Annex III EU AI Act: Welche Systeme als Hochrisiko gelten und was das technisch bedeutet.
Annex III des EU AI Act definiert die acht Anwendungsbereiche, in denen KI-Systeme als Hochrisiko eingestuft werden. Für Unternehmen in diesen Bereichen entstehen konkrete Dokumentations-, Transparenz- und Prüfpflichten. Die Pflichten gelten nach der Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027. Diese Seite erklärt die Klassifikationslogik, die acht Bereiche, die Abgrenzung zu Art. 50 und was ein externer Infrastruktur-Scan zur technischen Dokumentation beitragen kann.
Diese Seite dient der technischen Orientierung. Keine Rechtsberatung. Die Einschätzung regulatorischer Pflichten im Einzelfall obliegt qualifizierten Rechts- und Compliance-Beratern.
Wann ein KI-System als Hochrisiko gilt
Der EU AI Act verwendet einen zweiteiligen Klassifikationsansatz (Art. 6). Hochrisiko ist ein KI-System entweder als Sicherheitsbauteil eines Produkts, das unter die in Annex I genannten Harmonisierungsvorschriften fällt (z. B. Medizinprodukte, Maschinen; ab 2. August 2028), oder wenn es in einem der acht Bereiche von Annex III eingesetzt wird (ab 2. Dezember 2027). Nach Art. 6 Abs. 3 entfällt die Einstufung, wenn das System kein erhebliches Risiko birgt, etwa weil es nur eine eng begrenzte Verfahrensaufgabe erfüllt; Systeme mit Profiling natürlicher Personen bleiben immer Hochrisiko.
Die Klassifikation gilt unabhängig von der Unternehmensgröße, dem Sitz des Unternehmens und davon, ob das System selbst entwickelt oder von einem Drittanbieter bezogen wird. Unternehmen, die Hochrisiko-KI-Systeme als Betreiber einsetzen, tragen die Pflichten des Betreibers. Unternehmen, die solche Systeme entwickeln oder in Verkehr bringen, tragen die Pflichten des Anbieters.
Zulieferer sind mittelbar betroffen: Nach Art. 25 Abs. 4 müssen Dritte, die Werkzeuge, Dienste oder Komponenten für ein Hochrisiko-System liefern, dem Anbieter per schriftlicher Vereinbarung die nötigen Informationen und technische Unterstützung bereitstellen.
Die vollständige Klassifikation
Biometrische Identifikation und Kategorisierung
Biometrische Fernidentifizierungssysteme, biometrische Kategorisierung nach sensiblen Merkmalen und Emotionserkennung, soweit nicht nach Art. 5 verboten. Ausgenommen ist die reine biometrische Verifizierung (1:1-Abgleich, etwa beim Zutritt mit eigenem Fingerabdruck).
Infrastruktur-Relevanz: Biometrische Daten sind zugleich besondere Kategorien nach Art. 9 DSGVO. Die Cybersicherheitsanforderungen aus Art. 15 betreffen das System selbst; ein externer Domain-Scan sieht davon nur die öffentlich erreichbare Web-Infrastruktur.
Kritische Infrastruktur
KI-Systeme als Sicherheitsbauteile in Verwaltung und Betrieb kritischer digitaler Infrastruktur, des Straßenverkehrs sowie der Wasser-, Gas-, Wärme- und Stromversorgung. Betrifft etwa Steuerungs- und Anomalie-Erkennungssysteme.
Infrastruktur-Relevanz: Betreiber kritischer Infrastruktur unterliegen gleichzeitig NIS2. Die Werte der KRITIS-Liste im CERTavia-Benchmark sind wegen eines Messfehlers zurückgezogen (Korrekturhinweis).
Bildung und Berufsausbildung
KI-Systeme, die über den Zugang zu Bildungseinrichtungen oder die Bewertung von Lernenden entscheiden. Betrifft Zulassungssysteme, Prüfungsauswertungsplattformen und adaptive Lernsysteme mit Bewertungsfunktion.
Infrastruktur-Relevanz: Systeme in diesem Bereich treffen Entscheidungen mit langfristiger Wirkung für Personen. Art. 10 verlangt eine Daten-Governance für Trainings-, Validierungs- und Testdaten, u. a. die Prüfung auf Verzerrungen.
Beschäftigung und Personalmanagement
KI-Systeme zur Bewerberselektion, Beförderungsentscheidung, Leistungsüberwachung und Kündigung. Betrifft ATS-Systeme, Matching-Algorithmen und Performance-Management-Plattformen.
Infrastruktur-Relevanz: Arbeitgeber, die solche Systeme einsetzen, müssen als Betreiber nach Art. 26 Abs. 7 die Arbeitnehmervertretung und betroffene Beschäftigte vor der Inbetriebnahme informieren. Datenquellen und Trainingsdaten fallen unter die Daten-Governance des Anbieters (Art. 10).
