Risikoklassen des EU AI Act einfach erklärt: Die 4 Stufen mit Beispielen

Die EU-AI-Act-Risikoklassen ordnen jedes KI-System einer von vier Stufen zu: unannehmbares Risiko (verboten), Hochrisiko, begrenztes Risiko mit Transparenzpflichten und minimales Risiko. Entscheidend ist nicht die Technologie, sondern der konkrete Einsatzzweck. Diese Einstufung bestimmt, welche Pflichten gelten und wie hoch das Bußgeldrisiko ist.

Wichtig vorweg: Die KI-Verordnung (Verordnung (EU) 2024/1689) kennt keinen eigenen Rechtsbegriff für KI-Agenten oder agentische KI. Ein KI-Agent wird immer als gewöhnliches KI-System nach Art. 3 Abs. 1 eingestuft, anhand seines Einsatzzwecks. Genau deshalb lohnt der genaue Blick auf die vier Risikoklassen.

• Vier Klassen, ein Maßstab: Die Einstufung folgt dem Anwendungsfall, nicht dem Modell. Derselbe Chatbot kann je nach Aufgabe minimal oder hochriskant sein.
• Die meisten B2B-Anwendungen sind unkritisch: Marketing-Agenten, interne Wissens-Assistenten und Kundenservice-Bots landen fast immer in den unteren beiden Stufen.
• Hochrisiko entsteht durch den Zweck: HR-Screening, Kreditscoring oder Versicherungs-Pricing ziehen ein KI-System in den Hochrisiko-Bereich. Innerhalb eines solchen Anhang-III-Falls bleibt das Profiling natürlicher Personen stets Hochrisiko.

Die vier Risikoklassen im Überblick

Der EU AI Act baut eine sogenannte Risikopyramide auf. Je höher das potenzielle Risiko für Gesundheit, Sicherheit oder Grundrechte, desto strenger die Pflichten. Die folgende Tabelle fasst die Risikoklassen, typische Beispiele und die zentralen Pflichten zusammen.

Wichtig: Die Stufen schließen sich nicht gegenseitig aus. Ein einziger Agent kann gleichzeitig unter Art. 5, Art. 50 und über sein zugrunde liegendes Modell unter die GPAI-Regeln fallen.

Stufe 1: Unannehmbares Risiko (verboten, Art. 5)

Acht Praktiken sind EU-weit komplett verboten. Sie gelten bereits seit 2. Februar 2025 und sind mit dem höchsten Bußgeldrahmen belegt. Für Marketing und HR besonders relevant:

• Manipulative oder täuschende Techniken mit erheblicher Schädigung, etwa persuasionsoptimierte Marketing-Agenten, die kognitive Verzerrungen unterhalb der bewussten Wahrnehmung ausnutzen (Art. 5 Abs. 1 lit. a).
• Ausnutzung von Schwächen aufgrund von Alter, Behinderung oder sozioökonomischer Lage, etwa Agenten, die ältere Kunden mit nachteiligen Finanzprodukten ansprechen (lit. b).
• Social Scoring durch öffentliche oder private Akteure mit nachteiliger Behandlung in unzusammenhängenden Kontexten (lit. c).
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Ein HR-Analytics-Agent, der Stimmung, Konzentration oder Stress von Beschäftigten aus Video, Audio oder Biometrie ableitet, ist im Arbeitskontext verboten (lit. f). Die Ausnahmen für medizinische und Sicherheitszwecke sind eng.

Der Digital Omnibus (politische Einigung vom 7. Mai 2026) hat ein neuntes Verbot ergänzt: KI-Systeme, die nicht-einvernehmliche intime Inhalte oder KI-generiertes Missbrauchsmaterial erzeugen, müssen bis 2. Dezember 2026 vom Markt.

