Ist Ihr KI-System hochriskant? Ein Entscheidungsbaum zum AI Act

Warum ist die Einstufung die teuerste Entscheidung im AI Act?

Weil sie festlegt, ob Ihre Dokumentation eine Seite oder hundert umfasst. Bei minimalem Risiko bleibt eine begründete Notiz. Bei hohem Risiko kommen Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Konformitätsbewertung und CE-Kennzeichnung zusammen.

Jedes AI-Act-Projekt entscheidet sich an dieser Stelle. Wer vorsichtshalber alles als hochriskant deklariert, produziert Papierberge, die niemand verlangt hat. Wer alles als minimal deklariert, erfährt seinen Irrtum erst, wenn eine Aufsichtsbehörde nachfragt. Die richtige Antwort liegt fast immer dazwischen, und sie unterscheidet sich innerhalb desselben Unternehmens von System zu System.

Für den deutschen Markt kommt ein zweiter Punkt hinzu. Die meisten Unternehmen betreiben KI, die sie nicht selbst gebaut haben. Das ifo Institut hat im Mai 2026 einen KI-Einsatz bei 54,5 Prozent der befragten Unternehmen gemessen, im Mittelstand bei 47,2 Prozent, und nur 18,7 Prozent der Nutzer entwickeln eigene Systeme. Der Bitkom kommt am 11. März 2026 auf 41 Prozent, Grundlage sind 604 telefonisch befragte Unternehmen ab 20 Beschäftigten. Die Zahlen weichen voneinander ab, weil Stichprobe und Definition von KI-Nutzung unterschiedlich sind. Die Richtung ist trotzdem eindeutig: Vier von fünf Anwendern sind Betreiber, nicht Anbieter, und tragen damit einen anderen Pflichtenkatalog.

Dieser Text gibt Ihnen einen Entscheidungsbaum mit sieben Fragen, jeweils mit Artikelnummer und Datum, und führt anschließend acht typische Systeme hindurch. Am Ende steht der Teil, den die meisten Zusammenfassungen auslassen: was zu dokumentieren ist, wenn Ihr System eben nicht hochriskant ist.

Ab wann gelten die Hochrisiko-Pflichten wirklich?

Für eigenständige Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, für produktintegrierte Systeme nach Anhang I ab dem 2. August 2028. Das ist nicht der ursprüngliche Fahrplan. Die Verordnung (EU) 2026/1744 trat am 27. Juli 2026 in Kraft, sechs Tage vor dem alten Termin, und verschob Kapitel III Abschnitte 1 bis 3 um 16 Monate.

Die Verschiebung ist keine allgemeine Amnestie. Vier Pflichtenkreise laufen unverändert weiter, zwei davon sind heute schon durchsetzbar.

Ein unangenehmer Nebeneffekt bleibt. Die Leitlinien der Kommission zur Einstufung nach Art. 6 sind ebenfalls gerutscht, auf den 2. August 2027. Sie müssen also jetzt einstufen, während die offizielle Auslegungshilfe vier Monate vor dem Stichtag eintrifft. Diese Rechtsunsicherheit ist real, und wir halten es für ehrlicher, sie zu benennen, statt sie zu überdecken.

Wie klären Sie die Einstufung in sieben Fragen?

Die Reihenfolge ist nicht beliebig. Erst scheidet aus, was verboten ist, dann was über die Produktsicherheit hochriskant wird, danach folgt Anhang III, anschließend die einschränkenden Ausnahmen. Bei Frage sieben wissen Sie, ob überhaupt eine Pflicht übrig bleibt. Führen Sie ein System nach dem anderen hindurch, nicht Ihr gesamtes KI-Portfolio.

Frage 1: Verwirklicht das System eine verbotene Praktik?

Art. 5 zählt acht Verbote auf, der Omnibus hat ein neuntes ergänzt. Diese Regeln gelten seit dem 2. Februar 2025. Es gibt hier keine Vorbereitungszeit, nur Einhaltung oder Verstoß.

