Die Risikoklassen der KI-Verordnung, erklärt.

Die KI-Verordnung regelt „KI“ nicht als eine einzige Sache. Sie teilt KI-Systeme nach dem Risiko ihres Einsatzes für Menschen in vier Klassen ein, und die Klasse entscheidet, was Sie bis wann tun müssen. Die meisten Produkte landen in den unteren beiden. Die eigentliche Arbeit besteht darin zu wissen, welche Klasse Ihre ist, und das begründen zu können.

Die Klasse folgt dem Einsatzzweck, nicht der Technologie. Dasselbe Modell kann im Spamfilter ein minimales Risiko sein und hochriskant, sobald es Bewerbungen rankt. Prüfen Sie ein System mit dem kostenlosen 2-Minuten-Check, um zu sehen, wo es voraussichtlich landet.

Die vier Klassen im Überblick

Unannehmbares Risiko: verbotene Praktiken

Artikel 5 zählt Praktiken auf, die die Verordnung als klare Bedrohung für Sicherheit oder Grundrechte einstuft. Dazu gehören Social Scoring, das zu ungerechter Behandlung führt, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (außer aus medizinischen oder Sicherheitsgründen), das ungezielte Auslesen von Gesichtsbildern für Gesichtserkennungsdatenbanken, Manipulation, die Schwächen von Menschen ausnutzt, und die Vorhersage von Straftaten allein auf Grundlage von Profiling. Auch biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen zu Strafverfolgungszwecken ist verboten, mit engen Ausnahmen.

Für eine verbotene Praxis gibt es keinen Weg zur Konformität: Keine Dokumentation macht sie zulässig. Die Verbote gelten seit 2. Februar 2025, und seit 2. August 2026 können Behörden dafür Bußgelder verhängen. Kommt eine Funktion einer dieser Praktiken nahe, lohnt sich vor dem Start eine fachkundige Prüfung.

Hohes Risiko: erlaubt, mit den strengsten Pflichten

Ein System ist auf einem von zwei Wegen hochriskant. Entweder wird es in einem der acht Bereiche aus Anhang III eingesetzt, etwa Personalauswahl und Beschäftigung, Kreditwürdigkeit, Bildung, Zugang zu wesentlichen Dienstleistungen, Biometrie oder kritische Infrastruktur. Oder es ist ein Sicherheitsbauteil eines Produkts, das bereits unter EU-Produktrecht fällt, zum Beispiel Maschinen oder Medizinprodukte (Anhang I).

Den Großteil der Arbeit tragen die Anbieter von Hochrisikosystemen: Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Cybersicherheit, Qualitätsmanagementsystem, Konformitätsbewertung, CE-Kennzeichnung und Registrierung in der EU-Datenbank. Betreiber haben eigene, leichtere Pflichten, etwa das System gemäß Betriebsanleitung zu verwenden und eine menschliche Aufsicht zu benennen.

Nach dem Omnibus-Paket vom Juni 2026 gelten diese Pflichten ab 2. Dezember 2027 für Systeme nach Anhang III und ab August 2028 für Produkte nach Anhang I. Verschoben heißt nicht fern: Die Konformitätsarbeit dauert realistisch 12 bis 18 Monate.

Begrenztes Risiko: offenlegen, wenn KI im Spiel ist

Artikel 50 betrifft KI, die mit Menschen interagiert oder Inhalte erzeugt. Die Pflichten betreffen die Transparenz, nicht die Bauweise des Systems:

• Chatbots und Sprachassistenten müssen offenlegen, dass Menschen es mit einer KI zu tun haben, sofern das nicht offensichtlich ist. Das gilt seit 2. August 2026.
• Anbieter generativer Systeme müssen synthetische Texte, Bilder, Audio- und Videoinhalte ab 2. Dezember 2026 maschinenlesbar kennzeichnen.
• Betreiber müssen Deepfakes offenlegen, ebenso KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.

Für die meisten Chatbots ist das ein Satz in der Begrüßung. Der Leitfaden zu Artikel 50 behandelt Formulierung und Platzierung, dieser hier die Frage, wann ein Chatbot mehr als ein begrenztes Risiko ist.

Minimales Risiko: KI-Kompetenz und sonst wenig

Spamfilter, Produktempfehlungen, Suche und die meisten internen Tools gehören hierher. Die Verordnung sieht für diese Klasse keine eigenen Pflichten vor. Eine Pflicht gilt aber unabhängig von der Klasse: Nach Artikel 4 müssen Anbieter und Betreiber Maßnahmen ergreifen, damit die Menschen, die das System entwickeln oder nutzen, über ausreichende KI-Kompetenz verfügen. Das gilt seit 2. Februar 2025. Anderes Recht, etwa die DSGVO, gilt wie gewohnt.

Wie Ihre Klasse bestimmt wird

Vier Fragen, in dieser Reihenfolge, klären die meisten Fälle.

