KI-IAM und der EU AI Act
Wir nutzen KI für Identity & Access Management
Wir nutzen KI für Identity & Access Management: Diese Anwendung gilt nach derzeitiger Einschätzung als minimales Risiko. Es bestehen kaum spezifische Pflichten — die KI-Kompetenz-Pflicht nach Art. 4 gilt jedoch generell. Betroffen sind insbesondere Beschäftigte.
Zuletzt geprüft: 5. Juni 2026 · 3 Min. Lesezeit · Herausgeber: Innopulse Consulting GmbH, Zug
Warum diese Einstufung?
- ▸Das System trifft oder stützt automatisierte Entscheidungen mit Rechts- oder ähnlich erheblicher Wirkung.
- ▸Es werden biometrische Daten verarbeitet (Annex III Nr. 1 bzw. Art. 5 relevant).
Rechtliche Grundlage
Artikel
Erwägungsgründe
Welche Pflichten gelten?
- KI-Kompetenz der mit dem System befassten Personen (Art. 4)
- Freiwillige Verhaltenskodizes werden empfohlen (Art. 95)
Zusätzliche Rechtsrahmen in der DACH-Region
Der EU AI Act steht nicht allein. Je nach Einsatz greifen in der Schweiz, Deutschland und Österreich weitere Vorgaben — hier die für diesen Fall relevanten:
Bei automatisierten Entscheidungen über natürliche Personen greift insbesondere Art. 22 DSGVO (Recht auf menschliches Eingreifen).
Der CRA stellt Cybersicherheits-Anforderungen an Produkte mit digitalen Elementen.
Praxis-Beispiele
Grenzfall
Gesichts-Login (1:1-Verifikation) — Recital-16-Ausnahme, Datenschutz prüfen.
Unkritisch
Risikobasierte Anmeldung mit Anomalie-Score — minimal.
Pflicht-Trigger für diesen Fall
- Wirkt direkt auf natürliche Personen
- Automatisierte Entscheidungen
- Entscheidungsunterstützung (Mensch im Loop)
- Verarbeitet biometrische Daten
Zusätzliche regulatorische Overlays
Neben dem AI Act greifen für diesen Fall sektorale Vorschriften, die zusätzliche Pflichten auslösen können.
Was muss konkret geklärt werden?
Ob Dein konkreter Use-Case unter Minimales Risiko fällt, hängt von folgenden Detailfragen ab:
- Risikobasierte Auth ist minimal. 1:1-Biometrie-Verifikation = Recital-16-Ausnahme; 1:n-Identifikation kann Annex III.1(a) auslösen.
- Erfolgt die biometrische Identifikation in Echtzeit oder zeitversetzt (post-remote)?
Häufige Fragen
Ist „KI-IAM" ein Hochrisiko-KI-System nach dem EU AI Act?
Voraussichtlich nein. Die Anwendung ist als minimales Risiko einzustufen. Es können jedoch Transparenz- und KI-Kompetenz-Pflichten gelten.
Risikobasierte Auth ist minimal. 1:1-Biometrie-Verifikation = Recital-16-Ausnahme; 1:n-Identifikation kann Annex III.1(a) auslösen.
Diese Abgrenzung entscheidet häufig über die Risikoklasse. Die genaue Ausgestaltung im Einzelfall ist entscheidend; ein Assessment ordnet die Faktoren strukturiert ein.
Was sind die nächsten konkreten Schritte?
Transparenz- und KI-Kompetenz-Pflichten umsetzen und die Einstufung dokumentieren, damit sie bei Audits oder Änderungen belastbar ist.
Verwandte Anwendungsfälle
Klassifiziere Deinen konkreten Fall
Der Sector-First Wizard nimmt diesen Use-Case als Vorlage und stellt nur die wirklich relevanten Rückfragen — Du bekommst Risikoklasse, Pflichten-Liste und Audit-Package in unter 5 Minuten.
Assessment starten