- ChatGPT, Copilot, DeepL & Co. sind kein Hochrisiko
- Hochrisiko wird es, wenn KI Entscheidungen über Menschen trifft – Recruiting, Kreditvergabe, Personalbeurteilung
- KMU als Betreiber müssen keine Konformitätsbewertung durchführen – das ist Sache des Anbieters
- Pflichten für Betreiber: menschliche Aufsicht, Protokollierung, Information der Betroffenen
- Frist: August 2026 (Verschiebung auf Ende 2027 wird diskutiert)
Eure KI-Tools sind wahrscheinlich kein Hochrisiko
Fangen wir mit der Entwarnung an.
Diese Tools nutzen viele KMU – und keines davon ist Hochrisiko:
| Tool | Risikoklasse | Eure Pflicht |
|---|---|---|
| ChatGPT, Claude, Gemini | Begrenztes Risiko | Transparenz + KI-Kompetenz |
| Microsoft Copilot | Begrenztes Risiko | Transparenz + KI-Kompetenz |
| DeepL | Minimales Risiko | Keine besonderen Pflichten |
| KI-Bildgeneratoren (Midjourney, DALL-E) | Begrenztes Risiko | KI-generierte Bilder kennzeichnen |
| CRM mit KI (HubSpot, Salesforce) | Minimales Risiko | Keine besonderen Pflichten |
| KI-Buchhaltung (DATEV, lexoffice) | Minimales Risiko | Keine besonderen Pflichten |
Begrenztes Risiko heißt: Transparenzpflicht.
Nutzer müssen wissen, dass KI im Spiel ist.
Zusätzlich braucht ihr KI-Kompetenz für eure Mitarbeiter.
Das bedeutet für euch: Ein Nachmittag für die Schulung – dann ist das Thema erledigt. Das habt ihr idealerweise schon abgehakt.
→ Mehr zur KI-Kompetenz-Pflicht
→ Mehr zur Transparenzpflicht
Wann wird KI zum Hochrisiko?
Die Faustregel: Sobald KI Entscheidungen über Menschen trifft.
Nicht über Produkte, nicht über Prozesse – über Menschen.
Das bedeutet für euch: Solange eure KI nur Vorschläge macht, gelten die Standardregeln. Trifft sie automatisch Entscheidungen über Bewerber, Kunden oder Mitarbeiter, greifen die Hochrisiko-Anforderungen.
Die KI-Verordnung (Verordnung (EU) 2024/1689, Anhang III) definiert acht Bereiche.
Für KMU sind vor allem drei relevant:
1. KI im Recruiting und Personalwesen
Der häufigste Hochrisiko-Fall für KMU.
Betroffen seid ihr, wenn KI:
- Bewerbungen automatisch vorsortiert oder filtert
- Kandidaten bewertet oder in eine Rangfolge bringt
- Stellenanzeigen gezielt an bestimmte Personengruppen ausspielt
- Mitarbeiter-Performance überwacht oder bewertet
- Beförderungs- oder Kündigungsentscheidungen vorbereitet
Beispiel: Ihr nutzt ein KI-Tool in Personio, das Bewerbungen automatisch nach Eignung bewertet.
Es schlägt die besten 10 vor.
Das ist Hochrisiko (Art. 6 i.V.m. Anhang III Nr. 4a).
Das bedeutet für euch: Prüft, ob euer Recruiting-Tool nur formatiert oder ob es bewertet. Formatierung fällt unter minimales Risiko, Bewertung unter Hochrisiko.
Nicht Hochrisiko: Ihr nutzt ChatGPT, um eine Stellenanzeige zu formulieren.
Das ist ein Textgenerator, kein Entscheidungssystem.
2. KI bei Kreditentscheidungen
Relevant für Finanzdienstleister.
Aber auch für Handelsunternehmen mit Ratenzahlung oder Rechnungskauf:
- KI bewertet die Kreditwürdigkeit von Personen
- KI erstellt Kredit-Scores
- KI entscheidet über Zahlungskonditionen basierend auf persönlichen Daten
Das bedeutet für euch: Verkaufst ihr auf Rechnung mit automatischer Bonitätsprüfung? Dann kläre mit eurem Payment-Anbieter, ob die Prüfung manuell oder KI-gestützt läuft. KI-gestützt = Hochrisiko.
Nicht Hochrisiko: KI zur Betrugserkennung bei Zahlungen.
