Die vier Risikoklassen

🔄 Kurzer Rueckblick: In der letzten Lektion hast du den Aufbau des EU AI Act kennengelernt — 113 Artikel, vier Akteure, und die Abgrenzung zur DSGVO. Jetzt wird’s konkret: Wie stuft der EU AI Act KI-Systeme ein?

Die Risikoklassen sind das Herzretueck des EU AI Act. Alles dreht sich um eine Frage: Wie gefaehrlich ist ein KI-System fuer die Grundrechte von Menschen? Je hoeher das Risiko, desto strenger die Regeln.

Die Risikopyramide

Der EU AI Act teilt KI-Systeme in vier Klassen ein — von verboten bis unreguliert:

Risikoklasse	Pflichten	Anteil der KI-Systeme	Zeitplan
Unannehmbar	Verboten	~5%	Seit Feb. 2025
Hoch	Umfangreiche Pflichten	~15%	Ab Aug. 2026
Begrenzt	Transparenzpflichten	~10%	Ab Aug. 2025
Minimal	Keine besonderen Pflichten	~70%	—

Die Prozentangaben sind Schaetzungen — genau weiss das noch niemand. Aber die Botschaft ist klar: Die Mehrheit der KI-Systeme faellt in die Kategorie “minimales Risiko” und ist kaum reguliert. Die Musik spielt bei den oberen 20-30%.

Stufe 1: Verbotene KI-Praktiken (seit Februar 2025)

Diese KI-Anwendungen sind komplett untersagt. Kein Wenn und Aber:

Verbotene Praktik	Beispiel	Art.
Social Scoring	Bewertung von Buergern durch Behoerden auf Basis von Sozialverhalten	5(1)(c)
Manipulative KI	Unterschwellige Beeinflussung, die Entscheidungen verzerrt	5(1)(a)
Ausnutzung von Schwaechen	KI, die Alter, Behinderung oder wirtschaftliche Lage ausnutzt	5(1)(b)
Biometrische Kategorisierung	Rueckschluss auf Rasse, politische Meinung, Gewerkschaft aus biometrischen Daten	5(1)(g)
Emotionserkennung am Arbeitsplatz	Mimik-/Stimmanalyse in Bueros und Schulen	5(1)(f)
Ungezieltes Scraping fuer Gesichtsdatenbanken	Clearview-AI-Stil: massenhaftes Sammeln von Gesichtsbildern	5(1)(e)
Biometrische Echtzeit-Identifizierung	Gesichtserkennung im oeffentlichen Raum durch Strafverfolgung (mit engen Ausnahmen)	5(1)(h)

Sanktionen: Bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes.

✅ Quick Check: Nutzt dein Unternehmen KI-Tools, die Emotionen erkennen, Mitarbeiter-Performance per Kamera ueberwachen oder Kunden nach Persoenlichkeitsmerkmalen kategorisieren? Dann koenntest du bereits gegen geltendes Recht verstossen — diese Verbote gelten seit Februar 2025.

Stufe 2: Hochrisiko-KI (ab August 2026)

Hier wird’s fuer die meisten Unternehmen relevant. Der EU AI Act definiert zwei Wege zur Hochrisiko-Einstufung:

Weg 1: Sicherheitskomponenten (Art. 6 Abs. 1) — KI als Sicherheitsbauteil in Produkten, die unter EU-Harmonisierungsrecht fallen (Medizinprodukte, Maschinen, Spielzeug, Aufzuege).

Weg 2: Eigenstaendige Hochrisiko-Systeme (Art. 6 Abs. 2 + Anhang III) — acht Bereiche:

Nr.	Bereich	Beispiele
1	Biometrie	Identifizierung, Kategorisierung (nicht verboten)
2	Kritische Infrastruktur	Wasser, Gas, Strom, Verkehr
3	Bildung	Pruefungsbewertung, Zugang zu Bildungseinrichtungen
4	Beschaeftigung	Recruiting, Befoerderung, Kuendigung, Leistungsbewertung
5	Wesentliche Dienstleistungen	Kreditvergabe, Versicherung, Sozialleistungen
6	Strafverfolgung	Risikobewertung, Luegendetektion
7	Migration	Asylentscheidungen, Grenzkontrolle
8	Justiz	Rechtsberatung, Strafzumessung

Die Pflichten bei Hochrisiko sind erheblich: Risikomanagement, Datenqualitaet, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit, EU-Datenbank-Registrierung. Dazu kommen wir in der naechsten Lektion im Detail.

