Zwei Monate sind wenig Zeit, wenn man nicht sicher ist, ob man betroffen ist. Am 2. August 2026 treten die Pflichten für Hochrisiko-KI-Systeme nach Anhang III der EU KI-Verordnung (Regulation (EU) 2024/1689) in vollem Umfang in Kraft — für alle Anbieter und Betreiber, die ihre Systeme bis dahin nicht klassifiziert haben. Die Einordnung ist nicht trivial: Die EU-Kommission hat erst am 19. Mai 2026 Entwurfsleitlinien dazu veröffentlicht. Die Konsultationsfrist läuft bis zum 23. Juni 2026.
Was die EU-Kommission am 19. Mai 2026 veröffentlicht hat
Die Entwurfsleitlinien zur Hochrisiko-Klassifizierung setzen Art. 6 Abs. 5 der KI-VO um. Sie sollen Anbietern, Betreibern und Marktüberwachungsbehörden helfen zu beurteilen, wann ein KI-System in eine Hochrisiko-Kategorie fällt — und wann die Ausnahme nach Art. 6 Abs. 3 greift: dann nämlich, wenn das System kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt und das Ergebnis von Entscheidungen nicht wesentlich beeinflusst.
Die drei Entwurfsdokumente behandeln allgemeine Klassifizierungsprinzipien, die Anwendungsbereiche aus Anhang I (regulierte Produkte) sowie die Bereiche aus Anhang III (Anwendungsfälle mit erhöhtem Risiko). Bis zum 23. Juni können Unternehmen, Verbände und Behörden Rückmeldungen einbringen.
Die acht Hochrisiko-Bereiche — welche für Bau zählen
Anhang III der KI-Verordnung listet acht Bereiche, in denen KI-Systeme als hochriskant eingestuft werden:
| Nr. | Bereich |
|---|---|
| 1 | Biometrische Identifikation und Kategorisierung |
| 2 | Kritische Infrastrukturen (Verkehr, Energie, Wasser, digitale Netze) |
| 3 | Allgemeine und berufliche Bildung |
| 4 | Beschäftigung und Arbeitnehmerverwaltung |
| 5 | Zugang zu wesentlichen öffentlichen und privaten Dienstleistungen |
| 6 | Strafverfolgung |
| 7 | Migration und Grenzkontrolle |
| 8 | Rechtspflege und demokratische Prozesse |
Für Bauunternehmen und Ingenieurbüros sind zwei Bereiche konkret prüfenswert.
Bereich 4 — Beschäftigung und Arbeitnehmerverwaltung: Betroffen sind KI-Systeme, die bei Einstellung, Beförderung, Aufgabenzuweisung oder Entlassung das Ergebnis wesentlich beeinflussen. Wer ein KI-Tool nutzt, das Bauleiter Projekten zuordnet, Bewerbungen automatisiert vorsortiert oder Mitarbeiterleistung bewertet, sollte prüfen, ob die Hochrisiko-Schwelle überschritten wird.
Bereich 5 — Zugang zu wesentlichen Dienstleistungen: Relevant sind vor allem öffentliche Auftraggeber (Vergabestellen), die KI bei der Eignungsprüfung oder Angebotsbewertung einsetzen. Das betrifft Bauunternehmen als Bieter mittelbar — weil KI auf der Gegenseite die Wertung ihrer Angebote wesentlich beeinflussen kann.
Was kein Hochrisiko-KI-System ist
Nicht jedes KI-System in einem dieser Bereiche ist automatisch hochriskant. Art. 6 Abs. 3 KI-VO enthält eine Ausnahme: Wenn ein System kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt und die Entscheidungsfindung nicht wesentlich beeinflusst, entfällt die Hochrisiko-Einstufung. Die Entwurfsleitlinien klären, wie Anbieter diese Einschätzung dokumentieren sollen.
KI-Systeme, die Bauunternehmen bei der Suche nach öffentlichen Ausschreibungen und der Vorqualifizierung unterstützen, fallen nach derzeitiger Einschätzung nicht unter diese Kategorien. Sie beurteilen Ausschreibungen — nicht die Eignung von Personen oder den Zugang zu Diensten. Go/No-Bid-KI trifft keine Beschäftigungsentscheidungen; sie unterstützt die betriebswirtschaftliche Entscheidung, ein Angebot abzugeben oder nicht. Die endgültige Beurteilung hängt jeweils von Systemarchitektur und Einsatz ab.
Die Pflichten ab 2. August 2026
Für KI-Systeme, die als Hochrisiko eingestuft werden, gilt ab dem 2. August 2026 folgender Pflichtenkatalog nach Verordnung (EU) 2024/1689:
- Risikomanagementsystem (Art. 9) — laufend, über den gesamten Lebenszyklus
- Datengovernance und Qualitätsprüfung (Art. 10)
- Technische Dokumentation (Art. 11) — vor Inverkehrbringen
- Automatisches Logging (Art. 12)
- Transparenzinformationen für Betreiber (Art. 13)
- Maßnahmen zur menschlichen Aufsicht (Art. 14)
- Qualitätsmanagementsystem beim Anbieter (Art. 17)
- Konformitätsbewertung vor Inverkehrbringen oder Inbetriebnahme
Die Hauptlast tragen Anbieter — die Unternehmen, die das System entwickeln und in Verkehr bringen. Betreiber müssen sicherstellen, dass sie das System entsprechend den Anbieter-Anweisungen verwenden und die menschliche Aufsicht nicht umgehen.
Was jetzt zu tun ist
Bis Ende Juni stehen zwei Schritte an.
