Minimales Risiko

Ausführliche Erklärung

Zur Erklärung des AI Act wird meist ein Vierstufenmodell verwendet: unannehmbares Risiko, hohes Risiko, begrenztes Risiko und minimales Risiko. Diese Darstellung ist hilfreich, aber sie ist keine Gliederung des Gesetzestextes: Die Verordnung (EU) 2024/1689 definiert „minimales Risiko“ nicht und knüpft daran keine eigene Rechtsfolge. Geregelt sind die verbotenen Praktiken (Artikel 5), die Hochrisiko-Systeme (Artikel 6 mit Anhang I und Anhang III), die Transparenzpflichten (Artikel 50) und die KI-Modelle mit allgemeinem Verwendungszweck (Kapitel V). „Minimales Risiko“ ist der Restbereich: alles, was unter keine dieser Vorschriften fällt. Nach Einschätzung der Europäischen Kommission betrifft das die große Mehrheit der heute in Unternehmen genutzten KI-Anwendungen.

Die Verordnung ist seit 1. August 2024 in Kraft und gilt grundsätzlich seit 2. August 2026. Der Digital Omnibus (Verordnung (EU) 2026/1744) hat die Pflichten für Hochrisiko-Systeme nach Anhang III auf 2. Dezember 2027 und jene nach Anhang I auf 2. August 2028 verschoben; die Verbote (seit 2. Februar 2025) und die Transparenzpflichten (seit 2. August 2026) gelten unverändert.

In den Restbereich fallen typischerweise Spam-Filter, Rechtschreib- und Grammatikprüfung, einfache Empfehlungsfunktionen, Übersetzungswerkzeuge, optische Zeichenerkennung zur Belegerfassung, Routenoptimierung in der Logistik oder KI in Computerspielen. Entscheidend ist nicht die Technologie, sondern der Einsatzzweck: Dasselbe Werkzeug kann je nach Verwendung unterschiedlich einzustufen sein. Ein Sprachmodell, mit dem intern Textentwürfe erstellt werden, löst für den Betreiber keine besonderen Pflichten aus. Werden damit Texte veröffentlicht, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, greift die Offenlegungspflicht nach Artikel 50 Absatz 4. Und wird dasselbe Modell in eine automatisierte Bewerbervorauswahl eingebaut, entsteht ein Hochrisiko-KI-System nach Anhang III.

Für Systeme im Restbereich verlangt der AI Act keine Konformitätsbewertung, keine technische Dokumentation und keine Registrierung. Drei Punkte gelten aber dennoch. Erstens die KI-Kompetenz nach Artikel 4: Anbieter und Betreiber müssen sicherstellen, dass die Personen, die mit dem System arbeiten, es und seine Grenzen verstehen – diese Pflicht gilt seit 2. Februar 2025 und hängt nicht an der Risikoklasse. Zweitens bleiben DSGVO, Urheberrecht, Arbeitsrecht und branchenspezifische Vorschriften unberührt. Drittens trifft die Pflicht, synthetische Inhalte maschinenlesbar zu kennzeichnen (Artikel 50 Absatz 2), den Anbieter des Systems unabhängig davon, wie der Betreiber seinen eigenen Einsatz einstuft. Freiwillige Verhaltenskodizes nach Artikel 95 werden gefördert, sind aber nicht verpflichtend.

Praktisch wichtig: Die Einstufung als „minimales Risiko“ ist eine Selbsteinschätzung. Sie sollte je Anwendungsfall kurz schriftlich begründet und bei Änderungen des Einsatzzwecks wiederholt werden. Eine falsche Selbsteinstufung schützt nicht vor den Pflichten, die tatsächlich gelten – siehe Risikoklasse.