Hochrisiko-KI-Systeme: Einstufung nach der KI-Verordnung

Auf einen Blick

• Hochrisiko-KI-Systeme: Verschoben wurde die Frist, nicht die Regel. Die Verordnung (EU) 2026/1744 verlegt die Pflichten für Anhang-III-Systeme auf den 2. Dezember 2027 und die für Anhang-I-Systeme auf den 2. August 2028, ohne Artikel 6 anzutasten.
• Solange die Einstufung fehlt, wissen Sie nicht, welche Frist für Sie gilt. Die Transparenzpflichten des Artikels 50 wurden gar nicht verschoben und gelten seit dem 2. August 2026.
• Zwei Wege führen in den Hochrisikobereich: der Produktweg nach Anhang I und der Anwendungsfallweg nach Anhang III. Nur der zweite ist eine Liste, in der Sie sich selbst nachschlagen können.
• Die Ausnahme des Artikels 6 Absatz 3 ist keine Entlastung. Wer sie in Anspruch nimmt, muss die Bewertung vor dem Inverkehrbringen dokumentieren und die Einstufung in der EU-Datenbank registrieren.
• Weder eine Klausel in den Nutzungsbedingungen noch ein Mensch im Prozess noch eine modulare Architektur ändern die Einstufung. Maßgeblich ist die Zweckbestimmung.

Die Frist ist verschoben, die Einstufungspflicht bleibt

Wer abwartet, bis sich das Regime für Hochrisiko-KI-Systeme beruhigt hat, trägt inzwischen genau darin sein Risiko. Die Verordnung (EU) 2026/1744, der sogenannte Digital-Omnibus zur KI, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft; sie ändert die KI-Verordnung (EU) 2024/1689 (EUR-Lex). Verschoben hat sie die Fristen zur Erfüllung der Pflichten. Nicht verändert hat sie die Frage, wer überhaupt in den Anwendungsbereich fällt. In derselben Verordnung stehen nun drei Daten nebeneinander, und sie laufen auseinander:

1. 2. Dezember 2027. Pflichten für eigenständige Systeme nach Anhang III, zuvor 2. August 2026.
2. 2. August 2028. Pflichten für KI, die in Produkte eingebettet ist, die bereits dem Produktsicherheitsrecht der Union nach Anhang I unterliegen, zuvor 2. August 2027.
3. 2. August 2026. Die Transparenzpflichten des Artikels 50, die nicht verschoben wurden. Die Hinweispflicht bei der Interaktion mit einem KI-System gilt seither, mit einer kurzen Übergangsfrist bis zum 2. Dezember 2026 für die Kennzeichnung maschinell erzeugter Inhalte.

Die praktische Folge wird leicht übersehen. Ein Team, das nicht eingestuft hat, kann nicht sagen, welches dieser drei Daten seine Roadmap bestimmt. Hinzu kommt: Die Verschiebung wurde als feste Datenlösung beschlossen und ersetzt damit den ursprünglich von der Kommission vorgeschlagenen bedingten Auslösemechanismus, der an die Verfügbarkeit harmonisierter Normen geknüpft gewesen wäre (Analyse von Gibson Dunn). Ein weiterer Aufschub ist also nicht eingebaut. Damit ist die Einstufung der erste Governance-Akt und keine nachgelagerte Compliance-Aufgabe. Sie bestimmt Ihre Frist, Ihren Pflichtenkatalog, ob überhaupt eine Konformitätsbewertung ansteht und ob vor der Markteinführung eine Registrierung geschuldet ist. Wenn Ihr KI-Verzeichnis keine Einstufungsentscheidung je System führt, haben Sie keine Compliance-Position, sondern die Absicht, später eine zu bilden.

Hochrisiko-KI-Systeme: zwei Wege, und nur einer ist eine Liste

Artikel 6 eröffnet zwei voneinander unabhängige Pfade. Es genügt, wenn ein System einen davon beschreitet.

