Alle Pflichten im Überblick

Was die Verordnung verlangt: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und der Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb der Systeme befasst sind. Zu berücksichtigen sind Vorkenntnisse, Erfahrung, Ausbildung und der Einsatzkontext.

Hinweise zur Umsetzung: Ermitteln Sie den Schulungsbedarf anhand der eingesetzten Systeme, der Aufgaben und der Vorkenntnisse des Personals. Planen Sie passende Schulungen und regelmäßige Auffrischungen. Dokumentieren Sie Inhalte und Teilnahme und prüfen Sie, ob die Maßnahmen den jeweiligen Einsatz angemessen unterstützen.

Mögliche Nachweise: Schulungskonzept je Rolle, Teilnahmenachweise, Datum der letzten Auffrischung.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat Art. 4 neu gefasst. Aus der Pflicht, KI-Kompetenz sicherzustellen, ist die Pflicht geworden, ihre Entwicklung zu unterstützen. Ausdrücklich klargestellt ist nun: Ein bestimmtes individuelles Kompetenzniveau ist nicht zu garantieren. Die Pflicht als solche bleibt bestehen und gilt seit dem 2. Februar 2025. Der Wortlaut knüpft an KI-Systeme an; wer ausschließlich ein Modell mit allgemeinem Verwendungszweck anbietet, wird davon erfasst, soweit er auch Systeme anbietet oder betreibt.

Was die Verordnung verlangt: Art. 5 untersagt unter anderem Social Scoring mit nachteiligen Folgen in anderem Zusammenhang, gezielt manipulative oder täuschende Techniken, das Ausnutzen von Schutzbedürftigkeit, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, das ungezielte Auslesen von Gesichtsbildern und die biometrische Kategorisierung nach sensiblen Merkmalen. Das Verbot trifft Inverkehrbringen, Inbetriebnahme und Verwendung.

Hinweise zur Umsetzung: Prüfen Sie bestehende Systeme und geplante Beschaffungen anhand der Verbotstatbestände, etwa bei Emotionserkennung oder der Bewertung von Personen. Liegt eine verbotene Praktik vor, ist die betreffende Verwendung zu unterlassen. Eine Dokumentation allein macht sie nicht zulässig.

Mögliche Nachweise: Prüfvermerk je System gegen die Tatbestände des Art. 5, mit Ergebnis und Datum.

Änderung durch VO 2026/1744: Diese Verbote gelten seit dem 2. Februar 2025 und sind von der Verschiebung der Hochrisiko-Pflichten nicht berührt. Verstöße sind mit dem höchsten Bußgeldrahmen der Verordnung bewehrt.

Was die Verordnung verlangt: Erfüllt ein Modell die Voraussetzungen für die Einstufung als Modell mit systemischem Risiko, zeigt der Anbieter dies der Kommission unverzüglich an, spätestens zwei Wochen nachdem die Anforderung erfüllt ist oder bekannt wird, dass sie erfüllt sein wird.

Hinweise zur Umsetzung: Dokumentieren Sie den kumulierten Trainingsaufwand fortlaufend. Prüfen Sie anhand dieses Werts und der weiteren Einstufungskriterien, ob eine Mitteilung an die Kommission erforderlich ist, und berücksichtigen Sie die zweiwöchige Frist.

Mögliche Nachweise: Berechnung des Trainingsaufwands, Anzeige an die Kommission mit Datum.

Was die Verordnung verlangt: Anbieter stellen Anbietern nachgelagerter KI-Systeme Informationen und Dokumentation bereit, die diese in die Lage versetzen, die Fähigkeiten und Grenzen des Modells zu verstehen und ihren eigenen Pflichten nachzukommen. Der Mindestinhalt steht in Anhang XII.

Hinweise zur Umsetzung: Stellen Sie die Informationen nach Anhang XII übersichtlich und vollständig bereit. Beschreiben Sie Fähigkeiten, Einschränkungen und Integrationsbedingungen so, dass nachgelagerte Anbieter ihre eigenen Pflichten beurteilen können.

Mögliche Nachweise: Informationspaket nach Anhang XII, Nachweis der Bereitstellung.

