Hochrisiko-KI in Behörden: Was ab Dezember 2027 gilt

Was gilt und was noch kommt

Artikel 4 EU AI Act gilt seit dem 2. Februar 2025. Seit dem 27. Juli 2026 gilt er in der Fassung der Verordnung (EU) 2026/1744: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu fördern. Ein bestimmtes Niveau müssen sie für niemanden garantieren.

Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III waren ursprünglich ab dem 2. August 2026 vorgesehen. Die Verordnung (EU) 2026/1744 hat sie auf den 2. Dezember 2027 verschoben. Für Hochrisiko-KI in Produkten nach Anhang I gilt der 2. August 2028. Für Behörden ist das wichtig, weil viele typische Verwaltungsanwendungen unter Anhang III fallen.

Rechtsstand geprüft am 17.10.2026, Quelle: VO (EU) 2026/1744 (EUR-Lex)

Was ein Hochrisiko-System ist

Der EU AI Act listet in Anhang III konkrete Anwendungsfelder, die als Hochrisiko gelten. Für Behörden besonders wichtig:

• KI-Systeme, die zur Prüfung von Bürgerleistungs-Ansprüchen eingesetzt werden, etwa bei Sozialleistungen
• KI in Personalauswahl und Bewertung von Bewerbungen
• KI im Bereich Justiz und Strafverfolgung, einschließlich biometrischer Identifizierung
• KI in der kritischen Infrastruktur, etwa in der Verkehrssteuerung
• KI in der Bildung und Berufsausbildung, etwa in Prüfungs-Systemen
• KI in der Migrations- und Grenzverwaltung

Wenn eure Behörde KI-Systeme in einem dieser Bereiche einsetzt oder einsetzen will, fallen sie ab dem 2. Dezember 2027 unter die Hochrisiko-Regelungen.

Was die Hochrisiko-Regelungen verlangen

Der Pflichten-Katalog für Hochrisiko-Systeme ist umfangreich. Die wichtigsten Punkte für Behörden:

Risikomanagement-System. Eure Behörde muss ein dokumentiertes Verfahren haben, mit dem sie Risiken des KI-Systems identifiziert, bewertet und mindert. Das gilt über den gesamten Lebenszyklus, von Anschaffung über Betrieb bis zur Außerdienststellung.

Datenqualität und Daten-Governance. Die Daten, mit denen das KI-System trainiert oder betrieben wird, müssen Mindeststandards erfüllen. Sie müssen relevant, repräsentativ, fehlerfrei und vollständig sein. Bias muss aktiv geprüft und gegebenenfalls korrigiert werden.

Technische Dokumentation. Vor Inbetriebnahme muss eine umfassende technische Dokumentation vorliegen, die zeigt, dass das System die Hochrisiko-Anforderungen erfüllt. Diese Dokumentation muss aktualisiert werden, solange das System läuft.

Menschliche Aufsicht. Hochrisiko-Systeme dürfen nicht autonom entscheiden, wenn die Entscheidung Menschen betrifft. Es muss eine geschulte Person geben, die das System überwacht, einschätzt und im Zweifel eingreift.

Transparenz und Information für Betroffene. Bürger:innen, deren Anträge durch ein Hochrisiko-System bearbeitet werden, müssen darüber informiert werden. Sie haben Auskunfts- und Anfechtungsrechte.

Konformitätsbewertung. Bevor ein Hochrisiko-System in Betrieb geht, muss seine Konformität mit dem EU AI Act bewertet werden. In bestimmten Fällen ist eine externe Prüfstelle nötig.

Was eure Behörde bis Dezember 2027 tun sollte

Die Zeit reicht, wenn ihr jetzt anfangt. Die Schritte bauen aufeinander auf, geht sie in dieser Reihenfolge.

