EU-AI-Act-Checker
Bestimmen Sie in wenigen Schritten, in welche Risikoklasse Ihr KI-System nach der EU-KI-Verordnung (VO (EU) 2024/1689) fällt — und sehen Sie die konkreten Pflichten je nach Ihrer Rolle als Anbieter oder Betreiber, mit Artikel-Referenzen. Der Checker ist eine Orientierungshilfe und ersetzt keine Rechtsberatung.
Schritt 1 von 5
Welche Rolle nehmen Sie bei diesem KI-System ein?
Die vier Risikoklassen des EU AI Act
Der EU AI Act reguliert KI risikobasiert: Je höher das Risiko für Grundrechte, Sicherheit und Gesundheit, desto strenger die Pflichten. Jedes System lässt sich genau einer der folgenden vier Klassen zuordnen.
Verbotene KI-Praktiken
Diese Systeme dürfen in der EU nicht auf den Markt gebracht, in Betrieb genommen oder verwendet werden — unabhängig von Ihrer Rolle. Wenn Ihr System hierunter fällt, ist es nicht durch Auflagen „heilbar“, sondern schlicht unzulässig.
Rechtsgrundlage: Art. 5
Hochrisiko-KI
Erlaubt, aber nur unter strengen Auflagen (Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, Konformitätsbewertung u.a.). Ein System ist hochriskant, wenn es (a) ein Sicherheitsbauteil eines regulierten Produkts ist (Anhang I) oder (b) in einen der Anwendungsbereiche aus Anhang III fällt. Im Zweifel — insbesondere bei Profiling natürlicher Personen — konservativ von „hochrisiko“ ausgehen und juristisch prüfen lassen (Art. 6(3)-Ausnahme ist eng gefasst).
Rechtsgrundlage: Art. 6 i.V.m. Anhang I/III
Begrenztes Risiko — Transparenzpflichten
Das System ist erlaubt, aber Nutzer bzw. betroffene Personen müssen erkennen können, dass sie mit KI interagieren oder dass Inhalte KI-generiert sind (z.B. Chatbots, Deepfakes, synthetische Medien).
Rechtsgrundlage: Art. 50
Minimales Risiko
Keine spezifischen Pflichten aus der KI-VO (z.B. Spamfilter, KI in Videospielen, einfache Empfehlungs-Features). Freiwillige Verhaltenskodizes werden empfohlen. Achtung: Andere Gesetze (DSGVO etc.) können trotzdem gelten.
Rechtsgrundlage: Erwägungsgründe, Art. 95
Pflichten je Klasse und Rolle
Welche Pflichten gelten, hängt von der Risikoklasse und Ihrer Rolle ab. Anbieter (Provider) entwickeln oder bringen ein System in Verkehr; Betreiber (Deployer) setzen es in eigener Verantwortung ein. Die folgende Übersicht listet die Pflichten mit den jeweiligen Artikel-Referenzen aus der KI-Verordnung.
Verbotene KI-Praktiken
| Rolle | Pflicht | Artikel |
|---|---|---|
| Anbieter & Betreiber | Nicht zulässig. Inverkehrbringen, Inbetriebnahme und Verwendung sind verboten. Bitte Nutzung einstellen und Vorhaben rechtlich prüfen lassen. | Art. 5 |
Hochrisiko-KI
| Rolle | Pflicht | Artikel |
|---|---|---|
| Anbieter (Provider) | Anforderungen aus Kapitel III Abschnitt 2 erfüllen (Risikomanagement, Datenqualität, technische Dokumentation, Logging, Transparenz gegenüber Betreiber, menschliche Aufsicht, Genauigkeit/Robustheit/Cybersicherheit). | Art. 16(a) i.V.m. Art. 8–15 |
| Qualitätsmanagementsystem einrichten. | Art. 16(c), Art. 17 | |
| Technische Dokumentation erstellen und vorhalten. | Art. 16(d), Art. 18 | |
| Automatisch erzeugte Logs aufbewahren. | Art. 16(e), Art. 19 | |
| Konformitätsbewertung durchführen (vor Marktzugang). | Art. 16(f), Art. 43 | |
| EU-Konformitätserklärung ausstellen. | Art. 16(g), Art. 47 | |
| CE-Kennzeichnung anbringen. | Art. 16(h), Art. 48 | |
| Registrierung in der EU-Datenbank. | Art. 16(i), Art. 49 | |
| Kontaktdaten/Kennzeichnung am System oder in Begleitunterlagen angeben. | Art. 16(b) | |
| Korrekturmaßnahmen ergreifen und Behörden/Betreiber informieren. | Art. 16(j), Art. 20 | |
| Konformität auf Behördenanfrage nachweisen und kooperieren. | Art. 16(k) | |
| Barrierefreiheitsanforderungen einhalten. | Art. 16(l) | |
| Betreiber (Deployer) | System gemäß Gebrauchsanweisung verwenden. | Art. 26(1) |
| Menschliche Aufsicht durch kompetente, geschulte, befugte Personen sicherstellen. | Art. 26(2) | |
