Kurz zusammengefasst: KI-Risikoklassen sind kein juristisches Spezialthema, sondern eine praktische Sortierhilfe: Unternehmen müssen wissen, welche KI-Systeme sie einsetzen, welchem Risiko sie zuzuordnen sind und welche Nachweise daraus folgen. Besonders wichtig sind verbotene Praktiken, Hochrisiko-Systeme, Transparenzpflichten und der bewusste Umgang mit Anwendungen, die formal wenig reguliert sind, aber geschäftlich trotzdem kritisch werden können.
Mit Unterstützung von KI erstellt.
Seit dem EU AI Act reicht es nicht mehr, KI-Projekte nur nach Nutzen, Kosten oder technischer Machbarkeit zu bewerten. Für deutsche Unternehmen kommt eine zweite Achse hinzu: das regulatorische und operative Risiko. Die Verordnung arbeitet mit einem risikobasierten Ansatz. Nicht jede KI-Anwendung wird gleich behandelt. Ein interner Textassistent ist anders zu bewerten als ein System, das Bewerbungen vorsortiert, Kreditwürdigkeit beurteilt oder sicherheitsrelevante Entscheidungen unterstützt.
Für KMU ist dabei nicht entscheidend, jedes Detail der Verordnung auswendig zu kennen. Entscheidend ist ein belastbarer erster Prüfprozess: Welche KI nutzen wir? Wofür genau? Mit welchen Daten? Wer entscheidet am Ende? Und welche Dokumentation muss vorhanden sein, bevor das System produktiv eingesetzt wird?
Die vier Risikostufen verständlich eingeordnet
Der EU AI Act unterscheidet grob zwischen verbotenen KI-Praktiken, Hochrisiko-Systemen, Anwendungen mit besonderen Transparenzpflichten und KI-Systemen mit geringem oder minimalem Risiko. Diese Einordnung ist für Unternehmen der Startpunkt jeder KI-Governance.
Verbotene KI-Praktiken sind Anwendungen, die wegen ihres Eingriffs in Grundrechte grundsätzlich nicht zulässig sind. Dazu gehören nach der Verordnung bestimmte manipulative, ausbeuterische oder sozial bewertende Verfahren. Solche Fälle sind im typischen Mittelstand selten, sollten aber in Beschaffung und Projektfreigabe ausdrücklich ausgeschlossen werden.
Hochrisiko-Systeme sind die wichtigste Kategorie für Unternehmen. Sie betreffen unter anderem bestimmte Anwendungen in Beschäftigung, Bildung, kritischer Infrastruktur, wesentlichen privaten oder öffentlichen Dienstleistungen sowie Sicherheitskomponenten. Wer solche Systeme anbietet oder nutzt, muss genauer dokumentieren, testen, überwachen und Verantwortlichkeiten festlegen.
Transparenzpflichtige KI betrifft zum Beispiel Systeme, bei denen Menschen erkennen müssen, dass sie mit KI interagieren, oder Inhalte, die künstlich erzeugt oder verändert wurden. Für Marketing, Kundenservice, interne Wissensassistenten und Bild-/Textproduktion ist diese Kategorie praktisch relevant.
Geringes oder minimales Risiko heißt nicht: egal. Auch ein nicht hochreguliertes Assistenzsystem kann Datenschutzprobleme, falsche Antworten, Urheberrechtsfragen oder Reputationsschäden verursachen. Deshalb braucht auch diese Kategorie Mindestregeln.
Was Unternehmen konkret dokumentieren sollten
Der erste Schritt ist ein KI-Inventar. Es sollte nicht nur „ChatGPT“, „Copilot“ oder „Bildgenerator“ enthalten, sondern den tatsächlichen Einsatzzweck. Ein Eintrag kann zum Beispiel lauten: „Entwurf von Kunden-E-Mails durch Vertrieb, keine automatische Versendung, keine sensiblen Kundendaten“. Erst dieser Kontext erlaubt eine sinnvolle Risikobewertung.
Für jedes KI-System sollten mindestens folgende Punkte dokumentiert werden: Zweck, Fachbereich, Anbieter, Datenarten, betroffene Personen, menschliche Kontrolle, Ausgabeart, Schnittstellen, Speicherorte, Berechtigungen, Verantwortliche und geplante Kontrollen. Bei möglichen Hochrisiko-Fällen kommen weitere Nachweise hinzu, etwa Risikoanalyse, Testfälle, Qualitätskontrollen, Protokollierung, Anweisungen für Nutzer und ein Verfahren zur laufenden Überwachung.
Wichtig ist außerdem die Rollenklärung. Nutzt das Unternehmen ein Standardtool nur intern, ist die Lage anders als bei einer selbst entwickelten KI-Komponente, die Kunden bereitgestellt wird. Anbieter, Betreiber, Einführer und Nutzer können unterschiedliche Pflichten haben. Genau deshalb sollte diese Zuordnung früh dokumentiert werden und nicht erst nach dem Einkauf.
Praxisbeispiele für Mittelstand und Kommunen
Ein interner Wissensassistent, der Handbücher, Prozessdokumente und Vorlagen durchsucht, ist häufig kein Hochrisiko-System. Trotzdem braucht er klare Rechte, Quellenanzeige, Aktualisierungsprozess und eine Regel, dass kritische Entscheidungen nicht allein auf einer KI-Antwort beruhen. Ein passender Einstieg ist ein kontrollierter RAG-Wissensassistent mit begrenztem Datenraum.
