AI Act Risiko-Ampel

Use-Case-Klassifizierung · Grenzfälle · Vertragskonsequenzen · Entscheidungsbaum

Vorbemerkung

Diese Leitfadenreihe ist aus einer spezifischen Perspektive heraus geschrieben: der einer General Counsel / Senior Vice President, die über viele Jahre in leitender Inhouse-Funktion in regulierten Unternehmen gearbeitet hat – in der Schweiz und in der EU. Die Autorin verfügt über eine juristische und betriebswirtschaftliche Ausbildung in der Schweiz und in Deutschland sowie über langjährige operative Erfahrung als interne Rechts- und Compliance-Verantwortliche in internationalen Konzernen und KMU-Umfeldern.

Diese Kombination – juristische Tiefe, operatives Management-Know-how und direkte Erfahrung mit den Realitäten von Lieferketten, Vertragsverhandlungen und Aufsichtsbehörden – ist der Grund, warum die Texte so geschrieben sind, wie sie sind: nicht als formale Gesetzeskommentare, sondern als Arbeitsinstrumente. Sie richten sich gleichzeitig an Führungskräfte, die schnell einordnen müssen, was eine Regulierung für ihr Unternehmen bedeutet, und an Fachabteilungen, die wissen müssen, was operativ zu tun ist.

Der interdisziplinäre Ansatz ist bewusst: Digitale Regulierung berührt gleichzeitig IT, Recht, Procurement, Geschäftsführung, HR und Lieferkette. Eine Perspektive, die nur eine dieser Dimensionen kennt, liefert unvollständige Antworten. Die Leitfäden versuchen, alle relevanten Dimensionen gleichzeitig zu adressieren – mit dem Bewusstsein, dass in der Praxis selten ein Team allein zuständig ist und die wirklichen Herausforderungen meistens an den Schnittstellen entstehen.

Die Perspektive «Schweizer KMU im EU-Kontext» ist nicht zufällig. Sie spiegelt langjährige Arbeit an der Schnittstelle zwischen Schweizer Geschäftspraxis und europäischem Regulierungsrahmen: die Erfahrung, was es konkret bedeutet, wenn ein EU-Kundenvertrag plötzlich DORA-Klauseln enthält, wenn ein Procurement-Fragebogen AI-Act-Anforderungen stellt oder wenn ein Lieferant keine NIS2-konformen Sicherheitsnachweise liefern kann. Diese Leitfäden sind aus genau diesen Situationen heraus entstanden – nicht aus dem Lesen von Gesetzestexten, sondern aus der Erfahrung ihrer Auswirkungen.

Warum dieser Leitfaden existiert

Die Risiko-Ampel des AI Acts klingt einfach: Rot, Gelb, Orange, Grün. In der Praxis ist die Einstufung alles andere als trivial. Dieselbe Technologie kann – je nach Einsatzzweck – Minimal Risk oder High Risk sein. Und eine falsche Einstufung hat Konsequenzen: zu wenig Compliance kostet Vertrauen und Verträge, zu viel kostet Ressourcen und macht Dokumentation unglaubwürdig.

Dieser Leitfaden geht weiter als eine Tabelle. Er erklärt die Logik hinter der Ampel, zeigt Grenzfälle und wie man sie auflöst, und beschreibt die Vertragskonsequenzen jeder Einstufung.

1. Die vier Risikostufen im Klartext

Jede Stufe wird hier nicht nur definiert, sondern mit der Managementfrage verbunden, die sie auslöst.

2. Grenzfälle – die schwierigen Einstufungen

Die Ampel klingt klar. In der Praxis ist sie es nicht immer. Hier sind die Konstellationen, die in Mandantengesprächen immer wieder zu Diskussionen führen.

Grenzfall 1: HR-Tools

Wann ist ein HR-Tool High Risk?

Grenzfall 2: Kreditvergabe und Scoring

Kreditwürdigkeitsprüfungen sind explizit als High Risk aufgeführt. Aber nicht jede Risikobewertung ist eine Kreditwürdigkeitsprüfung.

