Klasse 1: Unzulässiges Risiko – verbotene Praktiken (Art. 5)

Einige KI-Praktiken sind in der EU seit dem 2. Februar 2025 grundsätzlich verboten – ohne Übergangsfrist und unabhängig von der Unternehmensgröße. Hier drohen die höchsten Bußgelder: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

KMU-Praxis: In diese Klasse geraten kleine Unternehmen selten absichtlich – aber fast: Wer etwa ein Tool einsetzt, das die Stimmung von Mitarbeitern in Videomeetings analysiert, bewegt sich bereits im verbotenen Bereich. Hier lohnt ein genauer Blick vor der Tool-Einführung.

Klasse 2: Hohes Risiko (Anhang III)

Hochrisiko-Systeme sind nicht verboten, aber streng reguliert: Anforderungen an Datenqualität, technische Dokumentation, menschliche Aufsicht und Risikomanagement. Die klassische KMU-Falle liegt im Personalbereich:

Wichtig zur Frist: Durch den Digital Omnibus gelten die vollen Hochrisiko-Pflichten für Anhang-III-Systeme erst ab Dezember 2027, für KI in regulierten Produkten (Anhang I) ab August 2028. Das ist Luft – aber kein Freifahrtschein: Die Schulungspflicht nach Art. 4 gilt bereits, und verbotene Praktiken sind tabu, egal welche Frist läuft.

Vorsicht Anbieter-Falle (Art. 25): Wer ein Hochrisiko-System unter dem eigenen Namen brandet, vertreibt oder wesentlich verändert, wird rechtlich zum Anbieter – mit der vollen Pflichtenlast eines Herstellers. Konkret: Kaufen Sie ein Recruiting-Tool und bieten es Kunden unter Ihrem Firmennamen an, tragen Sie die Anbieter-Verantwortung. Als reiner Betreiber bleiben Ihre Pflichten dagegen überschaubar.

Klasse 3: Begrenztes Risiko – Transparenzpflichten (Art. 50)

Diese Klasse betrifft KI-Systeme, die mit Menschen interagieren oder Inhalte erzeugen. Die Pflicht ist keine Genehmigung, sondern Ehrlichkeit: Menschen sollen erkennen, dass sie es mit einer KI zu tun haben. Die Pflichten gelten ab dem 2. August 2026.

KMU-Praxis: Das ist die Klasse, die ab August 2026 die meisten kleinen Unternehmen konkret trifft. Wenn wir für Sie Chatbots oder Telefonassistenten bauen, richten wir die Kennzeichnung direkt mit ein – als festen Bestandteil der Umsetzung, nicht als Nachgedanken.

Klasse 4: Minimales Risiko – der Rest

Alles, was weder verboten, Hochrisiko noch transparenzpflichtig ist, fällt in die Klasse minimales Risiko: Spamfilter, Suchfunktionen, Rechtschreibprüfung, die meisten Text- und Büroassistenten, Dokumentenklassifikation oder Wissenssuche. Hier erzeugt der EU AI Act keine neuen Pflichten.

Für die Mehrheit der typischen KMU-Anwendungen dürfte das zutreffen. Zwei Einschränkungen sollten Sie trotzdem im Kopf behalten: Die KI-Schulungspflicht nach Art. 4 gilt klassenübergreifend auch hier. Und die DSGVO gilt unabhängig vom EU AI Act – sobald personenbezogene Daten im Spiel sind, braucht es saubere Verarbeitung, Auftragsverarbeitungsverträge und klare Regeln. Details dazu auf unserer Seite zu DSGVO und KI-Sicherheit.

Selbstcheck: In welche Klasse fällt Ihre KI-Anwendung?

Vier Fragen, mit denen Sie jede Anwendung grob einordnen können – von oben nach unten prüfen, die erste zutreffende Antwort gewinnt:

Dieser Selbstcheck ersetzt keine Rechtsberatung. ProvenAI berät technisch-organisatorisch; bei Grenzfällen – insbesondere im Personalbereich – empfehlen wir die Einstufung durch einen Fachanwalt für IT-Recht. Eine strukturierte Ersteinschätzung liefern wir im Rahmen unseres KI-Audits.

Häufige Fragen zu den EU AI Act Risikoklassen