Dez. 2027EU-KI-Gesetz-Compliance
    Alle 16 Ressourcen ansehen
    Leitfaden11 Min. Lesezeit

    Anhang III und Anhang IV der KI-Verordnung: welche Systeme hochriskant sind und welche technische Dokumentation sie verlangen

    Anhang III oder Anhang IV der KI-Verordnung: welcher gilt für Sie? Beide, wenn Ihr KI-System hochriskant ist. Anhang III der Verordnung (EU) 2024/1689, der KI-Verordnung, führt Hochrisiko-KI-Systeme in acht Bereichen auf. Anhang IV legt die neun Abschnitte fest, die die technische Dokumentation enthält, die der Anbieter vor dem Inverkehrbringen erstellt. Diese Seite verbindet beide: für jeden Bereich in Anhang III, was Anhang IV nachzuweisen verlangt.

    Diese Regeln gelten ab dem 2. Dezember 2027 für Systeme nach Anhang III. Für Systeme in einem Produkt nach Anhang I gelten sie ab dem 2. August 2028 (Artikel 113, geändert durch die Verordnung (EU) 2026/1744).

    Zitiert wird die deutsche konsolidierte Fassung der Verordnung vom 27. Juli 2026 (CELEX 02024R1689-20260727). Die Wörter in Anführungszeichen sind die der Verordnung.

    Anhang III der KI-Verordnung: die acht Bereiche, je eine Zeile

    Anhang III beginnt so: „Als Hochrisiko-KI-Systeme gemäß Artikel 6 Absatz 2 gelten die in folgenden Bereichen aufgeführten KI-Systeme“. Hier die acht Bereiche mit ihren Nummern.

    Bereich (Wortlaut der Verordnung)Erfasste Systeme (Kurzfassung)Nummern
    1. Biometriebiometrische Fernidentifizierung; biometrische Kategorisierung nach sensiblen oder geschützten Merkmalen; Emotionserkennung1 Buchstaben a bis c
    2. Kritische InfrastrukturSicherheitsbauteile kritischer digitaler Infrastrukturen, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- und Stromversorgung2
    3. Allgemeine und berufliche BildungZugang und Zulassung; Bewertung von Lernergebnissen; angemessenes Bildungsniveau; Überwachung verbotenen Verhaltens bei Prüfungen3 Buchstaben a bis d
    4. Beschäftigung, Personalmanagement und Zugang zur SelbstständigkeitEinstellung und Auswahl; Entscheidungen über Arbeitsbedingungen, Beförderung, Kündigung, Aufgabenzuweisung, Leistungsüberwachung4 Buchstaben a und b
    5. Zugänglichkeit und Inanspruchnahme grundlegender privater und grundlegender öffentlicher Dienste und LeistungenAnspruch auf öffentliche Unterstützungsleistungen; Kreditwürdigkeit und Bonitätsbewertung; Preisbildung in der Lebens- und Krankenversicherung; Triage von Notrufen5 Buchstaben a bis d
    6. StrafverfolgungRisiko, Opfer zu werden; Lügendetektoren; Verlässlichkeit von Beweismitteln; Rückfallrisiko; Profiling6 Buchstaben a bis e
    7. Migration, Asyl und GrenzkontrolleLügendetektoren; Risikobewertung; Prüfung von Asyl-, Visum- und Aufenthaltsanträgen; Identifizierung von Personen7 Buchstaben a bis d
    8. Rechtspflege und demokratische ProzesseUnterstützung bei der Ermittlung und Auslegung von Sachverhalten und Recht; Beeinflussung des Ergebnisses einer Wahl oder eines Referendums8 Buchstaben a und b

    Drei Bereiche (1, 6 und 7) gelten nur, „soweit ihr Einsatz nach einschlägigem Unionsrecht oder nationalem Recht zugelassen ist“. Die biometrische Verifizierung, deren einziger Zweck die Bestätigung einer Identität ist, fällt nicht unter Nummer 1 Buchstabe a.

    Jede Nummer im Einzelnen, mit den Grenzfällen, steht auf unserer Seite Anhang III (Anhang 3): die 8 Hochrisiko-Bereiche und in unserem Leitfaden zur Einstufung nach Anhang III.

    Artikel 6: wie ein System in Anhang III hineinkommt und wie es wieder herauskommt

    Artikel 6 Absatz 2 setzt die Regel: „gelten die in Anhang III genannten KI-Systeme als hochriskant“.