Grenzfall 3: Generative KI im Unternehmenseinsatz

Das ist der häufigste Grenzfall: Ein Unternehmen setzt ein LLM (Large Language Model) für interne oder externe Zwecke ein. Wann ist das High Risk, wann nur Transparenz-pflichtig?

Grenzfall 4: GPAI – General Purpose AI

GPAI-Modelle (grosse Sprachmodelle wie GPT-4, Claude, Gemini) haben eigene Regelungen. Das ist relevant für Schweizer KMU, die solche Modelle nutzen oder in eigene Produkte integrieren.

3. Den Einstufungsprozess in der Praxis umsetzen

3.1 Die drei Fragen, die immer zuerst kommen

3.2 Das Einstufungsprotokoll

Ein Use Case ist erst eingestuft, wenn das Protokoll vollständig ist. Das ist kein bürokratischer Akt – es ist Ihr Schutz, wenn ein Kunde die Einstufung bestreitet.

4. Was jede Risikostufe vertraglich bedeutet

Die Risikostufe eines Use Cases bestimmt direkt, welche Vertragsklauseln EU-Kunden einbringen – und welche Sie akzeptieren können.

4.1 Minimal Risk – was trotzdem verlangt wird

Minimal Risk bedeutet keine gesetzlichen Pflichten – aber nicht keine Kundenanforderungen. EU-Kunden verlangen oft auch für Minimal-Risk-Systeme:

Schriftliche Bestätigung der Einstufung mit Begründung

Erklärung, dass das System nicht in verbotenen Kategorien eingesetzt wird

Grundlegende Transparenz über eingesetzte Technologie

4.2 Transparenzpflichtige Systeme – konkrete Umsetzung

Für Chatbots und generative KI muss die Kennzeichnung im Produkt selbst sichtbar sein. Hier sind die Mindestanforderungen:

Beim Start einer Interaktion: Hinweis 'Sie interagieren mit einem KI-System'

Bei KI-generierten Texten, die als menschlich erscheinen könnten: Kennzeichnung

Bei Deepfakes: explizite Kennzeichnung als synthetischer Inhalt

4.3 High Risk – die vollständige Anforderungsliste

5. Die häufigsten Einstufungsfehler

Fehler 1: Use Case zu eng definieren

'Unser System ist nur ein Hilfsmittel – die Entscheidung trifft immer ein Mensch.' Das stimmt in der Theorie. In der Praxis trifft der Mensch nur dann eine eigenständige Entscheidung, wenn er auch tatsächlich in der Lage ist, die KI-Empfehlung zu überstimmen – mit realistischem Zeitaufwand und ausreichender Information.

Fehler 2: Technologie mit Use Case verwechseln

'Wir setzen GPT-4 ein, das ist Minimal Risk.' Falsch. GPT-4 selbst ist ein GPAI-Modell. Was es in Ihrer Anwendung tut, bestimmt die Risikoklasse. Wenn GPT-4 Bewerbungen filtert: High Risk. Wenn GPT-4 Meeting-Notizen zusammenfasst: Minimal Risk.

Fehler 3: Einstufung ohne Datum und Begründung

Eine Einstufung ohne Datum ist wertlos. Bei einem Audit oder einem Kundengespräch wird gefragt: Wann haben Sie eingestuft? Auf welcher Basis? Was hat sich seitdem geändert? Ohne Protokoll können Sie diese Fragen nicht beantworten.

Fehler 4: Hochstufen ohne Konsequenzen

Manche KMU stufen prophylaktisch alles als High Risk ein, 'um auf der sicheren Seite zu sein'. Das erzeugt Dokumentationspflichten, die niemand erfüllen kann und will – und es macht die Einstufung unglaubwürdig, weil klar ist, dass nicht unterschieden wurde.

6. Verbindung zum Hauptleitfaden AI Act

Kontakt & weitere Informationen