Trifft eine Zeile auf Ihr System zu, endet der Baum hier. Die Antwort heißt dann nicht Dokumentation, sondern Abschalten oder Umbauen. Zwei Punkte springen in gewöhnlichen Unternehmen unerwartet an: Buchst. f bei Stimmungsanalyse im Videointerview oder per Webcam, und Buchst. c bei Mitarbeiter- oder Kunden-Scoring, wenn die Punktzahl einen Nachteil auslöst, der mit dem ursprünglichen Erhebungszweck nichts mehr zu tun hat.

Frage 2: Ist es Sicherheitsbauteil eines Produkts nach Anhang I?

Art. 6 Abs. 1 stellt zwei kumulative Bedingungen auf. Das System ist Sicherheitsbauteil eines Produkts oder selbst das Produkt, für das eine der in Anhang I gelisteten Harmonisierungsvorschriften gilt, und dieses Produkt benötigt eine Konformitätsbewertung durch Dritte. Maschinen, Medizinprodukte, Aufzüge, Spielzeugsicherheit und Fahrzeug-Typgenehmigung liegen hier.

Endet der Baum an dieser Stelle, ist Ihr System hochriskant, Ihre Frist aber der 2. August 2028. Der Omnibus hat zudem eine erhebliche Ausnahme eingeführt: KI, die in Maschinenprodukte eingebaut ist, verlässt das Hochrisiko-Regime, die Einzelheiten regelt ein delegierter Rechtsakt der Kommission. Dieser Rechtsakt lag im August 2026 nicht vor. Im Maschinenbau lässt sich diese Frage heute also nicht abschließend beantworten.

Frage 3: Fällt es in einen der Bereiche aus Anhang III?

Es gibt acht Bereiche. Für privatwirtschaftliche Unternehmen sind vor allem drei, vier und fünf relevant, der Rest spielt in Verwaltung und Strafverfolgung.

Passt kein Bereich, springen Sie zu Frage sechs. Passt einer, ist noch nichts entschieden, denn als Nächstes kommt die Ausnahme.

Frage 4: Greift die Ausnahme aus Art. 6 Abs. 3?

Zwei Dinge müssen gleichzeitig zutreffen. Das System darf kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte natürlicher Personen bergen, wozu auch gehört, dass es das Ergebnis der Entscheidungsfindung nicht wesentlich beeinflusst. Und eine der folgenden vier Bedingungen muss erfüllt sein.

1. Das System erfüllt eine eng umgrenzte Verfahrensaufgabe, etwa das Einsortieren von Dokumenten in Kategorien oder das Entfernen von Dubletten.
2. Das System verbessert das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit, etwa die sprachliche Überarbeitung einer bereits geschriebenen Begründung.
3. Das System erkennt Entscheidungsmuster oder Abweichungen davon und ersetzt oder beeinflusst die abgeschlossene menschliche Bewertung nicht ohne angemessene Überprüfung durch einen Menschen.
4. Das System erfüllt eine vorbereitende Aufgabe für eine in Anhang III genannte Bewertung, etwa das Zusammenstellen von Daten für die entscheidende Person.

In der Praxis wollen deutlich mehr Unternehmen diese Ausnahme nutzen, als sie nutzen dürfen. Entscheidend ist nicht, ob am Ende ein Mensch klickt. Entscheidend ist, ob die Ausgabe des Systems diese Entscheidung wesentlich beeinflusst. Eine Punktzahl, eine Rangfolge oder eine Ampelempfehlung tut das, auch wenn eine Person auf Genehmigen drückt.

Frage 5: Nimmt das System ein Profiling vor?

Nimmt ein Anhang-III-System ein Profiling natürlicher Personen vor, ist es immer hochriskant. Der letzte Satz von Art. 6 Abs. 3 sagt das ohne Einschränkung: keine Abwägung, und keine der vier Bedingungen rettet das System.

