Personalisierte Empfehlungssysteme: Risikoklasse und Pflichten im EU-KI-Recht

Recommender-Systeme sind meist begrenzt oder minimal riskant. Begrenzt (Art. 50 Abs. 1): wenn sie direkt mit Personen kommunizieren (z. B. Chat-ähnliche Empfehlung) oder KI-generierte Inhalte ausspielen — dann Transparenzpflicht (Nutzer erkennt KI-Interaktion/Inhalte). Minimal: wenn sie nur Produkt-/Inhaltsempfehlungen im Hintergrund ausspielen, ohne direkte Kommunikation oder Inhaltsproduktion — keine AI-Act-Pflicht. Keine Konformitätsbewertung, keine CE, keine notifizierte Stelle. Die Einordnung hängt von der konkreten Funktionalität ab: reines Ranking = minimal; dialogische Empfehlung oder generierte Inhalte = begrenzt.

Zwei harte Grenzen: (1) Verbot nach Art. 5 Abs. 1 lit. a — Recommender, die subliminale/gezielt manipulative Techniken mit erheblicher Verhaltensverzerrung und Schaden einsetzen (z. B. Suchtförderung, ungewollte Vertragsabschlüsse), sind verboten. Die Schwelle ist hoch (Bewusstseinsferne + erhebliche Verzerrung + Schaden); normale Personalisierung fällt nicht darunter. (2) Hochrisiko nach Anhang III — wenn das Recommender-System in eine wesentliche Dienstleistung eingebettet ist (z. B. KI-Bonitätsempfehlung in Kreditentscheidung Nr. 5, Personalvorauswahl Nr. 4, Mietzuteilung Nr. 5), wird es Teil des hochrisiko-Systems. Die Funktion entscheidet, nicht die Empfehlung an sich. Eine saubere Zweckabgrenzung schützt vor versehentlicher Hochrisiko-Einstufung.

Recommender unterliegen mehreren Regimen: DSGVO (Profiling Art. 4 Nr. 4, transparente Information über Logik Art. 13/14, Widerspruchsrecht Art. 21, DSFA bei hohem Risiko); DSA (algorithmische Transparenz für Plattformen Art. 27, Risikobewertung VLOPs Art. 34/35, Schutz Minderjähriger); Konsumentenrecht (Richtlinie 2005/29/EG über unlautere Geschäftspraktiken, keine „dunklen Pattern"). Besonders sensibel: Personalisierung für Kinder (DSGVO Art. 8, DSA), politische Personalisierung (DSA Art. 24a, AI Act Art. 50), gesundheitsbezogene Werbung. Eine transparente, konsentierbare Personalisierung mit klaren Opt-outs und Fairness-Prüfung ist das praxistaugliche Compliance-Modell.