Als Hochrisiko-KI-Systeme gelten nach dem EU AI Act zwei Gruppen: KI, die als Sicherheitsbauteil in bereits regulierten Produkten steckt (Anhang I), und KI, die in einem der acht sensiblen Anwendungsbereiche aus Anhang III eingesetzt wird. Maßgeblich ist dabei nicht die Technik, sondern die Zweckbestimmung — dasselbe Modell kann im einen Einsatz Hochrisiko sein und im anderen nicht.
Anhang III nennt acht Bereiche: Biometrie, kritische Infrastruktur, Bildung und Berufsbildung, Beschäftigung und Personalmanagement, Zugang zu essenziellen Leistungen, Strafverfolgung, Migration und Grenzkontrolle sowie Rechtspflege und demokratische Prozesse. Die vier unten aufgeführten treffen mittelständische Unternehmen am häufigsten; alle acht mit Praxisbeispielen stehen im Beitrag zu Anhang III des EU AI Act.
Nicht jedes System in diesen Bereichen ist automatisch Hochrisiko: Art. 6 Abs. 3 kennt eine eng gefasste Ausnahme für Hilfs- und Vorbereitungsaufgaben, die allerdings entfällt, sobald ein Profiling natürlicher Personen stattfindet — und die begründet und dokumentiert werden muss. Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für Anhang-I-Systeme ab dem 2. August 2028 (Fristen im Detail).