Profiling meint hier den Begriff aus Art. 4 Nr. 4 DSGVO: automatisierte Verarbeitung personenbezogener Daten, um Merkmale einer natürlichen Person zu bewerten oder vorherzusagen. Ein Lebenslauffilter, der Bewerber mit dem Muster bisher erfolgreicher Beschäftigter abgleicht, betreibt Profiling. Ein Scoring, das Kunden nach Zahlungsverhalten einordnet, ebenfalls. Eine Texterkennung, die eine Rechnungsnummer aus einem PDF zieht, nicht.

Frage 6: Bestehen Transparenzpflichten nach Art. 50?

Hier landen Systeme, die weder verboten noch hochriskant sind, sowie Hochrisiko-Systeme, für die Art. 50 parallel gilt. Vier Tatbestände zählen, alle seit dem 2. August 2026 anwendbar.

• Art. 50 Abs. 1: Tritt ein System unmittelbar mit einer natürlichen Person in Interaktion, muss diese erfahren, dass sie es mit KI zu tun hat, sofern das nicht aus den Umständen offensichtlich ist.
• Art. 50 Abs. 2: Synthetische Audio-, Bild-, Video- und Textinhalte sind maschinenlesbar zu kennzeichnen. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, läuft die Frist bis zum 2. Dezember 2026.
• Art. 50 Abs. 3: Personen, die einem System zur Emotionserkennung oder zur biometrischen Kategorisierung ausgesetzt sind, müssen über dessen Betrieb informiert werden.
• Art. 50 Abs. 4: Deepfakes und KI-erzeugte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sind zu kennzeichnen.

Für den größten Teil der mittelständischen Unternehmen ist dieser Schritt die einzige Pflicht, die heute schon läuft. Die Umsetzung kostet wenig, und ein Versäumnis fällt unter die zweite Bußgeldstufe des Art. 99.

Frage 7: Bleibt noch etwas übrig?

Wer bis hierher überall mit Nein geantwortet hat, betreibt ein System mit minimalem Risiko, für das der AI Act keine besonderen Pflichten vorsieht. Zu tun bleibt trotzdem etwas. Art. 4 verlangt, die KI-Kompetenz der Beschäftigten zu fördern, was der Omnibus von einer Erfolgs- zu einer Bemühenspflicht abgeschwächt hat. Und die DSGVO läuft auf einer eigenen Spur weiter, auf der nach wie vor die meisten Streitfälle entstehen.

Eine Sache ist auch hier nötig: Halten Sie schriftlich fest, wie Sie zu diesem Ergebnis gekommen sind. Wie dieser Nachweis aussieht, steht ausführlicher in unserem Beitrag zur technischen Dokumentation nach dem AI Act.

Wo landen acht typische Systeme auf dem Baum?

Greifbar wird die Einstufung erst an konkreten Systemen. Die folgenden acht begegnen uns am häufigsten bei Unternehmen zwischen 50 und 500 Beschäftigten. Wichtig ist jeweils, an welcher Frage der Baum stehen bleibt und was das System in eine andere Kategorie kippen würde.

1. Kundenservice-Chatbot im Onlineshop

Bestellstatus, Lieferzeit, Größenberatung. Nicht verboten, kein Sicherheitsbauteil, nicht in Anhang III, weil kein Bereich den kommerziellen Kundenservice erfasst. Der Baum endet bei Frage sechs: Hinweis nach Art. 50 Abs. 1, dazu die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2, wenn der Bot Text erzeugt. Einstufung: Transparenzrisiko, Pflicht seit dem 2. August 2026. Entschiede der Bot über Ratenzahlung, würde Anhang III Nr. 5 Buchst. b ihn hochriskant machen.

2. Lebenslauf-Vorauswahl

Einstieg bei Frage drei, Anhang III Nr. 4. Die Ausnahme aus Frage vier ist vertretbar, solange das Werkzeug nur formale Kriterien prüft. Sobald es bewertet oder sortiert, schließt Frage fünf die Debatte: Profiling, also hochriskant ab dem 2. Dezember 2027. Eine Warnung: Analysiert das Werkzeug Mimik oder Stimme im Videointerview, um auf Emotionen zu schließen, ist das nach Art. 5 Abs. 1 Buchst. f heute schon eine verbotene Praktik. Eine behördliche Positionierung dazu fanden wir im August 2026 nicht.

