EU AI Act Risikoklassen: So stufen Sie Ihre KI-Anwendungen richtig ein

Risikoklassen verstehen und richtig anwenden

Der EU AI Act ordnet KI-Anwendungen vier Risikostufen zu, von „verboten" bis „minimal". In der Theorie klingt das einfach. In der Praxis fragen sich Unternehmer: In welche Stufe fällt mein konkretes Tool? Dieser Artikel zeigt, wie Sie Ihre Anwendungen selbst einstufen, welche Fristen aktuell gelten und wo die typischen Missverständnisse liegen.

Wichtig vorab: Dieser Beitrag ist eine praxisnahe Orientierung, keine Rechtsberatung. Bei Grenzfällen und Hochrisiko-Anwendungen sollten Sie fachkundige Beratung einholen.

Die vier Risikoklassen im Überblick

Daneben gibt es eigene Regeln für sogenannte KI-Modelle mit allgemeinem Verwendungszweck (zum Beispiel die großen Sprachmodelle). Diese betreffen vor allem die Anbieter der Modelle, nicht die Unternehmen, die sie als Werkzeug nutzen.

Aktueller Zeitplan (Stand Oktober 2026)

Durch den „Digital Omnibus" (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) haben sich Fristen verschoben:

• Verbote gelten seit 2. Februar 2025.
• Transparenzpflichten nach Artikel 50 gelten seit 2. August 2026. Für die maschinenlesbare Kennzeichnung von KI-Inhalten bereits am Markt befindlicher Systeme gibt es Zeit bis 2. Dezember 2026.
• Hochrisiko-Systeme nach Anhang III (zum Beispiel Beschäftigung, Kredit): Pflichten ab 2. Dezember 2027, ursprünglich war August 2026 vorgesehen.
• Hochrisiko-KI in regulierten Produkten (Anhang I): ab 2. August 2028.

Weil sich Fristen ändern, empfehlen wir, die Einstufung jetzt vorzunehmen und mindestens einmal pro Quartal zu prüfen, ob sich etwas geändert hat. Die Details zur Kompetenzpflicht beschreiben wir im Beitrag AI Literacy Pflicht.

Typische KMU-Anwendungen und ihre Einstufung

Minimales Risiko: der Normalfall

Die meisten Tools, die KMU heute nutzen, gehören hierher:

• ChatGPT, Claude, Gemini oder Copilot für Texte, Zusammenfassungen und Recherche
• Übersetzungstools wie DeepL für Geschäftskorrespondenz
• Datenanalyse in Excel, Power BI oder ähnlichen Werkzeugen
• Belegerfassung in der Buchhaltungssoftware
• Spamfilter und E-Mail-Sortierung

Auch ohne eigene Pflichten empfehlen wir eine einfache interne Liste der eingesetzten Tools. Das erleichtert die Schulung Ihres Teams.

Begrenztes Risiko: Transparenz

Hier gilt: Personen müssen wissen, dass sie mit einer KI interagieren, sofern das nicht offensichtlich ist. Das betrifft:

• Chatbots und Sprachassistenten gegenüber Kunden und Interessenten
• KI-generierte oder veränderte Inhalte, die als echt wahrgenommen werden können (zum Beispiel realistische Bilder oder Stimmen), mit entsprechender Kennzeichnung
• Automatisierte Antworten, bei denen der Eindruck entstehen könnte, ein Mensch schreibe

Praktisch genügt meist ein sichtbarer Hinweis, zum Beispiel „Dieser Chat wird von einem KI-Assistenten unterstützt." Die Details zur Umsetzung sind in den Leitlinien der Europäischen Kommission zu Artikel 50 beschrieben.

Hohes Risiko: ernst nehmen

Hochrisiko-Anwendungen sind in Anhang III abschließend aufgelistet. Für KMU sind vor allem diese Bereiche relevant:

• Beschäftigung und Personalmanagement: KI-gestützte Vorauswahl von Bewerbungen, Bewertung von Beschäftigten
• Zugang zu wesentlichen Leistungen: Bonitätsprüfung von Personen, Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen
• Bildung: Zugang zu Ausbildung, Bewertung von Prüfungen
• Biometrie: biometrische Identifizierung und Kategorisierung

Betreiber (also Unternehmen, die ein solches System einsetzen) haben unter anderem diese Aufgaben: das System gemäß Anleitung nutzen, menschliche Aufsicht durch geschulte Personen sicherstellen, Eingabedaten überwachen, Protokolle aufbewahren, Beschäftigte und Betroffene informieren. Die Anbieter der Systeme tragen die größten Pflichten, etwa Risikomanagement, technische Dokumentation und Konformitätsbewertung.

Verboten: Finger weg

Seit 2. Februar 2025 sind unter anderem untersagt:

• Social Scoring: Bewertung von Personen anhand ihres Sozialverhaltens mit Nachteilen daraus
• Manipulative KI, die gezielt Schwächen oder Schutzbedürftigkeit ausnutzt
• Emotionserkennung am Arbeitsplatz und in Schulen, ausgenommen medizinische oder Sicherheitszwecke

Für die meisten KMU sind die Verbote in der Praxis selten ein Thema, aber gut zu kennen.