Was die Verordnung verlangt: Anbieter erstellen und aktualisieren die technische Dokumentation des Modells einschließlich Trainings- und Testverfahren und Bewertungsergebnissen und legen sie dem Büro für Künstliche Intelligenz und den zuständigen Behörden auf Anfrage vor. Der Mindestinhalt steht in Anhang XI.

Hinweise zur Umsetzung: Erfassen Sie die erforderlichen Angaben bereits während des Trainings. Dokumentieren Sie insbesondere Datenherkunft, Trainingsverfahren und Rechenaufwand so, dass sie später nachvollziehbar bleiben.

Mögliche Nachweise: Modelldokumentation nach Anhang XI mit Versionsstand.

Was die Verordnung verlangt: Anbieter führen eine Strategie zur Einhaltung des Urheberrechts der Union ein, insbesondere zur Wahrung eines Vorbehalts nach Art. 4 Abs. 3 der Richtlinie (EU) 2019/790, und veröffentlichen eine hinreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte nach dem Muster des Büros für Künstliche Intelligenz.

Hinweise zur Umsetzung: Bereiten Sie die öffentliche Zusammenfassung anhand des vorgegebenen Musters vor. Klären Sie frühzeitig, welche Angaben zu den Datenquellen benötigt werden, und berücksichtigen Sie die Lizenzbedingungen Ihrer Datenlieferanten.

Mögliche Nachweise: Urheberrechtsstrategie, veröffentlichte Zusammenfassung nach dem Muster.

Änderung durch VO 2026/1744: Für Modelle unter einer freien und quelloffenen Lizenz mit öffentlich zugänglichen Parametern entfallen die Pflichten nach Buchst. a und b, nicht aber die Urheberrechtsstrategie und die Zusammenfassung. Modelle mit systemischem Risiko sind von dieser Erleichterung ausgenommen.

Was die Verordnung verlangt: Anbieter aus Drittländern benennen vor dem Inverkehrbringen eines Modells in der Union schriftlich einen in der Union niedergelassenen Bevollmächtigten, der die Dokumentation zehn Jahre bereithält und als Anlaufstelle für das Büro für Künstliche Intelligenz dient.

Hinweise zur Umsetzung: Prüfen Sie, ob ein Bevollmächtigter zu benennen ist. Berücksichtigen Sie dabei die Ausnahme für Modelle unter einer freien und quelloffenen Lizenz ohne systemisches Risiko.

Mögliche Nachweise: Schriftliches Mandat, hinterlegte Dokumentation.

Was die Verordnung verlangt: Der Bevollmächtigte eines Modellanbieters aus einem Drittland überprüft, ob die technische Dokumentation nach Anhang XI erstellt und die Pflichten aus Art. 53 und gegebenenfalls Art. 55 erfüllt wurden. Er hält eine Kopie dieser Dokumentation und die Kontaktdaten des Anbieters zehn Jahre nach dem Inverkehrbringen für das Büro für Künstliche Intelligenz und die nationalen Behörden bereit, erteilt auf begründeten Antrag Auskunft und arbeitet mit den Behörden zusammen. Eine Kopie des Auftrags ist dem Büro auf Anfrage in einer Amtssprache der Union vorzulegen.

Hinweise zur Umsetzung: Prüfen Sie im Mandat für den Modellanbieter die Pflichten des Kapitels V und die Zusammenarbeit mit dem Büro für Künstliche Intelligenz. Nehmen Sie zusätzlich ein Mandat für KI-Systeme nach Art. 22 wahr, dokumentieren Sie Aufgaben und Unterlagen für beide Mandate getrennt.

Mögliche Nachweise: Schriftlicher Auftrag, Kopie der Dokumentation nach Anhang XI, Kontaktdaten des Anbieters, Nachweis der Prüfung.

Was die Verordnung verlangt: Anbieter von Modellen mit systemischem Risiko führen Modellbewertungen einschließlich adversarialen Testens durch, bewerten und mindern mögliche systemische Risiken auf Unionsebene, melden schwerwiegende Vorfälle unverzüglich an das Büro für Künstliche Intelligenz und die zuständigen nationalen Behörden und gewährleisten ein angemessenes Maß an Cybersicherheit für Modell und physische Infrastruktur.

