Vier Klassen, eine Logik: Was ist verboten, was Hochrisiko, was nur transparenzpflichtig — mit konkreten Beispielen und Pflichten je Klasse.
Der EU AI Act (Verordnung (EU) 2024/1689) regelt KI nicht pauschal, sondern risikobasiert. Jede KI-Anwendung muss in eine von vier Klassen eingeordnet werden — die Klasse bestimmt Pflichten, Dokumentation und Sanktionsrisiko.
In vielen Unternehmen fallen typische Produktivitäts-Tools (Copilot, ChatGPT etc.) unter Art. 50 (Transparenz) oder minimales Risiko. Sobald KI jedoch im Beschäftigtenkontext (Anhang III Nr. 4), bei Bonitäts-Scoring, Bildung oder kritischer Infrastruktur mitwirkt, gelten die vollen Hochrisiko-Pflichten.
Klasse 01 · Art. 5 EU AI Act
Komplett untersagt — auch intern.
Identifizieren, dokumentieren, nicht einsetzen. Eine Prüfung pro Tool — einmal sauber, danach Versions-Trigger.
Klasse 02 · Art. 6 · Anhang III
Volle Compliance-Pflichten gesetzlich ab 2. August 2026 (Digital-Omnibus-Verschiebung im EU-Verfahren).
Risikomanagement (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Logging (Art. 12), Transparenz gegenüber Betreibern (Art. 13), menschliche Aufsicht (Art. 14), Genauigkeit / Robustheit / Cybersecurity (Art. 15) — plus Konformitätsbewertung und EU-Datenbank-Registrierung.
Klasse 03 · Art. 50 EU AI Act
Hinweis- und Kennzeichnungspflicht gesetzlich ab 2. August 2026 (Omnibus-Verschiebung im EU-Verfahren).
Eindeutige Hinweise an die betroffenen Personen, maschinenlesbare Kennzeichnung KI-generierter Inhalte, Dokumentation der Hinweispraxis im KI-Inventar.
Klasse 04 · Restkategorie
Keine spezifischen Pflichten aus Kapitel III — Art. 4 gilt trotzdem.
Im KI-Inventar führen, Art. 4 (AI-Literacy) für Nutzende sicherstellen, bei Versionswechseln neu einstufen.
Anhang III Nr. 4 zählt KI im Beschäftigungskontext zu Hochrisiko, wenn sie bei Einstellung, Auswahl, Beförderung, Kündigung oder Aufgabenzuteilung mitwirkt — auch wenn die finale Entscheidung beim Menschen liegt.
Folge: volle Hochrisiko-Pflichten — gesetzlich ab 2. August 2026, Omnibus-Verschiebung im EU-Verfahren — plus § 87 Abs. 1 Nr. 6 BetrVG.
Reine Produktivitäts-KI (Copilot, ChatGPT, DATEV-/Eurodata-KI) fällt überwiegend unter Art. 50 (Transparenz) plus Art. 4 (AI-Literacy). Hochrisiko wird es erst bei eigenentwickelten Scoring- oder Bewertungsmodellen.
Folge: § 57 StBerG bleibt der härtere Hebel — Mandantendaten dürfen nicht in unkontrollierte Cloud-LLMs gelangen.
Der EU AI Act (Verordnung (EU) 2024/1689) unterscheidet vier Risikoklassen: verbotene Praktiken (Art. 5), Hochrisiko-KI-Systeme (Art. 6 i.V.m. Anhang III), KI-Systeme mit Transparenzpflichten (Art. 50) und KI mit minimalem Risiko. Zusätzlich gelten Sonderregeln für General-Purpose-AI-Modelle (Art. 51 ff.).
Anhang III Nr. 4 zählt KI-Systeme im Beschäftigungskontext zu Hochrisiko, wenn sie für Einstellung, Auswahl, Beförderung, Kündigung oder die Zuweisung von Aufgaben eingesetzt werden — inklusive Lebenslauf-Screening, Ranking-Tools und Matching-Algorithmen. Daneben adressiert Anhang III u. a. Bildung, Kreditscoring, kritische Infrastruktur und Strafverfolgung.
Reine Produktivitäts-Tools (z. B. Microsoft Copilot, ChatGPT, DATEV-KI-Funktionen) fallen meist unter Art. 50 (Transparenz) und Art. 4 (AI-Literacy). Hochrisiko-Pflichten greifen nur bei Sonderfällen — z. B. eigenentwickelte Bonitäts- oder Kreditwürdigkeits-Scoring-Modelle (Anhang III Nr. 5b).
Art. 4 (AI-Literacy) und Art. 5 (Verbote) gelten seit 2. Februar 2025. Pflichten für GPAI-Modelle gelten seit 2. August 2025. Die vollständigen Hochrisiko-Pflichten nach Art. 6 ff. sind gesetzlich für den 2. August 2026 vorgesehen — die EU-Kommission hat im Digital-Omnibus-Paket (November 2025) eine Verschiebung vorgeschlagen, das Verfahren ist Stand Juni 2026 nicht abgeschlossen. Wir planen vorerst auf das gesetzliche Datum und passen die Mappen an, sobald eine Änderung beschlossen ist.
Die Risikoklasse ist nur der erste Schritt. Was zählt, ist die Nachweis-Mappe, die der Aufsichtsfrage standhält.
