Der EU AI Act verschiebt die Pflichten für Hochrisiko-KI-Systeme auf den 2. Dezember 2027: die 8 Kategorien und was der Mittelstand jetzt tun sollte.
Jannis Gerlinger
Mit KI erstelltHochrisiko-KI-Systeme nach Anhang III des EU AI Act müssen ihre Pflichten nicht mehr zum 2. August 2026 erfüllen, sondern erst ab dem 2. Dezember 2027. Das Europäische Parlament stimmte der Einigung am 16. Juni 2026 zu. Der Rat der Europäischen Union beschloss die Verschiebung im Rahmen des Digital Omnibus am 29. Juni 2026 final (White & Case, 2026). Für den deutschen Mittelstand bedeutet das 16 Monate mehr Vorbereitungszeit, betrifft aber nur einen Teil der KI-Verordnung: Verbote und Schulungspflicht gelten unverändert bereits seit Februar 2025.
Dieser Artikel erklärt, welche 8 Bereiche als Hochrisiko-KI gelten, was die Fristverschiebung konkret bedeutet und was Mittelständler trotzdem schon jetzt vorbereiten sollten. Er ergänzt unseren Überblick zur KI-Verordnung um die Details zu Anhang III.
Hochrisiko-KI ist ein KI-System, das nach Anhang III der KI-Verordnung eine erhebliche Gefahr für Gesundheit, Sicherheit oder Grundrechte darstellen kann. Meist entscheidet es direkt über einen Menschen oder bereitet eine solche Entscheidung wesentlich vor. Die Verordnung ordnet dieser Klasse keine einzelnen Produkte zu, sondern ganze Einsatzbereiche. Wer KI in einem der 8 gelisteten Bereiche einsetzt, muss zunächst prüfen, ob das konkrete System darunterfällt.
Anders als bei den verbotenen Praktiken nach Artikel 5 ist Hochrisiko-KI nicht untersagt. Sie darf eingesetzt werden, allerdings nur mit zusätzlicher Kontrolle in 4 Bereichen:
Die Verordnung unterscheidet dabei zwei Rollen mit unterschiedlich strengen Pflichten. Der Betreiber setzt ein fertiges System im eigenen Betrieb ein, das ist der typische Mittelständler. Wer ein am Markt erhältliches Recruiting- oder Scoring-Tool einkauft, ist fast immer Betreiber, nicht Anbieter.
| Rolle | Kernpflicht | Typisches Beispiel |
|---|---|---|
| Anbieter | Konformitätsbewertung, technische Dokumentation, Registrierung in einer EU-Datenbank | Entwickelt das Hochrisiko-System oder bringt es unter eigenem Namen in Verkehr |
| Betreiber | Gebrauchsanweisung befolgen, menschliche Aufsicht organisieren, Vorfälle melden | Setzt ein eingekauftes Hochrisiko-System im eigenen Betrieb ein |
Anhang III listet 8 Einsatzbereiche, in denen KI als Hochrisiko gilt. Für den typischen Mittelstandsbetrieb sind davon vor allem zwei Bereiche praktisch relevant, die übrigen sechs betreffen fast ausschließlich Behörden, Versorger oder spezialisierte Sicherheitsdienstleister.
| Bereich | Typisches Beispiel | Relevanz für den Mittelstand |
|---|---|---|
| Biometrie | Gesichts- oder Emotionserkennung | gering, meist nur bei Sicherheitsdienstleistern |
| Kritische Infrastruktur | Steuerung von Strom, Wasser, Verkehr | gering, betrifft vor allem Versorger |
| Bildung und Ausbildung | Zulassung, automatisierte Prüfungsauswertung | gering, betrifft vor allem Schulen und Hochschulen |
| Beschäftigung und Personalwesen | Bewerber-Screening, Kandidaten-Ranking | hoch, viele Betriebe nutzen Recruiting-Tools |
| Wesentliche Dienstleistungen | Kreditwürdigkeitsprüfung, Versicherungstarife | hoch für Finanzdienstleister und Kreditgeber |
| Strafverfolgung | Risikobewertung in Ermittlungen | keine, betrifft nur Behörden |
| Migration und Grenzkontrolle | Visa- und Asylprüfung | keine, betrifft nur Behörden |
| Justiz und Demokratie | Urteilsunterstützung, Wahlbeeinflussung | keine, betrifft nur Justiz und Wahlbehörden |
Ob ein konkretes KI-System unter Anhang III fällt, lässt sich in 4 Schritten klären.