3. Assistenz in der Kreditentscheidung

Anhang III Nr. 5 Buchst. b, Kreditwürdigkeitsprüfung natürlicher Personen, ohne Betrugserkennung. Keine Ausnahme, weil die Punktzahl die Entscheidung wesentlich beeinflusst und weil Profiling vorliegt. Der Betreiber muss zusätzlich die Grundrechte-Folgenabschätzung nach Art. 27 durchführen. Eine nützliche Grenze: Ein Scoring, das ausschließlich juristische Personen bewertet, liegt außerhalb. Bewertet es den Geschäftsführer als Bürgen mit, kommt es zurück. Mehr zum regulierten Umfeld steht auf unserer Seite zur Softwareentwicklung im Bankensektor.

4. Bildverarbeitung in der Qualitätskontrolle

Ein Kamerasystem sortiert fehlerhafte Teile aus. Frage zwei entscheidet: Ist die Bildverarbeitung Sicherheitsbauteil der Maschine nach der Maschinenverordnung, wäre sie über Anhang I hochriskant, mit Frist 2. August 2028. Sortiert sie nur Qualität und berührt die Maschinensicherheit nicht, fällt sie heraus. Anhang III greift nicht, weil sie über keine natürliche Person entscheidet. Überwachen dieselben Kameras die Arbeitsleistung, kippt Anhang III Nr. 4 das System doch noch.

5. Rechnungsverarbeitung

Eingehende PDF-Rechnung, Datenextraktion, Buchung im Finanzbuchhaltungssystem. Nicht verboten, kein Sicherheitsbauteil, außerhalb jedes Anhang-III-Bereichs. Kein Profiling, denn die Steuernummer eines Lieferanten dient nicht der Vorhersage von Merkmalen einer natürlichen Person. Art. 50 greift ebenfalls nicht. Einstufung: minimales Risiko. Das ist der sauberste der acht Fälle und eine gute Nachricht für den überwiegenden Teil der Automatisierungsprojekte, auch für die E-Rechnung.

6. Leistungsbewertung von Beschäftigten

Anhang III Nr. 4, Leistungsüberwachung und Unterstützung von Entscheidungen über das Beschäftigungsverhältnis. Hier wird die Ausnahme interessant. Ein Bericht, der bereits erfasste Ausgabedaten summiert, ist vertretbar eine eng umgrenzte Verfahrensaufgabe. Ein System, das Kolleginnen und Kollegen gegeneinander sortiert oder ihnen eine Risikopunktzahl gibt, betreibt Profiling und ist hochriskant. Die Grenze verläuft zwischen Berichten und Bewerten.

Auf Betreiberseite kommt Art. 26 hinzu: Vor dem Einsatz am Arbeitsplatz sind die Arbeitnehmervertretung und die betroffenen Beschäftigten zu informieren. In Deutschland und Österreich trifft diese Pflicht auf ein bestehendes Mitbestimmungsregime. Der Betriebsrat wird das Thema lange vor jeder Behörde aufwerfen.

7. Prüfungsbewertung in der Bildung

Anhang III Nr. 3, Bewertung von Lernergebnissen und Überwachung des Verhaltens während Prüfungen. Ein Skript, das einen Multiple-Choice-Test gegen einen Lösungsschlüssel auswertet, ist vertretbar eine eng umgrenzte Verfahrensaufgabe. Ein Sprachmodell, das einen Aufsatz benotet, ist es nicht. Schließt eine Aufsichtssoftware auf den emotionalen Zustand, greift das Verbot aus Art. 5 Abs. 1 Buchst. f für Bildungseinrichtungen. Ob die Abschlussprüfung einer internen Weiterbildung unter Bildung und Berufsbildung fällt, ist ungeklärt.

