EU KI-Gesetz: Hochrisikokategorien erklärt (Update 2026)

Sicherheitskomponente eines regulierten Produkts

Es handelt sich um ein Produkt oder eine Sicherheitskomponente eines Produkts, das unter die bestehende EU-Sicherheitsgesetzgebung fällt, die in Anhang II aufgeführt ist. Dies umfasst eine breite Palette von Gütern, bei denen Sicherheit entscheidend ist, wie Spielzeug, Medizinprodukte, Aufzüge und Maschinen. Wenn ein KI-System eine Sicherheitskomponente für eines dieser Produkte ist, wird es automatisch als Hochrisiko-KI-System betrachtet.

Anwendungsfall mit hohem Risiko

Es fällt in einen der spezifischen Hochrisiko-Anwendungsfälle, die in Anhang III aufgeführt sind. Dieser Anhang ist der Kern der Hochrisiko-Definition. Er identifiziert Bereiche, in denen KI die Grundrechte, die Sicherheit oder das Wohlergehen von Personen ernsthaft schädigen könnte.

Biometrische Identifizierung und Kategorisierung

Diese Kategorie umfasst KI-Systeme für biometrische Zwecke. Es ist entscheidend, „Identifizierung“ (Abgleich einer Person mit vielen) von „Verifizierung“ (Abgleich einer Person mit einer anderen) zu trennen. Das Hauptanliegen ist die Verwendung von „ferngesteuerten“ biometrischen Identifizierungssystemen in öffentlichen Räumen. Während die Echtzeit-Fernidentifizierung mittels Biometrie größtenteils verboten ist, können Strafverfolgungsbehörden sie nachträglich unter strengen Bedingungen einsetzen, was sie zu einer Hochrisikoanwendung macht. Diese Kategorie umfasst auch Systeme, die Personen basierend auf sensiblen Daten wie Rasse, politischen Ansichten oder sexueller Orientierung gruppieren.

Management und Betrieb kritischer Infrastruktur

KI-Systeme, die als Sicherheitskomponenten zur Verwaltung kritischer Infrastrukturen eingesetzt werden, gelten als Hochrisiko. Ein Ausfall dieser Systeme könnte das Leben und die Gesundheit vieler Menschen gefährden. Beispiele hierfür sind KI, die zur Steuerung des Straßenverkehrs, der Wasserversorgung, der Heizung und des Stromnetzes eingesetzt wird. Ziel ist es, wesentliche Dienste sicher und zuverlässig zu halten, während sie zunehmend automatisiert werden.

Bildung und Berufsausbildung

Diese Kategorie zielt auf KI ab, die den Zugang einer Person zu Bildung und ihre berufliche Zukunft bestimmt. Hochrisikosysteme in diesem Bereich umfassen solche, die verwendet werden für:

• Zulassungen oder Zugang zu Bildungseinrichtungen.
• Bewertung von Lernergebnissen, wie die automatisierte Prüfungskorrektur.
• Lenkung von Studenten auf bestimmte Bildungspfade.
• Überwachung von Studenten während Prüfungen zur Aufdeckung von Betrug.

Die Verordnung zielt darauf ab, Voreingenommenheit zu verhindern und Fairness bei diesen wichtigen Lebensentscheidungen zu gewährleisten.

Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit

Ähnlich wie in der Bildung hat KI am Arbeitsplatz großen Einfluss auf die Arbeitsplätze von Menschen. Das Gesetz klassifiziert die folgenden Anwendungen als Hochrisiko-Anwendungen des KI-Gesetzes:

• KI, die für die Personalbeschaffung verwendet wird, z. B. zum Filtern von Lebensläufen oder zur Bewertung von Kandidaten in Vorstellungsgesprächen.
• Systeme, die Entscheidungen über Beförderungen oder Vertragsbeendigungen treffen.
• KI, die zur Aufgabenverteilung und zur Überwachung der Mitarbeiterleistung eingesetzt wird.

Diese Regeln bekämpfen diskriminierende Einstellungen und gewährleisten Transparenz im Personalmanagement.

Zugang zu wesentlichen privaten und öffentlichen Diensten und Leistungen

Diese breite Kategorie umfasst KI-Systeme, die den Zugang zu grundlegenden Diensten steuern. Wichtige Beispiele dieser Hochrisiko-KI-Systeme sind:

• KI-Systeme, die von Behörden verwendet werden, um die Berechtigung für Sozialleistungen zu entscheiden.
• Systeme, die Kredit-Scoring durchführen, das den Zugang zu Krediten und Finanzierungen bestimmt.
• KI, die für die Risikobewertung und Preisgestaltung in der Kranken- und Lebensversicherung eingesetzt wird.
• Systeme, die Notdienste wie Krankenwagen oder Feuerwehr entsenden.

Da diese Dienste so kritisch sind, legt das Gesetz strenge Kontrollen fest, um Fehler und Diskriminierung zu verhindern.

Strafverfolgung

Der Einsatz von KI durch Strafverfolgungsbehörden birgt klare Risiken für Grundrechte. Hochrisiko-Anwendungen in diesem Bereich umfassen:

• KI, die zur Bewertung des Risikos einer Person, ein Verbrechen zu begehen (prädiktive Polizeiarbeit), eingesetzt wird.
• Polygraphen und ähnliche Werkzeuge, die dazu dienen, den emotionalen Zustand einer Person zu erkennen.
• Systeme zur Erkennung von Deepfakes.
• KI, die zur Bewertung der Zuverlässigkeit von Beweismitteln in Strafsachen eingesetzt wird.

Diese Anforderungen stellen sicher, dass Behörden KI-Tools verantwortungsvoll einsetzen und ungerechte Ergebnisse vermeiden.

Migration, Asyl und Grenzmanagement

KI-Systeme, die im sensiblen Bereich der Migration und Grenzkontrolle eingesetzt werden, werden ebenfalls als Hochrisiko eingestuft. Dies umfasst Technologien, die verwendet werden für:

• Bewertung von Sicherheits- oder Gesundheitsrisiken von Personen, die in die EU einreisen.
• Überprüfung der Echtheit von Reisedokumenten.
• Unterstützung der Behörden bei der Prüfung von Asyl- und Visumanträgen.

Ziel ist es, die Grundrechte schutzbedürftiger Personen zu schützen, die mit diesen mächtigen Systemen interagieren.

Justizverwaltung und demokratische Prozesse

Die letzte Kategorie befasst sich mit den potenziellen Auswirkungen von KI auf die Rechtsstaatlichkeit und die Demokratie. Hochrisikosysteme umfassen:

• KI, die dazu bestimmt ist, einer Justizbehörde bei der Recherche und Interpretation von Fakten und Gesetzen zu helfen.
• Systeme, die dazu verwendet werden, das Ergebnis einer Wahl oder eines Referendums zu beeinflussen.

Diese Regeln schützen die richterliche Unabhängigkeit und die Integrität unserer demokratischen Systeme.

Risikomanagementsystem

Anbieter müssen einen kontinuierlichen Prozess zur Identifizierung, Analyse und Reduzierung von Risiken des KI-Systems erstellen, anwenden und aufrechterhalten.

Daten-Governance und -Management

Die zur Schulung, Validierung und Prüfung der KI verwendeten Datensätze müssen von hoher Qualität sein. Sie müssen relevant, repräsentativ, fehlerfrei und vollständig sein, mit starken Prozessen zur Verwaltung potenzieller Verzerrungen.

Technische Dokumentation

Anbieter müssen eine umfassende technische Dokumentation erstellen und aktualisieren. Sie muss die Fähigkeiten, Grenzen und das Design des Systems erläutern, um dessen Konformität mit dem Gesetz nachzuweisen.

Aufzeichnungspflicht

Das System muss in der Lage sein, Ereignisse (wie die für eine Entscheidung verwendeten Daten) automatisch zu protokollieren, um die Nachvollziehbarkeit seiner Operationen zu gewährleisten.

Transparenz und Informationen für Nutzer

Das System muss für ausreichende Transparenz ausgelegt sein. Anbieter müssen den Nutzern klare und vollständige Anweisungen geben, um ihnen zu helfen, die Ausgabe des Systems korrekt zu interpretieren.

Menschliche Aufsicht

Menschen müssen in der Lage sein, Hochrisiko-Systeme effektiv zu überwachen. Dies umfasst Maßnahmen, die es einer Person ermöglichen, in die Entscheidungen des Systems einzugreifen, diese zu stoppen oder zu überstimmen.

Genauigkeit, Robustheit und Cybersicherheit

Systeme müssen mit hoher Genauigkeit funktionieren. Sie müssen widerstandsfähig gegen Fehler, Ausfälle und Angriffe von Dritten sein, die versuchen, ihre Leistung zu verändern.

Konformitätsbewertung

Vor dem Inverkehrbringen muss das System eine Konformitätsbewertung bestehen, um nachzuweisen, dass es alle Anforderungen erfüllt. Für einige Systeme muss eine benannte Drittstelle beteiligt sein.