EU AI Act: Die vier Risikoklassen der KI-Anwendungen verständlich erklärt
Der EU AI Act setzt erstmals einen europaweit einheitlichen Rechtsrahmen für den Einsatz künstlicher Intelligenz. Im Zentrum steht ein risikobasierter Ansatz: Je größer das potenzielle Risiko einer KI-Anwendung für Menschen, Grundrechte und Sicherheit, desto strenger fallen die Pflichten aus. Für Unternehmen und Organisationen ist das ein wichtiger Wendepunkt, weil nicht mehr nur die Technik selbst zählt, sondern vor allem ihr konkreter Einsatz.
Warum der EU AI Act auf Risiko setzt
Nicht jede KI ist gleich kritisch. Ein Textassistent für interne Entwürfe stellt andere Fragen als eine KI, die über Bewerbungen, Kreditwürdigkeit oder biometrische Erkennung mitentscheidet. Genau deshalb ordnet der EU AI Act KI-Anwendungen nach Risikoklassen ein.
Das Ziel ist ein ausgewogener Rahmen: Innovation soll möglich bleiben, gleichzeitig sollen Missbrauch, Manipulation und schwerwiegende Fehlentscheidungen eingedämmt werden. Für die Praxis bedeutet das: Wer KI einsetzt, muss zuerst den Anwendungsfall bewerten und dann die passende rechtliche Kategorie bestimmen.
Die vier Risikoklassen des EU AI Act
- Inakzeptables Risiko: verboten
KI-Systeme mit inakzeptablem Risiko sind grundsätzlich verboten. Dazu gehören Anwendungen, die Menschen manipulieren, vulnerable Gruppen gezielt ausnutzen oder so eingesetzt werden, die mit Grundrechten unvereinbar ist.
In diese Kategorie fallen besonders sensible Konstellationen wie Social Scoring oder bestimmte Formen biometrischer Fernidentifizierung im öffentlichen Raum. Der Gesetzgeber zieht hier eine klare rote Linie: Wenn die Gefahr für Freiheit und Würde zu groß ist, ist der Einsatz verboten.
- Hohes Risiko: erlaubt, aber streng reguliert
Hochrisiko-KI ist nicht verboten, unterliegt aber umfangreichen Anforderungen. Das betrifft Systeme, die in besonders sensiblen Bereichen eingesetzt werden, etwa bei Personalentscheidungen, in der Bildung, im Gesundheitswesen, bei kritischer Infrastruktur oder in sicherheitsrelevanten Produkten.
Für solche Systeme gelten Pflichten wie Risikomanagement, Datenqualität, technische Dokumentation, Transparenz und menschliche Aufsicht. Die Idee: Wenn KI starke Auswirkungen auf das Leben von Menschen haben kann, muss sie besonders zuverlässig, nachvollziehbar und kontrollierbar sein.
- Begrenztes Risiko: Transparenzpflichten
Viele KI-Anwendungen fallen in die Kategorie des begrenzten Risikos. Sie sind grundsätzlich zulässig, müssen aber transparent sein. Nutzerinnen und Nutzer sollen erkennen können, dass sie mit einer KI interagieren oder dass Inhalte künstlich erzeugt wurden.
Typische Beispiele sind Chatbots, bestimmte Assistenzsysteme oder KI-generierte Inhalte. Hier geht es vor allem darum, Täuschung zu vermeiden und Vertrauen zu sichern. Die Pflicht lautet also nicht „nicht verwenden“, sondern „offen und klar kennzeichnen“.
- Minimales Risiko: weitgehend frei nutzbar
Die meisten alltäglichen KI-Anwendungen dürften in diese niedrigste Kategorie fallen. Dazu zählen etwa Spamfilter, einfache Empfehlungssysteme oder Rechtschreib- und Grammatikhilfen, sofern sie nicht in einen sensiblen Kontext hineinwirken.
Für diese Systeme sieht der EU AI Act in der Regel keine besonderen zusätzlichen Pflichten vor. Das bedeutet aber nicht, dass sie völlig ungeregelt sind. Je nach Einsatz können andere Rechtsbereiche wie Datenschutz, Verbraucherrecht oder Produktsicherheit dennoch relevant sein.
Was Transparenz praktisch bedeutet
Ein zentrales Element des EU AI Act ist die Transparenz. Wer KI im direkten Kontakt mit Menschen einsetzt, muss in vielen Fällen klar darauf hinweisen, dass es sich um ein KI-System handelt. Das gilt besonders dort, wo Inhalte, Entscheidungen oder Interaktionen für Nutzerinnen und Nutzer sonst missverständlich wären.
Für Unternehmen und Redaktionen ist das ein wichtiger Punkt. Wenn Texte, Bilder, Audio- oder Videoinhalte KI-gestützt erstellt oder stark verändert werden, braucht es oft eine klare Kennzeichnung. Der Anspruch ist nicht nur rechtlich, sondern auch für das Image bedeutend: Transparenz schafft Glaubwürdigkeit.
Was Unternehmen jetzt tun sollten
Der erste Schritt ist eine saubere Bestandsaufnahme. Welche KI-Systeme werden genutzt, wofür werden sie eingesetzt, und welche Auswirkungen haben sie auf Menschen oder Entscheidungen? Mit dieser Übersicht lässt sich die Risikoklasse seriös bewerten.
Im zweiten Schritt sollten Verantwortliche prüfen, welche Pflichten daraus folgen. Bei manchen Anwendungen genügt Transparenz, bei anderen sind Dokumentation, Risikomanagement und laufende Kontrolle erforderlich. Wer früh strukturiert prüft, vermeidet spätere Compliance-Probleme.
Grundsätzlich sollte die Eingabe personenbezogener Daten sowie eigener Betriebs- und Geschäftsgeheimnisse sowie die Eingabe von Betriebs- und Geschäftsgeheimnissen von Kunden in offenen KI-Systemen unterbleiben und wenn doch…bei Verarbeitung personenbezogener Daten in KI-Systemen in der Regel eine Datenschutzfolgenabschätzung im Sinne des Art. 35 DSGVO durchgeführt werden.
Der kritische Blick
So überzeugend der risikobasierte Ansatz ist, ganz ohne Schwächen ist er nicht. Kritiker wenden ein, dass die Abgrenzung zwischen den Risikoklassen in der Praxis kompliziert sein kann. Gerade bei generativer KI und hybriden Systemen verschwimmt oft die Grenze zwischen bloßer Assistenz und echter Entscheidungsbeeinflussung. Hinzu kommt: Transparenz allein garantiert noch keine echte Nachvollziehbarkeit. Nutzerinnen und Nutzer können zwar informiert werden, dass KI im Spiel ist, verstehen aber nicht automatisch, wie das System zu Ergebnissen kommt. Der EU AI Act löst also nicht jedes Problem, sondern setzt zunächst einen rechtlichen Rahmen. Unternehmen sollten unverzüglich in die Analyse ihrer KI-Anwendungen einsteigen.