Die ist explizit ausgenommen (Anhang III Nr. 5b).
3. KI bei Versicherung und biometrischen Systemen
Auch in diesen Bereichen gilt erhöhte Vorsicht:
- Versicherung: KI zur Risikobewertung bei Lebens- oder Krankenversicherungen
- Biometrie: Gesichtserkennung am Firmeneingang (Fingerabdruck-Verifizierung ist ausgenommen)
Alle 8 Hochrisiko-Bereiche im Überblick
Vollständigkeitshalber: Die KI-Verordnung definiert insgesamt acht Bereiche. Die meisten betreffen Behörden, Justiz oder kritische Infrastruktur – nicht den typischen Mittelständler.
| Bereich | Beispiele | KMU-relevant? |
|---|---|---|
| Biometrie | Gesichtserkennung, Emotionserkennung | Selten |
| Kritische Infrastruktur | Strom, Wasser, Verkehr | Nur Stadtwerke/Versorger |
| Bildung | Zulassung, Prüfungsbewertung | Nur Bildungsanbieter |
| Beschäftigung | Recruiting, Leistungsbewertung | Ja |
| Wesentliche Dienste | Kreditwürdigkeit, Versicherung | Ja (Branche) |
| Strafverfolgung | Risikobewertung, Profiling | Nein |
| Migration/Grenzkontrolle | Visa-Prüfung, Identifizierung | Nein |
| Rechtspflege/Demokratie | Justiz-KI, Wahlbeeinflussung | Nein |
Die Ausnahme: Wann Hochrisiko doch kein Hochrisiko ist
Art. 6 Abs. 3 enthält eine wichtige Ausnahme.
Ein KI-System aus Anhang III gilt nicht als Hochrisiko, wenn es:
- Nur eine enge Teilaufgabe erledigt (z.B. Formatierung von Dokumenten)
- Eine menschliche Entscheidung verbessert, aber nicht ersetzt
- Nur Muster erkennt, ohne selbst Bewertungen abzugeben
- Nur vorbereitende Arbeiten für eine menschliche Bewertung leistet
Beispiel: Ein KI-Tool sortiert Bewerbungen alphabetisch.
Es extrahiert Kontaktdaten aus Lebensläufen – ohne Bewertung.
Das wäre trotz Anhang III kein Hochrisiko.
Das bedeutet für euch: Fragt euren Tool-Anbieter, ob die KI nur formatiert oder ob sie bewertet. Die Grenze ist entscheidend – und der Anbieter muss die Ausnahme dokumentieren können.
Was müsst ihr als Betreiber tun?
Zentrale Entwarnung: Die Konformitätsbewertung ist Sache des Anbieters, nicht eure.
Ihr müsst kein CE-Zeichen beantragen.
Ihr müsst keine technische Dokumentation erstellen.
Der Anbieter eures KI-Tools ist dafür verantwortlich.
Das bedeutet für euch: Spart euch den Berater für die Konformitätsbewertung. Das ist nicht euer Job. Euer Job: Prüfen, ob der Anbieter seine Hausaufgaben gemacht hat.
Aber ihr habt eigene Pflichten als Betreiber (Art. 26):
Bestimmungsgemäße Nutzung
Setzt das KI-System so ein, wie der Anbieter es vorgesehen hat. Lest die Gebrauchsanweisung. Klingt banal – ist aber eine rechtliche Pflicht.
Menschliche Aufsicht
Mindestens eine Person im Unternehmen muss das System verstehen und dessen Entscheidungen überstimmen können. Diese Person braucht die nötige Kompetenz, Befugnis und Zeit dafür.
Protokollierung
Die automatisch erzeugten Protokolle des KI-Systems müsst ihr mindestens 6 Monate aufbewahren.
Betroffene informieren
Personen, über die das KI-System entscheidet, müssen das wissen. Beim Einsatz am Arbeitsplatz: Betriebsrat und betroffene Mitarbeiter vor der Inbetriebnahme informieren.
DSGVO-Folgenabschätzung
Vor dem Einsatz prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist. Bei Hochrisiko-KI, die über Menschen entscheidet: fast immer ja.
→ Mehr zur Anbieter-Rolle
Praxis-Beispiel: Müller GmbH prüft ihre KI-Systeme
Die Müller GmbH (25 Mitarbeiter, Maschinenbau) nutzt sechs KI-Systeme.