| Bei eigener Kontrolle über Eingabedaten: für relevante und hinreichend repräsentative Daten sorgen. | Art. 26(4) | |
| Betrieb überwachen; bei Risiken oder schweren Vorfällen Anbieter (ggf. Marktüberwachungsbehörde) informieren, Nutzung ggf. aussetzen. | Art. 26(5) | |
| Automatisch erzeugte Logs aufbewahren (soweit in eigener Kontrolle), mindestens 6 Monate soweit angemessen. | Art. 26(6) | |
| Vor Einsatz am Arbeitsplatz betroffene Beschäftigte und deren Vertretung informieren. | Art. 26(7) | |
| Als Behörde nur registrierte Systeme einsetzen. | Art. 26(8) | |
| Ggf. Datenschutz-Folgenabschätzung mit Anbieter-Informationen durchführen. | Art. 26(9) i.V.m. DSGVO | |
| Betroffene natürliche Personen über den Einsatz und über sie betreffende Entscheidungen informieren. | Art. 26(11) | |
| Mit zuständigen Behörden kooperieren. | Art. 26(12) | |
| Bei Strafverfolgung/biometrischer Nachidentifizierung: vorherige richterliche oder behördliche Genehmigung einholen. | Art. 26(10) |
Begrenztes Risiko — Transparenzpflichten
| Rolle | Pflicht | Artikel |
|---|---|---|
| Anbieter (Provider) | KI-Systeme, die mit Menschen interagieren (z.B. Chatbots), so gestalten, dass Personen erkennen, dass sie mit einer KI interagieren — außer es ist offensichtlich. | Art. 50(1) |
| Ausgaben synthetischer Inhalte (Bild/Audio/Video/Text) maschinenlesbar als KI-generiert oder -manipuliert kennzeichnen. | Art. 50(2) | |
| Betreiber (Deployer) | Beim Einsatz von Emotionserkennung oder biometrischer Kategorisierung betroffene Personen informieren (zusätzlich DSGVO beachten). | Art. 50(3) |
| Bei Deepfakes offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert ist; bei KI-generierten Texten von öffentlichem Interesse ebenfalls offenlegen (Ausnahmen: redaktionelle Kontrolle, künstlerische Werke). | Art. 50(4) |
Minimales Risiko
| Rolle | Pflicht | Artikel |
|---|---|---|
| Anbieter & Betreiber | Keine spezifischen Pflichten aus der KI-VO. Freiwillige Verhaltenskodizes werden empfohlen. Andere Gesetze (z.B. DSGVO) bleiben davon unberührt. | Art. 95 (freiwillige Kodizes) |
Fristen: Wann gilt was?
Die Pflichten des EU AI Act treten gestaffelt in Kraft. Einige Termine für Hochrisiko-Systeme wurden durch die „Digital Omnibus“-Änderungsverordnung verschoben und sind noch nicht final im Amtsblatt veröffentlicht — bitte tagesaktuell prüfen.
Inkrafttreten der Verordnung (20 Tage nach Veröffentlichung im Amtsblatt). Quelle
Verbotene Praktiken (Art. 5) sowie Kapitel I/II gelten. Quelle
Pflichten für Basismodelle (GPAI), Governance, Sanktionen und notifizierende Stellen gelten. Quelle
Allgemeine Geltung der Verordnung, u.a. Transparenzpflichten (Art. 50). Quelle
Hochrisiko-Pflichten für eigenständige Anhang-III-Systeme greifen voraussichtlich (ursprünglich 02.08.2026, durch die „Digital Omnibus“-Änderungsverordnung verschoben). Termin zum Recherchezeitpunkt noch nicht final im Amtsblatt veröffentlicht — bitte tagesaktuell bzw. juristisch prüfen. Quelle
Hochrisiko-Pflichten für produkt-eingebettete Anhang-I-Systeme greifen voraussichtlich (ursprünglich 02.08.2027, durch die „Digital Omnibus“-Änderungsverordnung verschoben). Termin bitte tagesaktuell bzw. juristisch prüfen. Quelle
Vom Check zur Umsetzung
Der EU AI Act ist eng mit anderen Regelwerken verzahnt. Wie Datenschutz und KI zusammenspielen, lesen Sie unter DSGVO und KI. Einen Überblick über die Verordnung selbst gibt der Artikel EU AI Act, und worauf es beim sicheren Betrieb ankommt, zeigt KI-Sicherheit. ISAR AI unterstützt Sie dabei, KI-Anwendungsfälle AI-Act-konform umzusetzen — von der Auswahl geeigneter Use Cases über menschliche Aufsicht bis zur technischen Dokumentation. Die rechtliche Bewertung und Compliance-Prüfung übernehmen Sie mit Ihrer Rechtsberatung; wir sorgen dafür, dass die technische Umsetzung dazu passt.