Stufe 3: Begrenztes Risiko (ab August 2025)

Begrenztes Risiko bedeutet: Transparenzpflichten. Nutzer muessen wissen, dass sie mit KI interagieren.

System	Pflicht	Art.
Chatbots	Kennzeichnung als KI-Interaktion	50(1)
Deepfakes	Kennzeichnung als KI-generiert	50(2)
KI-generierte Texte	Kennzeichnung als maschinell erstellt	50(2)
Emotionserkennung (nicht verboten)	Information der betroffenen Person	50(3)
Biometrische Kategorisierung (nicht verboten)	Information der betroffenen Person	50(3)

Das betrifft praktisch jedes Unternehmen, das ChatGPT, Claude oder Copilot nutzt, um Texte fuer Kunden zu erstellen. Wenn dein Newsletter von KI geschrieben wird, muss das erkennbar sein.

✅ Quick Check: Erstellt dein Unternehmen Texte, Bilder oder Videos mit KI, die an Kunden oder die Oeffentlichkeit gehen? Dann brauchst du eine Kennzeichnungsstrategie — ab August 2025 ist das Pflicht.

Stufe 4: Minimales Risiko

Die gute Nachricht: Die Mehrheit der KI-Anwendungen faellt hierhin. KI-gestuetzte Spamfilter, Empfehlungsalgorithmen, KI-Uebersetzer fuer internen Gebrauch, Textverarbeitung — alles minimales Risiko, keine besonderen Pflichten.

Aber: Der EU AI Act empfiehlt freiwillige Verhaltenskodizes (Art. 95). Und die KI-Kompetenzpflicht nach Art. 4 gilt fuer ALLE Risikoklassen — auch fuer minimales Risiko.

Wie ordnest du dein KI-System ein?

Geh diese Fragen durch:

Ist die Anwendung verboten? → Pruefe Art. 5 (Social Scoring, manipulative KI, Emotionserkennung am Arbeitsplatz)
Ist es ein Sicherheitsbauteil? → Pruefe, ob das Produkt unter EU-Harmonisierungsrecht faellt
Faellt es in Anhang III? → Pruefe die acht Hochrisiko-Bereiche
Interagiert es mit Menschen oder generiert Inhalte? → Transparenzpflichten (begrenztes Risiko)
Keines davon? → Minimales Risiko

Wichtig: Die Einstufung haengt vom Verwendungszweck ab, nicht von der Technologie. Dasselbe Sprachmodell kann minimales Risiko sein (interner Textassistent) oder Hochrisiko (Bewerberbewertung). Es kommt darauf an, wofuer du es einsetzt.

Key Takeaways

Vier Risikoklassen: Unannehmbar (verboten), Hoch (strenge Pflichten), Begrenzt (Transparenz), Minimal (keine besonderen Pflichten)
Verbotene Praktiken gelten bereits seit Februar 2025 — Social Scoring, manipulative KI, Emotionserkennung am Arbeitsplatz
Hochrisiko betrifft acht Bereiche: Biometrie, Infrastruktur, Bildung, Beschaeftigung, Dienstleistungen, Strafverfolgung, Migration, Justiz
Die Einstufung richtet sich nach dem Verwendungszweck, nicht nach der Technologie
Die meisten KI-Systeme (~70%) sind minimales Risiko — aber die KI-Kompetenzpflicht gilt fuer alle

Up Next

In der naechsten Lektion tauchen wir tief in die Hochrisiko-Kategorie ein — die umfangreichsten und anspruchsvollsten Pflichten des EU AI Act. Du lernst, welche konkreten Anforderungen dein Unternehmen erfuellen muss.