Vorlage zur Risikoklassifizierung nach dem EU AI Act
Klassifizieren Sie jedes KI-System, das Sie nutzen oder entwickeln
Der EU AI Act führt vier Risikostufen für KI-Systeme ein, jede mit unterschiedlichen Compliance-Pflichten. Diese Vorlage hilft Ihnen, jedes KI-System in Ihrem Portfolio zu klassifizieren, zu verstehen, was für jede Stufe erforderlich ist, und die Nachweisbasis aufzubauen, die Sie für die Compliance benötigen. Gilt für Organisationen, die KI in der EU einsetzen, unabhängig davon, wo sie ihren Sitz haben. Im Juli 2026 aktualisiert, um den Digital-Omnibus vom Juni 2026 und die verschobenen Hochrisiko-Fristen abzubilden.
Schneller Entscheidungsbaum zur Klassifizierung
Compliance-Zeitplan
Der EU-Digital-Omnibus, im Juni 2026 formell verabschiedet, hat die Hochrisiko-Fristen verschoben, ohne die Verbote, die GPAI-Pflichten oder die Transparenzpflichten anzutasten. Dies sind die Termine, die für die Klassifizierung zählen.
Referenzleitfaden für Risikostufen
Inakzeptables Risiko
VerbotenKI-Systeme, die eine klare Bedrohung für Grundrechte, Sicherheit oder EU-Werte darstellen. Diese Praktiken sind ab dem 2. Februar 2025 verboten. Der Digital-Omnibus vom Juni 2026 hat ein weiteres Verbot für KI ergänzt, die nicht einvernehmliche intime Darstellungen oder Material über sexuellen Kindesmissbrauch generiert, gültig ab dem 2. Dezember 2026.
- •Biometrische Kategorisierungssysteme, die aus biometrischen Daten sensible Merkmale (Herkunft, politische Meinung, Religion, sexuelle Orientierung) ableiten
- •Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen durch Strafverfolgungsbehörden (mit engen Ausnahmen)
- •Social-Scoring-Systeme öffentlicher Stellen, die zu nachteiliger Behandlung führen
- •KI-Systeme, die Schwachstellen (Alter, Behinderung, soziale/wirtschaftliche Lage) ausnutzen, um Verhalten zu manipulieren
- •Unterschwellige Techniken, die das Bewusstsein umgehen, um Verhalten zu verzerren und Schaden zu verursachen
- •Vorausschauende Polizeiarbeit, die ausschließlich auf Profiling oder Persönlichkeitsmerkmalen beruht (nicht auf objektiven, überprüfbaren Fakten)
- •KI-Systeme, die nicht einvernehmliche intime Darstellungen oder Material über sexuellen Kindesmissbrauch generieren (Verbot durch den Digital-Omnibus vom Juni 2026 ergänzt, gilt ab dem 2. Dezember 2026)
- Nutzung sofort einstellen
- Nicht beschaffen oder bereitstellen
- Überprüfung und Begründung des Ausschlusses dokumentieren
Hohes Risiko
Vollständige Compliance erforderlichKI-Systeme, die in kritischen Sektoren oder sicherheitsrelevanten Anwendungen eingesetzt werden. Vor dem Inverkehrbringen strengen Anforderungen unterworfen. Eigenständige Annex-III-Systeme müssen ab dem 2. Dezember 2027 konform sein, in regulierte Produkte nach Annex I eingebettete KI ab dem 2. August 2028 (Fristen durch den Digital-Omnibus vom Juni 2026 verschoben).
