Wann gilt eine KI als Hochrisiko-System?

Das Problem

In Ihrem Betrieb wird eine KI-Software eingeführt, und jemand sagt: «Das ist vermutlich Hochrisiko.» Ein anderer meint: «Das ist nur ein Hilfsmittel.» Sie sollen herausfinden, wer recht hat. Denn Hochrisiko-Systeme unterliegen im EU AI Act strengen Anforderungen, andere weit weniger.

Der Begriff führt oft in die Irre. «Hochrisiko» heisst nicht, dass ein Programm gefährlich oder schlecht ist. Es ist eine rechtliche Kategorie für Anwendungen in sensiblen Bereichen, in denen Entscheide das Leben von Menschen stark beeinflussen können.

Dieser Beitrag erklärt, woran Sie Hochrisiko-Anwendungen erkennen. Er ersetzt keine Rechtsberatung. Grenzfälle gehören in eine fachliche Prüfung, und die Einstufung hängt immer vom konkreten Einsatz ab.

Ein Einsatz in einem Bereich von Anhang III allein genügt nicht immer: Nach Artikel 6 sind auch die dort genannten Voraussetzungen und Ausnahmen zu prüfen. Beim Produktbezug kommt es unter anderem auf die einschlägigen Produktvorschriften und die vorgeschriebene Konformitätsbewertung an.

So lösen Sie es mit KI – Schritt für Schritt

1. Verwendungszweck beschreiben: Schreiben Sie in ein bis zwei Sätzen, wofür die Anwendung eingesetzt werden soll. Nicht der Produktname zählt, sondern der Zweck.
2. Bereich zuordnen: Prüfen Sie anhand der Tabelle unten, ob der Zweck in einen der genannten Bereiche fällt.
3. Betroffene und Folgen klären: Wer ist betroffen, und wie stark kann ein Entscheid sein Leben beeinflussen (Stelle, Kredit, Ausbildung, Leistungen)?
4. Produktbezug prüfen: Ist die KI ein Sicherheitsbauteil eines Produkts, das nach EU-Produktrecht geprüft werden muss, etwa eines Medizinprodukts oder einer Maschine?
5. Ausnahmen prüfen: Das Gesetz nennt enge Fälle, in denen eine Anwendung trotz Bereich nicht als hochriskant gilt, etwa rein vorbereitende Hilfsaufgaben ohne wesentlichen Einfluss auf Entscheide. Bei Profiling von Personen gilt die Ausnahme nicht.
6. Begründung festhalten: Dokumentieren Sie Ihre Einschätzung mit der Vorlage KI-Risikoeinstufung dokumentieren.
7. Fachlich prüfen lassen: Bei Verdacht auf Hochrisiko holen Sie eine Beurteilung ein, bevor Sie die Anwendung einführen oder anbieten.

Wann die Pflichten greifen

Die Anwendung der Hochrisiko-Pflichten wurde 2026 durch eine Änderung der Verordnung teilweise verschoben. Nach der Darstellung der Kommission gelten sie für Anhang-III-Systeme später als ursprünglich vorgesehen. Verlassen Sie sich nicht auf ältere Terminangaben, sondern prüfen Sie den aktuellen Stand, wie in Ab wann gelten welche Pflichten des EU AI Act? beschrieben. Das ändert nichts daran, dass andere Vorschriften, etwa Datenschutz und Verbote, bereits gelten können.

Für Schweizer Betriebe ist zudem der EU-Bezug entscheidend, siehe Gilt der EU AI Act auch für Schweizer Unternehmen?. Welche Risikoklassen es insgesamt gibt, zeigt Welche Risikoklasse hat unsere KI-Anwendung?.

Vorlage zum Kopieren

Ich prüfe, ob eine KI-Anwendung in unserem Schweizer Betrieb ein Hochrisiko-System nach dem EU AI Act sein könnte.
Anwendung und Verwendungszweck: [Beschreibung in zwei Sätzen]
Betroffene Personen und mögliche Folgen für sie: [Beschreibung]
Einsatzbereich: [z. B. Personal, Kreditvergabe, Bildung, Produktion]
EU-Bezug: [ja/nein/unklar]
Erstelle:
1. Eine Prüfliste mit Fragen zu Bereichen, Verwendungszweck, Produktbezug und Ausnahmen.
2. Eine Tabelle mit unseren Antworten und offenen Punkten.
3. Eine Liste mit Fragen an eine Fachperson.
Gib keine rechtliche Beurteilung ab, nenne keine Artikelnummern als sicher und weise auf Unsicherheiten hin.

Setzen Sie Ihre Angaben ein. Das Ergebnis ist eine Arbeitsgrundlage, keine Einstufung.

Worauf Sie achten müssen

• Zweck statt Produkt: Prüfen Sie immer den konkreten Einsatz. Ändert sich der Zweck, ändert sich die Einstufung.
• Grenzfälle: Eine Anwendung, die Entscheide «nur vorbereitet», kann trotzdem hochriskant sein, wenn Menschen sich stark darauf stützen. Siehe Was bedeutet menschliche Aufsicht über KI im Alltag?.
• Profiling: Wird eine Person bewertet, gilt die Ausnahme für harmlose Hilfsaufgaben nicht.
• Dokumentation: Halten Sie Ihre Begründung schriftlich fest.
• Rechtsberatung: Dieser Beitrag ersetzt sie nicht. Lassen Sie Verdachtsfälle beurteilen.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Elektrounternehmen in Wil mit Kunden in Österreich prüft drei Anwendungen: einen Schreibassistenten, ein Tool, das Offertstatistiken auswertet, und eine Software, die Bewerbungen vorsortiert.

Vorher gelten alle drei als «einfach KI». Nachher zeigt die Prüfung: Der Schreibassistent und die Statistik betreffen keine Entscheide über Menschen. Die Bewerbungssoftware filtert und bewertet Bewerbende und fällt in den Bereich Beschäftigung. Das Unternehmen kennzeichnet sie als möglichen Hochrisiko-Fall und holt eine fachliche Beurteilung ein.

So hilft Ihnen Alpasana

Wenn Sie Mitarbeitende für den Umgang mit möglichen Hochrisiko-Anwendungen sensibilisieren möchten, vermittelt Linup: KI sicher am Arbeitsplatz Grundwissen zu Daten, KI-Ergebnissen und Betrugsversuchen. Der Kurs unterstützt den Kompetenzaufbau im Betrieb, ersetzt aber keine fachliche Prüfung der rechtlichen Einstufung einzelner Anwendungen.

Häufige Fragen

Ist ein Chatbot automatisch Hochrisiko?

Nein. Ein Chatbot kann je nach Einsatz anders eingestuft werden. Für einfache Kundeninformationen gelten eher Transparenzpflichten, nicht Hochrisiko-Pflichten.

Gilt eine Anwendung als Hochrisiko, wenn ein Mensch am Ende entscheidet?

Nicht automatisch nicht. Entscheidend ist, ob die KI Entscheide wesentlich beeinflusst. Eine blosse Formalie der menschlichen Prüfung ändert nichts.

Wer stuft ein: Anbieter oder Betreiber?

Der Anbieter nimmt eine Einstufung vor, aber auch Betreiber müssen wissen, ob ihr Einsatz hochriskant ist. Siehe Anbieter oder Betreiber.