Die Verordnung regelt nicht Technik, sondern Verwendung. Deshalb hat kein Werkzeug „eine“ Risikoklasse — dasselbe Sprachmodell kann für Textentwürfe unkritisch und für die Vorsortierung von Bewerbungen Hochrisiko sein. Hier steht, wie Sie das für Ihren Fall sauber entscheiden und begründen.
Die Verordnung arbeitet mit einem abgestuften Ansatz. Je höher das Risiko für Grundrechte, Gesundheit und Sicherheit, desto strenger die Pflichten.
| Stufe | Rechtsgrundlage | Folge |
|---|---|---|
| Verboten | Artikel 5 | Einsatz unzulässig. Höchster Bußgeldrahmen: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes |
| Hochrisiko | Artikel 6 in Verbindung mit Anhang I und Anhang III | Umfangreiche Pflichten für Anbieter, begrenzte für Betreiber. Geltung ab 02.12.2027 bzw. 02.08.2028 |
| Transparenzpflicht | Artikel 50 | Offenlegung gegenüber Nutzern und Öffentlichkeit. Gilt seit dem 2. August 2026 |
| Minimales Risiko | — | Keine besonderen Pflichten aus der Verordnung. Datenschutz, Urheberrecht und Vertragsrecht gelten weiter |
Wichtig für die Einordnung: Die Stufen schließen einander nicht aus. Ein Hochrisiko-System kann zusätzlich transparenzpflichtig sein. Und ein System mit minimalem Risiko nach der KI-Verordnung kann datenschutzrechtlich sehr wohl heikel sein.
Die meisten der acht Verbotstatbestände zielen auf staatliches Handeln oder auf Anwendungen, die im Mittelstand nicht vorkommen: Social Scoring, unterschwellige Beeinflussung, Ausnutzung von Schutzbedürftigkeit, biometrische Kategorisierung nach sensiblen Merkmalen, ungezieltes Auslesen von Gesichtsbildern, vorhersagende Polizeiarbeit.
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist untersagt — mit engen Ausnahmen für medizinische Zwecke und Sicherheitsgründe. Das betrifft mehr Produkte, als man denkt: Analyse der Stimmlage in der Telefonie, Auswertung von Gesichtsausdrücken in Videointerviews, „Stimmungsanalyse“ von Beschäftigten in Kollaborationswerkzeugen.
Wenn ein Anbieter Ihnen so etwas als Zusatzfunktion anbietet: nicht aktivieren, und die Ablehnung dokumentieren. Dieser Punkt ist bußgeldbewehrt mit dem höchsten Rahmen der Verordnung.
Zwei Wege führen in diese Stufe.
Weg A (Anhang I): Die KI ist Sicherheitsbauteil eines Produkts, das nach EU-Harmonisierungsrecht einer Konformitätsbewertung unterliegt — Maschinen, Medizinprodukte, Aufzüge, Spielzeug, Druckgeräte und weitere. Wer solche Produkte herstellt, sollte diesen Weg mit seiner Benannten Stelle klären.
Weg B (Anhang III): Der praktisch häufigere. Anhang III führt acht Bereiche auf:
Für den Mittelstand sind praktisch nur die Nummern 4 und 5 relevant. Alles andere betrifft Behörden, Banken, Versicherungen oder Betreiber kritischer Infrastruktur.
Erfasst sind unter anderem Systeme zur Personalauswahl, insbesondere zur gezielten Schaltung von Stellenanzeigen, zur Analyse und Filterung von Bewerbungen und zur Bewertung von Bewerbern; ferner Systeme für Entscheidungen über Beförderung und Kündigung, für die Zuweisung von Aufgaben und für die Überwachung und Bewertung von Leistung und Verhalten.
Der häufigste Irrtum lautet: „Am Ende entscheidet ein Mensch, also ist es unkritisch.“ Das trägt nicht. Wer aus zweihundert Bewerbungen zwanzig vorsortiert, prägt die Entscheidung. Genau diese Vorsortierung ist gemeint.
Ein System, das unter Anhang III fällt, gilt ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, weil es
Ausgenommen von der Ausnahme: Führt das System ein Profiling natürlicher Personen durch, bleibt es stets hochriskant. Wer sich auf eine der vier Ausnahmen stützt, muss die Einschätzung zudem dokumentieren — das ist keine stillschweigende Befreiung.
Ehrlich gesagt: Diese Ausnahmen sind eng, und die Abgrenzung ist im Einzelfall umstritten. Eine Bewerbungssoftware, die Kandidaten nach Passung sortiert, fällt nach hier vertretener Auffassung nicht darunter, weil sie die menschliche Bewertung sehr wohl beeinflusst. Wer sich auf eine Ausnahme stützen möchte, sollte das anwaltlich absichern.
Diese Stufe ist die einzige, die Anwenderbetriebe seit dem 2. August 2026 unmittelbar und sichtbar trifft. Erfasst sind Systeme, die mit Menschen interagieren, Inhalte erzeugen oder Deepfakes produzieren. Für Betreiber ist vor allem Artikel 50 Absatz 4 Satz 1 einschlägig: die Offenlegung von Deepfakes.
Die Einzelheiten — wer welchen Absatz erfüllen muss, was ein Deepfake im Sinne von Artikel 3 Nummer 60 ist und warum normale Marketingtexte nicht kennzeichnungspflichtig sind — stehen unter Kennzeichnungspflicht nach Artikel 50. Fertige Kennzeichen in drei Sprachen finden Sie kostenlos unter KI-Kennzeichen.
Hier landet die große Mehrheit der Werkzeuge im Büroalltag: Rechtschreib- und Grammatikhilfe, Übersetzung, Zusammenfassung, Ideensammlung, Terminvorschläge, Bildbearbeitung ohne Personenbezug. Aus der KI-Verordnung folgen daraus keine besonderen Pflichten — abgesehen von der allgemeinen Kompetenzpflicht aus Artikel 4, die für jeden KI-Einsatz gilt.