Hinweise zur Umsetzung: Prüfen Sie, wie Sie die Einhaltung der Anforderungen nachweisen können. Solange keine einschlägigen harmonisierten Normen vorliegen, kann der Praxisleitfaden für Modelle mit allgemeinem Verwendungszweck herangezogen werden. Bei einem anderen Vorgehen ist dessen Gleichwertigkeit darzulegen.

Mögliche Nachweise: Bewertungsberichte, Ergebnisse des adversarialen Testens, Meldewege, Cybersicherheitskonzept.

Was die Verordnung verlangt: Wer ein System in einem Anhang-III-Bereich einsetzt, es aber wegen Art. 6 Abs. 3 nicht als hochriskant einstuft, registriert sich und das System dennoch in der EU-Datenbank. Auf Verlangen der Behörden ist die Bewertung vorzulegen.

Hinweise zur Umsetzung: Berücksichtigen Sie bei der Planung, dass die Ausnahme nach Art. 6 Abs. 3 die Registrierungs- und Begründungspflichten nicht aufhebt. Halten Sie die dokumentierte Bewertung zusammen mit dem Registrierungseintrag bereit.

Mögliche Nachweise: Registrierungseintrag und die dokumentierte Bewertung nach Art. 6 Abs. 3.

Was die Verordnung verlangt: Vor dem Inverkehrbringen ist das einschlägige Konformitätsbewertungsverfahren zu durchlaufen. Für die meisten Anhang-III-Systeme genügt die interne Kontrolle nach Anhang VI; bei biometrischen Systemen kann eine notifizierte Stelle einzubeziehen sein. Für Anhang-I-Systeme richtet sich das Verfahren nach den jeweiligen Produktvorschriften.

Hinweise zur Umsetzung: Klären Sie frühzeitig, welches Bewertungsverfahren anzuwenden ist und ob eine notifizierte Stelle beteiligt werden muss. Berücksichtigen Sie deren Verfügbarkeit in Ihrer Planung. Prüfen Sie bei wesentlichen Änderungen die erforderliche erneute Bewertung.

Mögliche Nachweise: Bewertungsunterlagen, gegebenenfalls Bescheinigung der notifizierten Stelle.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat Art. 43 Abs. 3 neu gefasst und die Verzahnung mit der Produktgesetzgebung geklärt: Hersteller müssen nicht allein deshalb eine Bewertung durch Dritte wählen, weil das Produkt ein Hochrisiko-KI-System als Sicherheitsbauteil enthält, sofern die Produktvorschrift das nicht verlangt. Beachten Sie zugleich, dass Abschnitt 5 nach dem Wortlaut des geänderten Art. 113 ab dem 2. August 2026 gilt, während die materiellen Anforderungen aus den Abschnitten 1 bis 3 erst später greifen; die praktische Handhabung dieser Reihenfolge ist Gegenstand angekündigter Leitlinien der Kommission.

Was die Verordnung verlangt: Der Anbieter stellt für jedes System eine schriftliche EU-Konformitätserklärung aus, hält sie zehn Jahre bereit und übernimmt damit die Verantwortung für die Einhaltung der Anforderungen. Die CE-Kennzeichnung wird sichtbar, leserlich und dauerhaft angebracht, bei digitaler Bereitstellung auch digital.

Hinweise zur Umsetzung: Prüfen Sie vor der Unterzeichnung, ob die erforderlichen Dokumentations-, Bewertungs- und Registrierungsunterlagen vollständig vorliegen.

Mögliche Nachweise: Unterzeichnete EU-Konformitätserklärung, Nachweis der CE-Kennzeichnung.

Was die Verordnung verlangt: Vor dem Inverkehrbringen oder der Inbetriebnahme registrieren Anbieter von Anhang-III-Systemen sich selbst und ihr System in der von der Kommission geführten EU-Datenbank. Die einzutragenden Angaben stehen in Anhang VIII.

Hinweise zur Umsetzung: Prüfen Sie vor der Registrierung, ob die Angaben vollständig sind und mit der Konformitätserklärung übereinstimmen. Berücksichtigen Sie bei Angaben zu Betriebs- und Geschäftsgeheimnissen, welche Informationen öffentlich zugänglich werden.

Mögliche Nachweise: Registrierungsbestätigung, Abgleich der Angaben mit der Konformitätserklärung.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat den Registrierungsumfang gestrafft: In Anhang VIII Abschnitt B sind die Nummern 7 und 9 gestrichen. Die Dokumentationspflichten des Anbieters bleiben davon unberührt.

