Artikel 6 EU AI Act: Die Hochrisiko-Klassifizierung erklärt

Art. 6 EU AI Act sieht zwei alternative Wege zur Hochrisiko-Einstufung vor: Erstens (Art. 6 Abs. 1): KI-Systeme, die als Sicherheitsbauteil eines Produkts fungieren, das unter die Harmonisierungsrechtsvorschriften in Anhang I fällt (z.B. Maschinenverordnung, Medizinprodukte-Verordnung, Fahrzeugsicherheit). Zweitens (Art. 6 Abs. 2): KI-Systeme, die in Anhang III explizit aufgelistet sind, unabhängig davon, ob sie als Produkt oder eigenständige Software vorliegen. Beide Wege führen zu identischen Compliance-Anforderungen.

Anhang I EU AI Act listet Harmonisierungsrechtsvorschriften, unter die KI-Systeme als Sicherheitskomponenten fallen können: Maschinenverordnung (2006/42/EG), Spielzeugrichtlinie, Aufzüge-Richtlinie, Explosionsschutz-Richtlinie, Funkanlagenrichtlinie, Druckgeräte-Richtlinie, Medizinprodukte-Verordnung (MDR 2017/745), In-vitro-Diagnostika (IVDR), Luftfahrt-Sicherheitsvorschriften, Kfz-Typgenehmigung, Land- und Forstwirtschaftliche Fahrzeuge, Binnenschifffahrt, Lokomotiven und Fahrzeuge der Eisenbahn. Wenn eine KI eine Sicherheitsfunktion in diesen Produkten erfüllt, ist sie automatisch Hochrisiko.

Anhang III definiert acht Kategorien eigenständiger Hochrisiko-KI-Systeme: 1. Biometrische Identifizierung und Kategorisierung, 2. Kritische Infrastruktur (Energie, Wasser, Verkehr, Finanzen), 3. Allgemeine und berufliche Bildung, 4. Beschäftigung und Personalverwaltung, 5. Wesentliche private und öffentliche Dienstleistungen (Kredit, Sozialleistungen, Notdienste), 6. Strafverfolgung, 7. Migrations- und Asylverwaltung, 8. Rechtspflege und demokratische Prozesse. Innerhalb jeder Kategorie gibt es spezifische Untereinheiten – lesen Sie Anhang III sorgfältig für Ihren konkreten Einsatzfall.

Art. 6 Abs. 3 EU AI Act enthält eine wichtige Ausnahmeregelung: Anbieter können ihr System aus der Hochrisiko-Kategorie herausnehmen, wenn es keine wesentlichen Risiken birgt. Voraussetzungen für die Ausnahme: Das System trifft keine inhaltlichen Entscheidungen, die Personen betreffen (nur vorbereitende Aufgaben), oder das System führt keine Profiling-Aktivitäten durch, die Personen betreffen. Der Anbieter muss die Ausnahme dokumentieren und in der EU-KI-Datenbank registrieren. Diese Ausnahme ist eng auszulegen – im Zweifelsfall sollte ein Rechtsexperte konsultiert werden.

Prüfschema für Unternehmen: Schritt 1: Fällt die KI unter Anhang I (Sicherheitskomponente in reguliertem Produkt)? Wenn ja → Hochrisiko. Schritt 2: Fällt die KI unter Anhang III (eine der 8 Kategorien)? Wenn ja → vorläufig Hochrisiko. Schritt 3: Greift die Ausnahme nach Art. 6 Abs. 3 (keine wesentlichen Risiken)? Wenn ja und dokumentiert → keine Hochrisiko-Pflichten. Schritt 4: Dokumentieren Sie Ihre Entscheidung unabhängig vom Ergebnis. Nutzen Sie ai-risk-check.com für eine geführte Klassifikation Ihrer KI-Systeme.

Wenn Ihr System als Hochrisiko eingestuft ist, gelten Art. 8–25 EU AI Act vollumfänglich: Risikomanagementsystem (Art. 9), Anforderungen an Trainingsdaten (Art. 10), technische Dokumentation (Art. 11), Aufzeichnungspflichten/Logging (Art. 12), Transparenz und Information (Art. 13), menschliche Aufsicht (Art. 14), Genauigkeit, Robustheit und Cybersicherheit (Art. 15), Qualitätsmanagementsystem (Art. 17), Registrierung in der EU-KI-Datenbank (Art. 49), Konformitätsbewertung und CE-Kennzeichnung (Art. 43–48). Der Aufwand für volle Compliance ist erheblich – planen Sie mindestens 6–12 Monate Vorbereitungszeit.