Die Risikoklassen im Überblick
| Klasse | Beispiele | Folge |
|---|---|---|
| Verboten | Social Scoring, Emotionserkennung am Arbeitsplatz, manipulative Techniken, ungezieltes Sammeln von Gesichtsbildern, KI zur Erzeugung nicht einvernehmlicher intimer Inhalte | Einsatz untersagt |
| Hohes Risiko | Bewerberauswahl, Leistungsbewertung, Kreditwürdigkeit, Zugang zu Bildung, kritische Infrastruktur | Umfangreiche Pflichten für Anbieter und Betreiber |
| Transparenz | Chatbots, KI-generierte Texte, Bilder, Audio und Video, Deepfakes | Kennzeichnung und Information |
| Minimales Risiko | Textassistent, Übersetzung, Spamfilter, Zusammenfassungen | Keine besonderen Pflichten aus dem AI Act |
Verbotene Praktiken
Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken in der EU verboten. Für Unternehmen sind vor allem diese relevant:
- Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen
- Biometrische Kategorisierung nach sensiblen Merkmalen wie politischer Meinung oder sexueller Orientierung
- Manipulative oder täuschende Techniken, die Entscheidungen erheblich beeinflussen und Schaden verursachen
- Ausnutzung von Schwächen aufgrund von Alter, Behinderung oder sozialer Lage
- Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungskameras
- Seit dem 2. Dezember 2026: KI zur Erzeugung von Missbrauchsdarstellungen von Kindern und nicht einvernehmlicher intimer Inhalte identifizierbarer Personen
Ein Beispiel aus der Praxis: Ein Tool, das in Videocalls die Stimmung von Beschäftigten auswertet, fällt unter das Verbot der Emotionserkennung am Arbeitsplatz.
Hochrisiko-Systeme
Hochrisiko-Systeme sind nicht verboten, unterliegen aber strengen Anforderungen. Es gibt zwei Gruppen: KI als Sicherheitsbauteil regulierter Produkte nach Anhang I, etwa in Medizinprodukten oder Maschinen, und KI in sensiblen Einsatzbereichen nach Anhang III.
Die Bereiche nach Anhang III umfassen unter anderem:
- Beschäftigung und Personalmanagement: Ausschreibung, Bewerberauswahl, Beförderung, Kündigung, Aufgabenzuweisung, Leistungsüberwachung
- Zugang zu wesentlichen Leistungen: Kreditwürdigkeit, Risikobewertung bei Lebens- und Krankenversicherungen
- Bildung: Zulassung, Bewertung von Lernergebnissen, Prüfungsaufsicht
- Kritische Infrastruktur: Sicherheitsbauteile in Verkehr, Energie- und Wasserversorgung
- Biometrie, Strafverfolgung, Migration und Justiz
Ein KI-System aus diesen Bereichen ist ausnahmsweise kein Hochrisiko-System, wenn es nur eine eng begrenzte vorbereitende Aufgabe erfüllt und kein erhebliches Risiko besteht. Werden Personen bewertet oder profiliert, greift diese Ausnahme nicht.
Pflichten für Betreiber von Hochrisiko-Systemen
Die meisten Pflichten treffen die Anbieter. Betreiber müssen ab dem 2. Dezember 2027 (Anhang III) aber ebenfalls einiges sicherstellen:
- Einsatz gemäß der Gebrauchsanweisung des Anbieters
- Menschliche Aufsicht durch kompetente, geschulte Personen
- Eingabedaten auf Relevanz und Repräsentativität prüfen, soweit sie kontrolliert werden
- Betrieb überwachen und schwerwiegende Vorfälle melden
- Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren
- Arbeitnehmervertretung und betroffene Beschäftigte vor dem Einsatz am Arbeitsplatz informieren
- Betroffene Personen informieren, wenn das System Entscheidungen über sie trifft oder unterstützt
Öffentliche Stellen und bestimmte private Betreiber, etwa bei Kreditwürdigkeitsprüfungen, müssen zusätzlich eine Grundrechte-Folgenabschätzung durchführen.
Transparenzpflichten
Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50. Sie betreffen vor allem diese Fälle:
- Chatbots und andere KI-Systeme, die mit Menschen interagieren, müssen als KI erkennbar sein, sofern das nicht offensichtlich ist
- Anbieter generativer KI müssen erzeugte Inhalte maschinenlesbar kennzeichnen. Für Systeme, die schon vor dem 2. August 2026 angeboten wurden, gilt das ab dem 2. Dezember 2026
- Betreiber müssen Deepfakes als künstlich erzeugt offenlegen
- Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen Betroffene informieren
Für ein Unternehmen mit einem KI-Chatbot auf der Website heißt das: Ein deutlicher Hinweis, dass Kunden mit einer KI sprechen, ist Pflicht.
Ausführlich mit Praxisbeispielen: KI-Kennzeichnungspflicht.