Hochrisiko oder nicht? AI-Act-Einstufung für typische Mittelstands-Use-Cases

Die Hochrisiko-Einstufung nach der EU-Verordnung 2024/1689 hängt nicht davon ab, ob Sie selbst KI entwickeln, sondern wofür das System im Geschäftsprozess eingesetzt wird. Ab August 2026 gelten für Hochrisiko-Systeme Dokumentations-, Aufsichts- und Konformitätspflichten. In unseren Projekten mit Mittelständlern sind etwa 2 von 8 typischen Use Cases hochrisikorelevant, die meisten fallen in begrenztes oder minimales Risiko. Bewerber-Vorsortierung und Kreditwürdigkeitsprüfung sind die häufigsten Ausreißer.

Hinweis: Dieser Artikel beschreibt die technisch-organisatorische Umsetzung. Er ersetzt keine Rechtsberatung.

Wie funktioniert der Entscheidungsbaum?

Start: KI-System im Einsatz?
  → Verbotene Praktik (Art. 5)? → STOPP, sofort beenden
  → In Anhang III gelistet? → Hochrisiko (ab 08/2026 volle Pflichten)
  → Transparenzpflicht (Art. 50)? → Begrenztes Risiko
  → Sonst → Minimales Risiko

Der Baum ersetzt keine Einzelfallprüfung, aber er sortiert 80 Prozent der Mittelstands-Fälle in unter einer Stunde.

Welche Beispiele aus der Praxis sind unkritisch?

Use-Case	Einstufung	Begründung
Rechnungsextraktion (OCR + Validierung)	Minimal	Keine Personenbewertung, kein Anhang III
Interne Wissensdatenbank (RAG)	Minimal bis begrenzt	Kein Hochrisiko, ggf. Transparenz bei generierten Texten
E-Mail-Triage nach Stichworten	Minimal	Keine Entscheidung über Personenrechte
Angebotsentwurf aus Vorlagen	Minimal	Menschliche Freigabe bleibt Standard
Meeting-Zusammenfassungen intern	Minimal	Kein automatisierter Verwaltungsakt
Übersetzung von Marketingtexten	Minimal	Kein sicherheitskritischer Kontext

Diese Fälle brauchen trotzdem Art.-4-Schulung, DSGVO-Konformität und eine KI-Richtlinie.

Wo liegen die Grauzonen?

Use-Case	Einstufung	Warum heikel
Bewerber-Vorsortierung per KI	Hochrisiko	Anhang III, Beschäftigung
Kreditlimit-Vorschlag aus Zahlungsverhalten	Hochrisiko	Anhang III, Kreditwürdigkeit
Automatische Zugangssteuerung mit Biometrie	Hochrisiko	Biometrische Identifikation
KI-gestützte Fehlerklassifikation in der Produktion	Grenzfall	Abhängig von Sicherheitskomponente
Chatbot für Kundenbeschwerden mit Eskalation	Begrenzt	Transparenzpflicht Art. 50

Bei Bewerber-Vorsortierung reicht es nicht, dass ein Mensch final entscheidet. Wenn die KI den Pool vorfiltert, greift die Hochrisiko-Kategorie.

Was ändert sich ab August 2026 bei Hochrisiko?

Für jedes bestätigte Hochrisiko-System benötigen Sie:

1. Risikomanagementsystem (Art. 9)
2. Daten- und Datenherkunftsdokumentation (Art. 10)
3. Technische Dokumentation (Art. 11 und Anhang IV)
4. Protokollierung (Art. 12)
5. Transparenz und Information der Betroffenen (Art. 13)
6. Menschliche Aufsicht (Art. 14)
7. Genauigkeit, Robustheit, Cybersicherheit (Art. 15)

Die Fristen und Bußgelder fassen die Sanktionen kompakt zusammen. Für die Gesamt-Checkliste verweisen wir auf unsere AI-Act-Checkliste für den Mittelstand.

Wie dokumentieren Sie die Einstufung?

Legen Sie pro Use-Case eine Ein-Seiten-Bewertung an:

• Systemname und Anbieter
• Eingangsdaten und Entscheidungsauswirkung
• Ergebnis des Entscheidungsbaums
• Verantwortliche Person und Datum
• Review-Termin (mindestens jährlich)

Im AI-Act-Compliance-Audit als Festpreis von 3.000 EUR liefern wir dieses Dokument für 5 bis 8 Use Cases standardisiert. Als Entwicklungspartner mit Hosting auf IONOS in Deutschland können wir die technische Dokumentation direkt an die Architektur koppeln.

Welche Beispiele überraschen Entscheider am häufigsten?

