Wir setzen ein Bewerber-Ranking ein. Ist das ein Hochrisiko-System?

Die Frage kommt selten abstrakt. Sie kommt, weil im Personalbereich ein Werkzeug Bewerbungen vorsortiert oder weil die Kreditabteilung ein Scoring einsetzt. Beides steht in Anhang III — und beides löst Pflichten aus, die erst ab Dezember 2027 greifen.

Das Wichtigste in Kürze

Anhang III der KI-Verordnung nennt acht Bereiche. Für den Mittelstand praktisch relevant sind zwei: Beschäftigung und Personalmanagement sowie Zugang zu wesentlichen Diensten, insbesondere Kreditwürdigkeit und Versicherungstarife.
Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten seit der Verschiebung im Juli 2026 erst ab dem 2. Dezember 2027, nicht ab August 2026.
Eine Einstufung als hochrisikant macht ein System nicht verboten. Sie löst Betreiberpflichten aus — Zweckbindung, menschliche Aufsicht, Protokollaufbewahrung und Information der Beschäftigten.
Wer ein solches System lediglich einsetzt, ist Betreiber und nicht Anbieter. Eine Registrierung in der EU-Datenbank nach Artikel 49 trifft private Betreiber nicht.
Die praktische Konsequenz liegt nicht in Dezember 2027, sondern heute: Wer bis dahin nicht weiß, welche Systeme betroffen sind, kann die Pflichten nicht rechtzeitig aufsetzen.

Die acht Bereiche — und welche Sie wirklich betreffen

Anhang III ist eine abschließende Liste von Einsatzbereichen. Ein System ist nicht deshalb hochrisikant, weil es „viel kann", sondern weil es in einem dieser Bereiche eingesetzt wird.

Die acht Bereiche des Anhangs III der KI-Verordnung mit der Angabe, welche davon im Mittelstand praktisch vorkommen: Beschäftigung und Kreditwürdigkeit häufig, Strafverfolgung und Migration praktisch nie. — Von acht Bereichen sind zwei im Mittelstand wirklich häufig. Vier kommen dort praktisch nie vor. — auf schmalen Bildschirmen seitlich scrollbar.

Quelle: Verordnung (EU) 2024/1689 (KI-Verordnung), Anhang III und Artikel 6 Absatz 2. Die Hochrisiko-Pflichten nach Anhang III wurden im Juli 2026 auf den 2. Dezember 2027 verschoben, die nach Anhang I auf den 2. August 2028. Die Spalte zur Häufigkeit im Mittelstand ist unsere Einschätzung, keine Angabe der Verordnung. · Stand Oktober 2026

Die zwei Fälle, die tatsächlich vorkommen

Personalauswahl und Leistungsbewertung

Anhang III Nummer 4 erfasst Systeme zur Einstellung oder Auswahl von Personen — ausdrücklich auch gezielte Stellenanzeigen, das Sichten von Bewerbungen und das Bewerten von Bewerbern. Ebenso erfasst sind Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung sowie die Überwachung und Bewertung von Leistung und Verhalten.

Das ist der Punkt, an dem sich diese Seite mit dem Arbeitsrecht verzahnt: Dieselben Systeme lösen regelmäßig ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG aus. Und nach Artikel 26 Absatz 7 der KI-Verordnung sind Beschäftigtenvertretung und betroffene Beschäftigte vor der Inbetriebnahme zu informieren.

Kreditwürdigkeit und Versicherungstarife

Anhang III Nummer 5 erfasst die Bewertung der Kreditwürdigkeit natürlicher Personen — mit einer wichtigen Ausnahme: Systeme zur Aufdeckung von Finanzbetrug fallen nicht darunter. Ebenfalls erfasst sind Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen.

Für Finanzunternehmen bedeutet das eine Doppelbelastung: dieselbe Organisation ist gleichzeitig über DORA meldepflichtig und über Anhang III potenziell hochrisikant.

Was eine Einstufung auslöst — und was nicht

Annahme	Trifft zu?
Das System ist dann verboten	Nein. Verbote stehen in Artikel 5 und betreffen andere Praktiken.
Wir müssen es bei einer Behörde registrieren	Nein, nicht als privates Unternehmen. Artikel 49 trifft Anbieter und Behörden als Betreiber.
Wir brauchen eine Konformitätsbewertung	Nein. Die trifft den Anbieter des Systems, nicht den Betreiber.
Wir müssen menschliche Aufsicht benennen	Ja. Namentlich nach Rolle, mit Kompetenz und Befugnis.
Wir müssen Protokolle aufbewahren	Ja, mindestens sechs Monate, soweit wir sie kontrollieren.
Wir müssen Beschäftigte informieren	Ja, vor der Inbetriebnahme am Arbeitsplatz.
Das alles gilt ab August 2026	Nein. Für Anhang III ab dem 2. Dezember 2027.

Die vollständige Aufstellung der Betreiberpflichten steht in Artikel 26 — auf Englisch zusammengefasst unter AI Act deployer obligations.

Warum Dezember 2027 kein Grund zum Abwarten ist

Die Verschiebung um fünfzehn Monate wird häufig als Entwarnung gelesen. Praktisch verschiebt sie nur den Zeitpunkt, zu dem die Pflichten greifen — nicht den, zu dem die Vorarbeit anfallen muss.

Wer im November 2027 anfängt zu erheben, welche Systeme betroffen sind, hat keine fünfzehn Monate gewonnen, sondern einen Monat.

Hinzu kommt: Die Pflichten, die heute schon gelten, sind von der Verschiebung unberührt — die KI-Kompetenzpflicht aus Artikel 4 seit Februar 2025 und die Transparenzpflichten aus Artikel 50 seit August 2026.

Was Regovio dazu beiträgt

Zur Abgrenzung: Regovio nimmt keine rechtsverbindliche Einstufung vor. Ob ein System unter Anhang III fällt, ist eine Rechtsfrage mit erheblichen Folgen; wir liefern die strukturierte Grundlage dafür, nicht das Ergebnis.

Anforderung	Regovio	Stand
Welche Systeme im Einsatz sind	Register mit Typ, Einsatzkontext und Anbieter	heute verfügbar
Einstufung je System festhalten	Feld der strukturierten Bewertung, mit Entscheidungshistorie	heute verfügbar
Menschliche Aufsicht zuordnen	Explizite Rollenzuweisung je Asset	heute verfügbar
Automatisierte Entscheidungen kennzeichnen	Feld der strukturierten Bewertung	heute verfügbar
Kennzeichnung „Anhang III, Nummer X"	Noch keine Zuordnung zu einzelnen Anhangspunkten	auf der Roadmap — heute nicht enthalten
Rechtliche Einstufung übernehmen	Nicht enthalten und nicht geplant	auf der Roadmap — heute nicht enthalten