Stufe 2: Hochrisiko-KI-System (Art. 6, Anhang III und I)

In den Hochrisiko-Bereich führen zwei Wege. Anhang I erfasst KI als Sicherheitsbauteil regulierter Produkte (etwa Maschinen, Medizinprodukte). Anhang III listet acht eigenständige Kategorien, darunter besonders relevant für B2B:

• Beschäftigung und Personalmanagement (Punkt 4): Rekrutierung, CV-Screening, Leistungsbewertung, Beförderung, Kündigung, Aufgabenzuweisung.
• Wesentliche private und öffentliche Dienste (Punkt 5): Kreditwürdigkeitsprüfung und Kreditscoring (außer Betrugserkennung), Risikobewertung und Preisgestaltung in der Lebens- und Krankenversicherung.
• Kritische Infrastruktur (Punkt 2): KI als Sicherheitsbauteil im Betrieb von Strom, Wasser, Gas oder Verkehr.

Eine wichtige Ausnahme regelt Art. 6 Abs. 3: Selbst ein Anhang-III-Anwendungsfall ist nicht hochriskant, wenn das System nur eine eng begrenzte Verfahrensaufgabe erfüllt, das Ergebnis einer abgeschlossenen menschlichen Tätigkeit verbessert, Abweichungen erkennt, ohne die menschliche Bewertung zu ersetzen, oder eine vorbereitende Aufgabe übernimmt. Aber: Profiling natürlicher Personen bleibt immer Hochrisiko und ist von dieser Ausnahme ausgenommen (Art. 6 Abs. 3 Unterabs. 2). Wer sich auf die Ausnahme stützt, muss die Begründung dokumentieren und in der EU-Datenbank registrieren (Art. 6 Abs. 4, Art. 49 Abs. 2).

Hochrisiko-Systeme verlangen unter anderem ein Risikomanagementsystem (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11 mit Anhang IV), Protokollierung (Art. 12), menschliche Aufsicht (Art. 14) sowie Genauigkeit, Robustheit und Cybersicherheit (Art. 15). Betreiber treffen zusätzlich die Pflichten aus Art. 26, darunter die in der DACH-Region oft unterschätzte Pflicht, Beschäftigte und Arbeitnehmervertretungen vor dem Einsatz zu informieren (Art. 26 Abs. 7).

Stufe 3: Begrenztes Risiko und Transparenzpflichten (Art. 50)

Hier landen die meisten Marketing- und Kundendialog-Anwendungen. Es gelten ausschließlich Transparenzpflichten, keine substanziellen Hochrisiko-Anforderungen:

• Art. 50 Abs. 1: KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass Nutzer erkennen, dass sie mit einer KI sprechen, es sei denn, das ist aus dem Kontext offensichtlich. Diese Pflicht trifft den Anbieter. Achtung beim Re-Branding eines White-Label-Chatbots: Dann werden Sie selbst zum Anbieter und tragen die Pflicht.
• Art. 50 Abs. 2: Anbieter von KI, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, müssen die Ausgaben maschinenlesbar als künstlich erzeugt kennzeichnen.
• Art. 50 Abs. 4: Betreiber müssen Deepfakes offenlegen. Bei KI-generierten Texten zu Themen von öffentlichem Interesse entfällt die Pflicht, wenn ein Mensch die redaktionelle Verantwortung übernommen hat.

Die Pflichten gelten ab 2. August 2026; die technische Frist für Kennzeichnung und Wasserzeichen endet laut Digital Omnibus am 2. Dezember 2026.

Stufe 4: Minimales Risiko

Alles andere, etwa Spam-Filter, interne RAG-Agenten über nicht-sensible Dokumente oder Code-Copiloten für den internen Gebrauch. Keine substanziellen Pflichten außer der KI-Kompetenz nach Art. 4 und freiwilligen Verhaltenskodizes (Art. 95).

Wo fallen typische KI-Agenten hin?

Die Praxis zeigt: Der gleiche technische Stack kann je nach Aufgabe in völlig unterschiedliche Klassen fallen. Beispiele aus der Research:

• Marketing-Copywriting-Agent (intern): minimal, plus Kennzeichnung nach Art. 50 Abs. 2.
• Kundenservice-Chatbot im Handel: begrenztes Risiko (Art. 50 Abs. 1).
• Interner Wissens-Management-Agent: minimal.
• CV-Screening-Agent: Hochrisiko (Anhang III Punkt 4).
• Kreditentscheidungs-Agent: Hochrisiko (Anhang III Punkt 5 lit. b).
• Betrugserkennungs-Agent für Zahlungskarten: minimal/begrenzt, dank ausdrücklicher Ausnahme. Wird dasselbe Modell für Kreditscoring wiederverwendet, kippt die Einstufung.
• Mitarbeiter-Stimmungserkennung am Arbeitsplatz: verboten (Art. 5 Abs. 1 lit. f).