Prüfe, ob dein System in einem der 8 Anhang-III-Bereiche läuft, allen voran Personalwesen oder Kreditwürdigkeitsprüfung.
Kläre, ob das System eine Entscheidung über einen Menschen trifft oder nur unterstützt, etwa eine reine Terminplanungs-KI ohne Auswahlfunktion.
Systeme mit eng begrenzter Verfahrensaufgabe oder solche, die nur ein bereits abgeschlossenes menschliches Arbeitsergebnis verbessern, gelten häufig nicht als Hochrisiko-KI.
Halte die Prüfung schriftlich fest, unabhängig vom Ergebnis. Das schafft im Streitfall Nachweisbarkeit.
Mit KI erstellt
Der Digital Omnibus ist ein Gesetzespaket der EU-Kommission, das die KI-Verordnung an mehreren Stellen vereinfacht und ihre Fristen anpasst. Die Kommission schlug ihn am 19. November 2025 vor. Rat und Parlament einigten sich am 7. Mai 2026 politisch. Das Parlament stimmte am 16. Juni 2026 zu. Der Rat der EU verabschiedete das Paket am 29. Juni 2026 endgültig (White & Case, 2026; Shumaker Loop & Kendrick, 2026). Das Gesetz tritt drei Tage nach Veröffentlichung im Amtsblatt der EU in Kraft.
Die EU-Kommission schlägt den Digital Omnibus zur Vereinfachung der KI-Verordnung vor.
Rat und Parlament einigen sich politisch auf die neuen Fristen.
Das Europäische Parlament stimmt der Einigung zu.
Der Rat der EU verabschiedet den Digital Omnibus endgültig.
Die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III gelten ab diesem Datum statt wie ursprünglich geplant ab August 2026.
Für KI als Sicherheitskomponente in Produkten wie Maschinen, Aufzügen oder Spielzeug (Anhang I) verschiebt sich die Frist ebenfalls: Statt ab dem 2. August 2027 gelten diese Pflichten erst ab dem 2. August 2028.
Bis zur Veröffentlichung im Amtsblatt der EU steht im Gesetzestext formal noch der 2. August 2026. Rat und Parlament haben der Verschiebung politisch und parlamentarisch bereits final zugestimmt, die Verkündung im Amtsblatt folgt automatisch in den Wochen danach.
Von den 8 Hochrisiko-Bereichen wirken sich zwei direkt auf klassische Mittelstandsbetriebe aus: Personalwesen und der Zugang zu Finanzdienstleistungen.
Stell dir vor, ein Handwerksbetrieb mit 80 Mitarbeitenden nutzt ein KI-Tool, das eingehende Bewerbungen automatisch vorsortiert und ein Ranking der Kandidaten erstellt. Ein solches System fällt unter die Kategorie Beschäftigung und Personalwesen, weil es unmittelbar über den Zugang zu einer Stelle mitentscheidet. Sobald die Pflichten ab Dezember 2027 gelten, muss der Betrieb eine geschulte Person mit echter Eingriffsmöglichkeit benennen, die jede automatische Vorauswahl nachvollziehen und korrigieren kann. Mehr zu den Einsatzmöglichkeiten in der Bewerberauswahl liest du in unserem Recruiting-Guide für den Mittelstand.
Ähnlich betroffen sind Unternehmen, die selbst Finanzierungen vergeben oder Bonitätsprüfungen automatisieren, etwa im Leasing- oder Ratengeschäft. Reine Nutzer von Standard-Scoring-Diensten externer Banken sind dagegen in der Regel nicht selbst Betreiber eines Hochrisiko-Systems, weil die Bank diese Rolle übernimmt.