8. Textgenerator für das Marketing

Produktbeschreibungen, Newsletter und Anzeigentexte aus einem Sprachmodell. Nicht verboten, nicht in Anhang III, kein Profiling. Bei Frage sechs passiert lediglich, dass Art. 50 Abs. 4 die Kennzeichnung KI-erzeugter Texte zu Angelegenheiten von öffentlichem Interesse verlangt. Werbetext über das eigene Produkt gehört nicht dazu. Veröffentlichen Sie dagegen KI-erzeugtes Bild-, Video- oder Audiomaterial über eine reale Person oder ein reales Ereignis, ist das ein Deepfake und nach Art. 50 Abs. 4 zu kennzeichnen.

Was dokumentieren Sie, wenn das System nicht hochriskant ist?

Fällt das System in einen Anhang-III-Bereich, stufen Sie es aber gestützt auf die Ausnahme als nicht hochriskant ein, entstehen zwei Pflichten. Art. 6 Abs. 4 verlangt eine dokumentierte Einstufungsbewertung vor dem Inverkehrbringen oder der Inbetriebnahme, Art. 49 Abs. 2 die Registrierung in der EU-Datenbank.

Dieser Teil fällt aus fast jeder Zusammenfassung heraus, obwohl er die Eintrittsstufe der AI-Act-Compliance bildet. Die Logik ist schlicht: Wer eine Ausnahme in Anspruch nimmt, muss deren Grundlage belegen. Der Omnibus hat die Registrierung auf einen leichteren Verwaltungsaufwand reduziert, gestrichen hat er sie nicht, obwohl der ursprüngliche Kommissionsvorschlag Art. 49 Abs. 2 vollständig entfallen lassen wollte.

Eine brauchbare Bewertung nach Art. 6 Abs. 4 enthält Folgendes.

1. Bezeichnung des Systems und seine Zweckbestimmung, in eigenen Worten formuliert statt aus dem Datenblatt des Anbieters übernommen.
2. Welcher Punkt aus Anhang III in Betracht kam und weshalb die Zweckbestimmung genau darunter fällt.
3. Auf welche der vier Bedingungen aus Art. 6 Abs. 3 Sie sich stützen und welche konkrete Betriebstatsache das trägt.
4. Die Begründung, warum das System das Ergebnis der Entscheidungsfindung nicht wesentlich beeinflusst. Hier beschreiben Sie, was die entscheidende Person sieht und wie oft sie vom Vorschlag abweicht.
5. Der Ausschluss eines Profilings natürlicher Personen. An dieser Stelle scheitern die meisten Bewertungen.
6. Datum, Name der verantwortlichen Person und die Zusage, die Bewertung bei geänderter Zweckbestimmung zu wiederholen.

Die Bewertung ist der zuständigen nationalen Behörde auf Verlangen vorzulegen. Ist das System von vornherein hochriskant, folgen technische Dokumentation nach Anhang IV, Konformitätsbewertung nach Art. 43, Konformitätserklärung nach Art. 47 und CE-Kennzeichnung nach Art. 48. Dieses Paket schlüsseln wir auf unserer Hochrisiko-Checkliste auf.

Wer setzt den AI Act in Deutschland und Österreich durch?

Die Durchsetzung ist national organisiert. Jeder Mitgliedstaat benennt nach Art. 70 eine eigene Marktüberwachungsbehörde und eine zentrale Anlaufstelle. Maßgeblich ist daher, wo Ihr System in Verkehr gebracht wird, nicht wo Ihr Entwicklungsteam sitzt. Die Frist für die Benennung lief bereits am 2. August 2025 ab.

Für Deutschland und Österreich haben wir in unserer Recherche vom 14. August 2026 keine öffentliche Quelle gefunden, die die benannte Behörde nach Art. 70 eindeutig ausweist. Deshalb raten wir hier nicht. Was sich belegen lässt, ist das Verhalten der deutschen Umsetzung im Nachbardossier: Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten, es erfasst rund 30.000 Unternehmen, und das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist verstrichen ist. Steht NIS2 bei Ihnen ebenfalls an, ist unser NIS2-Betroffenheitstest der schnellere Einstieg als der Gesetzestext.

Ein Beispiel aus einem Mitgliedstaat, der bereits benannt hat: In Ungarn ist die Behörde für Künstliche Intelligenz nach dem Gesetz LXXV von 2025 zuständig. Wir nennen das, weil unser Team dort sitzt und lokale Aufsichts- und Meldepflichten für uns Projektroutine sind. Für Ihr Produkt bleibt die deutsche oder österreichische Zuständigkeit maßgeblich.

Die Bußgelder stehen in Art. 99, der Omnibus hat die Stufen nicht angetastet. Verbotene Praktiken: bis zu 35 Mio. EUR oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Verstöße gegen Anbieter-, Betreiber- und Transparenzpflichten: bis zu 15 Mio. EUR oder 3 Prozent. Falsche oder irreführende Auskünfte: bis zu 7,5 Mio. EUR oder 1 Prozent. Für KMU und Start-ups dreht Art. 99 Abs. 6 die Logik um, dort gilt der niedrigere Wert. Der Omnibus hat zusätzlich die Kategorie Small Mid-Cap eingeführt, definiert als weniger als 750 Beschäftigte und höchstens 150 Mio. EUR Umsatz, mit niedrigeren Obergrenzen bei der zweiten und dritten Stufe. Diese Kategorie ist im deutschsprachigen Raum praktisch relevant, weil viele Mittelstandsunternehmen oberhalb der KMU-Schwellen liegen und weit unterhalb der Konzerngröße.

Ein letzter Punkt zur Einordnung. Nach dem KI-Index Mittelstand 2026 des Deutschen Mittelstands-Bunds vom 9. März 2026 setzen 16,6 Prozent der befragten Mittelständler autonome KI-Systeme ein, 2024 waren es 8,7 Prozent. Genau diese Systeme, die eigenständig handeln statt nur zu antworten, sind die, bei denen die Einstufung am schnellsten kippt.

Zusammenfassung und häufige Fragen

Dieser Beitrag dient der Information und ersetzt keine Rechtsberatung im Einzelfall. Die Einstufung hängt immer von der Zweckbestimmung und vom tatsächlichen Verhalten des Systems ab, und die nationale Durchsetzungspraxis bildet sich in der EU gerade erst heraus.

Wenn Sie die Einstufung für Ihre eigenen Systeme durchführen lassen möchten: Unsere Leistung zur AI-Act-Konformität umfasst das KI-Inventar, die Einstufung nach diesen sieben Fragen und die Bewertung nach Art. 6 Abs. 4. Zur Umsetzung Schritt für Schritt haben wir einen eigenen Leitfaden geschrieben.

Quellen

• EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus on AI)
• Europäische Kommission: Regulatory framework for AI
• Future of Privacy Forum (28.07.2026): Zeitleiste nach dem Omnibus
• Gibson Dunn (27.05.2026): die verschobenen Hochrisiko-Fristen
• Freshfields (10.07.2026): die endgültigen Omnibus-Änderungen
• Bird & Bird (2026): der finale Transparency Code of Practice
• AI Act Art. 5: verbotene Praktiken
• AI Act Art. 6: Einstufungsregeln und die Ausnahme
• AI Act Anhang III: die acht Hochrisiko-Bereiche
• AI Act Art. 25: wann aus dem Betreiber ein Anbieter wird
• AI Act Art. 26: Pflichten der Betreiber
• AI Act Art. 27: Grundrechte-Folgenabschätzung
• AI Act Art. 49: Registrierung in der EU-Datenbank
• AI Act Art. 50: Transparenzpflichten
• AI Act Art. 99: Sanktionen
• ifo Institut (05.06.2026): KI-Einsatz in deutschen Unternehmen
• Bitkom (11.03.2026): Digitalisierung der Wirtschaft, 604 befragte Unternehmen ab 20 Beschäftigten
• Deutscher Mittelstands-Bund: KI-Index Mittelstand 2026 (09.03.2026)
• openKRITIS: das deutsche NIS2-Umsetzungsgesetz (BSIG)
• BSI: nach NIS2 regulierte Unternehmen in Deutschland
• Gesetz LXXV von 2025 zur ungarischen Umsetzung des AI Act