EU AI Act Hochrisiko: Was auf Unternehmen jetzt zukommt

Was bedeutet Hochrisiko nach EU AI Act für Unternehmen

Der EU AI Act verpflichtet alle Unternehmen, die Hochrisiko-KI einsetzen, zu streng regulierten Abläufen – nach dem Digital Omnibus ab dem 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I). Hochrisiko-KI umfasst Systeme, die laut Anhang III des Gesetzes besonders sensible Bereiche betreffen – etwa HR-Screenings, Kreditprüfungen, Bewerbungsfilter oder biometrische Systeme. Auch wenn ein Unternehmen KI nur nutzt (und nicht entwickelt), gelten eigene Betreiberpflichten (Art. 26), etwa menschliche Aufsicht und Protokollierung.

Die Einstufung als Hochrisiko-KI löst eine Kaskade an Pflichten aus: Inventar, Risikoklassifizierung, Dokumentation, Governance und fortlaufendes Monitoring. Für viele KMU ist das Neuland, da die Anforderungen rechtlich bindend und finanziell relevant werden. Ohne saubere Umsetzung drohen empfindliche Sanktionen.

Welche Pflichten treffen KMU konkret

KMU sind nicht von den Hochrisiko-Pflichten des EU AI Act befreit, auch wenn es kleine Erleichterungen gibt. Wer Hochrisiko-KI einsetzt, muss folgende Aufgaben erfüllen:

• KI-Inventar: Jedes verwendete System wird erfasst und nach Anhang III klassifiziert.
• Risikobewertung: Für jedes Hochrisiko-System braucht es eine nachvollziehbare Risiko- und Konformitätsbewertung.
• Dokumentation: Vollständige Unterlagen über Funktionsweise, Datennutzung und Entscheidungslogik der KI.
• Governance: Mindestens eine verantwortliche Person mit KI-Kompetenz muss benannt sein.
• Schulungen: Seit Februar 2025 müssen Unternehmen Maßnahmen ergreifen, damit ihr Personal über ausreichende KI-Kompetenz verfügt (Art. 4) – eine bestimmte Schulungsform oder ein Zertifikat ist nicht vorgeschrieben.
• Monitoring und Meldung: Laufende Überwachung und Meldung von Vorfällen an die zuständige Behörde.

Die Hochrisiko-Vorgaben sind verbindlich und werden von den Behörden ab ihrem Geltungsbeginn kontrolliert. Unvollständige Umsetzung kann teuer werden.

Wie läuft die Hochrisiko-Klassifikation ab

Die zentrale Frage: Ist ein KI-System Hochrisiko? Die EU legt das in Anhang III des AI Act fest. Dort stehen konkrete Anwendungsfälle wie HR-Screening, Kreditwürdigkeitsprüfung oder biometrische Identifikation. Ein KI-Inventar ist dafür dringend zu empfehlen: Jedes KI-System im Unternehmen wird systematisch erfasst. Anschließend prüft man, ob es unter die Hochrisiko-Kategorien fällt.

Für die Einordnung empfiehlt sich ein pragmatischer Prozess:

1. Alle KI-Systeme listen (inklusive Tools und externen Services).
2. Anhand der offiziellen Kategorien zuordnen.
3. Dokumentieren, warum ein System als Hochrisiko oder nicht-Hochrisiko bewertet wird.

Die Klassifikation ist nicht nur Papierkram, sondern Grundlage für alle weiteren Compliance-Schritte. Fehler werden spätestens bei einer Prüfung zum Problem.

Kosten und Strafen: Was droht bei Verstößen

Wer Hochrisiko-KI nutzt und die Pflichten nicht erfüllt, muss ab Geltung der Hochrisiko-Pflichten mit empfindlichen Bußgeldern rechnen. Die konkreten Summen sind hoch angesetzt: Bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes (grundsätzlich der höhere Betrag, für KMU der niedrigere) bei Verstößen gegen Hochrisiko-Vorschriften. Bei verbotenen Praktiken wie Social-Scoring oder Emotionserkennung am Arbeitsplatz drohen sogar bis zu 35 Millionen Euro oder 7 % Umsatzstrafe.

In der Praxis bedeutet das: Ein KMU mit 20 Millionen Euro Umsatz riskiert ein Bußgeld von rund 600.000 Euro bei Verstößen. Die durchschnittlichen laufenden Konformitätskosten für Hochrisiko-KI liegen oft bei 10–20 % der KI-Investitionen. Der finanzielle Hebel ist also erheblich – und die Behörden werden prüfen.

Beispiel aus der Praxis: Bewerbungsfilter als Hochrisiko-KI

Nehmen wir ein typisches Szenario: Ein mittelständisches Unternehmen setzt ein KI-Tool zur Vorauswahl von Bewerbungen ein. Laut EU AI Act fällt diese Anwendung unter Hochrisiko-KI (Anhang III: Zugang zu Beschäftigung). Das Unternehmen muss nun:

• Das System ins KI-Inventar aufnehmen und als Hochrisiko klassifizieren.
• Eine Risiko- und Konformitätsbewertung durchführen.
• KI-Kompetenz der Nutzer fördern und die Maßnahmen sinnvollerweise dokumentieren.
• Eine verantwortliche Person für KI-Kompetenz benennen.
• Ein laufendes Monitoring etablieren und dokumentieren.

Wer diesen Aufwand unterschätzt oder verzögert, läuft in eine Compliance-Falle – und riskiert Bußgelder. Die Praxis zeigt: Schon einfache KI-Anwendungen können unter die Hochrisiko-Pflicht fallen.