Was die Verordnung verlangt: Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, müssen so gestaltet sein, dass die Personen darüber informiert werden, dass sie mit einem KI-System interagieren, es sei denn, dies ist aus den Umständen offensichtlich.

Hinweise zur Umsetzung: Gestalten Sie den Hinweis auf die KI-Interaktion für jeden verwendeten Kommunikationskanal, einschließlich Telefon und Sprachassistenten. Prüfen Sie, ob er rechtzeitig und verständlich wahrgenommen werden kann.

Mögliche Nachweise: Wortlaut und Platzierung des Hinweises je Kanal.

Was die Verordnung verlangt: Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, stellen sicher, dass die Ausgaben in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind. Die technischen Lösungen müssen wirksam, interoperabel, belastbar und zuverlässig sein, soweit das technisch möglich ist.

Hinweise zur Umsetzung: Prüfen Sie, ob maschinenlesbare Kennzeichnungen bei der weiteren Verarbeitung erhalten bleiben. Berücksichtigen Sie insbesondere Formatumwandlungen, Zuschnitte und die Weitergabe über externe Dienste.

Mögliche Nachweise: Beschreibung des Markierungsverfahrens, Prüfung der Beständigkeit entlang der Ausgabekette.

Was die Verordnung verlangt: Betreiber eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung informieren die betroffenen Personen über den Betrieb und verarbeiten die personenbezogenen Daten im Einklang mit dem Datenschutzrecht.

Hinweise zur Umsetzung: Prüfen Sie vor dem Einsatz die Zulässigkeit der vorgesehenen Anwendung. Beachten Sie insbesondere das grundsätzliche Verbot der Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie die Ausnahmen für medizinische Zwecke und Sicherheitsgründe.

Mögliche Nachweise: Information der betroffenen Personen, datenschutzrechtliche Grundlage, Prüfung gegen Art. 5.

Was die Verordnung verlangt: Betreiber, die mit einem KI-System Deepfakes erzeugen oder manipulieren, legen offen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Wer Texte veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, legt dies ebenfalls offen, sofern die Inhalte nicht einer menschlichen Überprüfung mit redaktioneller Verantwortung unterlagen.

Hinweise zur Umsetzung: Legen Sie für jeden Veröffentlichungskanal fest, wie die Kennzeichnung erfolgt. Berücksichtigen Sie die besonderen Regelungen für Kunst und Satire. Prüfen Sie bei Texten die Voraussetzungen einer Ausnahme aufgrund menschlicher Überprüfung und redaktioneller Verantwortung und dokumentieren Sie diese.

Mögliche Nachweise: Kennzeichnungsregel je Kanal, Regelung der redaktionellen Verantwortung.

Was die Verordnung verlangt: Anbieter richten ein System zur Beobachtung nach dem Inverkehrbringen ein, das der Art der Technologie und den Risiken angemessen ist. Es beruht auf einem Plan, der Teil der technischen Dokumentation nach Anhang IV ist, und wertet die Erfahrungen aus dem laufenden Betrieb systematisch aus.

Hinweise zur Umsetzung: Legen Sie fest, welche Betriebsdaten ausgewertet werden, wer dafür verantwortlich ist und in welchen Abständen die Ergebnisse geprüft werden. Überführen Sie relevante Erkenntnisse in die Weiterentwicklung des Systems und das Risikomanagement.

Mögliche Nachweise: Beobachtungsplan, ausgewertete Betriebsdaten, daraus abgeleitete Maßnahmen.

Änderung durch VO 2026/1744: Die Kommission nimmt bis zum 2. September 2027 Leitlinien einschließlich eines Musters für den Beobachtungsplan an; diese Frist wurde durch die Verordnung (EU) 2026/1744 angepasst.

Was die Verordnung verlangt: Schwerwiegende Vorfälle sind der Marktüberwachungsbehörde des betroffenen Mitgliedstaats zu melden, unmittelbar nach Feststellung des Zusammenhangs mit dem System, spätestens 15 Tage nach Kenntnis. Bei weitreichenden Verstößen oder schwerwiegenden Störungen kritischer Infrastruktur verkürzt sich die Frist auf zwei Tage, bei Tod einer Person gilt eine Frist von zehn Tagen.