Menschliche Aufsicht bedeutet in beiden Fällen mehr als eine Unterschrift unter einem automatisch erzeugten Ergebnis. Die zuständige Person muss die Logik des Systems verstehen, Ergebnisse stichprobenartig prüfen können und im Zweifel eine automatische Entscheidung tatsächlich überstimmen dürfen. Ein reines Abnicken der KI-Ausgabe erfüllt die Pflicht nicht.
Verstöße gegen die Hochrisiko-Pflichten fallen unter das allgemeine Bußgeldregime der KI-Verordnung, nicht unter die höchste Stufe für verbotene Praktiken. Nach Artikel 99 KI-VO drohen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für KMU und Start-ups gilt eine Sonderregel: Hier zählt jeweils der niedrigere der beiden Werte, was das Risiko für kleinere Betriebe spürbar deckelt. Details zur KMU-Deckelung und den übrigen Bußgeldstufen findest du in unserem Überblick zur KI-Verordnung.
Der Digital Omnibus verschiebt ausschließlich die Hochrisiko-Pflichten nach Anhang III und Anhang I. Drei andere zentrale Teile der KI-Verordnung bleiben davon unberührt.
| Pflicht | Rechtsgrundlage | Status |
|---|---|---|
| Verbotene Praktiken | Art. 5 KI-VO | seit 2. Februar 2025, unverändert |
| KI-Schulungspflicht | Art. 4 KI-VO | seit 2. Februar 2025, unverändert |
| Transparenzpflicht (Chatbots, Deepfakes) | Art. 50 KI-VO | ab 2. August 2026, unverändert |
| Hochrisiko-KI, eigenständige Systeme | Anhang III KI-VO | ab 2. Dezember 2027, verschoben |
| Hochrisiko-KI in Produkten | Anhang I KI-VO | ab 2. August 2028, verschoben |
Wer bereits die verbotenen Praktiken ausgeschlossen und die Schulungspflicht umgesetzt hat, bleibt weiterhin auf der sicheren Seite. Nur die zusätzlichen Hochrisiko-Pflichten rücken nach hinten.
Betreiber, also Unternehmen, die ein Hochrisiko-System einsetzen statt es zu entwickeln, treffen ab Dezember 2027 5 konkrete Pflichten.
Die eigentliche Konformitätsbewertung, also der Nachweis, dass ein Hochrisiko-System diese Anforderungen erfüllt, trifft in erster Linie den Anbieter. Für die meisten Anhang-III-Bereiche darf er sie intern durchführen, nur für biometrische Systeme ist eine externe benannte Stelle vorgeschrieben. Als Betreiber solltest du dir diesen Nachweis beim Einkauf eines Hochrisiko-Tools aktiv vorlegen lassen, statt ihn erst bei einer Prüfung durch die Marktüberwachungsbehörde zu suchen.
Bereits die KI-Verordnung selbst kennt eine KMU-Erleichterung: die niedrigere Bußgeld-Obergrenze nach Artikel 99. Der Digital Omnibus erweitert nach ersten Einschätzungen (CMS Deutschland, 2026) bestehende Erleichterungen auf eine zusätzliche Gruppe: die sogenannten Small Mid-Cap-Unternehmen. Das sind Betriebe mit bis zu 750 Beschäftigten und höchstens 150 Millionen Euro Jahresumsatz. Damit fallen deutlich mehr Mittelständler unter eine vereinfachte Dokumentationspflicht und reduzierte Anforderungen an das Qualitätsmanagement als bisher, wo die Schwelle bei der klassischen KMU-Definition der EU lag.
Für einen Handwerksbetrieb mit 80 Beschäftigten ändert das wenig, er lag schon vorher innerhalb der KMU-Schwellen. Relevant wird die Ausweitung vor allem für größere Mittelständler zwischen 250 und 750 Mitarbeitenden, die bislang aus der klassischen KMU-Definition herausfielen und künftig von denselben Erleichterungen profitieren sollen.