1. Welche Rolle haben Sie? Anbieter, die ein System entwickeln oder unter eigenem Namen in Verkehr bringen, tragen die meisten Pflichten. Betreiber, die ein System in eigener Verantwortung verwenden, tragen weniger. Anbieter oder Betreiber?
2. Wofür wird das System eingesetzt? Die Zweckbestimmung entscheidet über die Klasse, nicht das Modell oder der Anbieter der Technologie. Gleichen Sie sie zuerst mit den Verboten aus Artikel 5 ab: Ist eine Praxis verboten, spielt alles andere keine Rolle.
3. Steht dieser Einsatz in Anhang III, oder ist die KI ein Sicherheitsbauteil eines regulierten Produkts? Trifft beides nicht zu, ist das System nicht hochriskant.
4. Greift die Ausnahme nach Artikel 6(3)? Ein System nach Anhang III ist nicht hochriskant, wenn es nur eine eng gefasste Verfahrens- oder Vorbereitungsaufgabe erfüllt, das Ergebnis einer bereits abgeschlossenen menschlichen Tätigkeit verbessert oder Entscheidungsmuster erkennt, ohne die menschliche Bewertung zu ersetzen, und dabei kein Profiling natürlicher Personen vornimmt. Ein Anbieter, der sich auf die Ausnahme stützt, muss diese Bewertung dokumentieren. So funktioniert die Ausnahme.

Prüfen Sie danach Artikel 50 gesondert. Seine Transparenzpflichten gelten zusätzlich zu jeder Klasse: Ein Recruiting-Chatbot kann hochriskant sein und muss trotzdem offenlegen, dass er eine KI ist.

KI-Modelle mit allgemeinem Verwendungszweck: ein eigenes Regime

KI-Modelle mit allgemeinem Verwendungszweck, also die großen Modelle hinter den meisten KI-Produkten, werden getrennt von den vier Klassen geregelt. Ihre Anbieter haben Pflichten nach Artikel 53, darunter technische Dokumentation, Informationen für Unternehmen, die auf dem Modell aufbauen, eine Strategie zur Einhaltung des Urheberrechts und eine Zusammenfassung der Trainingsinhalte. Diese gelten seit 2. August 2025.

Wenn Sie ein Modell per API aufrufen oder mit Prompts und Retrieval darauf aufbauen, sind Sie sehr wahrscheinlich nicht sein Anbieter. Ihr eigenes Produkt wird wie jedes andere KI-System in die vier Klassen eingeordnet. Ändern kann sich das bei einer wesentlichen Veränderung des Modells.

Was passiert, wenn Sie falsch liegen

Die Bußgelder hängen davon ab, welche Pflicht verletzt wurde. Nach Artikel 99 drohen für verbotene Praktiken bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes; für die meisten anderen Pflichten, einschließlich Artikel 50 und der Hochrisikopflichten, bis zu 15 Mio. € oder 3 %; für falsche oder irreführende Angaben gegenüber Behörden bis zu 7,5 Mio. € oder 1 %. Für große Unternehmen ist der höhere der beiden Beträge die Obergrenze, für KMU und Start-ups der niedrigere (Artikel 99(6)).

Das sind Obergrenzen, keine Tarife: Behörden berücksichtigen die Schwere des Verstoßes, ob er vorsätzlich oder fahrlässig war und was Sie zur Schadensminderung getan haben. Eine datierte, dokumentierte Selbsteinschätzung ist voraussichtlich eine bessere Position, als nie hingesehen zu haben. Der Leitfaden zu Bußgeldern rechnet mit echten Zahlen.

Häufige Fragen

Wie viele Risikoklassen kennt die KI-Verordnung?

Vier für KI-Systeme: unannehmbar (verboten), hoch, begrenzt und minimal. KI-Modelle mit allgemeinem Verwendungszweck sind in einem eigenen Regime nach Artikel 53 geregelt, neben den Klassen und nicht innerhalb davon.

Wer entscheidet, in welcher Klasse mein KI-System ist?

In den meisten Fällen Sie selbst. Eine Vorabgenehmigung gibt es nicht: Anbieter stufen ihre Systeme selbst ein, und auch viele Hochrisikosysteme werden selbst bewertet, nur manche brauchen eine notifizierte Stelle. Marktüberwachungsbehörden können die Einstufung später prüfen, deshalb lohnt es sich, Ihre Begründung schriftlich festzuhalten.

Kann ein KI-System in mehr als eine Klasse fallen?

Ja. Die Transparenzpflichten aus Artikel 50 kommen zu den Klassen hinzu. Ein hochriskantes Recruiting-Tool mit Chatbot-Oberfläche muss daher voraussichtlich sowohl die Hochrisikopflichten als auch die Chatbot-Offenlegung erfüllen. Auch einzelne Funktionen eines Produkts können in unterschiedlichen Klassen landen.

Ist ein Kundenservice-Chatbot hochriskant?

In der Regel nicht. Ein Chatbot, der Kundenfragen beantwortet, hat typischerweise ein begrenztes Risiko: Er muss offenlegen, dass Menschen mit einer KI sprechen. Hochriskant kann er werden, wenn er für einen Zweck aus Anhang III eingesetzt wird, etwa um Bewerbungen zu sichten oder über den Zugang zu wesentlichen Dienstleistungen zu entscheiden.

Bedeutet minimales Risiko gar keine Pflichten?

Nicht ganz. Die KI-Kompetenz nach Artikel 4 gilt unabhängig von der Klasse, und zwar seit 2. Februar 2025. Andere Gesetze wie die DSGVO und das Verbraucherschutzrecht gelten wie gewohnt.

Ab wann gelten die Hochrisikopflichten?

Ab 2. Dezember 2027 für Systeme nach Anhang III und ab August 2028 für KI in regulierten Produkten (Anhang I), nachdem das Omnibus-Paket vom Juni 2026 sie verschoben hat. Die Verbote aus Artikel 5 und die Transparenzpflichten aus Artikel 50 wurden nicht verschoben.