Dieselben Ergebnisse, die der Fragebogen ausgibt — von der strengsten zur mildesten Einstufung.
Hochrisiko (Anhang III)
Das System fällt voraussichtlich unter Anhang III. Das ist der aufwendigste Teil der Verordnung — und der einzige, für den der Digital Omnibus mehr Zeit verschafft hat.
Gilt ab 02.12.2027
- — Risikomanagementsystem über den gesamten Lebenszyklus aufbauen
- — Anforderungen an Datenqualität und Datenverwaltung erfüllen
- — Technische Dokumentation erstellen und fortschreiben
- — Protokollierung der Systemereignisse sicherstellen
- — Menschliche Aufsicht organisatorisch verankern
- — Konformitätsbewertung durchlaufen
- — Zusätzlich gelten die Transparenzpflichten aus Artikel 50 bereits ab dem 2. August 2026
Hochrisiko (Anhang I, in Produkte eingebettet)
Ist die KI Sicherheitsbauteil eines Produkts, das ohnehin einer Konformitätsbewertung unterliegt, greift Anhang I. Die Anforderungen laufen dann zusammen mit der jeweiligen Produktvorschrift.
Gilt ab 02.08.2028
- — Anforderungen an Hochrisiko-Systeme erfüllen, integriert in die bestehende Produktkonformität
- — Bestehende Konformitätsbewertung um den KI-Anteil erweitern
- — Technische Dokumentation mit der Produktdokumentation zusammenführen
Transparenzpflicht (Art. 50 Abs. 1 und 5)
Das System muss sich zu erkennen geben. Das ist die häufigste Einstufung im Mittelstand — und die mit dem geringsten Umsetzungsaufwand.
Gilt ab 02.08.2026
- — Hinweis, dass es sich um ein KI-System handelt, klar und unterscheidbar spätestens bei der ersten Interaktion
- — Hinweis in der Oberfläche platzieren, nicht in Nutzungsbedingungen oder Fußzeile
- — Hinweis bei jeder Sitzung erneut ausspielen
- — Die Ausnahme greift nur, wenn die KI-Natur für eine angemessen informierte Person ohnehin offensichtlich ist
Transparenzpflicht (Art. 50 Abs. 2 und 4)
Bei Bild, Video und Audio greifen zwei Pflichten nebeneinander — eine für den Anbieter des Generators, eine für Sie als Anwender.
Gilt ab 02.08.2026
- — Maschinenlesbare Markierung der Ausgaben — Pflicht des Anbieters des Systems, nicht des Anwenders
- — Sichtbare Offenlegung bei Deepfakes, also bei Material mit täuschend echtem Bezug zu realen Personen, Gegenständen, Orten oder Ereignissen
- — Hinweis am Inhalt platzieren: Bildunterschrift, Videobeschreibung, Ansage zu Beginn
- — Prüfen, ob die eigene Bildpipeline eingebettete Metadaten beim Skalieren entfernt
Prüfung erforderlich — Beschäftigtenkontext
Systeme, die Beschäftigte bewerten oder Arbeitsverhalten auswerten, können unter Anhang III fallen. Unabhängig davon greift das Betriebsverfassungsrecht.
Gilt ab 02.08.2026
- — Prüfen, ob das System der Bewertung, Zuteilung oder Überwachung von Beschäftigten dient — dann kommt Anhang III in Betracht
- — Mitbestimmungsrechte des Betriebsrats klären, sobald das System Verhalten oder Leistung erfassen kann
- — Datenschutzrechtliche Grundlage für die Verarbeitung von Beschäftigtendaten prüfen
Einzelfallprüfung erforderlich
Für diese Konstellation trägt eine pauschale Einordnung nicht. Die Abgrenzung hängt an Details des konkreten Einsatzes, die ein Fragebogen nicht erfassen kann.
- — Den konkreten Verwendungszweck schriftlich festhalten, möglichst genau
- — Prüfen, ob das Ergebnis eine Entscheidung über Menschen beeinflusst — das ist die entscheidende Weiche
- — Bis zur Klärung von der strengeren Einstufung ausgehen
- — Für die verbindliche Bewertung eine Kanzlei einbeziehen
Transparenzpflicht mit weiter Ausnahme (Art. 50 Abs. 4)
Bei Texten ist die Pflicht deutlich enger als vielfach dargestellt. Für Unternehmenskommunikation greift sie typischerweise gar nicht.
Gilt ab 02.08.2026
- — Offenlegung nur bei Texten, die der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen
- — Werbetexte, Produktbeschreibungen und Service-Informationen fallen typischerweise nicht darunter
- — Redaktionell geprüfte Inhalte unter benannter menschlicher Verantwortung sind ausgenommen
- — Redaktionelle Verantwortung einmal schriftlich festlegen — das ist der Hebel mit dem besten Aufwand-Wirkung-Verhältnis
Minimales Risiko
Rein sachbezogene interne Anwendungen unterliegen keiner besonderen Pflicht aus der KI-Verordnung. Das ist der häufigste Fall im produzierenden Mittelstand.
- — Keine besonderen Pflichten aus der KI-Verordnung
- — Maßnahmen zur KI-Kompetenz nach Artikel 4 gelten trotzdem — sie hängen nicht an der Risikoklasse
- — System trotzdem ins Verzeichnis aufnehmen und die Einstufung dokumentieren
- — Datenschutzrechtliche Anforderungen prüfen, falls doch personenbezogene Daten verarbeitet werden