Der endgültige Wortlaut wird erst mit der Veröffentlichung im Amtsblatt rechtssicher feststehen. Verlass dich für die konkrete Einordnung deines Betriebs nicht allein auf Ankündigungen, sondern prüfe den finalen Text, sobald er erscheint.
Die Verschiebung auf Dezember 2027 ist kein Aufschub der Vorbereitung, sondern zusätzliche Zeit dafür.
Mit KI erstellt
Unsicher, ob eines deiner KI-Systeme unter Anhang III fällt? In einer kostenlosen Erstberatung ordnen wir deinen KI-Einsatz ein und benennen die Pflichten, die wirklich für dich gelten.
Die Fristverschiebung ist kein Grund, Recruiting-KI oder automatisiertes Kreditscoring zu meiden. Beide Anwendungen sparen bei korrekter Aufsicht weiterhin echte Stunden: Ein Bewerber-Ranking entlastet die Personalabteilung bei der Vorauswahl, ein automatisiertes Scoring beschleunigt die Kreditentscheidung. Die Hochrisiko-Pflichten ändern nicht das Ziel, sondern nur den Rahmen, in dem du dieses Ziel erreichst.
Gründer Jannis Gerlinger bringt knapp 20 Jahre Digital-Erfahrung mit, von UX/UI über E-Commerce bis heute KI. Dabei zeigt sich ein wiederkehrendes Muster: Unternehmen, die Compliance von Anfang an einplanen, brauchen später keine teure Nachrüstung. Ein Recruiting-Tool, das von Beginn an eine nachvollziehbare Begründung für jedes Ranking liefert, erfüllt die Pflicht zur menschlichen Aufsicht praktisch nebenbei.
Der Digital Omnibus verschafft Mittelständlern mit Hochrisiko-KI 16 Monate zusätzliche Vorbereitungszeit, ändert aber nichts an der grundsätzlichen Pflicht, KI in der Personalauswahl oder Kreditwürdigkeitsprüfung verantwortungsvoll einzusetzen. Verbote und Schulungspflicht gelten unverändert seit Februar 2025, die Transparenzpflicht kommt planmäßig im August 2026.
Wer jetzt seine KI-Systeme inventarisiert und die zwei mittelstandsrelevanten Anhang-III-Bereiche prüft, muss im Dezember 2027 nicht improvisieren. Eine durchdachte KI-Strategie denkt diese Fristen von Anfang an mit, statt sie nachträglich aufzuarbeiten.
Du willst KI im Unternehmen einführen und dabei von Anfang an compliant bleiben? Wir bauen KI-Systeme für den Mittelstand, DSGVO-konform und mit Blick auf die KI-Verordnung. Buch dir eine kostenlose Erstberatung, in 15 Minuten klären wir deinen Stand.
Jannis Gerlinger ist Geschäftsführer der JANGER GmbH. Seit über 15 Jahren entwickelt er digitale Lösungen, erst im UX/UI Design und E-Commerce, heute mit dem Fokus auf sichere KI-Systeme für den Mittelstand. Mit seiner TÜV-Zertifizierung in Verkaufspsychologie verbindet er technisches Know-how mit einem tiefen Verständnis für Geschäftsprozesse.
Die neuesten Praxis-Tipps zur KI-Einführung direkt in dein Postfach. Kein Spam, jederzeit abbestellbar.
Mit KI erstelltDie KI-Verordnung einfach erklärt: 4 Risikoklassen, alle Fristen, die Bußgelder und was der Mittelstand als Betreiber jetzt wirklich tun muss.
Weiterlesen
Mit KI erstelltArt. 5 KI-VO verbietet seit Februar 2025 acht KI-Praktiken bei Bußgeldern bis 35 Mio. Euro. Was KMU wirklich betrifft und wie du deine Systeme prüfst.
Weiterlesen
Mit KI erstelltDSGVO-konforme KI für KMU und Mittelstand: So setzt du Corporate LLMs sicher ein, schützt Geschäftsgeheimnisse und vermeidest typische Datenschutz-Fallen.
WeiterlesenIn 15 Minuten findest du heraus, wo KI in deinem Betrieb den größten Hebel hat. Kostenlos, unverbindlich.
