Nicht das Unternehmen wird eingestuft, sondern jedes KI-System einzeln. Anwendungsfälle erfassen, Klasse und Frist je Fall bestimmen.
Die Frage ist so nicht zu beantworten — und das ist der häufigste Denkfehler bei diesem Thema. Die KI-Verordnung (EU) 2024/1689 stuft nicht das Unternehmen ein, sondern jedes KI-System einzeln. Ein Betrieb kann gleichzeitig eine verbotene Praktik einsetzen, ein Hochrisikosystem betreiben und daneben ein Dutzend Anwendungen führen, die nur minimal reguliert sind. Deshalb arbeitet dieses Werkzeug als Register: Unternehmensprofil einmal, danach jeder Anwendungsfall einzeln durch acht Prüfstufen.
Je Fall werden Rolle (Anbieter, Betreiber, Einführer, Händler), Risikoklasse, Pflichten und Frist bestimmt — in der fachlich zwingenden Reihenfolge: KI-System nach Art. 3 Nr. 1, Ausnahmen nach Art. 2, Verbote nach Art. 5, Anhang I, Anhang III einschließlich des Filters nach Art. 6 Abs. 3, Transparenzpflichten nach Art. 50, GPAI nach Kapitel V. Der Katalog enthält 18 typische Mittelstandsfälle als Einstieg. Jede ausgewiesene Pflicht trägt ihre Fundstelle.
Rechtsgrundlage ist die KI-VO in der Fassung der Verordnung (EU) 2026/1744. Sie hat die Hochrisiko-Fristen verschoben — Anhang III auf den 02.12.2027, Anhang I auf den 02.08.2028 —, nicht aber die Verbote nach Art. 5, die KI-Kompetenz nach Art. 4 und die Transparenzpflichten nach Art. 50. Letztere gelten seit dem 02.08.2026; für die maschinenlesbare Kennzeichnung von Bestandssystemen läuft eine Nachfrist bis zum 02.12.2026.
Wer sich auf den Filter des Art. 6 Abs. 3 beruft, ist damit nicht freigestellt: Die Bewertung ist zu dokumentieren (Art. 6 Abs. 4) und das System trotzdem zu registrieren (Art. 49 Abs. 2). Und die Open-Source-Ausnahme des Art. 2 Abs. 12 trägt bei Hochrisiko, Art. 5 und Art. 50 gerade nicht. Beides bildet das Werkzeug als eigene Ergebnisklasse ab, statt „nicht betroffen" auszugeben.