EU AI Act Hochrisiko-Beispiele: 30 konkrete Fälle aus Annex III
Annex III des EU AI Act listet 8 Bereiche mit Hochrisiko-KI: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, essentielle Dienste (Bonität, Gesundheit), Strafverfolgung, Migration und Justiz/Wahlen. Pro Bereich gelten 9 Pflichten ab 2. August 2026.
Annex III des EU AI Act zählt acht Bereiche auf, in denen KI-Systeme als hochrisiko gelten. In diesen Bereichen hat ein Versagen der KI direkte Auswirkungen auf Grundrechte, Gesundheit oder Sicherheit. Wir zeigen 30 konkrete Beispiele.
1. Biometrie (Annex III Nr. 1)
Beispiele:
- Gesichtserkennungs-System für Mitarbeiter-Login (1:1-Verifizierung) — kein Hochrisiko (Art. 26 Recital 16)
- Remote-Biometrische-Identifikation (RBI) zur nachträglichen Spurensuche — Hochrisiko
- Emotionserkennung in Bewerbungsgesprächen — verboten (Art. 5 Abs. 1 lit. f)
- Biometrische Kategorisierung nach sensiblen Merkmalen — verboten (Art. 5 Abs. 1 lit. g)
2. Kritische Infrastruktur (Annex III Nr. 2)
Beispiele:
- KI-Lastflusssteuerung im Stromnetz (TSO) — Hochrisiko
- KI-Wassersystem-Anomaliedetektion — Hochrisiko
- KI-Demand-Response automatische Lastabschaltung — Hochrisiko
- KI-Smart-Meter-Verbrauchsprognose für Endkunden (informational only) — minimal
3. Bildung & Berufliche Aus- und Weiterbildung (Annex III Nr. 3)
Beispiele:
- KI-Zulassungssoftware für Universitäten — Hochrisiko
- KI-Notenvergabe / automatisches Essay-Scoring — Hochrisiko
- KI-Proctoring (Prüfungsüberwachung) — Hochrisiko
- KI-Lernpfad-Recommender ohne Bewertung — kein Hochrisiko
4. Beschäftigung & Personalverwaltung (Annex III Nr. 4)
Beispiele:
- Automatisches CV-Screening mit Ranking — Hochrisiko (Art. 6 Abs. 2 i.V.m. Annex III Nr. 4 lit. a)
- KI-Schichtplanung mit Material-Influence — Hochrisiko
- KI-Worker-Monitoring am Fließband — Hochrisiko
- HR-FAQ-Chatbot ohne Entscheidungswirkung — kein Hochrisiko (Art. 6 Abs. 3)
5. Essentielle Dienste (Annex III Nr. 5)
Beispiele:
- Credit-Scoring (Bonität) — Hochrisiko (CJEU C-634/21 SCHUFA)
- Lebens- und Krankenversicherungs-Risikoprüfung — Hochrisiko
- Notruf-Triage (112) — Hochrisiko
- Sozialhilfe-Berechtigung (z.B. Wohngeld, Mindestsicherung) — Hochrisiko
- Reine Fraud-Detection-Systeme — kein Hochrisiko
6. Strafverfolgung (Annex III Nr. 6)
Beispiele:
- KI-Rückfallprognose für Bewährungsentscheidungen — Hochrisiko
- Predictive Policing (geographic) — Hochrisiko
- Predictive Policing (individual, allein auf Profiling) — verboten (Art. 5 Abs. 1 lit. d)
- Lügendetektor in Vernehmungen — verboten (sofern als Beweis)
7. Migration, Asyl und Grenzkontrolle (Annex III Nr. 7)
Beispiele:
- KI-Asyl-Antragsbewertung — Hochrisiko
- Visa-Entscheidungs-KI — Hochrisiko
- KI-Risikoscoring an Grenzübergängen — Hochrisiko
- Lügendetektor an Grenzkontrollen — verboten
8. Justiz & demokratische Prozesse (Annex III Nr. 8)
Beispiele:
- KI-Recherche-Assistent für Richter (judicial research) — Hochrisiko
- KI-Urteilsvorschlag (judicial decision support) — Hochrisiko
- Wähler-Microtargeting auf manipulative Weise — verboten (Art. 5 Abs. 1 lit. a)
- Reine Rechtssuchmaschine ohne Entscheidungsunterstützung — kein Hochrisiko
Pflichten-Map: Was bei Hochrisiko-KI gilt
Für jedes Hochrisiko-System gelten 9 Pflichten (Art. 8–22 EU AI Act):
1. Risikomanagementsystem (Art. 9) 2. Daten-Governance (Art. 10) 3. Technische Dokumentation (Art. 11, Annex IV) 4. Logging (Art. 12) 5. Transparenz gegenüber Deployern (Art. 13) 6. Menschliche Aufsicht (Art. 14) 7. Genauigkeit, Robustheit, Cybersicherheit (Art. 15) 8. Konformitätsbewertung & CE-Kennzeichnung (Art. 43) 9. Registrierung in der EU-Datenbank (Art. 49–71)
Deadlines
- 2. Februar 2025: Verbote (Art. 5) sind anwendbar
- 2. August 2026: Annex-III-Hochrisiko-Pflichten sind anwendbar
- 2. August 2027: Annex-I-Produkt-Hochrisiko-Pflichten sind anwendbar
Was tun bei Verdacht auf Hochrisiko?