    Absatz 3 öffnet einen Ausweg. Ein System aus Anhang III ist nicht hochriskant, „wenn es kein erhebliches Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen birgt“. Eine von vier Bedingungen muss erfüllt sein:

    • „das KI-System ist dazu bestimmt, eine eng gefasste Verfahrensaufgabe durchzuführen“ (Buchstabe a);
    • „das KI-System ist dazu bestimmt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit zu verbessern“ (Buchstabe b);
    • „das KI-System ist dazu bestimmt, Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern zu erkennen“, ohne die menschliche Bewertung „ohne eine angemessene menschliche Überprüfung“ zu ersetzen oder zu beeinflussen (Buchstabe c);
    • „das KI-System ist dazu bestimmt, eine vorbereitende Aufgabe für eine Bewertung durchzuführen, die für die Zwecke der in Anhang III aufgeführten Anwendungsfälle relevant ist“ (Buchstabe d).

    Eine Grenze steht nicht zur Debatte: ein in Anhang III aufgeführtes KI-System gilt „immer dann als hochriskant, wenn es ein Profiling natürlicher Personen vornimmt“.

    Absatz 4 regelt den Nachweis. Ein Anbieter, der zu dem Schluss kommt, dass ein System aus Anhang III nicht hochriskant ist, „dokumentiert seine Bewertung, bevor dieses System in Verkehr gebracht oder in Betrieb genommen wird“. Er registriert sich in der EU-Datenbank (Artikel 49 Absatz 2) und legt die Bewertung den zuständigen nationalen Behörden auf Verlangen vor.

    Die Leitlinien nach Absatz 5: Die Europäische Kommission hat am 19. Mai 2026 einen Entwurf veröffentlicht. Er enthält Beispiele für Systeme, die hochriskant sind oder nicht. Am 19. Oktober 2026 führte die Seite der Kommission ihn noch als Entwurf.

    Anhang IV der KI-Verordnung: technische Dokumentation in neun Abschnitten

    Artikel 11 Absatz 1 verlangt die technische Dokumentation, „bevor dieses System in Verkehr gebracht oder in Betrieb genommen wird“, und will sie „auf dem neuesten Stand“ halten. Sie „enthält zumindest die in Anhang IV genannten Angaben“. Diese Angaben sind neun Abschnitte:

    • eine allgemeine Beschreibung des KI-Systems: Zweckbestimmung, Anbieter, Versionen, Hardware, Bedienoberfläche, Betriebsanleitung für den Betreiber (Nummer 1);
    • eine detaillierte Beschreibung des Systems und seiner Entwicklung: Methoden, Entwurfsentscheidungen, Architektur, Trainingsdaten, menschliche Aufsicht, Tests, Cybersicherheit (Nummer 2);
    • detaillierte Informationen über Überwachung, Funktionsweise und Kontrolle des Systems: Fähigkeiten, Grenzen, Genauigkeit für Personengruppen, vorhersehbare Risiken (Nummer 3);
    • Darlegungen zur Eignung der Leistungskennzahlen (Nummer 4);
    • eine detaillierte Beschreibung des Risikomanagementsystems nach Artikel 9 (Nummer 5);
    • eine Beschreibung der Änderungen am System über seinen Lebenszyklus (Nummer 6);
    • die Liste der angewandten harmonisierten Normen oder eine Beschreibung der stattdessen gewählten Lösungen (Nummer 7);
    • eine Kopie der EU-Konformitätserklärung nach Artikel 47 (Nummer 8);
    • eine Beschreibung des Systems zur Bewertung der Leistung nach dem Inverkehrbringen (Nummer 9). Dazu gehört der Plan für die Beobachtung nach dem Inverkehrbringen nach Artikel 72 Absatz 3.

    Jeder Abschnitt ist, mit einem ausgefüllten Beispiel, auf unserer Seite zur Anhang-IV-Vorlage erklärt. Die Vorlage ist eine kostenlose DOCX-Datei in der Sprache dieser Seite, ohne Anmeldung.

    Anhang-IV-Vorlage herunterladen (DOCX)

    Von Anhang III zu Anhang IV: was jeder Bereich zuerst nachweisen muss

    Die Verordnung ordnet den Bereichen keine Abschnitte zu: Für jedes Hochrisiko-System ist die vollständige Dokumentation geschuldet. Aber die Nummern in Anhang III zeigen, wo das Risiko sitzt, und damit, welche Abschnitte in Anhang IV eine Behörde zuerst liest. Diese Tabelle ist unsere Lesart der beiden Anhänge, keine Regel des Textes.