Grundlegende private und öffentliche Dienste und Leistungen
KI-Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen (ausgenommen Betrugserkennung), zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung, zur Prüfung des Anspruchs auf öffentliche Leistungen und zur Priorisierung von Notrufen. Betrifft Banken, Versicherungen und Behörden.
Infrastruktur-Relevanz: Finanzunternehmen unterliegen gleichzeitig DORA. Befund aus dem CERTavia-Benchmark: Die BaFin-Liste (50 Domains, Messung 11.06.2026, vom Messfehler nicht betroffen) lag bei Ø-CES 30,1, Median 32,0, Höchstwert 47,8 — keine Domain erreichte die CERTIFIED-Schwelle von 75. Bei 90 % der Domains lag Cluster F (AI Governance) bei 0.
Strafverfolgung
KI-Systeme zur Bewertung des Risikos, Opfer einer Straftat zu werden, Lügendetektoren und ähnliche Instrumente, Bewertung der Verlässlichkeit von Beweismitteln, Rückfallprognosen und Profiling im Ermittlungsverfahren. Betrifft Behörden und deren Technologiezulieferer.
Infrastruktur-Relevanz: Für Behörden als Betreiber gilt zusätzlich die Grundrechte-Folgenabschätzung nach Art. 27. Die Behörden-Liste des CERTavia-Benchmarks umfasst 59 Messungen an 48 Domains; ihre Juni-Werte sind teilweise vom Messfehler in Cluster A betroffen und eher zu niedrig (Korrekturhinweis). Unberührt davon: Cluster F (AI Governance) liegt im Median bei 0.
Migration, Asyl und Grenzkontrolle
KI-Systeme zur Risikobewertung von Personen, zur Dokumentenprüfung und zur Unterstützung von Asylentscheidungen. Betrifft Behörden und deren Technologiezulieferer.
Infrastruktur-Relevanz: Auch hier gilt für Behörden als Betreiber die Grundrechte-Folgenabschätzung nach Art. 27. Hochrisiko-Systeme sind zudem nach Art. 49 in der EU-Datenbank zu registrieren, für Strafverfolgung und Migration in einem nicht öffentlichen Teil.
Justiz und demokratische Prozesse
KI-Systeme, die Justizbehörden bei der Ermittlung und Auslegung von Sachverhalten und Recht unterstützen (auch in der alternativen Streitbeilegung), sowie Systeme, die das Ergebnis von Wahlen oder das Wahlverhalten beeinflussen sollen.
Infrastruktur-Relevanz: Es gelten dieselben Anforderungen nach Art. 8–15 wie in den anderen Bereichen. Ausgenommen sind Werkzeuge zur rein organisatorischen Kampagnenverwaltung, mit denen Personen nicht direkt in Kontakt kommen.
Art. 50 gilt unabhängig von Annex III
Art. 50 EU AI Act regelt Transparenz gegenüber Personen und gilt seit dem 2. August 2026, also bereits vor den Annex-III-Pflichten. Ein Hochrisiko-System mit Chatbot-Schnittstelle unterliegt beiden. Absatzgenaue Zuordnung: Glossar.
Maschinenlesbare Kennzeichnung (Abs. 2)
Anbieter generativer KI-Systeme müssen deren Ausgaben maschinenlesbar als künstlich erzeugt markieren, etwa per Metadaten oder Wasserzeichen. Die Markierung sitzt in der Ausgabe, nicht in der DNS- oder TLS-Konfiguration.
Transparenz nach Art. 13 ist etwas anderes
Hochrisiko-Systeme brauchen zusätzlich eine Betriebsanleitung, mit der Betreiber Ausgaben interpretieren können (Art. 13). Das richtet sich an Betreiber, Art. 50 an die betroffenen Personen. Eine Offenlegung von Datenquellen verlangt keine der beiden Normen gegenüber der Öffentlichkeit.
Offenlegung gegenüber Personen (Abs. 1, 3, 4)
Chatbot-Hinweis (Anbieter), Information über Emotionserkennung und biometrische Kategorisierung (Betreiber), Offenlegung von Deepfakes (Betreiber). HTTP-Header, DNSSEC, TLS und CAA-Records sind Sicherheitskontext (Art. 15, NIS2), keine Art.-50-Pflicht.
Was der Scan beiträgt
Cluster F prüft öffentlich sichtbare KI-Governance-Deklarationen (AI Policy, ai-disclosure.json, Deepfake-Disclaimer, Training-Opt-out, AI-Kontaktstelle). Das ist ein datierter Beleg für die Art.-50-Dokumentation, kein Nachweis, dass die Pflichten im Produkt erfüllt sind. Abs. 3 prüft der Scan nicht.