Hinweise zur Umsetzung: Definieren Sie einen Meldeprozess, der auch die kürzesten einschlägigen Fristen berücksichtigt. Legen Sie Zuständigkeiten, Behördenkontakte, Meldewege und die unmittelbar benötigten Informationen vorab fest.

Mögliche Nachweise: Meldeprozess mit Fristen und Zuständigkeiten, dokumentierte Meldungen und Untersuchungen.

Änderung durch VO 2026/1744: Unterliegt das System der ausschließlichen Zuständigkeit des Büros für Künstliche Intelligenz nach dem geänderten Art. 75 Abs. 1, geht die Meldung abweichend an das Büro. Das betrifft vor allem Systeme, die auf einem Modell mit allgemeinem Verwendungszweck desselben Anbieters beruhen.

Was die Verordnung verlangt: Betroffene Personen haben gegenüber dem Betreiber ein Recht auf klare und aussagekräftige Erläuterung, wenn eine Entscheidung auf der Grundlage der Ausgabe eines Anhang-III-Systems getroffen wird und rechtliche Wirkung entfaltet oder sie in Bezug auf Gesundheit, Sicherheit oder Grundrechte erheblich beeinträchtigt. Systeme nach Anhang III Nummer 2 sind ausgenommen. Zu erläutern sind die Rolle des Systems im Verfahren und die wesentlichen Elemente der Entscheidung.

Hinweise zur Umsetzung: Bereiten Sie verständliche Erläuterungen für die jeweiligen Anwendungsfälle vor. Nutzen Sie die Angaben des Anbieters und legen Sie fest, wie Auskunftsverlangen bearbeitet und auf den konkreten Einzelfall bezogen werden.

Mögliche Nachweise: Vorlage der Erläuterung, Bearbeitungsweg und Frist für Auskunftsverlangen.

Was die Verordnung verlangt: Für Systeme, die nicht hochriskant sind, fördert die Verordnung freiwillige Verhaltenskodizes. Sie können die Anforderungen an Hochrisiko-Systeme ganz oder teilweise freiwillig übernehmen.

Hinweise zur Umsetzung: Dokumentieren Sie zunächst, weshalb das System nicht als hochriskant eingestuft wird. Prüfen Sie anschließend, welche freiwilligen Anforderungen für Ihren Anwendungsfall sinnvoll sind, und halten Sie diese in einem Verhaltenskodex mit klaren Verantwortlichkeiten fest.

Mögliche Nachweise: Kurzer Kodex mit den übernommenen Punkten, Verantwortlichen und Prüfrhythmus.

Was die Verordnung verlangt: Untersagt sind Inverkehrbringen, Inbetriebnahme und Verwendung von KI-Systemen, die Material oder Darbietungen im Sinne von Art. 2 Buchst. c und e der Richtlinie 2011/93/EU erzeugen oder manipulieren, sofern das Verhalten nicht nach nationalem Recht gerechtfertigt ist.

Hinweise zur Umsetzung: Prüfen Sie die Voraussetzungen des Verbotstatbestands für Ihr System. Dokumentieren Sie insbesondere Schutzmaßnahmen gegen vorhersehbaren Missbrauch und überprüfen Sie deren Wirksamkeit anhand geeigneter Tests.

Mögliche Nachweise: Dokumentierte Schutzvorkehrungen, Testergebnisse, Meldewege.

Änderung durch VO 2026/1744: Ebenfalls neu eingefügt durch die Verordnung (EU) 2026/1744, geltend ab dem 2. Dezember 2026.

Was die Verordnung verlangt: Untersagt sind Inverkehrbringen, Inbetriebnahme und Verwendung von KI-Systemen, die realistische Inhalte erzeugen oder manipulieren, in denen intime Körperteile einer bestimmbaren Person oder eine an eindeutig sexuellen Handlungen beteiligte bestimmbare Person dargestellt werden, ohne dass diese Person aus freien Stücken, spezifisch, aufgeklärt, eindeutig und ausdrücklich zugestimmt hat.