    Bereich in Anhang IIIAbschnitte in Anhang IV, auf die es ankommtWarum
    1. Biometrie2 d) Daten und Herkunft; 3 Genauigkeit für Personengruppen; 2 h) CybersicherheitNummer 3 verlangt die Genauigkeit für bestimmte Personen oder Personengruppen. Eine Verzerrung in den Daten ist das erste Risiko.
    2. Kritische Infrastruktur2 c) Architektur und Ressourcen; 2 h) Cybersicherheit; 9 Beobachtung nach dem InverkehrbringenEin Sicherheitsbauteil wird an seinem Ausfall gemessen: wer ihn sieht, und wann.
    3. Bildung2 d) Daten; 2 g) Tests und mögliche diskriminierende Auswirkungen; 2 e) menschliche AufsichtZugang und Benotung betreffen Minderjährige und ganze Bildungswege.
    4. Beschäftigung2 b) Entwurfsentscheidungen und die Personen oder Personengruppen, für die das System bestimmt ist; 2 g) diskriminierende Auswirkungen; 2 e) menschliche AufsichtEinstellung und Beurteilung sind die häufigsten Fälle aus Anhang III in Unternehmen.
    5. Grundlegende Dienste2 d) Herkunft der Daten; 3 Genauigkeit und Grenzen; 5 RisikomanagementKreditwürdigkeit und Versicherung entscheiden über den Zugang zu einem grundlegenden Dienst.
    6. Strafverfolgung und 7. Migration2 e) menschliche Aufsicht; 1 g) und h) Schnittstelle und Betriebsanleitung für den Betreiber; 9 BeobachtungDer Einsatz ist öffentlich und oft dringend: Betriebsanleitung und menschliche Aufsicht tragen den Nachweis.
    8. Rechtspflege und demokratische Prozesse2 b) allgemeine Logik, Begründung und Annahmen; 2 e) menschliche Aufsicht; 6 ÄnderungenEine Justizbehörde muss die Begründung des Werkzeugs nachvollziehen können.

    KMU: die vereinfachte Form nach Artikel 11

    Die Verordnung (EU) 2026/1744 hat Artikel 11 Absatz 1 einen Satz hinzugefügt: „KMU, einschließlich Start-up-Unternehmen, und kleine Midcap-Unternehmen, können die in Anhang IV aufgeführten Elemente der technischen Dokumentation in vereinfachter Weise bereitstellen“. Die Kommission soll dafür ein vereinfachtes Formular erstellen. Solange dieses Formular nicht veröffentlicht ist, bleiben die neun Abschnitte der Maßstab: Die technische Dokumentation bleibt geschuldet, die Form wird leichter.

    Die Daten: 2. Dezember 2027, 2. August 2028, und was schon gilt

    Artikel 113 Buchstabe c nennt zwei Daten für Kapitel III Abschnitte 1, 2 und 3, zu denen Artikel 11 und Anhang IV gehören. Für KI-Systeme, die „gemäß Artikel 6 Absatz 2 und Anhang III als hochriskant eingestuft“ sind: der 2. Dezember 2027. Für Systeme nach Artikel 6 Absatz 1 und Anhang I: der 2. August 2028.

    Schon anwendbar: Artikel 5 (verbotene Praktiken) seit dem 2. Februar 2025. Ebenfalls anwendbar: die Transparenzpflichten des Artikels 50 seit dem 2. August 2026, dem allgemeinen Geltungsbeginn der Verordnung.

    In Frankreich. Am 9. September 2025 haben die DGE und die DGCCRF einen Entwurf zur Benennung der nationalen Behörden veröffentlicht. Die beiden Direktionen würden die sektoralen Behörden koordinieren, die DGCCRF für die Marktüberwachung. Die Mitteilung sagt, dass dieses Schema dem Parlament mit einem Gesetzentwurf vorgelegt werden muss. Diese Seite setzt keine Benennung voraus.

    Was jetzt zu tun ist, der Reihe nach

    1. Erfassen Sie Ihre KI-Systeme und gleichen Sie jedes mit den Nummern in Anhang III ab. Unsere kostenlose Selbstbewertung dauert fünf Minuten.
    2. Schreiben Sie für jedes System aus Anhang III, das Sie nicht als hochriskant einstufen, die Bewertung nach Artikel 6 Absatz 3. Planen Sie auch die Registrierung nach Artikel 49 Absatz 2.
    3. Öffnen Sie für die übrigen die Anhang-IV-Akte mit der Vorlage, Abschnitt für Abschnitt, beginnend mit denen aus der Tabelle oben.
    4. Verbinden Sie Abschnitt 9 mit einem echten Plan für die Beobachtung nach dem Inverkehrbringen (Artikel 72). Unsere Seite zur kontinuierlichen Überwachung von KI-Systemen erklärt, wer was überwacht.

    Wie LandingRed hilft

    In LandingRed wird jedes KI-System Ihres Inventars nach Artikel 6 und Anhang III eingestuft. Die Bewertung nach Absatz 3 bleibt mit ihrer Begründung gespeichert. Die technische Dokumentation nach Anhang IV wird aus dem Datensatz des Systems erzeugt, Abschnitt für Abschnitt, in der vollständigen oder der KMU-Fassung, und bleibt bearbeitbar. Sieben Tage kostenlos testen.

