KI-System

Ausführliche Erklärung

KI-System ist der zentrale Rechtsbegriff der EU-KI-Verordnung (AI Act, Verordnung (EU) 2024/1689). Artikel 3 Nummer 1 definiert ein KI-System als „ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können“. Von dieser Einstufung hängt ab, ob eine Software überhaupt in den Anwendungsbereich der Verordnung fällt – sie ist damit der Ausgangspunkt jeder KI-Compliance.

Das entscheidende Merkmal ist das Ableiten: Ein KI-System erschließt aus den Eingabedaten selbst, wie es zu seinen Ausgaben kommt. Programme, die ausschließlich von Menschen festgelegte Regeln abarbeiten, sind nach Erwägungsgrund 12 der Verordnung ausdrücklich nicht erfasst. Die Europäische Kommission hat diese Abgrenzung am 6. Februar 2025 in unverbindlichen Leitlinien zur Definition eines KI-Systems (C(2025) 924 final) präzisiert: Rein mathematische Optimierung, einfache Datenverarbeitung, klassische Heuristiken und einfache statistische Vorhersagen gelten nicht als KI-System. Eine Tabellenkalkulation mit Formeln, ein fest verdrahteter Rechnungsprüf-Filter oder eine regelbasierte Telefonanlage bleiben also außerhalb; ein Modell, das aus Trainingsdaten Muster ableitet, fällt darunter. In Grenzfällen – etwa bei einem von Hand kalibrierten Scoring – bleibt die Abgrenzung auslegungsbedürftig, die Leitlinien sind rechtlich nicht bindend.

Liegt ein KI-System vor, entscheidet die Risikoklasse über die Pflichten. Verbotene Praktiken nach Artikel 5 gelten seit 2. Februar 2025, die Transparenzpflichten nach Artikel 50 seit 2. August 2026. Die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III greifen nach dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) erst ab 2. Dezember 2027, für in regulierte Produkte eingebettete Systeme nach Anhang I ab 2. August 2028. Systeme mit minimalem Risiko bleiben weitgehend unreguliert. Eigene Regeln gelten für KI-Modelle mit allgemeinem Verwendungszweck.

Für Unternehmen ist die Einstufung deshalb keine akademische Übung, sondern der erste Schritt: Wer feststellt, dass eine eingesetzte Software ein KI-System ist, muss weiter prüfen, ob er sie als Anbieter selbst in Verkehr bringt oder als Betreiber nur einsetzt, und in welche Risikoklasse sie fällt. Bewährt hat sich, den Bestand in einem KI-System-Register zu erfassen und die Einstufung samt Begründung zu dokumentieren. Die Einstufung als KI-System allein löst noch keine schweren Pflichten aus – sie eröffnet nur den Anwendungsbereich der Verordnung.