Hinweise zur Umsetzung: Prüfen Sie, ob die Erzeugung solcher Inhalte zur Zweckbestimmung gehört oder ohne erhebliche technische Änderungen vorhersehbar und reproduzierbar möglich ist. Berücksichtigen Sie dabei die Voraussetzungen des Verbotstatbestands. Dokumentieren Sie geeignete Schutzmaßnahmen, deren Wirksamkeit und den Umgang mit gemeldetem Missbrauch.

Mögliche Nachweise: Beschreibung der Schutzvorkehrungen, Wirksamkeitsprüfung, Verfahren für gemeldeten Missbrauch.

Änderung durch VO 2026/1744: Dieser Verbotstatbestand ist neu und wurde durch die Verordnung (EU) 2026/1744 eingefügt. Er gilt ab dem 2. Dezember 2026. Für Betreiber greift das Verbot nur, wenn das System gerade zu diesem Zweck verwendet wird.

Was die Verordnung verlangt: Anbieter von Systemen einschließlich Modellen mit allgemeinem Verwendungszweck, die synthetische Inhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, treffen die erforderlichen Maßnahmen, um der Kennzeichnungspflicht aus Art. 50 Abs. 2 bis zum 2. Dezember 2026 nachzukommen.

Hinweise zur Umsetzung: Ermitteln Sie die betroffenen Bestandssysteme und planen Sie die Nachrüstung innerhalb der viermonatigen Übergangsfrist. Berücksichtigen Sie neben dem Modell auch die Verarbeitung und Weitergabe der erzeugten Inhalte.

Mögliche Nachweise: Liste der betroffenen Bestandssysteme mit geplantem und erreichtem Umsetzungsstand.

Änderung durch VO 2026/1744: Diese Übergangsregel wurde durch die Verordnung (EU) 2026/1744 neu eingefügt. Sie ist der Grund, warum die Kennzeichnung generativer Systeme in zwei Stufen greift.

Was die Verordnung verlangt: Anbieter von Modellen mit allgemeinem Verwendungszweck, die vor dem 2. August 2025 in Verkehr gebracht wurden, treffen die erforderlichen Maßnahmen, um den Pflichten des Kapitels V bis zum 2. August 2027 nachzukommen.

Hinweise zur Umsetzung: Prüfen Sie für jedes Bestandsmodell, welche Unterlagen und Maßnahmen noch fehlen. Planen Sie insbesondere die Ergänzung der Trainingsdokumentation und die Veröffentlichung der Zusammenfassung der Trainingsinhalte rechtzeitig vor dem 2. August 2027 ein.

Mögliche Nachweise: Ergänzte Dokumentation je Bestandsmodell mit Zeitplan bis August 2027.

Was die Verordnung verlangt: Ob ein System hochriskant ist, entscheidet sich nach Art. 6. Wer sich auf die Ausnahme des Art. 6 Abs. 3 stützt, weil das System nur eine eng begrenzte, vorbereitende oder unterstützende Aufgabe erfüllt, muss diese Bewertung dokumentieren, bevor das System in Verkehr gebracht oder in Betrieb genommen wird.

Hinweise zur Umsetzung: Dokumentieren Sie für jedes System, welche Bereiche des Anhangs III Sie geprüft haben und wie Sie zu Ihrer Einstufung gelangt sind. Halten Sie außerdem Datum und verantwortliche Person fest. Die Begründung bildet die Grundlage für die Zuordnung der einschlägigen Pflichten.

Mögliche Nachweise: Einstufungsvermerk je System mit Fundstelle, Begründung, Datum und verantwortlicher Person.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat Art. 6 um die Absätze 1a bis 1c ergänzt. Systeme, die ausschließlich nicht sicherheitsrelevante Aspekte wie Nutzerunterstützung, Leistungsoptimierung oder Benutzerfreundlichkeit betreffen, gelten danach nicht als Sicherheitsbauteil. Umgekehrt bleibt es ein Sicherheitsbauteil, wenn Ausfall oder Fehlfunktion Gesundheit und Sicherheit gefährden würden.

Was die Verordnung verlangt: Über den gesamten Lebenszyklus ist ein fortlaufendes Risikomanagementsystem einzurichten: bekannte und vernünftigerweise vorhersehbare Risiken für Gesundheit, Sicherheit und Grundrechte ermitteln, Risiken aus vernünftigerweise vorhersehbarer Fehlanwendung bewerten, geeignete Maßnahmen ergreifen und Restrisiken vertretbar halten.