    Die Seite zur KI-Verordnung fasst die Pflichten zusammen. Unsere kostenlose Selbstbewertung dauert fünf Minuten und schätzt Ihre Betroffenheit und Ihre Pflichten.

    Häufige Fragen zu Anhang III und Anhang IV der KI-Verordnung

    Anhang III oder Anhang 3 der KI-Verordnung: ist das dasselbe?

    Ja. Der amtliche Text schreibt „Anhang III“, in römischen Ziffern. Viele Suchanfragen schreiben „Anhang 3“. Gleiche Liste, gleiche acht Bereiche. Dasselbe gilt für Anhang IV, oft „Anhang 4“ geschrieben.

    Was ist der Unterschied zwischen Anhang III und Anhang IV?

    Anhang III sagt, welche eigenständigen Systeme hochriskant sind (Artikel 6 Absatz 2). Anhang IV sagt, was ihre technische Dokumentation enthalten muss (Artikel 11 Absatz 1). Der erste stuft ein, der zweite dokumentiert.

    Kann ein System aus Anhang III nicht hochriskant sein?

    Ja, wenn eine der vier Bedingungen des Artikels 6 Absatz 3 erfüllt ist und es kein Profiling natürlicher Personen vornimmt. Der Anbieter dokumentiert diese Bewertung vor dem Inverkehrbringen und registriert sich in der EU-Datenbank (Artikel 49 Absatz 2).

    Wer schreibt die Dokumentation nach Anhang IV: der Anbieter oder der Betreiber?

    Der Anbieter (Artikel 11 Absatz 1). Der Betreiber erhält die Betriebsanleitung und muss seinerseits den Betrieb des Systems überwachen und die Protokolle aufbewahren (Artikel 26). Ein Betreiber, der ein Hochrisiko-System wesentlich verändert, kann zum Anbieter werden (Artikel 25 Absatz 1).

    Ab wann ist die Dokumentation nach Anhang IV Pflicht?

    Für Systeme nach Anhang III ab dem 2. Dezember 2027. Für Systeme in einem Produkt nach Anhang I ab dem 2. August 2028 (Artikel 113, geändert durch die Verordnung (EU) 2026/1744). Nichts hindert Sie, die Akte heute zu beginnen.

    Verwandte Ressourcen

    Diese Seite gibt Informationen, keine Rechtsberatung. Zitiert wird die Verordnung (EU) 2024/1689 in der deutschen konsolidierten Fassung vom 27. Juli 2026 (CELEX 02024R1689-20260727). Die Angaben zu Frankreich sind auf dem Stand vom 19. Oktober 2026.

    Sie wissen nicht, ob Ihr System unter Anhang III fällt? Machen Sie die kostenlose Selbstbewertung zur KI-Verordnung. Sie dauert fünf Minuten und schätzt Ihre Betroffenheit und Ihre Pflichten. Selbstbewertung starten.

    Geprüft und veröffentlicht unter der redaktionellen Verantwortung von AB Corporate Advisory S.R.L.

    Quellen dieser Seite

    1. 1.Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung vom 27. Juli 2026 · EUR-Lex, Amt für Veröffentlichungen der Europäischen Union
    2. 2.Verordnung (EU) 2026/1744 (Digital-Omnibus KI), Amtsblatt der EU vom 24. Juli 2026 · EUR-Lex, Amt für Veröffentlichungen der Europäischen Union
    3. 3.Draft Commission guidelines on the classification of high-risk AI systems · European Commission (Shaping Europe's digital future), 19. Mai 2026
    4. 4.Rapport de la Commission au Parlement européen et au Conseil adopté en application de l'article 112, paragraphe 1, du règlement (UE) 2024/1689 (COM(2026) 234 final) · Commission européenne, registre public du Conseil de l'UE, 20. Mai 2026
    5. 5.La DGE et la DGCCRF publient le projet de désignation des autorités nationales en charge de la mise en œuvre du règlement européen sur l'IA · Direction générale des Entreprises (entreprises.gouv.fr), 9. September 2025
    6. 6.EU AI Act, le piège du report · Journal du Net, chronique de Lisa Medrouk (EuroAIGuard Conseil), 18. Mai 2026

    Jeder Link wurde am 19. Oktober 2026 geöffnet und sein Datum gelesen. Gesetze werden im amtlichen Wortlaut zitiert.

    LandingRed automatisiert all das

    Hör auf, Compliance in Tabellen zu verwalten. Klassifiziere, dokumentiere, bewerte und überwache deine KI-Systeme aus einer Plattform.