1. Klassifiziere systematisch nach Annex III 2. Prüfe Art. 6 Abs. 3 Carve-out (procedural / pattern detection / preparatory) 3. Bei Treffer: Starte Konformitätsbewertung 4. Falls Provider: technische Dokumentation, EU-DB-Eintrag, CE-Kennzeichen 5. Falls Deployer: FRIA (Art. 27), Logging, menschliche Aufsicht
Häufig gestellte Fragen
Was sind die Hauptbereiche für Hochrisiko-KI nach Annex III?+
Annex III listet acht Bereiche: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, essentielle Dienste (z.B. Bonität, Gesundheitsversicherung), Strafverfolgung, Migration & Grenzen sowie Justiz & demokratische Prozesse. In diesen Bereichen ist KI grundsätzlich Hochrisiko, sofern sie nicht unter den Carve-out von Art. 6 Abs. 3 fällt.
Ist jedes CV-Screening automatisch Hochrisiko?+
Nicht automatisch. Annex III Nr. 4 lit. a setzt voraus, dass das System die Bewerber-Auswahl wesentlich beeinflusst. Reine FAQ-Bots oder Tools ohne Material Influence fallen unter den Carve-out von Art. 6 Abs. 3. Sobald aber Ranking, Filterung oder automatische Ablehnung stattfindet, ist es Hochrisiko.
Wann gilt KI in der Bildung als Hochrisiko?+
Annex III Nr. 3 zählt vier Trigger: Zulassungsentscheidungen, Bewertung von Lernerfolgen, Beurteilung von Lernverhalten und Erkennung verbotener Hilfsmittel (Proctoring). Reine Lernpfad-Empfehler oder FAQ-Bots ohne Bewertungsfunktion sind nicht Hochrisiko.
Welche 9 Pflichten gelten bei Hochrisiko-KI?+
Risikomanagement (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Logging (Art. 12), Transparenz gegenüber Deployern (Art. 13), menschliche Aufsicht (Art. 14), Genauigkeit/Robustheit/Cybersicherheit (Art. 15), Konformitätsbewertung & CE (Art. 43), EU-Datenbank-Eintrag (Art. 49). Plus zusätzlich für Deployer: FRIA nach Art. 27.
Ist Bonitätsprüfung (Credit Scoring) Hochrisiko?+
Ja, eindeutig. Annex III Nr. 5 lit. b führt Credit-Scoring und Bonitätsbeurteilung als Hochrisiko-Anwendung. Der CJEU hat in der SCHUFA-Entscheidung (C-634/21) zudem klargestellt, dass auch reine Score-Berechnungen ohne finale Entscheidung als automatisierte Einzelentscheidung im Sinne von Art. 22 DSGVO gelten.
Welche Hochrisiko-KI fällt unter den Carve-out von Art. 6 Abs. 3?+
Art. 6 Abs. 3 nimmt Systeme aus, die nur (1) eine eng begrenzte verfahrenstechnische Aufgabe erfüllen, (2) das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit verbessern, (3) Muster oder Abweichungen erkennen ohne menschliche Entscheidungen zu ersetzen, oder (4) eine vorbereitende Aufgabe für Annex-III-Anwendungen erfüllen. Achtung: Profiling natürlicher Personen schließt den Carve-out aus.
Direkt prüfen — kostenlos
Prüfe in 5 Minuten ob deine KI-Systeme unter den EU AI Act fallen — mit sofortigem Ergebnis.
Kostenloser EU AI Act Check →Dieser Artikel basiert auf der Verordnung (EU) 2024/1689 (EUR-Lex Originaltext) und EU-AI-Office-Guidelines. Wird monatlich aktualisiert. Hinweis: Technische Orientierung — kein Ersatz für Rechtsberatung.
Zuletzt aktualisiert: Mai 2026