Weg eins: Produkte und Sicherheitsbauteile nach Anhang I

Nach Artikel 6 Absatz 1 ist ein System hochriskant, wenn beide Voraussetzungen erfüllt sind. Erstens ist das KI-System dazu bestimmt, als Sicherheitsbauteil eines Produkts verwendet zu werden, oder ist selbst ein Produkt, das unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union fällt: Maschinen, Medizinprodukte, Aufzüge, Spielzeug, Funkanlagen, In-vitro-Diagnostika und vergleichbare regulierte Produktfamilien. Zweitens muss dieses Produkt nach denselben Vorschriften einer Konformitätsbewertung durch Dritte unterzogen werden (Artikel 6). Die zweite Voraussetzung trägt viel und wird regelmäßig übersehen. Die Zugehörigkeit zu einer Anhang-I-Produktfamilie genügt für sich genommen nicht. Lässt das produktspezifische Regime eine Selbstbewertung zu, schließt sich dieser Weg nicht. Der Begriff des Sicherheitsbauteils reicht weiter, als er klingt. Artikel 3 Nummer 14 erfasst ein Bauteil, dessen Ausfall oder Fehlfunktion Gesundheit und Sicherheit gefährdet, und nicht nur eines, dessen erklärte Aufgabe die Sicherheit ist. Ein als Energiesparfunktion vermarkteter Verbrennungsoptimierer kann deshalb erfasst sein, weil seine Fehlfunktion ein Kohlenmonoxidrisiko erzeugt. Der Digital-Omnibus hat den Begriff etwas enger gefasst und Bauteile ausgenommen, die den Nutzer lediglich unterstützen, ohne ein Gesundheits- oder Sicherheitsrisiko zu schaffen, wie Travers Smith anmerkt.

Weg zwei: die Anwendungsfälle des Anhangs III

Nach Artikel 6 Absatz 2 ist ein System hochriskant, wenn es unter einen in Anhang III genannten Anwendungsfall fällt und keiner der Filter des Artikels 6 Absatz 3 greift. Diesen Weg gehen die meisten Softwareanbieter, und er ist gemeint, wenn nach der Liste der Hochrisikofälle gesucht wird. Beide Wege lösen denselben Pflichtenkatalog aus, aber unterschiedliche Fristen: Dezember 2027 für Anhang III, August 2028 für Anhang I. Ein Hersteller, der eine KI-Komponente in regulierte Hardware liefert, und ein SaaS-Anbieter mit einem Recruiting-Werkzeug stehen nicht unter derselben Uhr.

Die acht Bereiche des Anhangs III, gelesen wie ein Prüfer sie liest

Die meisten Leitfäden geben Anhang III als Branchenliste wieder. Genau dieses Framing erzeugt Fehleinstufungen, denn der Anhang reguliert keine Branchen, sondern Entscheidungen. Lesen Sie jeden Bereich von der Entscheidung her, die das System berührt.

• Biometrie. Biometrische Fernidentifizierung, biometrische Kategorisierung zur Ableitung sensibler oder geschützter Merkmale und Emotionserkennung. Einzelne biometrische Praktiken sind nach Artikel 5 übrigens ganz verboten und nicht bloß hochriskant.
• Kritische Infrastrukturen. Nur soweit das System als Sicherheitsbauteil im Betrieb digitaler Infrastruktur, des Straßenverkehrs oder der Versorgung mit Strom, Gas und Wasser wirkt. Ein Auswertungswerkzeug in der Verwaltung eines Versorgers fällt nicht automatisch darunter.
• Allgemeine und berufliche Bildung. Zulassungsentscheidungen, Bewertung von Lernergebnissen, Zuweisung zu Bildungsniveaus und Überwachung unzulässigen Verhaltens bei Prüfungen. Auslöser ist die summative Bewertung.
• Beschäftigung und Personalmanagement. Die gesamte Recruiting-Kette von der Ansprache über das Screening bis zur Auswahl sowie Entscheidungen über Beförderung, Kündigung, Aufgabenzuweisung und Leistungsüberwachung. Das ist praktisch der breiteste Bereich und der, den Anbieter am häufigsten unterschätzen.
• Zugang zu wesentlichen privaten und öffentlichen Diensten. Anspruch auf Sozialleistungen, Bonitätsbewertung, Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung sowie Notrufdisposition und Triage.
• Strafverfolgung. Bewertung des Risikos einer Straftat oder eines Rückfalls, Beurteilung der Verlässlichkeit von Beweismitteln, Werkzeuge nach Art eines Lügendetektors und Profiling im Rahmen von Ermittlungen.
• Migration, Asyl und Grenzkontrolle. Risikobewertungen, Prüfung von Visum- und Asylanträgen, Identifizierung.
• Rechtspflege und demokratische Prozesse. Unterstützung von Justizbehörden bei der Ermittlung und Auslegung von Sachverhalten und Recht sowie Systeme, die das Ergebnis einer Wahl oder das Wahlverhalten beeinflussen sollen.