Geschäftsführerin Lisa Müller will wissen, ob Hochrisiko-KI dabei ist.
| KI-System | Einsatz | Hochrisiko? |
|---|---|---|
| Microsoft Copilot | E-Mails, Präsentationen | Nein (Produktivitätstool) |
| ChatGPT Team | Recherche, Textideen | Nein (Textgenerator) |
| DeepL Pro | Übersetzungen | Nein (minimales Risiko) |
| HubSpot KI | Lead-Scoring | Nein (keine Entscheidung über Personen) |
| DATEV KI | Buchhaltung | Nein (keine Entscheidung über Personen) |
| Personio KI-Screening | Bewerbungen vorsortieren | Ja (Kat. 4a: Recruiting) |
Ergebnis: Fünf von sechs Systemen sind unproblematisch.
Nur das KI-Screening in Personio ist Hochrisiko.
Für dieses System muss Lisa prüfen:
- Hat Personio die Konformitätsbewertung durchgeführt? (CE-Kennzeichnung, Konformitätserklärung)
- Wer im Unternehmen übernimmt die menschliche Aufsicht?
- Werden die Protokolle gespeichert?
- Wissen die Bewerber, dass KI an der Vorauswahl beteiligt ist?
Das bedeutet für euch: Ein Nachmittag Arbeit für die Prüfung. Die meiste Zeit geht für die Klärung mit Personio drauf. Die eigene Dokumentation ist überschaubar. Berater-Kosten gespart: 1.500-3.000 Euro für die externe Hochrisiko-Prüfung.
Fristen: Wann müsst ihr handeln?
| Was | Frist | Status |
|---|---|---|
| KI-Kompetenz (Art. 4) | Seit Februar 2025 | Gilt jetzt |
| Verbotene KI-Praktiken (Art. 5) | Seit Februar 2025 | Gilt jetzt |
| Transparenzpflichten (Art. 50) | August 2026 | Kommt |
| Hochrisiko-KI (Anhang III) | August 2026 | Verschiebung diskutiert |
Bußgelder: Was riskiert ihr?
| Verstoß | Maximales Bußgeld |
|---|---|
| Hochrisiko-Pflichten nicht erfüllt | 15 Mio. € oder 3% des Jahresumsatzes |
| Verbotene KI-Praktiken | 35 Mio. € oder 7% des Jahresumsatzes |
| Falsche Angaben gegenüber Behörden | 7,5 Mio. € oder 1% des Jahresumsatzes |
Für KMU gilt immer der niedrigere Betrag. Bei 5 Mio. € Jahresumsatz wären das maximal 150.000 € für Hochrisiko-Verstöße. Trotzdem kein Betrag, den man gerne zahlt.
Checkliste: Hochrisiko-KI im Unternehmen
Falls ihr Hochrisiko-KI einsetzt, prüft diese Punkte:
- KI-Inventar erstellt – alle KI-Systeme im Unternehmen erfasst
- Risikoklasse für jedes System bestimmt (Hochrisiko ja/nein)
- Bei Hochrisiko: CE-Kennzeichnung und Konformitätserklärung vom Anbieter geprüft
- Menschliche Aufsicht benannt – Person mit Kompetenz und Befugnis
- Gebrauchsanweisung des Anbieters gelesen und dokumentiert
- Protokollierung eingerichtet (Aufbewahrung mind. 6 Monate)
- Betroffene Personen informiert (Bewerber, Mitarbeiter)
- Betriebsrat informiert (falls vorhanden)
- DSGVO-Folgenabschätzung geprüft
Fazit
Erstellt ein KI-Inventar.
Das dauert 30 Minuten und gibt euch sofort Klarheit.
Für die meisten KMU wird das Ergebnis beruhigend sein: ChatGPT, Copilot und DeepL sind kein Hochrisiko.
Wird es bei einem System doch ernst (meist im Recruiting), sind die Betreiber-Pflichten überschaubar.
Menschliche Aufsicht, Protokollierung, Information.
Die aufwändige Konformitätsbewertung bleibt beim Anbieter.
Und nebenbei: Wer sein KI-Inventar sauber dokumentiert hat, spart sich bei der nächsten ISO-Zertifizierung oder beim Kunden-Audit den hektischen Aufbau einer Liste. Das Inventar ist schon da – und wirkt professionell.
→ Betreiber-Pflichten im Detail
→ KI-Verordnung Gesamtüberblick