Eintrittspforte 1 — Anhang I (Hochrisiko-KI nach AI Act)
Die erste der beiden rechtlichen Wege, über die der EU AI Act ein KI-System als hochriskant einstuft: Das System muss als Sicherheitskomponente eines nach Anhang I regulierten Produkts verwendet werden und einer Konformitätsbewertung durch Dritte unterliegen.
Ausführliche Erklärung
Der EU AI Act verfolgt einen risikobasierten Ansatz und definiert in Artikel 6 zwei unterschiedliche Eintrittspforten, über die ein KI-System als hochriskant eingestuft wird. Eintrittspforte 1 bezieht sich auf Anhang I und betrifft KI-Systeme, die in bereits nach EU-Recht regulierte Produkte eingebettet sind. Dieser Weg knüpft an bestehende Produktsicherheitsregeln an und erweitert sie um KI-spezifische Anforderungen.
Für die Einstufung über Anhang I müssen zwei Bedingungen kumulativ erfüllt sein: Erstens muss das KI-System als Sicherheitskomponente eines Produkts dienen, das unter eine der in Anhang I genannten EU-Harmonisierungsrechtsvorschriften fällt, oder das KI-System ist selbst ein solches Produkt. Anhang I listet über 30 EU-Rechtsakte auf, darunter die Maschinenverordnung, die Medizinprodukterichtlinien, Vorschriften zu Spielzeug, Aufzügen, Fahrzeugen oder Luftfahrzeugen. Zweitens muss das Produkt nach dieser sektoralen Gesetzgebung einer Konformitätsbewertung durch Dritte unterzogen werden. Nur wenn beide Voraussetzungen vorliegen, gilt das KI-System als Hochrisiko-KI nach Eintrittspforte 1.
Die Definition der Sicherheitskomponente ist dabei autonom im AI Act geregelt: Sie liegt vor, wenn das KI-System dazu dient, Risiken für Gesundheit, Sicherheit oder Eigentum zu verhindern oder zu mindern, oder wenn dessen Ausfall oder Fehlfunktion solche Risiken auslösen könnte. Die im Mai 2026 veröffentlichten Leitlinien der EU-Kommission stellten klar, dass KI-Systeme, die ausschließlich der Nutzerunterstützung, Leistungsoptimierung, Effizienz oder Qualitätskontrolle dienen, nicht als Sicherheitskomponente gelten. Ein KI-gestütztes Thermostat zur Energieeinsparung wäre demnach nicht erfasst, ein KI-System zur Steuerung von Aufzugtüren hingegen schon, da dessen Ausfall Personen gefährden könnte.
Für Unternehmen, die solche Produkte herstellen oder als Sicherheitskomponente in ihre Produkte integrieren, gelten verlängerte Umsetzungsfristen: Während Hochrisiko-KI-Systeme nach der zweiten Eintrittspforte (Anhang III) ab Dezember 2027 vollständig konform sein müssen, haben Anbieter von Anhang-I-Systemen Zeit bis August 2028. Diese Differenzierung trägt der Tatsache Rechnung, dass bestehende Produktkonformität und neue KI-Anforderungen koordiniert werden müssen.
Praxisbeispiel
Ein österreichisches Unternehmen mit 85 Mitarbeitenden entwickelt Industriemaschinen und integriert ein KI-System zur automatischen Kollisionserkennung in Fräsmaschinen. Da die Maschine unter die Maschinenverordnung fällt und eine Drittprüfung erfordert, wird das KI-System über Eintrittspforte 1 als hochriskant eingestuft. Das Unternehmen muss ein Risikomanagementsystem einrichten, technische Dokumentation bereitstellen und die Konformitätsbewertung durchführen, bevor es das Produkt in Verkehr bringen darf.