Wenn Ihr System einen Input für eine dieser Entscheidungen liefert, fallen Sie unter den Anhang, bis ein Filter Sie herausnimmt. Das ist die richtige Vermutung, und sie ist das Gegenteil dessen, wie die meisten Teams spontan denken. Unser Praxisleitfaden zur KI-Verordnung beschreibt, was folgt, wenn die Einstufung auf Hochrisiko fällt.

Artikel 6 Absatz 3: die Ausnahme, die mehr kostet als die Pflicht

Artikel 6 Absatz 3 ist die am häufigsten missverstandene Vorschrift des Regimes. Sie erlaubt einem Anbieter, zu dem Ergebnis zu kommen, dass ein in Anhang III gelistetes System dennoch nicht hochriskant ist, weil es kein erhebliches Risiko der Beeinträchtigung von Gesundheit, Sicherheit oder Grundrechten birgt, unter anderem, weil es das Ergebnis der Entscheidungsfindung nicht wesentlich beeinflusst.

Die vier Filter

Ein System fällt nur heraus, wenn mindestens eine dieser Voraussetzungen vorliegt:

1. Eng umgrenzte verfahrensmäßige Aufgabe. Unstrukturierte Daten in strukturierte überführen, eingehende Dokumente in vordefinierte Kategorien einordnen, Dubletten erkennen.
2. Verbesserung einer bereits abgeschlossenen menschlichen Tätigkeit. Das System verfeinert ein Ergebnis, das ein Mensch bereits erzeugt hat, ohne es zu ersetzen oder eigenständig neu zu erzeugen.
3. Erkennung von Entscheidungsmustern oder Abweichungen. Das System meldet, dass eine Entscheidung von früheren Mustern abweicht, ohne die menschliche Bewertung zu ersetzen oder sie ohne angemessene Überprüfung zu beeinflussen.
4. Vorbereitende Aufgabe. Indexieren, Suchen, Übersetzen oder Verknüpfen von Material im Vorfeld einer Bewertung.

Der Entwurf der Kommissionsleitlinien legt diese Filter eng aus. Ein System, das Eingaben für eine menschliche Bewertung als mehr oder weniger nützlich sortiert, bewertet oder etikettiert, überschreitet die rein verfahrensmäßige Aufgabe, weil diese Reihung die Entscheidung formt. Beim vierten Filter kommt es auf die Nähe zur Letztentscheidung an und darauf, ob die Ausgabe eine konkrete Empfehlung darstellt, so die Analyse von Freshfields.

Die zwei Ausschlüsse

Zwei Umstände setzen die Filter vollständig außer Kraft. Ein System, das ein Profiling natürlicher Personen vornimmt, ist ausnahmslos hochriskant. Und ein Bauteil innerhalb einer größeren Architektur kann sich nicht auf einen Filter berufen, wenn die kombinierte Zweckbestimmung oder die gemeinsamen Ausgaben dieser Architektur eine Hochrisikoentscheidung wesentlich beeinflussen.

