Ist unser KI-Produkt eigentlich Hochrisiko-KI? 

Wer ein KI-System entwickelt und auf den Markt bringen möchte, sollte frühzeitig klären, wie das Produkt nach der europäischen KI-Verordnung einzuordnen ist.

Besonders relevant ist dabei die Frage, ob es sich um ein Hochrisiko-KI-System handelt. Die Europäische Kommission hat hierzu im Mai 2026 umfangreiche Entwurfsleitlinien mit konkreten Beispielen veröffentlicht. 

Sie sollen Unternehmen dabei unterstützen, die teilweise schwierige Abgrenzung vorzunehmen. Die Konsultation hierzu endete im Juli; die endgültige Fassung steht noch aus. 

Wann ist ein KI-System Hochrisiko-KI?

Die KI-Verordnung sieht im Wesentlichen zwei Gruppen vor:

KI-Systeme, die selbst ein reguliertes Produkt oder Sicherheitsbestandteil eines solchen Produkts sind und bestimmten Konformitätsanforderungen unterliegen, sowie bestimmte ausdrücklich erfasste Anwendungsfälle nach Anhang III der KI-Verordnung.

Zu den Bereichen des Anhangs III gehören beispielsweise bestimmte Anwendungen in Beschäftigung und Personalmanagement, Bildung, kritischer Infrastruktur, biometrischen Verfahren, wesentlichen privaten und öffentlichen Dienstleistungen sowie Strafverfolgung und Migration.

Entscheidend ist jedoch nicht allein die Branche. Der konkrete Zweck und die Funktion des Systems sind ausschlaggebend. Nicht jede KI-Anwendung im Personalwesen oder Bildungsbereich ist automatisch Hochrisiko-KI.

Bedeutung für die Praxis

Für Anbieter kann die Einstufung erhebliche Auswirkungen auf die weitere Produktentwicklung haben.

Für Hochrisiko-KI sieht die KI-Verordnung unter anderem Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit vor. Vor dem Inverkehrbringen ist zudem grundsätzlich eine Konformitätsbewertung vorgesehen.

Die Einordnung sollte deshalb nicht erst kurz vor Markteinführung erfolgen. Sie kann Einfluss darauf haben, wie ein Produkt technisch aufgebaut, dokumentiert und später betrieben werden muss.

Handlungsempfehlungen

Unternehmen, die ein eigenes KI-Produkt entwickeln oder anbieten möchten, sollten daher frühzeitig:

• den vorgesehenen Verwendungszweck eindeutig festlegen,
• prüfen, ob Anhang I oder ein Anwendungsfall aus Anhang III betroffen ist,
• die konkrete Funktion und Entscheidungsrelevanz des Systems bewerten,
• die eigene Rolle nach der KI-Verordnung bestimmen und
• mögliche Anforderungen bereits bei Produktentwicklung und Dokumentation berücksichtigen.

Gerade bei Grenzfällen sollte die vorgenommene Einstufung nachvollziehbar dokumentiert werden.

Ausblick

Durch den AI Omnibus gelten die Hochrisiko-Anforderungen für die Anwendungsfälle des Anhangs III nun grundsätzlich ab 2. Dezember 2027. Für KI-Systeme, die unter die produktbezogenen Regelungen des Anhangs I fallen, ist der maßgebliche Termin grundsätzlich der 2. August 2028.

Für Anbieter bedeutet diese Verschiebung jedoch nicht, dass die Einordnung bis dahin warten sollte. Gerade bei Produkten, die sich heute in der Entwicklung befinden, kann die Risikoklassifizierung erheblichen Einfluss auf technische Gestaltung, Dokumentation und spätere Markteinführung haben.

Wer heute ein KI-Produkt entwickelt, sollte daher frühzeitig wissen, welche regulatorischen Anforderungen das Produkt künftig erfüllen muss.

Kontakt

Sie entwickeln ein KI-Produkt oder möchten prüfen, ob Ihr System als Hochrisiko-KI einzustufen ist?

Wir unterstützen Sie bei der rechtlichen Einordnung Ihres KI-Systems – von der Prüfung des konkreten Anwendungsfalls und der Risikoklassifizierung bis zu Datenschutz, Dokumentation und den weiteren Anforderungen der KI-Verordnung.

Melden Sie sich gern unter datenschutz@bitkom-consult.de