Ein Recruiting-Tool, das Bewerbungen bewertet oder Kandidaten vorsortiert, kann deutlich sensibler sein. Hier reicht eine allgemeine Tool-Freigabe nicht. Unternehmen müssen prüfen, ob der Einsatz in eine Hochrisiko-Kategorie fällt, welche Daten verarbeitet werden, wie Diskriminierung vermieden wird und wer die finale Entscheidung verantwortet.
Ein Kundenservice-Assistent ist meistens gut beherrschbar, wenn er Antworten vorbereitet, Quellen nennt und Mitarbeitende freigeben lässt. Kritisch wird es, wenn er verbindliche Zusagen macht, personenbezogene Fälle eigenständig bewertet oder ohne Kontrollpfad in Fachsysteme schreibt.
Für Kommunen ist die Dokumentation besonders wichtig, weil Bürgeranfragen, Leistungen und Verwaltungsentscheidungen hohe Anforderungen an Nachvollziehbarkeit stellen. Ein KI-System darf Arbeit erleichtern, darf aber Verantwortlichkeit und Begründbarkeit nicht ersetzen.
Ein schlanker Prüfprozess vor dem produktiven Einsatz
Für KMU genügt zu Beginn oft ein dreistufiger Ablauf. Erstens: Use Case beschreiben und Daten prüfen. Zweitens: Risikoklasse und Verantwortlichkeiten bewerten. Drittens: Freigabe, Tests und Kontrollmaßnahmen dokumentieren. Dieser Prozess sollte kurz genug sein, damit Fachbereiche ihn wirklich nutzen, aber verbindlich genug, damit riskante Schatten-IT nicht entsteht.
Bewährt hat sich eine Ampelentscheidung: grün für einfache Assistenz ohne sensible Daten und ohne Entscheidungswirkung, gelb für produktionsnahe Anwendungen mit personenbezogenen Daten, Systemzugriffen oder Kundenwirkung, rot für mögliche Hochrisiko-Fälle oder automatisierte Entscheidungen. Gelbe und rote Fälle gehören in eine technische und rechtliche Prüfung, bevor sie live gehen.
Wer bereits an einer KI-Potenzialanalyse arbeitet, sollte die Risikoklassen direkt in die Bewertungsmatrix aufnehmen. So werden Nutzen und Aufwand nicht getrennt von Datenschutz, Sicherheit und Nachweispflichten betrachtet. Auch Beiträge zu KI-Prozessautomatisierung und ROI sollten diese Risikoseite mitdenken.
Häufige Fragen zu KI-Risikoklassen
Muss jedes Unternehmen sofort alle KI-Tools klassifizieren?
Unternehmen sollten zumindest alle produktiv genutzten KI-Systeme erfassen und grob einordnen. Eine perfekte juristische Bewertung am ersten Tag ist weniger wichtig als ein nachvollziehbares Inventar mit Verantwortlichen, Zweck und Datenarten.
Ist ChatGPT automatisch Hochrisiko-KI?
Nein. Entscheidend ist nicht nur das Tool, sondern der konkrete Einsatz. Ein Textentwurf für interne Kommunikation ist anders zu bewerten als eine KI-gestützte Entscheidung über Beschäftigung, Zugang zu Leistungen oder sicherheitsrelevante Prozesse.
Was ist der Unterschied zwischen Risiko und Datenschutz?
Datenschutz betrachtet vor allem personenbezogene Daten und Rechtsgrundlagen. Die Risikoklassen des AI Act schauen zusätzlich auf Zweck, Entscheidungswirkung, Grundrechte, Sicherheit, Transparenz und Kontrolle. Beides muss zusammen geprüft werden.
Wer sollte die KI-Risikobewertung verantworten?
Praktisch sinnvoll ist eine Kombination aus Fachbereich, IT, Datenschutz und Geschäftsführung. Der Fachbereich kennt den Prozess, IT bewertet Integration und Sicherheit, Datenschutz prüft Datenverarbeitung, die Geschäftsführung entscheidet über Risikobereitschaft.
Wie kann GO-ITC unterstützen?
GO-ITC unterstützt Unternehmen bei KI-Beratung für den Mittelstand, Inventarisierung, technischer Bewertung, RAG-/Automationsarchitektur und pragmatischen Freigabeprozessen. Ziel ist kein Papierprojekt, sondern ein belastbarer Weg vom Use Case zum kontrollierten Betrieb.
Quellen
- Europäische Union: Verordnung (EU) 2024/1689 über künstliche Intelligenz, Amtsblatt vom 12.07.2024, EUR-Lex.
- Europäische Kommission: AI Act / risikobasierter Regulierungsrahmen, abgerufen am 15.08.2026, digital-strategy.ec.europa.eu.
- BSI: Künstliche Intelligenz – Informationen und Empfehlungen für Unternehmen und Organisationen, abgerufen am 15.08.2026, bsi.bund.de.
- Future of Life Institute: High-level summary of the EU AI Act, abgerufen am 15.08.2026, artificialintelligenceact.eu.
Wenn du KI-Systeme einführen oder bestehende Tools sauber einordnen willst: GO-ITC kann Inventar, Risikocheck, technische Architektur und Umsetzungsfahrplan gemeinsam mit deinem Team aufsetzen – pragmatisch, dokumentiert und passend zur Unternehmensgröße.