Hochrisiko-KI: Ist dein Kundenprojekt betroffen?

Ein Kunde aus dem Personalbereich ruft an. Er hat gehört, dass „KI im Recruiting jetzt streng reguliert" sei, und will von dir wissen, ob das Bewerbertool, das ihr letztes Jahr in seine Karriereseite eingebaut habt, ein Problem ist. Gleichzeitig sitzt bei einem anderen Kunden ein simpler FAQ-Chatbot auf der Website, und der fragt sich, ob für ihn dasselbe gilt. Beide Fragen klingen ähnlich, haben aber komplett unterschiedliche Antworten – und der Unterschied heißt Hochrisiko-KI.

Seit dem 27. Juli 2026 ist zudem eine wichtige Änderung in Kraft: Der sogenannte Digital Omnibus hat die Fristen für Hochrisiko-Systeme verschoben. Das nimmt den Druck vom Kalender, aber nicht die Frage, ob ein System überhaupt betroffen ist. Genau diese Einordnung solltest du für jedes Kundenprojekt mit KI treffen können. Dieser Beitrag ist eine sachliche Orientierung, keine Rechtsberatung – bei konkreten Pflichten gehört ein spezialisierter Anwalt an den Tisch.

Was Hochrisiko-KI im AI Act bedeutet

Der AI Act, die KI-Verordnung der EU, sortiert KI-Systeme nach Risiko. Die meisten Anwendungen fallen in geringe oder begrenzte Risikoklassen. Die schärfsten Pflichten treffen die Kategorie darüber: Hochrisiko-KI. Ob ein System dazugehört, entscheidet Artikel 6 der Verordnung über zwei Wege.

Der erste Weg betrifft KI, die als Sicherheitsbauteil in einem physischen Produkt steckt, das ohnehin einer EU-Produktsicherheitsprüfung unterliegt – etwa in Maschinen, Aufzügen oder Medizingeräten. Das ist für Webagenturen selten relevant. Der zweite Weg ist der praxisnahe: Ist der Einsatzzweck eines Systems in Anhang III der Verordnung gelistet, gilt es grundsätzlich als hochriskant. Der offizielle Text zu Artikel 6 macht klar: Entscheidend ist der Zweck, nicht die Technologie. Derselbe Chatbot-Baukasten ist harmlos, wenn er Öffnungszeiten beantwortet, und potenziell hochriskant, wenn er über den Zugang zu einer Sozialleistung mitentscheidet.

Die acht Bereiche aus Anhang III – und wo Agenturen wirklich hinschauen sollten

Anhang III listet acht Einsatzfelder. Laut der amtlichen Aufstellung sind das: Biometrie, kritische Infrastruktur, Bildung und Berufsausbildung, Beschäftigung und Personalmanagement, Zugang zu grundlegenden privaten und öffentlichen Diensten, Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse.

Für den Alltag einer Webagentur sind vor allem zwei davon relevant. Erstens Beschäftigung und Personalmanagement: Dazu zählt ausdrücklich KI „für die Einstellung oder Auswahl natürlicher Personen", also das Filtern von Bewerbungen, das gezielte Ausspielen von Stellenanzeigen oder Systeme, die über Beförderung und Kündigung mitentscheiden. Das Bewerbertool deines Personalkunden aus dem Eingangsbeispiel kann also sehr wohl betroffen sein. Zweitens der Zugang zu grundlegenden Diensten: Hierunter fällt unter anderem KI, die „die Kreditwürdigkeit natürlicher Personen bewertet oder ihre Kreditwürdigkeit einstuft" – reine Betrugserkennung ist ausgenommen – sowie die Risikobewertung in der Lebens- und Krankenversicherung.

Ein einfacher FAQ- oder Support-Chatbot, der Inhalte aus den Unternehmensangaben wiedergibt, steht in keiner dieser Kategorien. Ein Bot, der nach dem Prinzip der Beleg-Pflicht nur beantwortet, was er in den Kundeninhalten belegen kann – wie Ragnova es umsetzt –, trifft ohnehin keine eigenständigen Bewertungen über Menschen und bleibt damit klar außerhalb des Hochrisiko-Bereichs. Trotzdem gilt: Prüfe den Zweck, nicht das Produktetikett.

Wenn ein Zweck gelistet ist, aber das Risiko gering scheint

Artikel 6 kennt eine Ausnahme. Ein in Anhang III gelistetes System muss nicht als hochriskant behandelt werden, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt – etwa weil es nur eine eng umrissene Verfahrensaufgabe erfüllt oder ein zuvor abgeschlossenes menschliches Arbeitsergebnis lediglich verbessert. Diese Ausnahme ist aber schmaler, als sie klingt: Sobald ein System ein Profiling natürlicher Personen vornimmt, bleibt es hochriskant. Und wer sich auf die Ausnahme beruft, muss diese Einschätzung dokumentieren und das System vor dem Einsatz registrieren. „Wir haben das intern für unkritisch gehalten" reicht im Streitfall nicht.