Warum die Berufung auf die Ausnahme ein öffentlicher Akt ist

Hier kippt die Rechnung. Nach Artikel 6 Absatz 4 muss ein Anbieter, der zu dem Ergebnis kommt, dass ein Anhang-III-System nicht hochriskant ist, diese Bewertung vor dem Inverkehrbringen oder der Inbetriebnahme dokumentieren. Nach Artikel 49 Absatz 2 muss er sich anschließend selbst und das System in der EU-Datenbank registrieren. Der Digital-Omnibus hat diese Registrierungspflicht beibehalten und lediglich den Umfang der geforderten Angaben reduziert. Die Ausnahme ist also keine private Entscheidung im Design-Review. Sie ist eine hinterlegte Erklärung, für Aufsichtsbehörden sichtbar, mit Ihrer Begründung versehen und den zuständigen nationalen Behörden auf Anfrage vorzulegen. Hat eine Marktüberwachungsbehörde hinreichenden Anlass zu der Annahme, dass falsch eingestuft wurde, kann sie die Einstufung überprüfen und innerhalb einer gesetzten Frist die vollständige Erfüllung der Hochrisikopflichten verlangen. In Deutschland bündelt die Bundesnetzagentur die entsprechende Marktüberwachung. Vergleichen Sie die beiden Wege ehrlich. Die Hochrisikoeinstufung anzunehmen bedeutet, das Risikomanagementsystem nach Artikel 9 und die übrigen Pflichten des Kapitels III auf eine Uhr bis Dezember 2027 zu stellen. Sich auf die Ausnahme zu berufen bedeutet, jetzt eine belastbare rechtliche Bewertung zu erstellen, die Erklärung jetzt zu veröffentlichen und das Risiko einer Neueinstufung mit rückwirkender Exposition zu tragen. Bei einem wirklich verfahrensmäßigen System ist die Ausnahme richtig. Bei einem Grenzfall ist sie oft der teurere Weg.

Drei verbreitete Fehler bei der Einstufung

Der Leitlinienentwurf schließt drei Argumente, die in Design-Reviews noch immer auftauchen.

„Unsere Nutzungsbedingungen schließen Hochrisikoanwendungen aus“

Die Einstufung folgt der Zweckbestimmung, definiert in Artikel 3 Nummer 12 als die Verwendung, für die der Anbieter das System vorsieht, wie sie sich aus der Betriebsanleitung, aus Werbe- und Verkaufsmaterialien, aus Erklärungen und aus der technischen Dokumentation ergibt. Eine in den Nutzungsbedingungen versteckte Ausschlussklausel verdrängt nicht, was Ihr Marketing dem Produkt zuschreibt. Präsentiert die Dokumentation eine breite Einsetzbarkeit über viele Kontexte hinweg, ohne Hochrisikoanwendungen klar auszuschließen, kann die Zweckbestimmung so gelesen werden, dass sie diese einschließt, insbesondere wenn solche Verwendungen möglich und vernünftigerweise vorhersehbar sind. Hier liegt ein zweiter Effekt. Nach Artikel 25 wird ein Händler, Einführer oder Betreiber selbst zum Anbieter mit dem vollen Pflichtenkatalog, wenn er seinen Namen auf ein Hochrisikosystem setzt, es wesentlich verändert oder ein Allzwecksystem für eine Hochrisikoanwendung zweckentfremdet. Ein allgemeines Werkzeug einzukaufen und es auf eine Einstellungsentscheidung zu richten, macht Sie zum Anbieter eines Hochrisikosystems.

„Wir haben einen Menschen im Prozess“

Menschliche Beteiligung allein kann die Einstufung nicht verhindern. Maßgeblich ist die Zweckbestimmung; die menschliche Aufsicht ist das, was Artikel 14 verlangt, nachdem ein System bereits eingestuft ist. Den Prüfer als Einstufungsschild zu behandeln, kehrt den Aufbau der Verordnung um. Gleichwohl ist der Grad der Beteiligung nicht bedeutungslos. Er kann das Argument stützen, dass ein System nur eine begrenzte oder vorbereitende Funktion erfüllt, die die Entscheidung nicht wesentlich beeinflusst, und fließt damit in die Prüfung nach Artikel 6 Absatz 3 ein. Das ist jedoch ein belegtes Filterargument, keine allgemeine Freistellung. Die Unterscheidung zwischen Human-in-the-Loop und Human-on-the-Loop zählt für die Gestaltung nach Artikel 14, nicht dafür, ob Artikel 6 greift.

