AI Security & Compliance
Wie stuft man ein KI-System nach EU AI Act korrekt ein?
Die korrekte Risikoeinstufung ist keine einmalige Formalie, sondern bestimmt maßgeblich, welche technischen und organisatorischen Pflichten ein KI-System erfüllen muss — eine Fehleinstufung kann sowohl zu unnötigem Aufwand als auch zu übersehenen Pflichten führen.
Nextise Wissen · · 7 Minuten Lesezeit
Direkte Antwort
Die Risikoeinstufung nach EU AI Act folgt einem strukturierten Prüfschema — zunächst wird geprüft, ob der Einsatzzweck in eine der explizit verbotenen Kategorien fällt (unannehmbares Risiko), dann, ob er in eine der im Anhang aufgeführten Hochrisiko-Kategorien fällt (etwa Personalauswahl, Kreditvergabe, kritische Infrastruktur), gefolgt von der Prüfung auf Transparenzpflichten (begrenztes Risiko, etwa Chatbots) — alles andere fällt in die Kategorie minimales Risiko.
Eine zu niedrige Risikoeinstufung übersieht Pflichten, die später teuer nachgeholt werden müssen — eine zu hohe Einstufung bindet unnötig Ressourcen, die anderswo fehlen.
Schritt 1 — Prüfung auf unannehmbares Risiko
Zunächst wird geprüft, ob der Anwendungsfall in eine der explizit verbotenen Kategorien fällt, etwa Social Scoring durch Behörden, manipulative Systeme, die das Verhalten von Personen gezielt zu ihrem Schaden beeinflussen, oder bestimmte Formen biometrischer Echtzeit-Überwachung im öffentlichen Raum.
Diese Kategorie betrifft die wenigsten Unternehmensanwendungen, muss aber als erster Schritt ausgeschlossen werden, bevor überhaupt über eine niedrigere Risikoklasse nachgedacht wird.
Schritt 2 — Abgleich mit den Hochrisiko-Kategorien im Anhang
Der AI Act listet explizit Anwendungsbereiche als Hochrisiko auf, unter anderem Personalauswahl und -bewertung, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Bildung und Strafverfolgung.
Fällt der Anwendungsfall in eine dieser Kategorien, greifen umfassende Pflichten zu Risikomanagement, Dokumentation, Datenqualität und menschlicher Aufsicht — diese Prüfung sollte konkret anhand des tatsächlichen Einsatzzwecks erfolgen, nicht anhand der zugrunde liegenden Technologie (ein und dasselbe Sprachmodell kann je nach Einsatzzweck unterschiedlich eingestuft werden).
Schritt 3 — Transparenzpflichten und Restkategorie
Systeme mit direkter Interaktion mit Personen, die nicht in die Hochrisiko-Kategorie fallen (etwa ein Kundenservice-Chatbot), unterliegen Transparenzpflichten — Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren.
Alle übrigen Anwendungsfälle gelten als minimales Risiko mit freiwilligen statt verpflichtenden Maßnahmen — die Einstufung sollte trotzdem dokumentiert werden, um im Zweifel eine nachvollziehbare Begründung für die getroffene Klassifikation vorweisen zu können.
Wann passt es — wann nicht?
Passt gut, wenn …
- Der Anwendungsfall betrifft Personalentscheidungen, Kreditvergabe oder andere im Anhang gelistete Bereiche
Ein anderer Ansatz ist nötig, wenn …
- Das System hat keinen direkten Bezug zu den gelisteten Hochrisiko-Bereichen und keine Personeninteraktion
Wissen allein reicht nicht — wir zeigen, wie es im Betrieb funktioniert.
Unsere Seminare verbinden die Konzepte aus dem Wissen-Hub mit konkreter Praxis. Ihr Team lernt direkt an eigenen Aufgaben — praxisnah, kompakt, sofort anwendbar.
Schulungen entdeckenLassen Sie uns über Ihr nächstes Training sprechen.
Unser Team steht Ihnen rund um die Uhr zur Verfügung und freut sich auf Ihre Anfrage. Einfach anrufen oder eine Nachricht hinterlassen – wir kümmern uns schnellstmöglich um Ihre Anfrage, ob es um eine Schulung, einen Vortrag oder eine Präsentation geht. Jetzt loslegen!
Selina Schmid
Leiterin Kodschul