Anhang III ist die Frage, nicht die Antwort
Der AI Act kommt auf zwei Wegen zur Hochrisiko-Einstufung. Der eine führt über Artikel 6 Absatz 1: Ihre KI ist Sicherheitsbauteil eines Produkts, das ohnehin EU-reguliert ist — Maschinen, Medizinprodukte, Aufzüge — und dieses Produkt braucht eine Konformitätsbewertung durch Dritte. Der andere führt über Artikel 6 Absatz 2: Die Zweckbestimmung Ihres Systems fällt unter einen der Anwendungsfälle aus Anhang III, also die bekannte Liste mit Personalauswahl, Kreditwürdigkeit, Bildung, wesentlichen Diensten und Biometrie.
Was in fast jeder Zusammenfassung fehlt: Mit dem Eintrag in Anhang III ist die Einstufung nicht erledigt. Artikel 6 Absatz 3 sagt, ein Anhang-III-System gelte nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt — insbesondere, weil es das Ergebnis der Entscheidungsfindung nicht wesentlich beeinflusst. Das ist eine echte Ausnahme. Und sie ist der Unterschied zwischen einem Compliance-Programm und einem Dienstagnachmittag.
Die nützliche Frage lautet also nicht „Stehe ich in Anhang III?“, sondern: „Ich stehe in Anhang III — kann ich die Vermutung widerlegen, und was kostet mich das?“ Darum geht es hier. Wenn Sie zuerst die vier Risikostufen und das größere Bild brauchen: Das ist Thema unseres Überblicks zum AI Act. Dieser Text steigt eine Ebene tiefer, in die Einstufungsentscheidung selbst.
Der Filter des Artikel 6 Absatz 3: ein Obersatz und vier Bedingungen
Häufig liest man von „vier Ausnahmen“. Diese Beschreibung kostet Geld, weil sie die Struktur verdeckt. Es sind zwei Hürden, und Sie müssen beide nehmen.
Die erste ist der Obersatz: Das System darf kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte bergen — auch nicht dadurch, dass es das Ergebnis der Entscheidungsfindung wesentlich beeinflusst. Die zweite: Mindestens eine von vier Bedingungen muss zutreffen. Das System ist dazu bestimmt, eine eng gefasste verfahrensmäßige Aufgabe zu erfüllen; oder das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit zu verbessern; oder Entscheidungsmuster beziehungsweise Abweichungen davon zu erkennen, ohne die zuvor abgeschlossene menschliche Bewertung ohne angemessene Überprüfung zu ersetzen oder zu beeinflussen; oder eine vorbereitende Aufgabe für eine Bewertung im Sinne eines Anhang-III-Anwendungsfalls zu erfüllen.
Beide Hürden, nicht eine davon. Ein System kann unstreitig eine vorbereitende Aufgabe erfüllen und trotzdem am Filter scheitern, weil eben diese Vorbereitung wesentlich prägt, was der Mensch danach entscheidet.
Profiling schlägt alle vier Bedingungen
Das ist der Satz, an dem die meisten Ausnahmehoffnungen enden — und er wird leicht übersehen, weil er hinter der Aufzählung steht und nicht davor: Ungeachtet der Bedingungen gilt ein Anhang-III-System immer als hochriskant, wenn es Profiling natürlicher Personen durchführt. Nicht „gegen die vier Bedingungen abgewogen“ — es setzt sie außer Kraft.
Profiling erfindet der AI Act nicht neu; er übernimmt die Definition aus der DSGVO, und die ist weit: automatisierte Verarbeitung personenbezogener Daten, um persönliche Aspekte einer Person zu bewerten, insbesondere um Arbeitsleistung, wirtschaftliche Lage, Zuverlässigkeit oder Verhalten zu analysieren oder vorherzusagen. Halten Sie diese Definition neben ein Werkzeug, das Lebensläufe in eine Rangfolge bringt, und die Diskussion ist beendet, bevor sie beginnt. Steht Ihr System in Anhang III und bewertet es Menschen, steht Ihnen der Filter schlicht nicht offen. Alles Weitere ist Detail.
„Eng gefasst“ ist eng gemeint
Die Kommission hat am 19. Mai 2026 Entwurfsleitlinien zur Hochrisiko-Einstufung veröffentlicht; die Konsultation lief bis zum 23. Juni 2026. Sie sind nicht bindend, und die Endfassung wird erwartet, bevor die Pflichten greifen — aber die Marktüberwachungsbehörden werden sich darauf stützen. Und sie sagen deutlich: Die Bedingungen des Artikel 6 Absatz 3 sind eng auszulegen, weil sie Ausnahmen von einem Grundrechtsschutz sind.