„Wir haben es in Module zerlegt“

Bilden mehrere KI-Komponenten ein größeres System mit kombinierter Zweckbestimmung, oder beeinflussen ihre gemeinsamen Ausgaben eine Entscheidung wesentlich, erfolgt die Bewertung ganzheitlich. Eine Architektur in einzeln harmlose Dienste zu zerlegen, hebelt die Einstufung nicht aus. Die Leitlinien übertragen dieselbe Überlegung auf agentische Systeme, die sich über verknüpfte Handlungen koordinieren. Nur wirklich trennbare Komponenten mit streng verfahrensmäßiger oder vorbereitender Funktion, die nicht zum Hochrisikozweck beitragen, bleiben außen vor.

Was der Leitlinienentwurf praktisch ändert

Artikel 6 Absatz 5 verpflichtet die Kommission, Leitlinien zur praktischen Umsetzung der Einstufungsregeln zu veröffentlichen. Der Entwurf erschien am 19. Mai 2026, nach dem in der Verordnung vorgesehenen Datum des 2. Februar 2026, und eröffnete eine gezielte Konsultation, die auf Wunsch der Beteiligten bis zum 23. Juli 2026 verlängert wurde (Europäische Kommission). Die Endfassung wird bis Ende 2026 erwartet. Der Entwurf gliedert sich in allgemeine Grundsätze, den Sicherheitsbauteil-Weg des Anhangs I und die Anwendungsfälle des Anhangs III, jeweils mit praktischen Beispielen für Systeme, die als hochriskant einzustufen sind und für solche, die es nicht sind. Die Kommission stellt klar, dass diese Beispiele nicht abschließend sind und fortgeschrieben werden können. Für ein Governance-Team folgen daraus zwei Dinge. Die Leitlinien sind unverbindlich und schaffen daher für sich genommen keine Pflichten. Sie sind aber darauf angelegt, die Marktüberwachungsbehörden zu einer einheitlichen Anwendung zu führen, womit sie zum praktischen Maßstab werden, an dem eine Behörde Sie misst. Und weil der Text noch Entwurf ist, sollte eine heute getroffene Einstufung festhalten, auf welche Fassung sie sich stützt, und einen Auslöser für die Überprüfung tragen, sobald die Endfassung vorliegt. Das ist gewöhnliche KI-Compliance-Hygiene, jetzt günstig einzubauen und später über ein ganzes Portfolio hinweg teuer nachzurüsten.

Die Einstufung zu einem belastbaren Nachweis machen

Eine Einstufung, die in einem Chat-Thread lebt, ist keine Einstufung. Ob Sie bei Hochrisiko landen oder bei einem Filter des Artikels 6 Absatz 3: Das Ergebnis muss ein datierter Nachweis mit benanntem Verantwortlichen sein. Er sollte mindestens enthalten:

• Systemidentität und Version, damit die Entscheidung an einem konkreten Gegenstand hängt.
• Die Zweckbestimmung wie veröffentlicht, unter Zitat der eigenen Betriebsanleitung und der Marketingtexte statt einer Paraphrase.
• Welcher Weg geprüft wurde, Anhang I oder Anhang III, und das Ergebnis für jeden.
• Falls ein Filter geltend gemacht wird: welcher, mit Begründung und den Nachweisen, dass das System die Entscheidung nicht wesentlich beeinflusst.
• Die Profiling-Prüfung und die Architekturprüfung, als ausdrückliche Verneinungen festgehalten statt stillschweigend übergangen.
• Verantwortlicher, Datum und der Auslöser, der eine Neubewertung erzwingt.

Den letzten Punkt lassen Teams am ehesten aus. Eine wesentliche Veränderung setzt die Prüfung neu auf, und eine geänderte Vermarktung ebenso. Eine Einstufung ist eine Aussage über eine Version und eine erklärte Zweckbestimmung, und beide bewegen sich. Den Nachweis neben der technischen Dokumentation zu führen statt in einem separaten Rechtsordner, macht ihn auffindbar, wenn eine Behörde fragt. Das ist dieselbe Disziplin, die jedes funktionierende KI-Governance-Programm trägt: Entscheidung und Beleg liegen zusammen und bleiben adressierbar.