Häufig gestellte Fragen
Welche KI ist hochriskant nach EU AI Act?
Ein KI-System gilt als hochriskant, wenn es entweder als Sicherheitsbauteil eines bereits regulierten Produkts eingesetzt wird (Anhang I) oder in einen der Anwendungsbereiche aus Anhang III fällt — dazu zählen unter anderem Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und HR (etwa CV-Screening), essenzielle private und öffentliche Dienste (etwa Kredit-Scoring), Strafverfolgung, Migration sowie Justiz. Rechtsgrundlage ist Art. 6 in Verbindung mit Anhang I/III. Im Zweifel — insbesondere beim Profiling natürlicher Personen — sollten Sie konservativ von „hochrisiko“ ausgehen, weil die Ausnahme nach Art. 6(3) eng gefasst ist. Dies ist eine Orientierungshilfe und keine Rechtsberatung.
Ab wann gilt der EU AI Act?
Die Verordnung ist am 01.08.2024 in Kraft getreten und gilt gestaffelt: Seit dem 02.02.2025 gelten die Verbote für unzulässige Praktiken (Art. 5). Seit dem 02.08.2025 gelten die Pflichten für Basismodelle (GPAI), Governance und Sanktionen. Ab dem 02.08.2026 gilt die Verordnung allgemein, einschließlich der Transparenzpflichten nach Art. 50. Die Hochrisiko-Pflichten für eigenständige Anhang-III-Systeme greifen nach aktuellem Stand voraussichtlich erst später (ursprünglich 02.08.2026, durch die „Digital Omnibus“-Änderungsverordnung verschoben) — der genaue Termin war zum Recherchezeitpunkt noch nicht final im Amtsblatt veröffentlicht und sollte tagesaktuell geprüft werden.
Was müssen Unternehmen tun?
Das hängt von zwei Dingen ab: Ihrer Rolle (Anbieter oder Betreiber) und der Risikoklasse des Systems. Bei Hochrisiko-KI müssen Anbieter unter anderem ein Risikomanagement, technische Dokumentation, ein Qualitätsmanagementsystem, eine Konformitätsbewertung und CE-Kennzeichnung umsetzen (Art. 16 i.V.m. Art. 8–15). Betreiber müssen das System gemäß Gebrauchsanweisung einsetzen, menschliche Aufsicht sicherstellen, den Betrieb überwachen und Logs aufbewahren (Art. 26). Bei begrenztem Risiko genügen Transparenzpflichten (Art. 50), bei minimalem Risiko bestehen keine spezifischen Pflichten aus der KI-VO. Der Checker oben zeigt Ihnen die Pflichtenliste für Ihren konkreten Fall. Keine Rechtsberatung.
Gilt der AI Act auch für Betreiber (Deployer)?
Ja. Auch wer ein KI-System nur einsetzt, ohne es selbst zu entwickeln, hat Pflichten — insbesondere bei Hochrisiko-Systemen. Betreiber müssen das System bestimmungsgemäß nach Gebrauchsanweisung verwenden, menschliche Aufsicht durch geschulte Personen sicherstellen, den Betrieb überwachen und bei Risiken den Anbieter informieren, Logs aufbewahren sowie betroffene Beschäftigte und Personen informieren (Art. 26). Bei Transparenz-Fällen wie Emotionserkennung oder Deepfakes bestehen zusätzliche Offenlegungspflichten (Art. 50(3)/(4)).
Was passiert mit verbotenen KI-Praktiken?
Verbotene Praktiken nach Art. 5 dürfen in der EU nicht auf den Markt gebracht, in Betrieb genommen oder verwendet werden — unabhängig von Ihrer Rolle. Dazu gehören etwa Social Scoring, das ungezielte Auslesen von Gesichtsbildern zum Aufbau von Datenbanken oder Emotionserkennung am Arbeitsplatz. Solche Systeme sind nicht durch Auflagen „heilbar“, sondern schlicht unzulässig; die Verbote gelten seit dem 02.02.2025. Fällt ein Vorhaben hierunter, sollten Sie die Nutzung einstellen und es rechtlich prüfen lassen.