„Eng gefasste verfahrensmäßige Aufgabe“ meint Dinge wie das Umwandeln eines Datenformats, das Einsortieren eingehender Dokumente in vordefinierte Kategorien oder das Erkennen doppelter Datensätze — klar umrissene, begrenzte Arbeit, die das Verarbeitete weder bewertet noch benotet noch in eine Rangfolge bringt. In dem Moment, in dem Ihre „eng gefasste verfahrensmäßige Aufgabe“ anfängt, einen Eignungswert zu vergeben, ist sie weder eng noch verfahrensmäßig. Eine großzügige Auslegung ist hier keine Strategie, sondern ein nicht gebuchtes Risiko.
Die Ausnahme ist Papierarbeit, nicht Schweigen
Das verbreitete Denkmodell lautet: Der Filter macht den AI Act für dieses System verschwinden. Tut er nicht. Artikel 6 Absatz 4 ist eindeutig: Wer als Anbieter zu dem Schluss kommt, ein Anhang-III-System sei nicht hochriskant, muss diese Bewertung dokumentieren, bevor das System in Verkehr gebracht oder in Betrieb genommen wird, muss der Registrierungspflicht aus Artikel 49 Absatz 2 nachkommen und die Dokumentation den zuständigen nationalen Behörden auf Anfrage vorlegen.
Die Ausnahme in Anspruch zu nehmen ist damit ein aktiver Schritt mit Aktenspur, vor dem Start — keine Verteidigung, die Sie bei einer Prüfung improvisieren. Sie sind aktenkundig. Ist Ihre Begründung dünn, haben Sie sie der Behörde freundlicherweise aufgeschrieben.
Beinahe hätte sich das geändert. Der Digital Omnibus der Kommission zur KI schlug vor, die Registrierungspflicht für nach Artikel 6 Absatz 3 ausgenommene Systeme zu streichen. Im Verfahren wurde dieser Vorschlag fallen gelassen. Das am 7. Mai 2026 geeinte und am 29. Juni 2026 vom Rat endgültig gebilligte Paket behält die Registrierungspflicht bei — mit vereinfachtem Verfahren: Einzelne Felder aus Anhang VIII Abschnitt B entfallen, der Eintrag selbst nicht. Wer auf den Entwurf hin geplant hat, wurde überrascht.
Warum das bei Ihnen landet, nicht beim Lieferanten
Lesen Sie Artikel 6 Absatz 4 noch einmal: Die Pflicht trifft den Anbieter. Die meisten mittelständischen Unternehmen gehen nachvollziehbar davon aus, Betreiber zu sein — man kauft das Werkzeug, gebaut hat es jemand anderes, also trägt jemand anderes die Anbieterpflichten. Oft stimmt das. Oft aber auch nicht, und genau hier laufen Projekte auf.
Artikel 25 dreht die Rolle um. Ein Betreiber, Händler oder Einführer wird zum Anbieter eines Hochrisiko-Systems, wenn er seinen eigenen Namen oder seine Marke darauf anbringt, wenn er eine wesentliche Änderung daran vornimmt oder wenn er die Zweckbestimmung so ändert, dass das System nach Artikel 6 hochriskant wird. Lassen Sie ein Bewerbungs-Vorauswahlwerkzeug maßschneidern und betreiben es unter Ihrer eigenen Marke, dann sind Sie nicht Betreiber eines fremden Produkts — Sie sind Anbieter Ihres eigenen. Die Bewertung nach Artikel 6 Absatz 3, die Dokumentation und die Registrierung gehören Ihnen.
Der dritte Auslöser verdient besondere Aufmerksamkeit, weil ihn niemand bemerkt. Ein Allzweckmodell oder ein Werkzeug von der Stange, das nie hochriskant war, wird hochriskant, sobald Sie es auf einen Anhang-III-Zweck richten. Ihr Lieferant hat nichts falsch gemacht und nichts verändert. Die Einstufung ist gewandert, weil Sie entschieden haben, wofür Sie das Werkzeug einsetzen. Das Gespräch mit dem Betriebsrat kommt erfahrungsgemäß im selben Moment und aus demselben Grund.
Die Einstufung ist eine Architekturentscheidung
Jetzt der Teil, der mich als Entwickler mehr interessiert als als Leser von Gesetzestexten: Ob Sie innerhalb oder außerhalb der Hochrisiko-Stufe landen, entscheidet in aller Regel, wie das System gebaut ist — nicht, wie das Projekt beschrieben wird.
Ein konkreter Fall. Ein Zulieferer mit 400 Beschäftigten bekommt weit mehr Bewerbungen, als seine zweiköpfige Personalabteilung lesen kann, und möchte KI einsetzen. Aus diesem einen Satz können zwei sehr verschiedene Systeme werden.
Variante A: Das System liest jeden Lebenslauf und gibt einen Eignungswert zurück, sortiert die Bewerbungen danach, und die Personalabteilung fängt oben an. Das ist Personalauswahl nach Anhang III, es bewertet Menschen, es ist Profiling, es beeinflusst das Ergebnis wesentlich. Hochriskant, kein Filter, keine Diskussion. Völlig zulässig — aber Sie bauen jetzt ein konformitätsbewertetes System mit Risikomanagement, Daten-Governance und protokollierter menschlicher Aufsicht. Anderes Budget, anderer Zeitplan.
