Vier Stufen, ein Rahmen

Die Europäische Kommission beschreibt vier allgemeine Stufen: unvertretbares Risiko, hohes Risiko, Transparenzrisiko sowie minimales oder kein Risiko.

Diese Begriffe klingen eindeutig. Ihre Anwendung auf ein konkretes KI-System in einem Hotel kann jedoch weniger einfach sein.

Unser vorheriger Artikel erklärte, warum das KI-Risiko vom Anwendungsfall und nicht vom Tool abhängt. Dieser Artikel betrachtet, wie sich die Risikostufen des EU AI Acts in der Praxis anwenden lassen.

1. Unvertretbares Risiko: verbotene Praktiken

Einige KI-Praktiken sind verboten, weil sie eine unvertretbare Bedrohung für Menschen und Grundrechte darstellen.

Zu den verbotenen Praktiken gehören bestimmte Formen schädlicher Manipulation, die Ausnutzung von Schutzbedürftigkeit und Social Scoring. Dazu zählen auch bestimmte biometrische Praktiken und die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, vorbehaltlich des genauen Gesetzeswortlauts und der vorgesehenen Ausnahmen.

Für Hotels ist insbesondere der Beschäftigungskontext relevant. Ein System, das vorgibt, Emotionen von Mitarbeitern über Kameras, Stimme oder andere biometrische Signale zu erkennen, sollte nicht als gewöhnliche Funktion des Personalmanagements behandelt werden. Emotionserkennung am Arbeitsplatz gehört zu den verbotenen Praktiken, mit begrenzten Ausnahmen für medizinische oder sicherheitsbezogene Zwecke.

Die praktische Reaktion lautet nicht, einfach mehr menschliche Kontrolle hinzuzufügen. Vor Kauf oder Nutzung sollte der Prozess gestoppt und fachlicher Rat eingeholt werden.

Die betreffenden Verbote gelten seit dem 2. Februar 2025.

2. Hohes Risiko: festgelegte Systeme mit erheblichen möglichen Auswirkungen

Hochrisiko-KI ist nicht einfach jedes System, das wichtig erscheint oder personenbezogene Daten verarbeitet.

Nach Artikel 6 kann eine Einstufung als Hochrisiko-KI-System grundsätzlich auf zwei Wegen entstehen:

Die KI ist eine Sicherheitskomponente eines Produkts oder selbst ein Produkt, das unter bestimmte EU-Produktsicherheitsvorschriften fällt und einer Konformitätsbewertung durch Dritte unterliegt.

Das System fällt unter einen in Anhang III aufgeführten Anwendungsfall, vorbehaltlich der detaillierten Klassifizierungsbedingungen.

Anhang III umfasst Bereiche wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Zugang zu bestimmten wesentlichen Dienstleistungen, Strafverfolgung, Migration und Justiz.

Das für Hotels wahrscheinlich relevanteste Beispiel ist der Beschäftigungsbereich. KI zur Rekrutierung oder Auswahl von Personen, zur zielgerichteten Platzierung von Stellenanzeigen, zum Filtern von Bewerbungen, zur Bewertung von Kandidaten, zur Aufgabenzuweisung oder zur Überwachung und Bewertung von Mitarbeitern kann je nach tatsächlicher Funktion unter die Hochrisiko-Bestimmungen fallen.

Dabei gibt es wichtige Einschränkungen. Ein in Anhang III genanntes System gilt möglicherweise nicht als hochriskant, wenn es lediglich eine enge verfahrensbezogene oder vorbereitende Aufgabe erfüllt, das Ergebnis nicht wesentlich beeinflusst und kein erhebliches Schadensrisiko darstellt. Führt ein System im Rahmen eines Anhang-III-Anwendungsfalls Profiling natürlicher Personen durch, wird es als hochriskant behandelt.

Die Aussage "Wir verwenden KI im Personalbereich" reicht deshalb nicht aus, um ein System zu klassifizieren. Ein Tool, das den Text einer Stellenanzeige verbessert, erfüllt nicht dieselbe Funktion wie ein System, das Bewerber bewertet.

Die Einstufung als Hochrisiko-KI-System bringt umfangreiche Anforderungen mit sich, insbesondere für Anbieter. Dazu gehören Risikomanagement, Data Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Auch Betreiber haben Pflichten in Bezug auf sachgemäße Nutzung, Aufsicht und Überwachung.

Der Zeitplan für die Anwendung der Hochrisiko-Regeln wurde geändert. Nach dem AI Omnibus gelten die Regeln für Systeme nach Anhang III in Bereichen wie Beschäftigung ab dem 2. Dezember 2027. Für Hochrisiko-KI, die in regulierte Produkte eingebettet ist, gelten sie ab dem 2. August 2028. Hotels sollten sich dennoch frühzeitig vorbereiten und den aktuellen offiziellen Zeitplan prüfen, anstatt sich auf eine alte Präsentation oder die Zusammenfassung eines Anbieters zu verlassen.