Schritt 1: KI-Bestandsaufnahme. Welche KI-Systeme nutzt eure Behörde heute, offiziell oder schattenhaft? Welche fallen potenziell unter Hochrisiko? Diese Aufnahme muss vollständig sein, sonst könnt ihr keine Risiken einschätzen.

Schritt 2: Klassifizierung. Für jedes identifizierte System: Ist es Hochrisiko nach Anhang III? Manche Fälle sind eindeutig, andere unklar. Im Zweifel: Rechtsabteilung oder externe Beratung einbeziehen.

Schritt 3: Lückenanalyse. Für jedes Hochrisiko-System: Welche der oben genannten Anforderungen sind heute schon erfüllt, welche nicht? Was fehlt konkret?

Schritt 4: Maßnahmen-Plan. Pro Lücke: Wer ist verantwortlich, was wird konkret getan, bis wann muss es fertig sein. Realistisch heißt: eine begründete Reihenfolge mit Prioritäten bis zum 2. Dezember 2027.

Was passiert bei Verstoßen

Verstöße gegen Pflichten für Hochrisiko-KI können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Ob und in welcher Höhe Bußgelder gegen Behörden möglich sind, legt jeder Mitgliedstaat selbst fest. Daneben: zivilrechtliche Haftung, wenn Bürger:innen durch fehlerhafte Hochrisiko-KI Schaden nehmen. Nicht zuletzt kommt politische und mediale Aufmerksamkeit dazu, die für Behörden-Leitungen oft schmerzhafter ist als das Bußgeld.

Was EHRENBEHÖRDE konkret hilft

Wir haben die KI-Regulierung in den letzten Monaten in mehrere Werkzeuge übersetzt.

Unsere KI-Pflichtschulung ist eine Maßnahme nach Artikel 4 und bereitet eure Mitarbeitenden auch auf Hochrisiko-Themen vor. Im Behördenbereich, dem eigenen Bereich eurer Behörde, könnt ihr einen Risiko-Klassifikations-Workflow für eure KI-Systeme aufbauen, mit Templates und Beispielen aus anderen Behörden.

Die Lösung KI einführen begleitet euch im Aufbau eines KI-Compliance-Systems, das Pflichten erfüllt und auch produktive Anwendung ermöglicht. Wer einzelne Beispiele und Templates sucht, findet sie in unseren Vorlagen und Studien zur KI-Governance in Behörden.

Häufige Fragen

Gilt der EU AI Act auch, wenn unser KI-System nur intern läuft?
Ja. Für den AI Act zählen Risikoklasse und Anwendungsfeld. Ob das System intern oder nach außen läuft, spielt dafür keine Rolle.

Was, wenn unsere Behörde gar keine eigene KI entwickelt, sondern nur fertige Systeme einkauft?
Ihr seid dann Betreiber im Sinne des AI Act. Die Hauptpflicht des Anbieters trägt der Hersteller, aber ihr habt eigene Pflichten als Betreiber, vor allem zu menschlicher Aufsicht, Transparenz und Risiko-Überwachung im Einsatz.

Reicht es, wenn unser IT-Dienstleister uns die Konformität bescheinigt?
Nein. Die Konformitätsbewertung macht der Anbieter. Eure Behörde hat als Betreiberin eigene Pflichten: das System nach Gebrauchsanweisung einsetzen, menschliche Aufsicht sicherstellen, den Betrieb überwachen und Protokolle aufbewahren. Als öffentliche Stelle führt ihr vor dem Einsatz zusätzlich eine Grundrechte-Folgenabschätzung durch.

Wo finden wir verlässliche Informationen, wenn der Gesetzestext nicht reicht?
Bundesnetzagentur, EU-Kommission und Bundesinnenministerium veröffentlichen Leitfäden und Kommentare. Daneben gibt es Auslegungs-Hinweise von Datenschutzkonferenz und kommunalen Spitzenverbänden.

Rechtsstand geprüft am 17.10.2026, Quelle: VO (EU) 2026/1744 (EUR-Lex)