Anforderungen an das System und Pflichten des Anbieters
Die Artikel 9 bis 15 verlangen ein Risikomanagementsystem, Daten-Governance für die Trainingsdaten, Validierung und Tests, technische Dokumentation, automatische Protokollierung von Ereignissen, verständliche Betriebsanleitungen, wirksame menschliche Aufsicht sowie ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit.
Zudem führt der Anbieter ein Qualitätsmanagementsystem ein (Art. 17), unterzieht das System einer Konformitätsbewertung (Art. 43), registriert es gegebenenfalls in der EU-Datenbank (Art. 49), betreibt eine Beobachtung nach dem Inverkehrbringen (Art. 72) und meldet schwerwiegende Vorfälle spätestens fünfzehn Tage, nachdem er davon Kenntnis erlangt hat (Art. 73 Abs. 2).
Nach dem Omnibus können KMU und kleine Unternehmen mittlerer Kapitalisierung die technische Dokumentation in einem vereinfachten Formular der Kommission vorlegen (Art. 11 Abs. 1), und das Qualitätsmanagementsystem wird im Verhältnis zur Größe des Anbieters angewendet (Art. 17 Abs. 2).
Was der Betreiber tun muss
Artikel 26 verpflichtet den Betreiber, das System gemäß der Betriebsanleitung zu verwenden, die menschliche Aufsicht Personen mit der nötigen Kompetenz, Schulung und Befugnis zu übertragen, dafür zu sorgen, dass die von ihm kontrollierten Eingabedaten relevant sind, den Betrieb zu überwachen und die Verwendung bei erkanntem Risiko auszusetzen sowie die vom System erzeugten Protokolle mindestens sechs Monate aufzubewahren.
Wird das System am Arbeitsplatz eingesetzt, informiert der Arbeitgeber vorab die Arbeitnehmervertretung und die betroffenen Beschäftigten (Art. 26 Abs. 7). Dient es dazu, in einem Bereich des Anhangs III Entscheidungen über Personen zu treffen oder zu unterstützen, informiert er diese Personen (Art. 26 Abs. 11).
Grundrechte-Folgenabschätzung
Artikel 27 verlangt sie vor der Inbetriebnahme von öffentlichen Stellen, von privaten Einrichtungen, die öffentliche Dienste erbringen, und von Betreibern von Systemen zur Kreditwürdigkeitsprüfung oder zur Preisgestaltung bei Lebens- und Krankenversicherungen (Anhang III Nummer 5 Buchstaben b und c).
Der Omnibus erlaubt, auf die einschlägigen Teile der Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO zu verweisen oder sie zu übernehmen, und beauftragt das Büro für Künstliche Intelligenz mit einem Musterfragebogen, um sie zu vereinfachen (Art. 27 Abs. 4 und 5).
Ab wann
Diese Pflichten gelten ab dem 2. Dezember 2027 für Systeme des Anhangs III und ab dem 2. August 2028 für Systeme des Anhangs I (Art. 113 Buchst. c). Hochrisiko-Systeme, die bereits vorher in Verkehr gebracht wurden, unterliegen ihnen nur, wenn ihre Konzeption danach erheblich geändert wird; Systeme, die für Behörden bestimmt sind, müssen spätestens am 2. August 2030 konform sein (Art. 111 Abs. 2).
Was Auditoren typischerweise sehen wollen
- Betriebsanleitung des Anbieters erhalten und abgelegt
- Personen für die menschliche Aufsicht benannt, mit Schulung und Befugnis zum Eingreifen
- Protokolle des Systems mindestens sechs Monate aufbewahrt
- Arbeitnehmervertretung vor dem Einsatz des Systems am Arbeitsplatz informiert
- Grundrechte-Folgenabschätzung durchgeführt, wo Artikel 27 sie verlangt
So gehen Sie in der Praxis vor
- 1Fordern Sie beim Anbieter Betriebsanleitung und Konformitätserklärung des Systems an und bewahren Sie sie zusammen mit dem Vertrag auf.
- 2Benennen Sie für jedes Hochrisiko-System die aufsichtführende Person und legen Sie schriftlich fest, was sie tun darf, wenn sie ein Ergebnis nicht überzeugt.
- 3Verankern Sie die Aufbewahrung der Protokolle und die Information der Belegschaft in den Datenschutzverfahren, die Sie bereits haben.
Datenschutz-Folgenabschätzung und Grundrechte-Folgenabschätzung teilen einen guten Teil der Analyse: Es lohnt sich, beide gemeinsam durchzuführen.
Woher jede Angabe stammt
Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.
- Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-Verordnung) EUR-Lex · ABl. L 2024/1689 · 12. Juli 2024
- Verordnung (EU) 2026/1744 (digitaler KI-Omnibus) zur Änderung der Verordnung (EU) 2024/1689 EUR-Lex · ABl. L 2026/1744 · 24. Juli 2026
- Verordnung (EU) 2024/1689, konsolidierte Fassung EUR-Lex · CELEX 02024R1689-20260727 · Fassung vom 27. Juli 2026
- Verordnung (EU) 2016/679, Datenschutz-Grundverordnung (DSGVO) EUR-Lex · Anwendbar seit dem 25. Mai 2018