Annex III: Wann gilt ein AI-System als Hochrisiko?
Ein kompakter Einstieg in die Annex-III-Kategorien und was sie für eure Systeminventur bedeuten.
Der EU AI Act unterscheidet zwischen verbotenen Praktiken (Art. 5), Hochrisiko-Systemen (Art. 6 ff. in Verbindung mit Annex III) und geringeren Risikoklassen. Für viele Organisationen ist Annex III der erste konkrete Prüfpunkt in der Inventur.
Die zentralen Kategorien
Annex III listet Anwendungsbereiche von Hochrisiko-KI — unter anderem:
- Biometrische Identifikation
- Kritische Infrastruktur
- Beschäftigung und Workforce-Management
- Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen
Nicht jede KI in diesen Domänen ist automatisch Hochrisiko. Entscheidend ist, ob das System in einem der genannten Kontexte eingesetzt wird und ob die konkrete Anwendung unter die Kategorie fällt.
Was ihr dokumentieren solltet
Für jedes System empfiehlt sich mindestens:
- Zweck und Einsatzkontext — wer nutzt das System, wofür, mit welchen Daten?
- Annex-III-Entscheidung — Kategorie ja/nein, mit Begründung
- Rolle — Provider oder Deployer (relevant für Pflichten-Mapping)
Wie Octangle unterstützt
Octangle führt durch einen strukturierten Fragenkatalog, der die Risikoklasse deterministisch ableitet und mit einem Audit-Trail versioniert. So bleibt die Klassifizierung nachvollziehbar — auch wenn sich der Einsatzkontext später ändert.
Nächste Schritte
Nach der Klassifizierung folgt das Mapping der einschlägigen Pflichten (Art. 9–15, Art. 26) und — wo erforderlich — die FRIA nach Art. 27.