Personendaten machen KI nicht pauschal zum Hochrisikosystem

Die Hochrisikoklassifikation des AI Acts folgt nicht allein daraus, dass ein System mit personenbezogenen Daten arbeitet. Artikel 6 (Stand 3. Oktober 2026) unterscheidet die produktbezogene Gruppe nach Absatz 1 von den Verwendungen in Anhang III nach Absatz 2. Für diese zweite Gruppe beschreibt Absatz 3 bestimmte Ausnahmen. Die aktuelle Fassung berücksichtigt Verordnung (EU) 2026/1744 (Stand 3. Oktober 2026), in Kraft seit dem 27. Juli 2026.

Eine Ausnahme setzt die im Absatz beschriebenen Voraussetzungen voraus, etwa eine enge verfahrensbezogene Aufgabe oder eine vorbereitende Aufgabe ohne erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte. Ein allgemeiner Hinweis, ein Mensch prüfe später das Ergebnis, beantwortet diese Kriterien noch nicht.

Profiling hat innerhalb von Anhang III eine besondere Grenze#

Ein in Anhang III erfasstes System, das Profiling natürlicher Personen durchführt, gilt laut Absatz 3 stets als Hochrisiko. Diese Regel darf weder auf jedes beliebige System außerhalb des Anhangs übertragen noch durch eine pauschale Ausnahme übergangen werden. Zuerst muss die betreffende Verwendung eingeordnet werden.

Wie wird eine Ausnahme dokumentiert?#

Absatz 4 verlangt außerdem von Anbietern, die ein Anhang-III-System als nicht hochriskant einstufen, eine dokumentierte Bewertung vor dem Inverkehrbringen oder der Inbetriebnahme. Die Einordnung ist damit eine begründungsbedürftige Entscheidung und keine bloße Auswahl in einer Produktliste.

Die dokumentierte Bewertung ist bei den zuständigen Behörden auf Anforderung vorzulegen. Innerhalb von Anhang III steht das Profiling natürlicher Personen somit unter einer ausdrücklichen Hochrisikoregel; für andere dort erfasste Aufgaben nennt Artikel 6 die Voraussetzungen einer möglichen Ausnahme.