Eine häufige Fehleinschätzung: „Wir nutzen nur Microsoft 365 Copilot, also sind wir nicht betroffen." Falsch. Wer Copilot zur Vorbereitung einer beschäftigungsbezogenen Entscheidung einsetzt, bewegt sich in Anhang III Punkt 4. Der Betreiber ist der verantwortliche Operator nach Art. 26.

Konkretes Beispiel mit Zahlen

Ein österreichischer Industrie-Mittelständler setzt einen CV-Screening-Agenten ein, der jährlich rund 3.000 Bewerbungen vorsortiert. Damit liegt ein klarer Hochrisiko-Fall nach Anhang III Punkt 4 lit. a vor, weil das System Beschäftigungsentscheidungen beeinflusst und Personen profiliert.

Folgen: Der Agent benötigt menschliche Aufsicht (Recruiter prüfen jedes Ranking) und die Information der Belegschaft vor Inbetriebnahme (Art. 26 Abs. 7). Die Personalvertretung muss nach § 91 ArbVG eingebunden werden, was den Rollout in der Praxis um 3 bis 6 Monate verlängern kann. Eine verpflichtende Grundrechte-Folgenabschätzung (FRIA nach Art. 27) trifft ein privatwirtschaftliches Unternehmen bei einem reinen HR-Screening-Fall hingegen nicht: Die FRIA ist für private Betreiber nur bei Kreditwürdigkeit (Anhang III Punkt 5 lit. b) und Lebens-/Krankenversicherungs-Pricing (Punkt 5 lit. c) sowie für öffentliche Stellen und Anbieter öffentlicher Dienste vorgeschrieben. Eine freiwillige Grundrechte-Prüfung bleibt dennoch gute Praxis.

Das finanzielle Risiko ist erheblich. Die Bußgeldstufen nach Art. 99 sind gestaffelt:

Bei KMU und Start-ups gilt nach Art. 99 Abs. 6 jeweils der niedrigere der beiden Beträge; der Digital Omnibus weitet diesen Schutz auf kleine Mid-Cap-Unternehmen aus.

Zeitlicher Vorbehalt: Digital Omnibus

Stand 2026, vorbehaltlich Änderung: Die politische Einigung zum Digital Omnibus vom 7. Mai 2026 verschiebt die Hochrisiko-Pflichten nach Anhang III auf 2. Dezember 2027 und nach Anhang I auf 2. August 2028, sofern die formelle Verabschiedung vor dem 2. August 2026 erfolgt. Bis dahin bleibt der ursprüngliche 2. August 2026 das rechtlich verbindliche Standarddatum. Unverändert in Kraft sind die Verbote (Art. 5, seit 2. Februar 2025), die KI-Kompetenz (Art. 4), die GPAI-Regeln (seit 2. August 2025) und der Bußgeldrahmen. Eine Pause bei der Governance ist also keine Option.

Für Agenturen und B2B

Für Agenturen: Die Risikoeinstufung gehört an den Anfang jedes KI-Projekts, nicht ans Ende. Wer für Kunden Chatbots oder Marketing-Agenten baut, sollte die Transparenzpflicht nach Art. 50 von Beginn an mitdenken und beim Re-Branding fremder Systeme die eigene Anbieterrolle prüfen. Für B2B-Entscheider: Erstellen Sie ein Inventar Ihrer KI-Anwendungen, ordnen Sie jede einer Risikoklasse zu und achten Sie besonders auf den Sprung von minimal zu Hochrisiko, der oft unbemerkt durch eine neue Datenquelle oder einen neuen Einsatzzweck entsteht. Blck Alpaca unterstützt Sie bei der Klassifizierung und beim Aufbau einer belastbaren Compliance-Dokumentation.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für die verbindliche Bewertung Ihres konkreten Falls ziehen Sie bitte qualifizierten Rechtsrat hinzu.