System im Einsatz ist. Details auf der Seite Dashboard.

Information

Die Einstufung ist eine regelbasierte Hilfe und ersetzt keine Rechtsberatung. Sie ist nur so gut wie die Antworten. Beschreiben Sie Zweck und Einsatzkontext genau.