Entscheidungsbaum: So stufen Sie ein Tool ein

Gehen Sie die Fragen der Reihe nach durch:

1. Wird das Tool eingesetzt, um Menschen zu manipulieren oder ihr Verhalten zu bewerten? Dann prüfen Sie die Verbote und stellen den Einsatz im Zweifel ein.
2. Unterstützt oder trifft das Tool Entscheidungen über Menschen in den Bereichen Beschäftigung, Bildung, Kredit, Versicherung oder Biometrie? Dann ist es vermutlich Hochrisiko.
3. Spricht das Tool direkt mit Kunden oder erzeugt Inhalte, die als echt gelten könnten? Dann gelten Transparenzpflichten.
4. Trifft nichts davon zu? Dann ist es minimales Risiko.

Entscheidend ist der Einsatzzweck, nicht die Leistungsfähigkeit des Modells.

Drei Beispiele aus dem Alltag

• Hausverwaltung: Ein Assistent entwirft Antworten auf Mieteranfragen, ein Mensch prüft und sendet. Das ist minimales Risiko. Setzt die Verwaltung zusätzlich einen Chatbot auf der Website ein, kommt die Kennzeichnung dazu. Mehr zur Branche unter KI für Immobilien.
• Handwerksbetrieb: KI schreibt Angebote und Bauberichte. Minimales Risiko. Würde der Betrieb Bewerbungen automatisch vorsortieren lassen, wäre das Hochrisiko.
• Steuerkanzlei: KI fasst Verträge und Belege zusammen. Minimales Risiko, solange Menschen entscheiden. Die Verantwortung für das Ergebnis bleibt bei der Kanzlei.

Häufige Fehleinschätzungen

„ChatGPT ist Hochrisiko, weil es so mächtig ist." Nein. Dasselbe Modell ist für Textentwürfe minimales Risiko und als automatischer Bewerbungsfilter Hochrisiko.

„Unser Chatbot ist minimales Risiko." Sobald er mit Kunden spricht, gilt die Kennzeichnung nach Artikel 50.

„Wir nutzen nur fertige Software, also sind wir nicht betroffen." Der AI Act gilt auch für Betreiber, nicht nur für Entwickler. Wer ein KI-System im Betrieb einsetzt, hat eigene Pflichten.

„Kleine Unternehmen sind ausgenommen." Es gibt keine generelle KMU-Ausnahme. Für KMU sind jedoch Erleichterungen vorgesehen, etwa bei Bußgeldern, wo der jeweils niedrigere Betrag gilt, und bei der Dokumentation.

Österreich-Bezug

In Österreich ist die nationale Umsetzung (Aufsichtsbehörden, Zuständigkeiten) noch offen. Als Anlaufstelle für Fragen gibt es die KI-Servicestelle der RTR. Für Ihren Betrieb bedeutet das: Die Pflichten gelten bereits unmittelbar aus der EU-Verordnung, auch wenn das Ausführungsgesetz noch nicht vorliegt. Sinnvoll ist daher, jetzt Ihre Tools zu erfassen und die Transparenzpflichten für Chatbots und KI-Inhalte umzusetzen.

Checkliste: KI-Bestandsaufnahme

• Alle eingesetzten KI-Tools auflisten, auch KI-Funktionen in bestehender Software
• Jedes Tool mit dem Entscheidungsbaum einstufen und Zweck notieren
• Bei Chatbots und KI-Inhalten: Kennzeichnung prüfen und ergänzen
• Bei möglichem Hochrisiko-Einsatz: fachkundige Beratung einholen
• Interne Regeln für erlaubte Tools festlegen
• Maßnahmen zur KI-Kompetenz im Team planen
• Einstufung einmal pro Quartal prüfen

Was tun bei Unsicherheit?

Die Einstufung ist nicht immer eindeutig, besonders bei Tools mit mehreren Funktionen:

1. Hersteller fragen: Seriöse Anbieter machen Angaben zum vorgesehenen Einsatzzweck.
2. Einsatzzweck eng definieren: Dokumentieren Sie, wofür das Tool bei Ihnen eingesetzt wird und wofür nicht.
3. Beratung nutzen: Bei Hochrisiko oder Grenzfällen lohnt sich eine fachliche Prüfung.

Im Rahmen der KI-Strategieberatung unterstützen wir bei der Einordnung Ihrer Anwendungen. Eine Rechtsberatung ersetzt das nicht.

Unser Fazit

Die Risikoklassen folgen einer klaren Logik: Je mehr eine KI über Menschen entscheidet, desto strenger die Regeln. Für die meisten KMU-Anwendungen gilt minimales oder begrenztes Risiko mit überschaubaren Pflichten. Entscheidend ist, dass Sie Ihre Tools kennen, den Einsatzzweck dokumentieren und Chatbots korrekt kennzeichnen. Das ist in wenigen Stunden erledigt.

Sie möchten Ihre Anwendungen einstufen lassen? Im kostenlosen Erstgespräch schauen wir gemeinsam auf Ihre Tools und klären, wo Handlungsbedarf besteht.

Weiterführend

• KI-Strategieberatung: Einordnung und Compliance-Check
• Steuerberater und Rechtsanwälte: KI und Regulierung in der Praxis
• EU AI Act: Was österreichische KMU jetzt wissen müssen
• AI Literacy Pflicht: Was der EU AI Act von Ihrem Team verlangt
• KI und Datenschutz: DSGVO-konformer Einsatz
• Kostenloser KI-Readiness-Check

Quellen

• Zeitplan nach Digital Omnibus: Baker Botts: EU AI Act Article 50 transparency obligations go live (September 2026), DPO Centre: EU AI Act updates, blckalpaca: EU AI Act Implementation 2026/2027
• Rechtstext: Verordnung (EU) 2024/1689 (KI-Verordnung), Anhang III und Artikel 5 und 50. Keine Rechtsberatung.