RECHTSGRUNDLAGE VO (EU) 2026/1744 · IN KRAFT SEIT 27.07.2026
In welche Risikoklasse fällt Ihr KI-System?
Die KI-Verordnung reguliert nicht Technologie, sondern Verwendung. Dasselbe Sprachmodell kann minimal reguliert oder hochrisikoreich sein – je nachdem, wofür es eingesetzt wird. Die Einstufung ist deshalb kein technisches, sondern ein organisatorisches Thema.
Seit dem Omnibus
Die Hochrisiko-Definition wurde enger gefasst
Seit dem Omnibus
Der Digital Omnibus hat zwei Dinge geändert, die zusammen die praktische Reichweite der Hochrisiko-Klasse verringern.
Erstens die Definition. Ein System der Anhang-III-Bereiche gilt nur dann als hochrisikoreich, wenn ein Ausfall tatsächlich Risiken für Gesundheit oder Sicherheit verursachen kann. Rein unterstützende oder vorbereitende Funktionen fallen damit häufiger heraus als zuvor.
Zweitens die Doppelregulierung. Die Kommission kann KI-spezifische Anforderungen einschränken, wenn sektorale Regelungen bereits gleichwertigen Schutz bieten. Für regulierte Branchen kann das erhebliche Erleichterung bedeuten.
Beides entlastet – verlagert die Arbeit aber auf die Begründung. Wer sich auf die engere Definition beruft, muss die Einstufung dokumentieren können. Eine nicht dokumentierte Einstufung ist im Prüfungsfall keine Einstufung.
Anhang III
Wo Hochrisiko im Alltag entsteht
Anhang III
Anhang III listet die Anwendungsbereiche, in denen eigenständige KI-Systeme als hochrisikoreich gelten können. Für Unternehmen außerhalb regulierter Produktbranchen sind vor allem diese relevant:
- →Beschäftigung und Personalmanagement. Bewerbervorauswahl, Eignungsbewertung, Entscheidungen über Beförderung oder Beendigung, Aufgabenzuweisung. Der in der Praxis häufigste Hochrisiko-Fall – und einer, der oft rein intern stattfindet.
- →Zugang zu wesentlichen Dienstleistungen. Kreditwürdigkeitsprüfung, Risikobewertung in der Lebens- und Krankenversicherung, Priorisierung von Notrufen.
- →Allgemeine und berufliche Bildung. Zugangsentscheidungen, Bewertung von Lernergebnissen, Überwachung von Prüfungen.
- →Biometrie. Soweit nicht bereits nach Artikel 5 verboten.
- →Kritische Infrastruktur, Strafverfolgung, Migration, Justiz. Für die meisten Unternehmen nicht einschlägig.
Vorgehen
Wie die Einstufung praktisch abläuft
Vorgehen
- 1Inventar statt Einzelfallprüfung. Zuerst die vollständige Liste aller eingesetzten KI-Systeme – einschließlich der KI-Funktionen in zugekaufter Standardsoftware. Ohne diese Liste ist jede Einstufung unvollständig.
- 2Verwendung erfassen, nicht Technologie. Für jedes System: Wofür wird es konkret eingesetzt, welche Entscheidung beeinflusst es, wen betrifft diese Entscheidung.
- 3Gegen Artikel 5 und Anhang III prüfen. Erst Verbot, dann Hochrisiko, dann Transparenz. In dieser Reihenfolge, weil die erste Stufe die anderen erledigt.
- 4Einstufung begründen und datieren. Besonders bei negativem Ergebnis. Die Begründung ist der Nachweis – nicht das Ergebnis.
Der zeitliche Druck ist bei den Hochrisiko-Anforderungen geringer geworden: Anhang III gilt ab 2. Dezember 2027, Anhang I ab 2. August 2028. Die Einstufung selbst sollte trotzdem jetzt erfolgen – weil sie darüber entscheidet, ob überhaupt Vorbereitungszeit nötig ist, und weil Bestandsschutz nur nachweisen kann, wer den Ausgangszustand dokumentiert hat.
Nächster Schritt
Sprechen wir über Ihr Vorhaben.
Im unverbindlichen Erstgespräch klären wir Ausgangslage, Ziele und die nächsten sinnvollen Schritte.
oder direkt an office@ai-bd.at