Häufige Fragen

Was sind Hochrisiko-KI-Systeme? Systeme, die einen der beiden Wege des Artikels 6 gehen. Entweder sind sie Sicherheitsbauteil eines von Anhang I erfassten Produkts oder selbst ein solches Produkt, und dieses Produkt unterliegt einer Konformitätsbewertung durch Dritte. Oder sie fallen unter einen in Anhang III genannten Anwendungsfall, ohne dass einer der vier Filter des Artikels 6 Absatz 3 greift. Ein System, das ein Profiling natürlicher Personen vornimmt, ist in jedem Fall hochriskant. Welche Leitlinien gibt es für Hochrisiko-KI-Systeme? Die Europäische Kommission hat am 19. Mai 2026 einen Entwurf von Leitlinien zur Einstufung von Hochrisiko-KI-Systemen nach Artikel 6 Absatz 5 veröffentlicht. Sie legen die Einstufungsbegriffe aus und geben praktische, nicht abschließende Beispiele für Systeme, die als hochriskant gelten sollten und für solche, die es nicht sollten. Eine gezielte Konsultation lief bis zum 23. Juli 2026, die Endfassung wird bis Ende 2026 erwartet. Die Leitlinien sind unverbindlich, steuern aber die Marktüberwachungsbehörden und dienen damit als praktischer Maßstab. Welche Anwendungsfälle nennt Anhang III? Acht Bereiche: Biometrie; kritische Infrastrukturen; allgemeine und berufliche Bildung; Beschäftigung und Personalmanagement; Zugang zu wesentlichen privaten und öffentlichen Diensten einschließlich Bonitätsbewertung und Versicherungspreisbildung; Strafverfolgung; Migration, Asyl und Grenzkontrolle; sowie Rechtspflege und demokratische Prozesse. Ist die KI-Verordnung verpflichtend? Ja. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten ohne nationale Umsetzung. Was sich 2026 geändert hat, betrifft den Zeitplan und nicht den Grundsatz: Die Verordnung (EU) 2026/1744 hat die Hochrisikopflichten auf den 2. Dezember 2027 für Anhang III und den 2. August 2028 für Anhang I verschoben. Verbotene Praktiken und die Transparenzpflichten des Artikels 50 gelten bereits. Kann man wegen der Verschiebung auf Dezember 2027 abwarten? Nein, aus zwei Gründen. Wer sich auf die Ausnahme des Artikels 6 Absatz 3 stützen will, muss die Bewertung vor dem Inverkehrbringen dokumentieren und registrieren; das ist eine vorgelagerte Pflicht und keine Frist des Jahres 2027. Und fällt die Einstufung auf Hochrisiko, ist Dezember 2027 der Zeitpunkt, zu dem Konformitätsbewertung, technische Dokumentation, Protokollierung, Qualitätsmanagementsystem und Registrierung bereits stehen müssen, nicht der Zeitpunkt, zu dem die Arbeit beginnt. Wer entscheidet über die Einstufung, Anbieter oder Betreiber? Der Anbieter trifft und dokumentiert die Einstufung. Betreiber sind deshalb nicht passiv: Nach Artikel 25 wird ein Betreiber selbst zum Anbieter mit dem vollen Pflichtenkatalog, wenn er seinen Namen oder seine Marke auf ein Hochrisikosystem setzt, es wesentlich verändert oder es außerhalb der erklärten Zweckbestimmung für eine Hochrisikoanwendung einsetzt. Viele Organisationen, die sich für Betreiber halten, sind Anbieter mindestens eines Systems.

Fazit

Der Digital-Omnibus hat Zeit bei den Pflichten für Hochrisiko-KI-Systeme erkauft. Bei der Frage hat er keine erkauft. Artikel 6 fragt weiterhin, ob ein System Sicherheitsbauteil in einem regulierten Produkt ist, ob es unter einen der acht Bereiche des Anhangs III fällt und ob einer der vier engen Filter tatsächlich greift. Die Antwort bestimmt Ihre Frist, Ihren Pflichtenkatalog und Ihre Registrierungspflicht, und ausgerechnet der Weg, der nach Ausweg aussieht, trägt eigene vorgelagerte Dokumentations- und Registrierungskosten. Im Dezember 2027 bereit sein werden die Organisationen, die die Einstufung schon jetzt als gesteuerte, versionierte Entscheidung mit Verantwortlichem und Überprüfungsauslöser behandeln, statt als Rechtsgutachten, das geschrieben wird, wenn die Frist nah genug ist, um wirklich zu wirken.