DAT-09 | Datenschutz, KI & Informationssicherheit | Aktiv bei Hochrisiko-KI nach Anhang III der KI-Verordnung
Die vollen Pflichten für Hochrisiko-KI galten ursprünglich ab August 2026. Der Digital Omnibus hat sie auf den 2. Dezember 2027 verschoben. Das ist ein echter Aufschub - aber kein kleiner: Wer heute ein KI-gestütztes Bewerber-Ranking einsetzt, braucht die Zeit.
Neue Fristen durch die Verordnung (EU) 2026/1744: Eigenständige Hochrisiko-Systeme nach Anhang III müssen ab dem **2. Dezember 2027** konform sein, in Produkte eingebettete Systeme nach Anhang I ab dem **2. August 2028**.
GILT DAS FÜR DICH?
Nur bei Hochrisiko-KI nach Anhang III der KI-Verordnung. Für den Mittelstand am relevantesten sind: Personalauswahl und Personalverwaltung (Vorauswahl von Bewerbungen, Ranking von Kandidaten, Systeme zur Leistungsbewertung oder Beförderungsentscheidung), Kreditwürdigkeitsprüfung, biometrische Identifizierung, sowie KI in Bildung, kritischer Infrastruktur, Strafverfolgung und Migration.
Wichtig: Auch wenn Du das System nur einsetzt und nicht selbst entwickelst, treffen Dich als Betreiber eigene Pflichten - insbesondere die menschliche Aufsicht, die Information der betroffenen Personen und die Protokollierung.
Ein KI-Tool, das lediglich Termine sortiert oder Texte formuliert, ist keine Hochrisiko-KI. Sobald es aber über den Zugang zu Arbeit, Krediten oder Leistungen mitentscheidet, wird es eine.
DAS MUSST DU TUN
- Prüfe und dokumentiere, ob eines Deiner KI-Systeme unter Anhang III fällt. Nutze Dein KI-Inventar als Ausgangspunkt.
- Kläre Deine Rolle: Bist Du Anbieter (entwickelst oder bringst das System unter eigenem Namen in Verkehr) oder Betreiber (setzt ein fremdes System ein)? Die Pflichten unterscheiden sich erheblich.
- Richte ein Risikomanagementsystem über den gesamten Lebenszyklus ein - einschließlich Neubewertung nach jedem wesentlichen Update oder erneutem Training des Modells.
- Erstelle die technische Dokumentation: Zweck, Datengrundlage, Modellversionen, Leistungskennzahlen, bekannte Grenzen und Fehlerquellen.
- Stelle menschliche Aufsicht sicher: Eine qualifizierte Person muss das Ergebnis verstehen, überstimmen und den Betrieb stoppen können. Bei Personalentscheidungen heißt das: Die Letztentscheidung trifft ein Mensch, nicht das System.
- Aktiviere die automatische Protokollierung und bewahre die Logs auf.
- Teste auf Verzerrungen. Bei Personal- und Kreditentscheidungen ist Diskriminierung das Kernrisiko - und zwar nicht nur nach der KI-Verordnung, sondern auch nach dem AGG.
- Informiere die betroffenen Personen, dass ein KI-System eingesetzt wird. Bei Beschäftigten kommt das Mitbestimmungsrecht des Betriebsrats hinzu.
- Prüfe die Registrierungspflicht in der EU-Datenbank für Hochrisiko-Systeme.
GRÜN IST ES, WENN ...
Die Einstufung ist dokumentiert. Falls Hochrisiko: Risikomanagement, technische Dokumentation, menschliche Aufsicht und Protokollierung sind eingerichtet, Bias-Tests laufen regelmäßig, und die betroffenen Personen sind informiert.
DIESE NACHWEISE BRAUCHST DU
Einstufungsvermerk je KI-System, technische Dokumentation, Model Registry mit Versionsständen, Bias-Testberichte, Konzept zur menschlichen Aufsicht, Protokolle, Betriebsvereinbarung.
DIE RECHTSGRUNDLAGE
- Art. 6 bis 27 sowie Anhang III der Verordnung (EU) 2024/1689: Einstufung als Hochrisiko-System und die vollständigen Pflichten für Anbieter und Betreiber.
- Verordnung (EU) 2026/1744 - Digital Omnibus zur KI: Verschiebt die Geltung für Anhang III auf den 2. Dezember 2027 und für Anhang I auf den 2. August 2028.
- Art. 22 DSGVO - Automatisierte Entscheidungen im Einzelfall: Verbietet grundsätzlich Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten - diese Vorschrift gilt schon heute.
- § 12 AGG - Maßnahmen und Pflichten des Arbeitgebers: Ein diskriminierendes Auswahlsystem löst Entschädigungsansprüche aus, völlig unabhängig von der KI-Verordnung.
TYPISCHE STOLPERFALLEN
- Verschiebung als Entwarnung gelesen. Art. 22 DSGVO und das AGG gelten heute. Die KI-Verordnung kommt obendrauf.
- Keine Neubewertung nach Retraining. Ein neu trainiertes Modell ist ein anderes Modell.
- Menschliche Aufsicht nur auf dem Papier. Wer 200 Bewerbungen in der vorgeschlagenen Reihenfolge abarbeitet, übt keine Aufsicht aus.
- Betriebsrat übergangen. Der Einsatz solcher Systeme ist regelmäßig mitbestimmungspflichtig.
- Auf den Anbieter verlassen. Als Betreiber hast Du eigene Pflichten, die Dir niemand abnimmt.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Bis Dezember 2027 ist Zeit - aber Risikomanagement, technische Dokumentation und Bias-Tests baut man nicht in einem Quartal auf.
AI Officer / AI Compliance: Risikoklassifizierung nach Anhang III, Aufbau des Risikomanagements, Konzept zur menschlichen Aufsicht und laufende Dokumentation.
Spezialisierte Rechtsberatung: Rechtliche Einschätzung Deiner Rolle als Anbieter oder Betreiber - davon hängt ab, welche Pflichten Dich überhaupt treffen.
Mehr zum Thema: KI-Verordnung auf compliance.one
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