- •Biometrische Identifizierung und Kategorisierung (Annex III, 1)
- •Management kritischer Infrastruktur: Strom, Wasser, Gas, Verkehr (Annex III, 2)
- •Bildungs-/Berufsbewertung, die den Zugang zu Einrichtungen bestimmt (Annex III, 3)
- •Beschäftigungsentscheidungen: Rekrutierung, Lebenslauf-Screening, Aufgabenverteilung, Beförderung, Kündigung (Annex III, 4)
- •Zugang zu wesentlichen Diensten: Kreditscoring, Versicherungsrisikobewertung, Notrufdisposition (Annex III, 5)
- •Strafverfolgung: individuelle Risikobewertung, Polygraf, Kriminalitätsanalyse (Annex III, 6)
- •Verwaltung von Migration, Asyl und Grenzkontrolle (Annex III, 7)
- •Rechtspflege und demokratische Prozesse (Annex III, 8)
- Risikomanagementsystem (laufend, dokumentiert)
- Daten-Governance und Dokumentation der Trainingsdaten
- Technische Dokumentation (vor dem Inverkehrbringen)
- Aufzeichnung und automatische Protokollierung von Ereignissen
- Transparenz und Bereitstellung von Informationen für Betreiber
- Maßnahmen zur menschlichen Aufsicht, die durch Design eingebaut sind
- Anforderungen an Genauigkeit, Robustheit und Cybersicherheit
- EU-Konformitätsbewertung (Selbstbewertung oder durch Dritte)
- Registrierung in der EU-Datenbank (Art. 71)
- CE-Kennzeichnung und Konformitätserklärung
- System zur Marktüberwachung nach dem Inverkehrbringen
- Vorfallmeldung an nationale Behörden
Begrenztes Risiko
TransparenzpflichtenKI-Systeme mit spezifischen Transparenzrisiken. Nutzer müssen darüber informiert werden, dass sie mit KI interagieren. Diese Pflichten gelten ab dem 2. August 2026; generative Systeme, die vor diesem Datum bereits auf dem Markt sind, haben bis zum 2. Dezember 2026 Zeit, die maschinenlesbare Kennzeichnungspflicht nach Artikel 50 Absatz 2 zu erfüllen.
- •Chatbots und virtuelle Assistenten, die mit natürlichen Personen interagieren
- •Emotionserkennungssysteme (Offenlegung gegenüber Personen erforderlich)
- •Deepfake-Bilder, -Audio oder -Videoinhalte, die von KI generiert werden
- •KI-generierter Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren
- •Biometrische Kategorisierungs- oder Emotionserkennungssysteme, die nicht unter Annex III fallen
- Nutzer darüber informieren, dass sie mit einem KI-System interagieren (sofern es sich nicht aus dem Kontext ergibt)
- KI-generierte Inhalte (Bilder, Audio, Video, Text) als künstlich generiert kennzeichnen
- Technische Lösungen zur Herkunft von Inhalten umsetzen (Wasserzeichen empfohlen)
Minimales Risiko
Keine verpflichtenden AnforderungenDie überwiegende Mehrheit der heute genutzten KI-Systeme fällt hierunter. Keine verpflichtenden Anforderungen des EU AI Act über das allgemeine Recht hinaus (DSGVO, Produkthaftung, Verbraucherschutz). Freiwillige Verhaltenskodizes werden empfohlen.
- •KI-gestützte Spam-Filter
- •KI-gestützte Bestandsverwaltung
- •Produktempfehlungsmaschinen
- •KI-basierte Inhaltsmoderation (außerhalb von Beschäftigung und öffentlichen Diensten)
- •Business-Intelligence- und Analysetools
- •KI-Schreibassistenten für den internen Gebrauch (keine öffentlich zugänglichen Nachrichten)
- •KI-gestützte Terminplanung und Logistikoptimierung
- Keine verpflichtenden Pflichten nach dem EU AI Act
- Einen freiwilligen KI-Verhaltenskodex in Betracht ziehen
- Standardmäßige DSGVO- und Datenschutzpflichten gelten weiterhin
- Klassifizierungsbegründung für Auditzwecke dokumentieren
Automatisieren Sie Ihre Compliance mit dem EU AI Act
Aona AI erkennt jedes KI-Tool in Ihrem Unternehmen, klassifiziert es nach Risiko und bietet Ihnen die vom EU AI Act geforderten Governance-Kontrollen.