Hochrisiko-KI: Erst prüfen, dann handeln
Hochrisiko-KI-Systeme sind nicht einfach „besonders intelligente“ Tools. Entscheidend ist, wofür ein KI-System eingesetzt wird und welche Folgen es für Menschen haben kann. Der EU AI Act schaut deshalb nicht auf den Hype. Er schaut auf Einsatzbereich, Zweck, Kontrolle und Risiko. Für Mittelständler heißt das: Erst den KI-Bestand sichtbar machen. Dann jedes System sauber einordnen. Erst danach über Pflichten, Dokumentation und Technik sprechen.
Das klingt trocken. Ist es aber nicht. In vielen Unternehmen liegt genau hier der Unterschied zwischen sinnvoller KI-Nutzung und späterem Aufräumen unter Zeitdruck.
Die Europäische Kommission hat 2026 zusätzliche Orientierung zur Einstufung von Hochrisiko-Systemen veröffentlicht. Die Leitlinien sollen Anbietern und Betreibern helfen, KI-Systeme als Hochrisiko oder nicht Hochrisiko einzuordnen. Sie sind nicht selbst das Gesetz, zeigen aber klar, wie die Kommission die Prüfung versteht. Gleichzeitig verschiebt sich die praktische Umsetzung durch die politische Einigung zum AI Omnibus für bestimmte Hochrisiko-Bereiche weiter nach hinten. Das ist kein Freifahrtschein. Es ist Vorbereitungszeit.
Was sind Hochrisik-KI-Systeme?
Der EU AI Act arbeitet risikobasiert. Nicht jede KI ist gleich gefährlich. Manche Nutzung ist verboten. Viele Anwendungen bleiben mit wenigen Transparenzpflichten möglich. Dazwischen liegt die Hochrisiko-Kategorie. Dort wird es ernst.
Ein KI-System kann vor allem aus zwei Gründen Hochrisiko sein. Erstens: Es steckt als sicherheitsrelevanter Bestandteil in einem regulierten Produkt. Denken Sie an Maschinen, Medizinprodukte oder bestimmte Fahrzeuge. Zweitens: Es fällt in einen sensiblen Einsatzbereich, etwa Beschäftigung, Bildung, kritische Infrastruktur, Zugang zu wichtigen Leistungen oder bestimmte biometrische Anwendungen.
Für den Mittelstand ist der zweite Fall oft näher. Nicht der große Roboter in der Produktionshalle ist das erste Problem. Sondern das HR-Tool, das Bewerbungen vorsortiert. Das System, das Schichtpläne optimiert und Menschen indirekt bewertet. Oder eine KI, die Kundenanfragen priorisiert, wenn daraus faktisch ein Zugang zu Leistungen entsteht.
Warum die neue EU-Orientierung wichtig ist
Am 19. Mai 2026 hat die Europäische Kommission Entwürfe für Leitlinien zur Einstufung von Hochrisiko-KI veröffentlicht. Die öffentliche Fassung nennt Beispiele und erklärt, wie Anbieter und Betreiber den Hochrisiko-Begriff anwenden sollen. Auf der offiziellen AI-Act-Seite beschreibt die Kommission den Zweck sehr klar: Die Leitlinien sollen helfen, zu prüfen, ob ein KI-System Hochrisiko ist. Sie enthalten Beispiele, sind aber nicht abschließend.
Wichtig ist auch der aktuelle Zeitplan. Laut AI Act Service Desk gelten die Regeln schrittweise. Viele Regelungen starten zum 2. August 2026. Die Kommission beschreibt nach der politischen Einigung zum AI Omnibus aber eine neue Linie für Hochrisiko-Systeme: bestimmte Bereiche wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration, Asyl und Grenzkontrolle sollen ab 2. Dezember 2027 greifen. Produktintegrierte Systeme, etwa in Maschinen oder Spielzeug, sollen ab 2. August 2028 folgen.
Für Unternehmen ist die Botschaft einfach: Die Uhr tickt nicht für jedes System gleich. Aber sie tickt.
Die fünf Fragen für die erste Risikoklassifizierung
Ein gutes KI-Inventar ist kein Excel-Friedhof. Es ist die Landkarte. Ohne sie diskutiert das Unternehmen über Pflichten, ohne zu wissen, welche Systeme überhaupt gemeint sind.
1. Wofür wird das KI-System konkret genutzt?
Der Zweck entscheidet. Ein Chatbot für interne Textentwürfe ist etwas anderes als ein Tool, das Bewerber rankt. Dasselbe Modell kann je nach Einsatz harmlos oder heikel werden. Deshalb reicht der Toolname nicht. Dokumentieren Sie den konkreten Use Case.
2. Trifft das System Entscheidungen oder bereitet es sie vor?
Viele Anbieter sagen: „Die KI entscheidet nicht, der Mensch entscheidet.“ Das stimmt manchmal. Manchmal ist es nur ein Feigenblatt. Wenn Menschen den KI-Vorschlag fast immer übernehmen, prägt das System die Entscheidung. Genau das muss in die Prüfung.
3. Betrifft der Einsatz sensible Bereiche?
Beschäftigung, Bildung, Kreditwürdigkeit, öffentliche Leistungen, kritische Infrastruktur und biometrische Identifikation verdienen besondere Aufmerksamkeit. Wer in solchen Feldern KI einsetzt, sollte nicht warten, bis die Rechtsabteilung irgendwann zufällig darüber stolpert.
4. Welche Daten fließen hinein?
DSGVO und EU AI Act laufen nicht getrennt nebeneinander her. Wenn personenbezogene Daten, Gesundheitsdaten, Leistungsdaten oder Beschäftigtendaten verarbeitet werden, steigt das Risiko. Die BfDI hat 2026 noch einmal deutlich gemacht, dass KI-Modelle und personenbezogene Daten praktisch zusammengedacht werden müssen.
5. Was passiert, wenn das System falsch liegt?
Ein falscher Textvorschlag ist ärgerlich. Eine falsche Absage, ein schlechter Risikoscore oder eine unfaire Leistungsbewertung kann Menschen ernsthaft treffen. Genau diese Schadenslogik gehört in die Bewertung.
Welche Pflichten bei Hochrisiko-KI relevant werden
Wenn ein System als Hochrisiko eingestuft wird, reicht eine allgemeine KI-Richtlinie nicht mehr. Dann braucht es ein belastbares Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenzinformationen, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit.
Für Betreiber ist besonders wichtig: Sie müssen das System so einsetzen, wie es vorgesehen ist. Sie müssen die menschliche Aufsicht organisieren. Sie müssen Eingabedaten im Blick behalten. Und sie müssen Vorfälle erkennen können. Das ist kein Papierstapel für den Schrank. Es verändert Prozesse.
Der gute Teil: Wer früh anfängt, muss nicht alles auf einmal bauen. Erst das Inventar. Dann die Einstufung. Dann die Lücken. Dann der Umsetzungsplan.
Was Mittelständler jetzt tun sollten
Beginnen Sie mit einem nüchternen 90-Minuten-Schritt: Listen Sie alle KI-Systeme, die produktiv genutzt werden. Also Copilot, ChatGPT, CRM-Funktionen, HR-Software, Analysefunktionen oder auch selbst gebaute Automationen.
Danach bekommt jedes System fünf Felder: Zweck, Nutzergruppe, Datenarten, Entscheidungsnähe und möglicher Schaden. Daraus entsteht eine erste Ampel. Grün heißt: normale Governance reicht. Gelb heißt: genauer prüfen. Rot heißt: Hochrisiko-Verdacht oder sofortiger Handlungsbedarf.
Genau dafür ist die KI-Reifeprüfung nützlich. Sie bringt Ordnung in den Bestand. Der KI-Governance Leitfaden hilft danach, Regeln, Rollen und Kontrollen aufzubauen. Und wenn daraus ein konkreter Fahrplan werden soll, passt ein kurzer Termin: kostenloses Erstgespräch buchen.
Der wichtigste Fehler: zu früh in Dokumente springen
Viele Unternehmen beginnen mit einer Richtlinie. Das wirkt produktiv. Ist aber oft zu früh. Eine Richtlinie ohne KI-Inventar bleibt allgemein. Allgemein heißt: niemand fühlt sich gemeint.
Besser ist der umgekehrte Weg. Erst die echten Systeme. Dann die echten Risiken. Dann klare Regeln für die Menschen, die damit arbeiten. Das ist weniger elegant. Aber es funktioniert.
Hochrisiko-KI-Systeme sind kein Spezialproblem für Konzerne. Sie entstehen dort, wo KI echte Auswirkungen auf Menschen, Sicherheit oder Grundrechte hat. Auch im Mittelstand. Wer das sauber prüft, gewinnt doppelt: weniger Risiko und bessere Entscheidungen.
FAQ zu Hochrisiko KI Systemen
Was sind Hochrisiko KI Systeme?
Hochrisiko KI Systeme sind KI-Anwendungen, die nach dem EU AI Act in besonders sensiblen Bereichen eingesetzt werden oder als sicherheitsrelevanter Bestandteil regulierter Produkte dienen. Entscheidend ist der konkrete Einsatzzweck, nicht der Name des Tools.
Muss jedes Unternehmen sofort alle Hochrisiko-Pflichten erfüllen?
Nein. Die Pflichten greifen gestaffelt und hängen vom Systemtyp ab. Trotzdem sollten Unternehmen jetzt ein KI-Inventar und eine erste Risikoeinordnung aufbauen. Ohne diese Grundlage lässt sich später keine belastbare Compliance herstellen.
Wie prüft ein Mittelständler, ob ein KI-System Hochrisiko ist?
Starten Sie mit Zweck, Daten, Nutzergruppe, Entscheidungsnähe und möglichem Schaden. Danach prüfen Sie, ob der Einsatz in einen Hochrisiko-Bereich des EU AI Act fällt. Bei Treffern oder Unsicherheit gehört das System in eine vertiefte Prüfung.