Was ein Konformitätsbewertungsverfahren voraussetzt
Die Konformitätsbewertung (Art. 43) führt der Anbieter durch, für die meisten Annex-III-Systeme als interne Kontrolle nach Anhang VI; eine benannte Stelle ist vor allem bei biometrischen Systemen beteiligt. Grundlage ist die technische Dokumentation nach Art. 11 und Anhang IV.
Anhang IV verlangt u. a. die Beschreibung des Systems und seiner Entwicklung, das Risikomanagement (Art. 9), die Daten-Governance (Art. 10), Maßnahmen zur menschlichen Aufsicht (Art. 14) sowie Angaben zu Genauigkeit, Robustheit und Cybersicherheit (Art. 15).
Ein CERTavia-Report kann dort als Anlage dienen, soweit die öffentlich erreichbare Web-Infrastruktur des Anbieters oder Betreibers betroffen ist: signierter PDF-Report mit den geprüften Parametern und Sovereign Vault Link. Die Cybersicherheit des KI-Systems selbst, etwa gegen Data Poisoning oder Adversarial Attacks, prüft er nicht.
Die Erstellung eines vollständigen Conformity Assessment Dossiers erfordert qualifizierte Rechts- und Compliance-Beratung. CERTavia ersetzt diese Beratung ausdrücklich nicht.
Ist Ihr System betroffen?
Der EU AI Act Schnelltest von CERTavia evaluiert das Annex-III-Risiko in unter zwei Minuten. Branchenübergreifendes und sektorspezifisches Screening für Finanzdienstleister, Healthcare, HR und den öffentlichen Sektor. Kein Formular, keine Registrierung.
Weiterführende Seiten
Risikoklassen, Enforcement-Phasen und technische Infrastruktur-Implikationen im Überblick.
NIS2 und DORA: Regulatorische Schnittmengen →Wo EU AI Act, NIS2 und DORA auf dieselbe Infrastruktur-Ebene treffen.
CERTavia Angebote und Preise →Vom kostenfreien Quick Scan bis zum Enterprise-Paket mit API-Zugang.
CERTavia für Compliance-Teams →Strukturierte Dokumentation für Audits unter EU AI Act, NIS2 und DORA.
Domain kostenlos scannen →Kein Formular, keine Registrierung. Ergebnis in Sekunden.
EU AI Act Artikel 50 – Transparenzpflichten seit August 2026 →Was Chatbot-Kennzeichnung, Deepfake-Deklaration und KI-Inhalts-Markierung konkret bedeuten.
NIS2 und Hochrisiko-KI: Wer ist betroffen? (Blog) →Welche Branchen unter NIS2 fallen und wie sich Annex-III-Klassifikation und NIS2-Scope überschneiden.
Fällt Ihr KI-System unter Annex III? Prüfen Sie es in 2 Minuten.
Der kostenlose Schnelltest bewertet anhand Ihres Sektors und Anwendungsfalls, ob Ihr System unter die Hochrisiko-Pflichten des EU AI Act fällt — ohne Login, ohne Registrierung.
Zum Annex-III-Schnelltest Direkt zur Domain-PrüfungFragen zu Annex III und Hochrisiko-KI
Was sind Hochrisiko-KI-Systeme nach Annex III?
Hochrisiko-KI-Systeme nach Annex III EU AI Act sind KI-Anwendungen in acht definierten Bereichen: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, grundlegende private und öffentliche Dienste, Strafverfolgung, Migration und Justiz. Die Anforderungen an das System stehen in Art. 8–15; Anbieter tragen die Pflichten nach Art. 16, Betreiber nach Art. 26 — unabhängig von Unternehmensgröße oder Sitz. Anwendbar ab 2. Dezember 2027.
Welche Risikostufen kennt der EU AI Act?
Der EU AI Act unterscheidet vier Stufen: 1) Inakzeptables Risiko — verboten (u. a. Social Scoring, biometrische Echtzeit-Fernidentifizierung zur Strafverfolgung mit engen Ausnahmen). 2) Hochrisiko (Annex III) — umfassende Pflichten nach Art. 8–15, inkl. technischer Dokumentation und Konformitätsbewertung. 3) Begrenztes Risiko — Transparenzpflichten nach Art. 50 (Chatbots, Deepfakes). 4) Minimales Risiko — keine gesonderten regulatorischen Pflichten. Für Annex-III-Systeme gelten die umfangreichsten Pflichten, ab 2. Dezember 2027.
Welche Branchen sind von Annex III besonders betroffen?
Besonders betroffen sind: Banken und Versicherer (Kreditwürdigkeitsprüfung, Risikobewertung in Lebens- und Krankenversicherung), Gesundheitswesen (Triage von Notfallpatienten; Diagnose-KI fällt als Medizinprodukt meist unter Annex I), HR-Software-Anbieter (Bewerberselektion, Leistungsmonitoring), Betreiber kritischer Infrastruktur (Energie, Wasser, Verkehr) sowie B2B-SaaS-Anbieter, deren Systeme von EU-Unternehmen in Hochrisikobereichen eingesetzt werden. Der Annex-III-Schnelltest prüft die Betroffenheit für Ihren konkreten Anwendungsfall.