Das heißt nicht „unkritisch“. Datenschutz, Urheberrecht, Geschäftsgeheimnisschutz und Vertragspflichten gelten unabhängig von der Risikoklasse weiter.
Für die Schritte 3 bis 5 stellt die Bundesnetzagentur einen kostenlosen interaktiven KI-Kompass bereit. Er ersetzt keine rechtliche Prüfung, ist aber ein guter Gegencheck für die eigene Einschätzung.
Nicht die Klasse ist der Nachweis, sondern die Begründung. Vier Zeilen genügen:
„Werkzeug: [Name]. Zweck: [ein präziser Satz]. Geprüft am [Datum] anhand Artikel 5, Anhang III und Artikel 50. Ergebnis: [Klasse], weil [Begründung in einem Satz]. Nächste Überprüfung: [Datum].“
Ein Prüfer fragt nicht „Welche Klasse?“, sondern „Wie kommen Sie darauf?“. Wer diese vier Zeilen im KI-Inventar stehen hat, beantwortet die Frage in dreißig Sekunden.
| Annahme | Warum sie nicht trägt |
|---|---|
| „ChatGPT ist Hochrisiko-KI.“ | Nein. Ein Allzweck-Sprachmodell ist als solches nicht hochriskant. Hochriskant wird die Anwendung, wenn sie in einen Bereich des Anhangs III fällt. Für Allzweckmodelle gelten eigene Regeln, die die Anbieter treffen, nicht die Nutzer. |
| „Ein Mensch entscheidet am Ende, also ist es unkritisch.“ | Vorsortierung prägt die Entscheidung. Anhang III erfasst ausdrücklich Filterung und Bewertung, nicht nur die abschließende Entscheidung. |
| „Wir nutzen nur, wir entwickeln nicht — uns betrifft das nicht.“ | Betreiber haben eigene Pflichten. Und wer ein System unter eigenem Namen anbietet oder wesentlich verändert, kann nach Artikel 25 selbst zum Anbieter werden. |
| „Hochrisiko ist verschoben, also müssen wir nichts tun.“ | Verschoben sind die Hochrisiko-Pflichten. Die Einstufung und Dokumentation sollten jetzt stehen — sonst fehlt Ihnen 2027 die Vorlaufzeit, und im Lieferantenfragebogen fehlt die Antwort heute. |
| „Wir haben ein Zertifikat, damit ist die Klasse geklärt.“ | Es gibt kein Zertifikat, das eine Risikoklasse feststellt. Die Einstufung ist eine Rechtsanwendung im Einzelfall und liegt beim Unternehmen. |
| „Das Werkzeug hat eine Klasse, die gilt überall bei uns.“ | Die Klasse hängt am Verwendungszweck. Dasselbe Werkzeug kann im Marketing minimal und in der Personalabteilung hochriskant sein. Führen Sie die Einträge deshalb je Zweck, nicht je Werkzeug. |
Ob die Einstufungen bei Ihnen dokumentiert sind, ist einer der zehn Punkte im kostenlosen Quick-Check.
Vier: verbotene Praktiken nach Artikel 5, Hochrisiko-Systeme nach Artikel 6 in Verbindung mit Anhang I und III, Systeme mit Transparenzpflichten nach Artikel 50 und Systeme mit minimalem Risiko ohne besondere Pflichten. Die Stufen schließen einander nicht aus — ein Hochrisiko-System kann zusätzlich transparenzpflichtig sein.
Als solches nicht. Ein Allzweck-Sprachmodell ist nicht per se hochriskant; für Allzweckmodelle gelten eigene Regeln, die vor allem die Anbieter treffen. Hochriskant wird erst die konkrete Anwendung, wenn ihr Zweck in einen Bereich des Anhangs III fällt — etwa die Vorsortierung von Bewerbungen.
Praktisch nur zwei: Beschäftigung und Personalmanagement (Nummer 4) sowie der Zugang zu wesentlichen Diensten einschließlich Kreditwürdigkeitsprüfung (Nummer 5). Die übrigen sechs Bereiche betreffen Behörden, Banken, Versicherungen, Bildungseinrichtungen oder Betreiber kritischer Infrastruktur.
In der Regel ja. Anhang III erfasst ausdrücklich die Analyse und Filterung von Bewerbungen sowie die Bewertung von Personen, nicht erst die abschließende Entscheidung. Wer aus zweihundert Bewerbungen zwanzig vorsortiert, beeinflusst die Entscheidung — das genügt.
Der praktisch relevanteste Tatbestand ist das Verbot der Emotionserkennung am Arbeitsplatz, mit engen Ausnahmen für medizinische und Sicherheitszwecke. Betroffen sind etwa Stimmungsanalysen in Kollaborationswerkzeugen, Stimmlagenanalyse in der Telefonie und die Auswertung von Gesichtsausdrücken in Videointerviews.
Ja. Verschoben sind die Hochrisiko-Pflichten auf Dezember 2027 beziehungsweise August 2028, nicht die Notwendigkeit zu wissen, wo Sie stehen. Ohne dokumentierte Einstufung fehlt Ihnen die Vorlaufzeit für einen möglichen Werkzeugwechsel — und im Lieferantenfragebogen fehlt die Antwort schon heute.
Es gibt keine Behörde und kein Zertifikat, das die Klasse für Sie feststellt. Die Einstufung ist eine Rechtsanwendung, die das Unternehmen selbst vornimmt und begründet. Der kostenlose KI-Kompass der Bundesnetzagentur ist ein guter Gegencheck, ersetzt aber keine rechtliche Prüfung.
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlos