Erster Weg: regulierte Produkte nach Anhang I
Nach Artikel 6 Absatz 1 ist ein System hochriskant, wenn es Sicherheitsbauteil eines Produkts ist, das unter die Harmonisierungsrechtsvorschriften des Anhangs I fällt – unter anderem Spielzeug, Aufzüge, Medizinprodukte –, oder selbst ein solches Produkt ist und das Produkt zudem einer Konformitätsbewertung durch Dritte bedarf.
Der Omnibus stellt klar, dass Systeme, die nur der Unterstützung des Nutzers, der Leistungsoptimierung, der Effizienz des Dienstes, der Automatisierung, dem Komfort oder der Qualitätskontrolle dienen, keine Sicherheitsbauteile sind, es sei denn, ihr Ausfall kann Gesundheit und Sicherheit gefährden (Art. 6 Abs. 1a und 1b).
Auch Maschinen werden neu zugeordnet: Die Richtlinie 2006/42/EG wird aus Abschnitt A des Anhangs I gestrichen und die Verordnung (EU) 2023/1230 in Abschnitt B aufgenommen, deren Produkte nur wenigen Artikeln unterliegen (Art. 2 Abs. 2), weil die KI-Anforderungen in ihr sektorales Recht übernommen werden.
Zweiter Weg: die acht Bereiche des Anhangs III
Anhang III zählt die Verwendungen auf, die für sich genommen hochriskant sind: Biometrie; kritische Infrastrukturen; allgemeine und berufliche Bildung; Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit; Zugang zu grundlegenden privaten und öffentlichen Diensten; Strafverfolgung; Migration, Asyl und Grenzkontrolle sowie Rechtspflege und demokratische Prozesse.
In der Privatwirtschaft finden sich die häufigsten Fälle in Nummer 4 – Personalauswahl, Entscheidungen über Beförderung oder Kündigung, Aufgabenzuweisung nach persönlichen Merkmalen, Leistungsbewertung – und in Nummer 5: Kreditwürdigkeitsprüfung natürlicher Personen und Preisgestaltung bei Lebens- und Krankenversicherungen.
Die Ausnahme nach Artikel 6 Absatz 3
Ein System aus Anhang III ist nicht hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, weil es nur eine eng gefasste Verfahrensaufgabe erfüllt, das Ergebnis einer bereits abgeschlossenen menschlichen Tätigkeit verbessert, Abweichungen erkennt, ohne die menschliche Bewertung zu ersetzen, oder eine vorbereitende Aufgabe übernimmt.
Die Ausnahme gilt nicht, wenn das System Profiling natürlicher Personen vornimmt: Dann ist es stets hochriskant. Wer sich auf sie beruft, muss seine Bewertung vor dem Inverkehrbringen dokumentieren und das System dennoch registrieren (Art. 6 Abs. 4 und Art. 49 Abs. 2).
Was Auditoren typischerweise sehen wollen
- Jedes System im Verzeichnis mit Anhang I und den acht Bereichen des Anhangs III abgeglichen
- Verwendungen in Personalauswahl, -bewertung oder -management identifiziert
- Ausnahmen nach Artikel 6 Absatz 3 schriftlich begründet, mit besonderem Augenmerk auf Profiling
- Anwendungsdatum für jedes Hochrisiko-System vermerkt
So gehen Sie in der Praxis vor
- 1Ordnen Sie jedes System einer von vier Spalten zu: verboten, hochriskant, Transparenzpflicht oder minimales Risiko.
- 2Prüfen Sie bei jeder Verwendung im Personalbereich, ob sie unter Nummer 4 des Anhangs III fällt und ob Profiling stattfindet.
- 3Kommen Sie zu dem Schluss, dass ein System aus Anhang III nicht hochriskant ist, bewahren Sie die Begründung mit Datum und Verantwortlichem auf.
Dass die KI vorschlägt und ein Mensch entscheidet, nimmt ein System nicht aus Anhang III heraus, ist aber die Grundlage glaubwürdiger menschlicher Aufsicht.
So werden KI-Vorschlag und menschliche Entscheidung getrennt
Woher jede Angabe stammt
Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.
- Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-Verordnung) EUR-Lex · ABl. L 2024/1689 · 12. Juli 2024
- Verordnung (EU) 2026/1744 (digitaler KI-Omnibus) zur Änderung der Verordnung (EU) 2024/1689 EUR-Lex · ABl. L 2026/1744 · 24. Juli 2026
- Verordnung (EU) 2024/1689, konsolidierte Fassung EUR-Lex · CELEX 02024R1689-20260727 · Fassung vom 27. Juli 2026