EU AI Act Risikostufen: Diese 4 Klassen entscheiden, wie viel Aufwand auf dich zukommt

ChatGPT für eine E-Mail nutzen oder damit Bewerbungen vorsortieren – für den EU AI Act sind das zwei völlig unterschiedliche Welten. Welche Welt für dich gilt, entscheidet eine von vier Risikostufen.

Das Wichtigste in Kürze

• Der EU AI Act teilt KI-Systeme in vier Risikostufen ein: verboten, hoch, begrenzt, minimal.
• Die Stufe richtet sich nicht nach dem Tool, sondern nach dem konkreten Einsatzzweck.
• Die meisten KI-Anwendungen in einem normalen Betrieb fallen in die unteren beiden Stufen – mit wenig bis keinem Zusatzaufwand.
• Sobald KI über Menschen entscheidet (Bewerber, Kredite, Mitarbeiterbewertung), springt die Einstufung schnell auf „hoch".

Was bedeuten die Risikostufen im EU AI Act überhaupt?

Der EU AI Act ordnet jedes KI-System nach dem Schaden, den es im schlimmsten Fall anrichten könnte – nicht danach, wie fortschrittlich die Technik ist. Ein einfacher Spamfilter und ein hochkomplexes KI-Modell können beide in der niedrigsten Stufe landen, wenn von ihnen keine Gefahr für Menschen ausgeht.

Wichtig zu verstehen: Die Einstufung hängt am Einsatzzweck, nicht am Tool selbst. ChatGPT für interne Notizen ist begrenztes Risiko, ChatGPT zur automatisierten Bewerber-Vorauswahl wird Hochrisiko. Du kannst also nicht pauschal sagen „Wir nutzen nur sichere Tools" – entscheidend ist, wofür du sie einsetzt.

Stufe 1: Was zählt zu verbotener KI?

Auf der höchsten Stufe stehen Praktiken, die die EU als unvereinbar mit Grundrechten einstuft – und die seit Februar 2025 generell verboten sind. Dazu zählen unter anderem Social-Scoring-Systeme nach dem Vorbild autoritärer Staaten, gezielte Manipulation durch unterschwellige Techniken, Echtzeit-Gesichtserkennung im öffentlichen Raum durch Behörden und Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen.

Für die allermeisten KMU und Handwerksbetriebe ist diese Stufe kein Thema – diese Praktiken sind ohnehin niemandem zu empfehlen. Eine Ausnahme, die in der Praxis tatsächlich vorkommt: Emotionserkennung am Arbeitsplatz, etwa über Software, die die Stimmung von Mitarbeitern per Kamera analysiert. So etwas ist tabu, egal wie gut gemeint.

Stufe 2: Wann wird KI zu „Hochrisiko"?

Hier wird es für Unternehmen ernst. Hochrisiko-Systeme können erheblich in Gesundheit, Sicherheit oder Grundrechte eingreifen, etwa wenn sie über Menschen entscheiden. Typische Beispiele aus dem Geschäftsalltag: KI-gestützte Bewerber-Vorauswahl, automatisiertes Scoring von Kreditwürdigkeit oder KI-Systeme in der Personalbeurteilung.

Auch wenn du als kleiner Betrieb so etwas „nur einsetzt" und nicht selbst entwickelst, bist du nicht aus dem Schneider. Betreiber solcher Systeme müssen sicherstellen, dass sie nach den Vorgaben des Anbieters arbeiten, Risiken überwachen und Vorfälle melden. Wer ein Tool sogar entgegen den Vorgaben des Anbieters in einem Hochrisiko-Bereich einsetzt, übernimmt dadurch unfreiwillig sogar die strengeren Pflichten eines Anbieters.

Für Hochrisiko-Systeme gilt der volle Pflichtenkatalog: Risikomanagement, technische Dokumentation, menschliche Aufsicht und eine Konformitätsbewertung vor dem Einsatz. Das ist deutlich mehr Aufwand als bei den unteren Stufen – aber für den klassischen Handwerks- oder Dienstleistungsbetrieb meist auch kein realistisches Szenario, solange keine Personalentscheidungen automatisiert werden.

Stufe 3: Was bedeutet „begrenztes Risiko" für Chatbots & Co.?

Begrenztes Risiko ist die Stufe, in der die meisten Betriebe mit ihren alltäglichen KI-Tools tatsächlich landen. Hierunter fallen vor allem Chatbots, die mit Menschen direkt interagieren, sowie Systeme, die Bild-, Audio-, Text- oder Videoinhalte erzeugen oder verändern – also auch ganz gewöhnliche KI-generierte Marketing-Bilder oder Werbetexte.

Die Pflicht ist hier überschaubar: Transparenz. Wer einen Chatbot auf seiner Website einsetzt, muss die Besucher informieren, dass sie mit einer KI sprechen. Wer KI-generierte Inhalte veröffentlicht, muss sie als solche kennzeichnen. Das lässt sich meist mit einem kurzen Hinweistext im Chat-Fenster oder im Bild-Alt-Text lösen – kein Risikomanagement-System, keine umfangreiche Dokumentation.

Stufe 4: Welche KI gilt als „minimales Risiko"?

Die gute Nachricht: Die meisten KI-Anwendungen im Unternehmensalltag fallen in die unterste Stufe. Spamfilter, Übersetzungstools, Rechtschreibkorrektur, KI-gestützte Produktvorschläge oder Microsoft Copilot für Office-Texte – all das zählt zu minimalem Risiko. Hier gibt es keine spezifischen Pflichten aus dem AI Act.

Ein Punkt wird dabei oft übersehen: Minimales Risiko heißt nicht „keine Pflicht überhaupt". Unabhängig von der Risikostufe gilt seit Februar 2025 die KI-Kompetenzpflicht nach Artikel 4 – wer ein Tool nutzt, muss sein Personal trotzdem im Umgang damit schulen, selbst wenn das Tool selbst völlig unproblematisch ist.

Wie finde ich heraus, welche Stufe für mein Tool gilt?

Ein einfacher Drei-Schritte-Check hilft bei der Einordnung:

1. Verbotsprüfung: Manipuliert das System Menschen oder bewertet es sie nach Sozialverhalten? Falls ja: verboten, sofort stoppen.
2. Hochrisiko-Prüfung: Trifft das System Entscheidungen über Personen – Einstellung, Kredit, Bildungszugang, Gesundheit? Falls ja: Hochrisiko, hier lohnt sich eine fachliche Einschätzung.
3. Transparenzprüfung: Interagiert das System direkt mit Menschen oder erzeugt es Inhalte (Text, Bild, Audio, Video)? Falls ja: begrenztes Risiko, Kennzeichnung einplanen. Falls nein: minimales Risiko.

Wichtig: Diese Einstufung ist nicht für immer in Stein gemeißelt. Ändert sich der Einsatzzweck eines Tools, kann sich auch die Risikostufe ändern – ein Grund, die eigene KI-Inventur regelmäßig zu aktualisieren.

Key Takeaways

• Die Risikostufe hängt vom Einsatzzweck, nicht vom Tool selbst.
• Verboten und Hochrisiko betreffen die meisten KMU selten – außer bei Personalentscheidungen oder biometrischen Anwendungen.
• Begrenztes Risiko (Chatbots, KI-Inhalte) verlangt nur Transparenz – meist mit wenig Aufwand umsetzbar.
• Minimales Risiko ist pflichtenfrei – aber die Kompetenzpflicht nach Artikel 4 gilt trotzdem für alle Stufen.
• Erstelle eine kurze Liste deiner KI-Tools mit Einsatzzweck – das ist die Basis für jede Einstufung.