Hochrisiko-KI-Systeme und ihre Pflichten
Hochrisiko-KI-Systeme sind die Kategorie mit den strengsten Anforderungen. Ihre Pflichten gelten seit dem 2. August 2026. Wer sie einsetzt, muss ein Nachweisverfahren durchlaufen und eine ganze Reihe technischer wie organisatorischer Maßnahmen umsetzen.
Für die Praxis zählt zuerst die Abgrenzung. Viele mittelständische Unternehmen nutzen KI, ohne ein Hochrisiko-System zu betreiben. Wer das sauber dokumentiert, vermeidet unnötigen Aufwand und schützt sich vor Fehleinschätzungen.
Welche Systeme als hochriskant gelten
Hochrisiko-Systeme sind solche, deren Einsatz die Grundrechte von Personen erheblich beeinträchtigen kann. Typische Felder sind Personalentscheidungen, Zugang zu Basisdiensten, Kreditvergabe, Sicherheit von Produkten sowie die Unterstützung von Polizei, Grenzschutz und Justiz.
Entscheidend ist der Zweck, nicht die Technik. Ein Sprachmodell ist für sich genommen nie hochriskant. Erst der Einsatzkontext entscheidet, ob eine Entscheidung vorbereitet wird, die Rechtswirkung für einzelne Menschen entfaltet.
- Personalverwaltung und Bewerbungsbewertung
- Kreditprüfung und Zugang zu Finanzdienstleistungen
- Sicherheitskomponenten in regulierten Produkten
- Unterstützung von Strafverfolgung und Justiz
- Systeme zur Bewertung von Personen
Die Pflichten im Überblick
Für Hochrisiko-Systeme verlangt die Verordnung unter anderem ein Risikomanagementsystem, eine geregelte Daten-Governance, technische Dokumentation, automatische Protokollierung, Transparenz gegenüber betroffenen Personen sowie menschliche Aufsicht.
Hinzu kommen Anforderungen an Genauigkeit, Robustheit und Cybersicherheit, ein Konformitätsbewertungsverfahren, die Kennzeichnung mit der CE-Markierung und die Registrierung im europäischen Hochrisiko-Register. Die Anforderungen gelten je nach Rolle für Anbieter und Betreiber.
- Zweck und Rolle je KI-System bestimmen.
- Datenherkunft und Qualität für das Training dokumentieren.
- Risikomanagementsystem mit Restrisiken beschreiben.
- Menschliche Aufsicht organisieren und dokumentieren.
- Konformitätsbewertung und Registrierung veranlassen.
Warum die Abgrenzung so wichtig ist
Der Aufwand für Hochrisiko-Systeme ist erheblich und für die meisten Unternehmen nicht mit vertretbaren Mitteln intern zu leisten. Wird ein internes Werkzeug fälschlich als hochriskant eingestuft, entstehen Kosten ohne Nutzen. Wird ein echtes Hochrisiko-System zu niedrig eingestuft, drohen Pflichtenverstöße.
Eine saubere Einordnung sollte deshalb früh und schriftlich erfolgen. Nutzen Sie dafür die Dokumentation des Anbieters, aber prüfen Sie sie gegen Ihren tatsächlichen Einsatz. Im Zweifel ist eine fachliche Einschätzung durch die Rechtsabteilung sinnvoller als eine Vermutung.
Die häufigsten Fehler entstehen nicht bei der Technik, sondern bei der Einordnung des eigenen Anwendungsfalls.
Niedrigere Risikoklassen konsequent beherrschen
Der größte Teil der betrieblichen KI liegt in den Klassen minimal und begrenzt. Hier genügen Transparenz, Dokumentation und ein nachvollziehbarer Betrieb. Dafür muss die technische Basis verlässlich sein, und genau hier liegt der Nutzen einer lokal betriebenen Appliance.
Der STRATRONIX STA-100 arbeitet offline, ohne Cloud-Zugriff und mit lokal ausgeführtem Sprachmodell. Er kostet €399 pro Stück, das Zehnerpaket €3.990 (10 Stück), und die Hardware-Garantie beträgt zwei Jahre. Im Referenzprojekt im Shenzhen Luohu People's Hospital liefen 30 Geräte sechs Monate ohne ungeplante Ausfälle.
Pflichten nach Risikoklasse im Vergleich
| Pflicht | Begrenztes Risiko | Hochrisiko |
|---|---|---|
| Risikomanagementsystem | nein | ja |
| Technische Dokumentation | leicht | umfangreich |
| Automatische Protokollierung | empfohlen | ja |
| Menschliche Aufsicht | empfohlen | ja |
| Konformitätsbewertung | nein | ja |
| Registrierung und CE-Kennzeichnung | nein | ja |
| Transparenzhinweise | ja | ja |
Häufige Fragen
In aller Regel nicht. Ein Chatbot, der Auskünfte erteilt oder Texte zusammenfasst, liegt im Bereich begrenzt, solange er keine Entscheidungen mit Rechtswirkung vorbereitet und Personen nicht systematisch bewertet. Sobald das System Kriterien für Eignung, Kredit oder Beschäftigung auswertet, ändert sich die Einstufung deutlich und der Nachweisumfang wächst erheblich.
Erwartet wird, dass eine Person die Ausgaben des Systems verstehen, ihre Tätigkeit stoppen und die Entscheidung übernehmen kann. In der Praxis heißt das: klare Freigabepunkte, ausreichend qualifiziertes Personal, dokumentierte Kompetenzen und eine Gestaltung, die zu schnelle Abhängigkeit von automatisierten Entscheidungen verhindert. Die menschliche Aufsicht bleibt damit wirksam und nicht bloß formal.
Bei Verstößen können nationale Aufsichtsbehörden Maßnahmen ergreifen, von Auflagen und Bußgeldern bis zum Verbot des Systems. Eine genaue Betrachtung der Bußgeldrahmen ist hier nicht sinnvoll, weil sie sich ändert und einzelfallbezogen gilt. Wichtig ist die Vermeidung von Verstößen durch saubere Einstufung, transparente Dokumentation und einen funktionierenden Meldeprozess.
Der STRATRONIX STA-100 kostet €399 pro Stück, zehn Stück kosten €3.990 (10 Stück), bestätigt bei der Bestellung. Es entsteht kein Abo und keine laufende Abrechnung. Auf die Hardware gibt es zwei Jahre Garantie, die Installation dauert 8–10 Minuten. Für die Klassen minimal und begrenzt ist das eine vollständige technische Basis.
Weiterführende Seiten
STA-100 in Ihrem Unternehmen testen
On-Premise-KI: Deutschsprachig, ohne Cloud-Zugriff, 2 Jahre Garantie, 399 € pro Gerät.
sales@stratronix.ai Zum Produkt Kontakt