Nicht die Bezeichnung, sondern der konkrete Einsatz zählt
Ob und welche Pflichten greifen, hängt unter anderem davon ab, welche Rolle ein Unternehmen einnimmt, welchem Zweck das System dient, welche Personen betroffen sind und welche Wirkung Ergebnisse oder Aktionen entfalten. Nicht jedes KI-System ist automatisch ein Hochrisiko-KI-System.
Anbieter, Betreiber beziehungsweise Deployers, Importeure und weitere Beteiligte können unterschiedliche Aufgaben haben. Die Einordnung muss für das tatsächliche System und seinen Einsatz dokumentiert werden.
Anwendungsstand des EU AI Act am 11.08.2026
Der EU AI Act wird stufenweise anwendbar. Verbote bestimmter Praktiken gelten seit dem 02.02.2025. Der am 27.07.2026 in Kraft getretene Digital Omnibus (EU) 2026/1744 änderte Artikel 4: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz ihrer Mitarbeitenden und weiterer in ihrem Auftrag mit Betrieb oder Nutzung befasster Personen zu unterstützen; ein bestimmtes individuelles Kompetenzniveau müssen sie nicht garantieren. Governance- und GPAI-Vorgaben gelten seit dem 02.08.2025; weitere Vorschriften gelten seit dem 02.08.2026 oder nach den geänderten Übergangsfristen.
Der Digital Omnibus verschob die Anwendung der Hochrisikoregeln auf den 02.12.2027 für in Anhang III genannte Hochrisiko-KI-Systeme und auf den 02.08.2028 für Hochrisiko-KI-Systeme als Bestandteil regulierter Produkte. Für eine Bewertung ist stets die aktuell konsolidierte amtliche Fassung maßgeblich.
- Stand der Darstellung: 11.08.2026
- Rolle und Zweck feststellen
- Risikokategorie begründen
- aktuelle Übergangsregel prüfen
- Nachweise und Zuständigkeiten dokumentieren
Hochrisiko-Anforderungen sind lebenszyklusbezogen
Für Hochrisiko-KI-Systeme nennt der AI Act unter anderem Risikomanagement, Daten- und Qualitätsanforderungen, technische Dokumentation, Aufzeichnungen, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Betreiber haben abhängig vom Fall zusätzliche Pflichten.
Diese Liste ist keine Einstufung eines konkreten Projekts. Schon vor einer formalen Hochrisikoklassifizierung können ähnliche Kontrollen als angemessene technische und organisatorische Praxis sinnvoll sein.
Die DSGVO prüft Zweck und Verarbeitung personenbezogener Daten
Wo personenbezogene Daten verarbeitet werden, bleiben unter anderem Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität, Vertraulichkeit und Rechenschaft relevant. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gehören in den Entwurf.
Rechtsgrundlage, Informationspflichten, Betroffenenrechte, Auftragsverarbeitung, Übermittlungen und eine mögliche Datenschutz-Folgenabschätzung sind fallbezogen durch qualifizierte Stellen zu prüfen.
Informationssicherheit schützt System, Daten und Wissensbestand
Die Risikoanalyse betrachtet Vertraulichkeit, Integrität und Verfügbarkeit von Eingaben, Wissensquellen, Werkzeugen und Ergebnissen. Minimalrechte, getrennte Rollen, geprüfte Quellen, sichere Schnittstellen, Änderungsnachweise sowie Wiederanlauf- und Stoppverfahren begrenzen mögliche Schäden.
Bei generativer KI kommen Risiken wie manipulierte Eingaben oder Wissensbestände, unbeabsichtigte Offenlegung und unzuverlässige Ausgaben hinzu. Das BSI empfiehlt eine anwendungs- und lebenszyklusbezogene Bewertung statt einer pauschalen Sicherheitszusage.
Prüffragen für die Projektentscheidung
Vor Pilot und Ausbau werden Zweck, Beteiligte, Datenkategorien, erlaubte Aktionen, mögliche Folgen und notwendige menschliche Kontrollen gemeinsam betrachtet. Offene rechtliche oder sicherheitskritische Punkte werden nicht durch technische Annahmen ersetzt.
- Welche Rolle nimmt das Unternehmen ein?
- Welche Daten und Personen sind betroffen?
- Welche Ergebnisse oder Aktionen haben Wirkung?
- Wer darf prüfen, freigeben und stoppen?
- Welche Nachweise, Tests und laufenden Kontrollen sind erforderlich?
- Welche qualifizierte Rechts- oder Sicherheitsprüfung fehlt noch?
Quellenhinweis
Stand 11.08.2026. Allgemeine Orientierung anhand des amtlichen EU-AI-Act- und DSGVO-Texts, der Änderungsverordnung (EU) 2026/1744, aktueller Hinweise der Europäischen Kommission und der BSI-Risikoanalyse. Keine Rechtsberatung und keine Aussage zur Einstufung oder Konformität eines konkreten Systems.
Primärquellen
Offizielle Quellen, redaktionell geprüft am 11. August 2026.
- Regulation (EU) 2024/1689 — Artificial Intelligence ActEUR-Lex
- Regulation (EU) 2026/1744 — Digital Omnibus on AIEUR-Lex
- Navigating the AI ActEuropean Commission
- Regulation (EU) 2016/679 — General Data Protection RegulationEUR-Lex
- Generative AI Models: Opportunities and Risks for Industry and AuthoritiesBundesamt für Sicherheit in der Informationstechnik (BSI)