In Discovery-Gesprächen nennen Geschäftsführer oft nur „wir nutzen ChatGPT”. Bei genauerer Betrachtung tauchen aber Systeme auf, die bereits unter Anhang III fallen.

Bewerbermanagement: Ein SaaS-Tool, das Lebensläufe bewertet und eine Rangliste ausgibt, ist Hochrisiko, auch wenn die finale Einstellung ein Mensch trifft. Die Vorsortierung ist der kritische Schritt.

Kreditlimit-Assistenz: Wenn die KI aus Zahlungsverzögerungen ein Limit vorschlägt und der Sachbearbeiter nur noch bestätigt, liegt eine automatisierte Bonitätsbewertung nahe.

Qualitätskontrolle mit Sicherheitsrelevanz: In der Produktion kann eine KI-gestützte Fehlererkennung hochrisikorelevant werden, wenn ein Fehlurteil Sicherheitskomponenten betrifft.

Chatbot mit Eskalation: Ein Kundenservice-Bot, der Vertragskündigungen vorbereitet, kann begrenztes Risiko auslösen, weil Nutzer über KI-Interaktion informiert werden müssen.

Wie gehen Sie mit SaaS-Anbietern um?

Viele Mittelständler sind Betreiber, nicht Anbieter. Trotzdem haften Sie für den Einsatz im eigenen Prozess.

Frage an den SaaS-Anbieter	Warum wichtig
Liegt eine EU-Konformitätserklärung vor?	Pflicht bei Hochrisiko als Anbieter
Wo werden Eingabedaten verarbeitet?	DSGVO und Dokumentation
Gibt es menschliche Aufsicht im Produkt?	Art. 14 Anforderung
Wer protokolliert Entscheidungen?	Art. 12 Nachweis

Steht die Antwort nicht im Vertrag, dokumentieren Sie die Lücke und schließen Sie sie bis August 2026.

Wann lohnt sich externe Unterstützung?

Intern reicht der Baum, wenn Ihre Use-Cases klar administrativ sind. Sobald HR, Kredit oder Sicherheit im Spiel ist, sollten Sie die Einstufung nicht allein in der IT lassen. Für Steuerkanzleien mit Mandantendaten gilt zusätzlich das Berufsrecht, das wir im Branchenartikel zur Kanzlei behandeln.

Das AI-Act-Compliance-Audit liefert in 10 Werktagen ein priorisiertes Ranking Ihrer Anwendungen mit konkreten Maßnahmen bis August 2026.

Wie oft sollten Sie die Einstufung wiederholen?

Mindestens jährlich und immer wenn:

• ein neues KI-Tool eingeführt wird
• sich der Prozess ändert (z. B. von Entwurf zu automatischem Versand)
• neue Anhang-III-Kategorien durch EU-Leitlinien präzisiert werden
• ein Lieferant sein Modell austauscht

Die Wiederholung dauert mit Vorlage 30 bis 60 Minuten pro Use-Case. Ohne Vorlage beginnt die Diskussion jedes Mal bei null.

Welche Rolle spielt der Lieferant bei der Einstufung?

Wenn Sie ein KI-SaaS-Produkt einkaufen, liefert der Anbieter oft eine eigene Risikoeinstufung. Prüfen Sie trotzdem selbst, weil Sie als Betreiber im Prozess haften. Vergleichen Sie die Anbieter-Aussage mit Ihrem tatsächlichen Datenfluss. Weicht er ab, dokumentieren Sie die Abweichung und passen Sie den Prozess oder den Vertrag an.

Was tun Sie, wenn ein Use-Case Grenzbereich ist?

Bei Grenzfällen empfehlen wir ein Vier-Augen-Verfahren:

1. IT und Fachbereich dokumentieren den Use-Case
2. Compliance bewertet nach Entscheidungsbaum
3. Bei Unsicherheit externe Rechtsberatung für die Einzelfrage
4. Ergebnis mit Datum in die Akte, Review in 12 Monaten

So vermeiden Sie Überreaktion (alles als Hochrisiko) und Unterreaktion (Bewerber-KI als „nur Assistenz”).

Wie kommunizieren Sie die Einstufung intern?

Nach der Bewertung informieren Sie Prozess-Verantwortliche schriftlich über Ergebnis und Pflichten. Ein Satz reicht nicht. Senden Sie das Bewertungsblatt mit Datum, Verantwortlichem und nächstem Review-Termin. So entsteht Nachvollziehbarkeit, falls sich der Use-Case später ändert.

Für den Festpreis-Einstieg mit dokumentierter Bewertung aller Use Cases bieten wir das AI-Act-Compliance-Audit an. In 10 Werktagen wissen Sie, welche Anwendungen bis August 2026 priorisiert werden müssen.