Ab wann gelten die Hochrisiko-Pflichten aus Annex III?
Die Verordnung (EU) 2026/1744 („Digital Omnibus on AI“, verkündet am 24. Juli 2026, in Kraft seit dem 27. Juli 2026) hat die Anwendung der Hochrisiko-Pflichten verschoben: Annex III gilt ab dem 2. Dezember 2027, Annex I ab dem 2. August 2028. Die Transparenzpflichten aus Art. 50 gelten seit dem 2. August 2026; für generative Bestandssysteme läuft nach Art. 111 Abs. 4 n. F. eine Übergangsfrist bis zum 2. Dezember 2026 (nur Anbieter). Die nationale Marktüberwachung in Deutschland wird über das KI-Marktüberwachungs- und -Innovationsgesetz (KI-MIG) aufgebaut, das im Referentenentwurf die BNetzA als zentrale Behörde vorsieht. Anbieter sollten die Zeit bis Dezember 2027 nutzen, um technische Dokumentation und Konformitätsbewertung vorzubereiten. Verstöße gegen die Hochrisiko-Pflichten können nach Art. 99 EU AI Act mit Bußgeldern bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden (jeweils der höhere Wert); der höhere Rahmen von 35 Millionen Euro oder 7 % gilt ausschließlich für verbotene Praktiken nach Art. 5.
Ist das eine offizielle Zertifizierung?
Nein. CERTavia stellt kein behördlich anerkanntes Zertifikat aus. Der SOVP-Nachweis dokumentiert die öffentlich sichtbare Web-Infrastruktur einer Domain und kann als signierte, von Auditoren verifizierbare Anlage zur technischen Dokumentation dienen; die Konformitätsbewertung des KI-Systems ersetzt er nicht. Mehr dazu im Glossar →
Was passiert, wenn sich meine Infrastruktur ändert?
Ein SOVP-Scan ist eine Momentaufnahme zum Zeitpunkt der Prüfung. Bei substanziellen Infrastrukturänderungen empfehlen wir einen neuen Scan — insbesondere vor Audits und nach größeren Änderungen wie Hosting-Wechsel, neuen Zertifikaten oder DNS-Änderungen.
Was ist der Unterschied zwischen Schnelltest und Domain-Scan?
Der Schnelltest prüft anhand von Sektorzugehörigkeit und Anwendungsfall, ob Ihr KI-System unter Annex III fällt — das ist eine regulatorische Einordnung, keine technische Messung. Der Domain-Scan prüft die öffentlich sichtbare Infrastruktur Ihrer Domain gegen 80+ Parameter, darunter die KI-Governance-Deklarationen mit Art.-50-Bezug (Cluster F), und liefert einen signierten Report.
Infrastruktur-Report als Anlage zur technischen Dokumentation
Der Full Scan erzeugt einen signierten PDF-Report mit Sovereign Vault Link über die öffentlich sichtbare Infrastruktur Ihrer Domain. Er dokumentiert einen Ausschnitt dessen, was Art. 15 und NIS2 an Cybersicherheit verlangen — nicht die Sicherheit des KI-Systems selbst.
Domain jetzt scannen
Der Quick Scan ist kostenlos und liefert das Ergebnis im Median nach rund 10 Sekunden. Der Full Scan mit signiertem PDF-Report und Sovereign Vault Link kostet ab 490 € einmalig.
Domain jetzt scannen – kostenlosEnterprise & individuelle Anforderungen
Für komplexe Organisationsstrukturen oder individuelle Anforderungen steht das Kontaktformular zur Verfügung.
Kontakt aufnehmenCERTavia analysiert technische Infrastruktursignale. Das Ergebnis ist ein maschinenlesbarer Befund, kein Rechtsgutachten und keine Zertifizierung im Sinne der EU AI Act Konformitätsbewertung nach Artikel 43. Ob für Ihr System eine benannte Stelle einzubeziehen ist, klären Sie mit qualifizierter Rechtsberatung.
Diese Seite dient der technischen Orientierung. Keine Rechtsberatung. Die Darstellung des EU AI Act und von Annex III gibt den Kenntnisstand zum Zeitpunkt der Veröffentlichung wieder. Regulatorische Anforderungen entwickeln sich weiter. Die vollständige Klassifikation und die Einschätzung konkreter Pflichten im Einzelfall obliegen qualifizierten Rechts- und Compliance-Beratern. CERTavia liefert technische Infrastruktur-Validierung auf Basis des Sovereign Validation Protocol (SOVP, Patent Pending Nr. 64/005,737).