Was die Einstufung als Hochrisiko konkret auslöst

Fällt ein System in die Hochrisiko-Klasse, wird es aufwendig. Der Anbieter – also derjenige, der das System entwickelt oder unter eigenem Namen anbietet – muss laut einer Übersicht des TÜV unter anderem ein Risikomanagement über den gesamten Lebenszyklus führen (Art. 9), eine Daten-Governance für Trainings- und Testdaten nachweisen (Art. 10), eine technische Dokumentation erstellen (Art. 11), Ereignisse automatisch protokollieren (Art. 12), menschliche Aufsicht ermöglichen (Art. 14), ein Qualitätsmanagementsystem betreiben (Art. 17) und das System in einer EU-Datenbank registrieren (Art. 71). Betreiber, die ein solches System einsetzen, müssen in bestimmten Fällen zusätzlich eine Grundrechte-Folgenabschätzung durchführen (Art. 27).

Für eine kleine Agentur ist die Botschaft daraus klar: Ein wirklich hochriskantes KI-Feature baut man nicht nebenbei ins nächste Kundenprojekt ein. Solche Vorhaben brauchen einen Partner mit dem passenden Compliance-Apparat – oder man rät dem Kunden bewusst zu einer nicht-hochriskanten Lösung.

Anbieter oder Betreiber – und wann deine Agentur zum Anbieter wird

Die Verordnung unterscheidet scharf zwischen Anbieter und Betreiber, und für Agenturen steckt darin eine Falle. Der Betreiber ist der Kunde, der das System im eigenen Namen einsetzt. Der Anbieter ist, wer das System entwickelt oder unter eigenem Namen auf den Markt bringt – und trägt die schweren Pflichten aus Artikel 9 bis 17. Solange du ein fertiges, hochriskantes Drittsystem lediglich für einen Kunden einrichtest, bist du in der Regel nicht der Anbieter.

Heikel wird es, wenn du selbst baust oder tief eingreifst. Wer ein hochriskantes KI-System unter eigenem Label anbietet oder ein bestehendes System so wesentlich verändert, dass sich sein Zweck oder Verhalten grundlegend wandelt, kann rechtlich selbst zum Anbieter werden – mit allen Dokumentations- und Registrierungspflichten. Für eine kleine Agentur ist das ein Grund, bei hochriskanten Zwecken genau zu klären, wer welche Rolle trägt, bevor der erste Code entsteht. Diese Rollenfrage gehört in den Vertrag, nicht in ein späteres Streitgespräch. Auch das ist keine Rechtsberatung, sondern der Hinweis, an dieser Stelle rechtzeitig einen Fachanwalt einzubinden.

Was der Digital Omnibus am Zeitplan geändert hat

Ursprünglich sollten die vollen Hochrisiko-Pflichten für Anhang-III-Systeme ab dem 2. August 2026 gelten. Der Digital Omnibus, veröffentlicht im Amtsblatt am 24. Juli und seit dem 27. Juli 2026 in Kraft, hat diese Frist nach hinten geschoben. Nach der Analyse der Kanzlei White & Case gelten die Pflichten für eigenständige Hochrisiko-Systeme aus Anhang III nun ab dem 2. Dezember 2027, für hochriskante KI in geprüften Produkten aus Anhang I sogar erst ab dem 2. August 2028.

Wichtig ist, was der Aufschub nicht umfasst. Die Transparenzpflichten aus Artikel 50 gelten weiterhin ab dem 2. August 2026 – dazu gehört, dass Menschen erkennen können, dass sie mit einer KI sprechen, und dass KI-generierte Inhalte gekennzeichnet werden. Diese Pflicht betrifft auch harmlose Chatbots und haben wir in der KI-Kennzeichnungspflicht im Detail beschrieben. Auch die verbotenen Praktiken aus Artikel 5 und die Regeln für allgemeine KI-Modelle bleiben in Kraft. Eine vollständige Fristenübersicht findest du in unserem Beitrag zum Digital Omnibus.

Dein Fahrplan für Kundenprojekte

Der verschobene Termin ist kein Grund, das Thema zu vertagen, sondern eine Chance, es sauber aufzuarbeiten. Geh für jedes Kundenprojekt mit KI drei Schritte durch. Erstens: Bestimme den konkreten Zweck des Systems und gleiche ihn mit den acht Bereichen aus Anhang III ab – nicht das Werkzeug zählt, sondern wofür es eingesetzt wird. Zweitens: Landet der Zweck in Anhang III, prüfe die enge Ausnahme aus Artikel 6 und halte deine Einschätzung schriftlich fest. Drittens: Ist ein System hochriskant, plane die Umsetzung mit Blick auf Dezember 2027 – und entscheide früh, ob deine Agentur das stemmt oder ob ein Spezialist ins Boot muss.

Halte das Ergebnis für jeden Kunden schriftlich fest – ein kurzer Vermerk, welcher Zweck vorliegt, in welche Kategorie er fällt und warum ein System als hochriskant oder eben nicht eingestuft wurde. Dieser Vermerk kostet dich eine halbe Stunde und ist im Ernstfall der Nachweis, dass ihr das Thema nicht ignoriert habt. Er hilft außerdem beim nächsten ähnlichen Projekt, weil du deine Einschätzung nur noch anpassen statt neu erarbeiten musst.

Wer diese Einordnung heute für seinen Kundenstamm macht, verkauft nicht Panik, sondern Verlässlichkeit. Und genau das ist bei einem Thema, das viele Kunden verunsichert, ein echtes Verkaufsargument.