KI-Inventar erstellen: Welche KI-Systeme nutzen Sie im Betrieb — für Personalplanung, Bewerbermanagement, Mitarbeiterbewertung, Subunternehmer-Steuerung? Für jedes System gilt: Fällt es in eine Anhang-III-Kategorie, und beeinflusst es Entscheidungen wesentlich? Wenn die Einordnung unklar ist, bieten die Entwurfsleitlinien eine erste Orientierungshilfe — oder ein kurzes Gespräch mit dem Systemanbieter klärt, welche Einstufung er selbst vorgenommen hat.
Konsultation nutzen: Verbände wie ZDB oder HDB können bis zum 23. Juni 2026 Rückmeldungen zu den Entwurfsleitlinien einbringen. Ob ein Schichtplanungs-Tool mit automatischer Projektpriorisierung unter Kategorie 4 fällt, ist genau die Art von Grenzfall, für die Praxis-Rückmeldungen Klarheit schaffen.
Was brixl-Nutzer wissen sollten
brixl ist die KI-Plattform für die deutsche Baubranche, die Bauausschreibungen aus allen öffentlichen Vergabeportalen aggregiert und mit nachvollziehbarer KI qualifiziert.
Brixls Kernfunktion fällt nach derzeitiger Einschätzung nicht unter die Hochrisiko-Kategorien des Anhang III. Die KI, die Ausschreibungen bewertet und Go/No-Bid-Einschätzungen vorbereitet, beeinflusst keine Beschäftigungsverhältnisse und steuert keinen Zugang zu öffentlichen Diensten — die beiden Aktivierungskriterien der Kategorien 4 und 5.
Was dagegen unabhängig von der Klassifizierung gilt: Nachvollziehbare KI in der Bauvergabe — Bewertungen, die auf die Originalstelle im Vergabedokument zurückgeführt werden können, dokumentiert und menschlich überprüfbar — entspricht dem Transparenz- und Aufsichtsprinzip, das die KI-VO für Hochrisiko-Systeme vorschreibt. Die KI-Verordnung fördert diese Richtung für alle KI-Systeme, nicht nur für hochriskante. Wer den Standard heute umsetzt, muss ihn nicht erst unter regulatorischem Druck einführen.
Die Frage der nächsten Wochen ist für die meisten Baubetriebe eine andere: Welche anderen KI-Tools im eigenen Betrieb müssen klassifiziert werden? Systeme für Personaleinsatz, Leistungsbewertung oder Bewerbungsvorsortierung stehen auf der Liste — und dort liegt die eigentliche Compliance-Arbeit bis August.
Häufige Fragen zur Hochrisiko-KI nach EU AI Act
Ab wann gelten die Hochrisiko-KI-Pflichten des EU AI Act vollständig?
Ab dem 2. August 2026. Anbieter müssen bis dahin Konformitätsbewertung, technische Dokumentation (Art. 11), Risikomanagementsystem (Art. 9) und Qualitätsmanagementsystem (Art. 17) nachweisen können. Betreiber müssen sicherstellen, dass sie das System entsprechend den Herstelleranweisungen einsetzen und die menschliche Aufsicht nicht umgehen.
Welche Anhang-III-Kategorien sind für Bauunternehmen prüfenswert?
Kategorie 4 (Beschäftigung und Arbeitnehmerverwaltung) für KI bei Einstellung, Aufgabenzuweisung oder Leistungsbewertung, und Kategorie 5 (Zugang zu wesentlichen Diensten) für KI, die öffentliche Auftraggeber bei Eignungs- oder Angebotsbewertung einsetzen. Kategorie 2 (kritische Infrastrukturen) ist relevant für Tiefbau- und Infrastrukturunternehmen, deren Systeme Verkehrs- oder Energieinfrastruktur steuern.
Fällt KI zur Ausschreibungssuche unter die Hochrisiko-Regeln?
Nach derzeitiger Einschätzung nein. KI, die Ausschreibungen bewertet und Go/No-Bid-Empfehlungen vorbereitet, beeinflusst keine Beschäftigung und steuert keinen Zugang zu öffentlichen Diensten. Damit sind die Aktivierungskriterien der relevanten Anhang-III-Kategorien in der Regel nicht erfüllt. Die endgültige Beurteilung hängt von der konkreten Systemarchitektur ab — Anbieter sollten ihre Einstufung dokumentieren.
Was klären die Entwurfsleitlinien der EU-Kommission vom Mai 2026?
Primär die Auslegung der Ausnahme nach Art. 6 Abs. 3 KI-VO: wann eine wesentliche Beeinflussung der Entscheidungsfindung vorliegt, wie Anbieter die Nicht-Hochrisiko-Einstufung begründen und belegen sollen, und wie die Abgrenzung zwischen Anhang I und Anhang III zu verstehen ist. Unternehmen, die die Klassifizierung eines Systems diskutieren möchten, finden dort eine erste Orientierung.
Was ist der Unterschied zwischen Anbieter- und Betreiberpflichten nach Art. 13 und 14?
Art. 13 (Transparenz) verpflichtet den Anbieter, Betreibern verständliche Informationen über das Hochrisiko-System bereitzustellen — Zweck, Leistungsgrenzen, Betriebsbedingungen. Art. 14 (menschliche Aufsicht) verpflichtet sowohl Anbieter als auch Betreiber, sicherzustellen, dass Menschen in der Lage sind, das System zu überwachen, zu korrigieren und notfalls abzuschalten. Betreiber dürfen die Aufsichtsmechanismen nicht durch organisatorische Entscheidungen aushebeln.
Weitere Beiträge