3. Transparenzrisiko: Menschen müssen informiert werden

Einige Anwendungen sind erlaubt, unterliegen jedoch Transparenzpflichten.

Das für Hotels relevanteste Beispiel ist ein Chatbot für Gäste. Menschen sollten darüber informiert werden, wenn sie mit einem KI-System interagieren, sofern dies für eine angemessen informierte und aufmerksame Person unter den gegebenen Umständen nicht offensichtlich ist.

Die betreffenden Transparenzregeln gelten seit dem 2. August 2026.

Eine klare Kennzeichnung ist nur ein Teil einer guten Umsetzung. Der Gast sollte außerdem verstehen, was der Chatbot leisten kann, nicht über aktuelle Informationen getäuscht werden und bei Bedarf eine sinnvolle Möglichkeit haben, einen Menschen zu erreichen.

Weitere Transparenzpflichten betreffen bestimmte KI-generierte oder manipulierte Inhalte. Welche Pflicht genau gilt, hängt davon ab, wer das System anbietet oder einsetzt und um welche Art von Inhalt es sich handelt.

4. Minimales oder kein Risiko: leichte Regulierung bedeutet nicht Verantwortungslosigkeit

Die Mehrheit der KI-Systeme dürfte unter dem EU AI Act in die Kategorie minimales oder kein Risiko fallen. Für diese Systeme führt der AI Act keine zusätzlichen verpflichtenden Regeln ein.

Ein Hotel, das KI nutzt, um Überschriften für eine interne Präsentation vorzuschlagen oder Ideen aus öffentlichen Informationen zu entwickeln, kann in diese Kategorie fallen.

"Minimales Risiko nach dem EU AI Act" bedeutet jedoch nicht, dass das Ergebnis automatisch korrekt ist, dass personenbezogene Daten beliebig eingegeben werden dürfen, dass Urheberrecht und Vertraulichkeit keine Rolle spielen, dass ein Anbieter nicht geprüft werden muss oder dass bestehendes Verbraucher-, Arbeits- oder Datenschutzrecht entfällt.

Die Klassifizierung nach dem EU AI Act beantwortet eine rechtliche Frage. Das Hotel benötigt weiterhin sinnvolle operative Kontrollen.

Rechtliche Klassifizierung und interne Triage getrennt halten

Phare IQ verwendet drei Stufen der Governance-Aufmerksamkeit, um kleinen Unternehmen bei der Priorisierung ihrer Prüfung zu helfen: Routine Oversight (Routinekontrolle), Management Review (Managementprüfung) und Specialist Review (Fachprüfung). Dies sind keine rechtlichen Risikostufen des EU AI Acts.

Ein Anwendungsfall kann außerhalb der Hochrisiko-Kategorie des EU AI Acts liegen und dennoch genaue Aufmerksamkeit verdienen, etwa weil sensible Gästedaten, schwache Antworten eines Anbieters oder unzuverlässige Ergebnisse eine Rolle spielen. Umgekehrt kann eine einfache interne Triage nicht entscheiden, ob ein System rechtlich als hochriskant gilt.

Beide Ansätze dienen unterschiedlichen Zwecken. Die Klassifizierung nach dem EU AI Act fragt, welche rechtliche Kategorie und welche Pflichten gelten könnten. Die Governance-Aufmerksamkeit fragt, ob dieser Anwendungsfall Routine Oversight, Management Review oder Specialist Review benötigt.

Wenn verbotene Praktiken, Beschäftigungsentscheidungen, Biometrie, Überwachung, Sicherheit oder erhebliche Auswirkungen auf Personen betroffen sind, reicht eine informelle Checkliste nicht aus. Dann sollte geeigneter fachlicher Rat eingeholt werden.

Phare IQ hilft unabhängigen Hotels, praktische Transparenz und Kontrolle über ihre KI-Nutzung aufzubauen, ohne interne Priorisierung mit rechtlicher Klassifizierung zu verwechseln.

Dieser Artikel enthält allgemeine Informationen und stellt keine Rechtsberatung dar. Die regulatorischen Informationen wurden am 4. August 2026 anhand von Quellen der Europäischen Kommission und EUR-Lex geprüft. Die Leitlinien der Kommission zur Klassifizierung von Hochrisiko-KI-Systemen lagen weiterhin als Entwurf vor. Die endgültigen Leitlinien werden bis Ende 2026 erwartet.