Variante B: Das System extrahiert aus jedem Lebenslauf strukturierte Felder in die Bewerbersoftware — Name, Qualifikationen, Sprachen, Jahre in der Rolle —, erkennt Doppelbewerbungen und vereinheitlicht die Anhänge zu einem gemeinsamen Format. Es benotet nicht. Es sortiert nicht nach Eignung. Menschen lesen weiterhin jede Bewerbung, in derselben Reihenfolge wie immer, nur ist das mühsame Abtippen bereits erledigt. Das ist eine eng gefasste verfahrensmäßige Aufgabe, sie bewertet niemanden, und sie prägt die Entscheidung nicht.
Gleicher Anwendungsfall, gleiche Abteilung, gleiche Budgetzeile, entgegengesetzte Einstufung. Getrennt hat die beiden kein Rechtsgutachten, sondern die Entscheidung, Felder auszugeben statt einer Punktzahl. Variante B ist übrigens auch die, in der die eigentliche Zeit steckte: Niemand las 300 Bewerbungen langsam, weil das Ranking schwierig gewesen wäre — sondern weil das Übertragen in die Bewerbersoftware es war.
Dezember 2027 ist nicht die Entlastung, nach der es aussieht
Der Digital Omnibus hat die Hochrisiko-Pflichten nach hinten geschoben. Eigenständige Anhang-III-Systeme gelten nun ab dem 2. Dezember 2027; Hochrisiko-KI, die in Produkte nach Anhang I eingebettet ist, folgt am 2. August 2028. Dasselbe Paket hat außerdem den Begriff des Sicherheitsbauteils verengt: KI, die nur Nutzer unterstützt, die Leistung optimiert oder nicht sicherheitsrelevante Qualitätskontrolle übernimmt, wird nicht schon dadurch hochriskant, dass sie in einem regulierten Produkt steckt — es sei denn, ihr Ausfall gefährdet Gesundheit oder Sicherheit. Nicht verschoben wurde übrigens: Die Verbote gelten seit Februar 2025, die Pflichten für Allzweck-KI seit August 2025.
Die zusätzlichen anderthalb Jahre sind real, und wer Hochrisiko-Systeme betreibt, sollte sie nutzen. Ein Grund, die Einstufungsfrage zu vertagen, sind sie nicht — aus einem schlichten technischen Grund: Die Einstufung wird durch Entwurfsentscheidungen festgelegt, die Sie jetzt treffen. Die Frist regelt, ab wann das System konform sein muss, nicht ab wann Sie wählen dürfen. Ein System, das 2026 in Betrieb geht und Bewerber benotet, steht bereits auf der falschen Seite einer Linie, die scharf wird, während es noch läuft. Risikomanagement, Daten-Governance und protokollierte Aufsicht nachträglich in ein laufendes System einzuziehen ist der teuerste Weg zur Konformität — und wer je rekonstruieren musste, was ein Modell vor anderthalb Jahren getan hat, weiß, dass die Protokollierung von Anfang an mitgedacht gehört. Die Frist, die zählt, ist nicht der Dezember 2027, sondern das Architektur-Review in diesem Quartal.
Wo Tippel ins Spiel kommt
Nichts davon ist Rechtsberatung, und ich bin nicht Ihr Anwalt — bei einem System nahe der Grenze holen Sie sich einen. Aber der größere Teil der Einstufungsfrage ist keine juristische Frage. Es ist die Frage, was Ihr System ausgibt, was es berührt und ob eine menschliche Entscheidung davon abhängt. Das sind technische Tatsachen, und sie werden beim Entwurf festgelegt — von denen, die den Code schreiben.
Genau dabei kann ich helfen: das System so bauen, dass die Einstufung offensichtlich statt strittig ist, und die Bewertung nach Artikel 6 Absatz 3 als Nebenprodukt des Entwurfs schreiben statt als Ausgrabung im Nachhinein. Wenn die Entscheidung dokumentiert wird, während sie fällt, ist die Papierarbeit ein Ablagevorgang. Wenn sie zwei Jahre später aus einem Repository und ein paar Erinnerungen rekonstruiert wird, ist sie ein Projekt. Dieselbe Disziplin zeigt sich, wenn Abnahmekriterien in den Werkvertrag müssen: vorher festlegen, schriftlich — oder hinterher streiten.
Wenn Sie eine klare Einschätzung möchten, welche Ihrer KI-Anwendungen überhaupt in die Nähe von Anhang III kommen und welche komfortabel weit davon entfernt sind: Das ist Teil des KI-Readiness-Checks. Wenn Sie es lieber erst besprechen möchten, nehmen Sie Kontakt auf.