Die Einstufung eines KI-Systems nach dem EU AI Act ist kein Ja oder Nein. Sie ist eine Kette von Prüfungen, und jede muss für sich nachvollziehbar sein. Wer eine Prüfung auslässt, kommt schnell zu einem Ergebnis, das sich gut anfühlt und einer Nachfrage nicht standhält. Die häufigste Lücke liegt beim Thema Hochrisiko.
Die Kette in sechs Schritten
- Rolle bestimmen. Ist das Unternehmen Anbieter oder Betreiber? Wer ein zugekauftes System wesentlich verändert oder unter eigenem Namen einsetzt, kann unversehens zum Anbieter werden, mit deutlich mehr Pflichten.
- Zweck festlegen. Was ist das System, und wofür ist es bestimmt? Ohne schriftliche Zweckbestimmung lässt sich weder einstufen noch testen.
- Verbotene Praktiken prüfen. Bestimmte Anwendungen sind nicht eine Frage des Aufwands, sondern des Dürfens. Emotionserkennung am Arbeitsplatz gehört dazu.
- Hochrisiko prüfen, erster Weg. Anhang III nennt Bereiche, in denen KI als hochriskant gilt.
- Hochrisiko prüfen, zweiter Weg. KI als Sicherheitsbauteil eines Produkts, das ohnehin europäischem Produktrecht unterliegt.
- Ausnahmen begründen oder Pflichten ableiten. Erst dann steht fest, was zu tun ist und was nicht.
Der erste Weg: Anhang III
Anhang III ist bekannt. Er nennt unter anderem kritische Infrastruktur, Bildung, Zugang zu wesentlichen Leistungen und den Bereich Beschäftigung. Viele Industrieunternehmen lesen die Liste, finden ihre Qualitätsprüfung per Bilderkennung dort nicht und schließen daraus, dass sie nicht betroffen sind.
Die Bilderkennung in der Qualitätsprüfung ist tatsächlich meist unkritisch. Kritisch wird es an anderer Stelle: bei allem, was Beschäftigte betrifft. Schichtplanung, Aufgabenzuteilung und Leistungsbewertung durch KI fallen in den Bereich Beschäftigung. Solche Funktionen stecken oft in Software, die nicht als „KI-Projekt“ eingekauft wurde, etwa in Personaleinsatzplanung oder Assistenzsystemen am Arbeitsplatz. Hier hilft es, den Betriebsrat früh einzubeziehen, nicht erst am Ende zu informieren.
Der zweite Weg: KI als Sicherheitsbauteil
Der übersehene Weg steht nicht in Anhang III, sondern in Artikel 6 Absatz 1 des EU AI Act. Ein KI-System gilt auch dann als hochriskant, wenn es als Sicherheitsbauteil eines Produkts dient, das ohnehin europäischem Produktrecht unterliegt und einer Konformitätsbewertung durch Dritte bedarf. Typische Beispiele sind Maschinen und Medizinprodukte.
Für Produktionsunternehmen heißt das: Eine KI, die in einer Anlage eine Sicherheitsfunktion übernimmt, etwa eine Kamera, die Personen im Gefahrenbereich erkennt und die Maschine stoppt, ist ein Kandidat für die Hochrisiko-Einstufung. Unabhängig davon, ob sie in Anhang III vorkommt.
Wer nur den ersten Weg prüft, gibt hier zu früh Entwarnung.
Die Ausnahme ist dokumentationspflichtig
Nicht jedes System, das in einem Anhang-III-Bereich eingesetzt wird, ist automatisch hochriskant. Der EU AI Act erlaubt eine Ausnahme, wenn das System eine Entscheidung nur vorbereitet und sie nicht wesentlich beeinflusst.
Diese Ausnahme ist wertvoll, weil sie erheblichen Aufwand erspart. Sie muss aber begründet und dokumentiert werden. Genau hier zahlt sich eine sorgfältige Einstufung aus: Sie gibt Entwarnung, wo sie berechtigt ist, und hält einer Prüfung stand.
Was daraus folgt
- Ein KI-Inventar ist der Anfang. Viele Unternehmen setzen mehr KI ein, als die Geschäftsleitung weiß, oft eingebettet in zugekaufte Software.
- Jedes relevante System bekommt eine Einstufung mit Begründung, die beide Hochrisiko-Wege abdeckt.
- Wo Hochrisiko vorliegt, folgen Risikomanagement, technische Dokumentation, Protokollierung, menschliche Aufsicht und ein Qualitätsmanagement. Wo nicht, bleiben vor allem Transparenzpflichten und die Pflicht, Beschäftigte im Umgang mit KI zu schulen.
Unternehmen der regulierten Produktion sind dafür gut aufgestellt. Wer Validierung nach GAMP 5 beherrscht, kennt Zweckbestimmung, Risikobewertung, Rückverfolgbarkeit und Änderungskontrolle bereits. Der Gegenstand ist neu, die Prüfung nicht.
Dieser Beitrag ersetzt keine Rechtsberatung. Er beschreibt, wie ich eine Einstufung vorbereite, damit die juristische Bewertung auf einer belastbaren Grundlage steht.