Hinweise zur Umsetzung: Führen Sie für jedes System ein Risikoregister mit möglichen Auswirkungen, Maßnahmen, Restrisiken und Verantwortlichkeiten. Aktualisieren Sie es bei Änderungen und prüfen Sie das System sowohl für den vorgesehenen Einsatz als auch auf vorhersehbare Fehlanwendungen.

Mögliche Nachweise: Risikoregister mit Versionsstand, Testberichte, Nachweis der wiederkehrenden Aktualisierung.

Was die Verordnung verlangt: Trainings-, Validierungs- und Testdatensätze müssen Qualitätskriterien genügen: geeignete Erhebungsverfahren, Aufbereitung, Annahmen, Bewertung von Verfügbarkeit und Eignung, Untersuchung auf mögliche Verzerrungen und deren Behebung. Die Daten sollen im Hinblick auf die Zweckbestimmung hinreichend repräsentativ und so weit wie möglich fehlerfrei und vollständig sein.

Hinweise zur Umsetzung: Dokumentieren Sie Herkunft, Zusammensetzung und Aufbereitung der Datensätze sowie die Prüfung auf Verzerrungen. Sind hierfür besondere Kategorien personenbezogener Daten erforderlich, prüfen und dokumentieren Sie die Voraussetzungen des Art. 4a.

Mögliche Nachweise: Datensatzbeschreibung, Herkunftsnachweis, Verzerrungsanalyse, bei Art. 4a zusätzlich die Begründung im Verarbeitungsverzeichnis.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat mit Art. 4a erstmals eine ausdrückliche Rechtsgrundlage für die Verarbeitung besonderer Datenkategorien zur Erkennung und Korrektur von Verzerrungen geschaffen, gebunden an sechs Bedingungen wie Pseudonymisierung, strenge Zugriffskontrolle, Löschung nach Korrektur und keine Weitergabe an Dritte. Zugleich wurde Art. 10 Abs. 5 gestrichen.

Was die Verordnung verlangt: Vor dem Inverkehrbringen ist eine technische Dokumentation zu erstellen, die den Nachweis führt, dass das System die Anforderungen erfüllt, und den Behörden und notifizierten Stellen die Beurteilung in klarer und verständlicher Form ermöglicht. Der Mindestinhalt steht in Anhang IV.

Hinweise zur Umsetzung: Gliedern Sie die technische Dokumentation nach Anhang IV und aktualisieren Sie sie mit jeder Systemversion. Achten Sie darauf, dass die Unterlagen sowohl die Konformitätsbewertung als auch spätere Prüfungen durch die Marktüberwachung unterstützen.

Mögliche Nachweise: Technische Dokumentation nach Anhang IV mit Versionsstand und Freigabe.

Änderung durch VO 2026/1744: Neu: KMU einschließlich Start-ups und kleine Midcap-Unternehmen dürfen die Angaben nach Anhang IV vereinfacht bereitstellen. Die Kommission erstellt dafür ein vereinfachtes Formular, das die notifizierten Stellen für die Konformitätsbewertung akzeptieren müssen. Wer die Vereinfachung nutzt, muss dieses Formular verwenden.

Was die Verordnung verlangt: Hochrisiko-Systeme müssen die automatische Aufzeichnung von Ereignissen über ihre Lebensdauer technisch ermöglichen, in einem Umfang, der für die Rückverfolgbarkeit und die Erkennung von Risikosituationen angemessen ist.

Hinweise zur Umsetzung: Legen Sie fest, welche Ereignisse in welchem Detailgrad protokolliert werden und wie die Protokolle gegen Veränderungen geschützt sind. Stimmen Sie die Aufbewahrung auf die geltenden Vorgaben ab und prüfen Sie, ob sich relevante Vorfälle anhand der Aufzeichnungen nachvollziehen lassen.

Mögliche Nachweise: Protokollkonzept, Beispielprotokolle, Aufbewahrungs- und Schutzregelung.

Was die Verordnung verlangt: Der Betrieb muss hinreichend transparent sein, damit Betreiber die Ausgabe angemessen interpretieren und verwenden können. Dazu gehört eine Betriebsanleitung mit Zweckbestimmung, Leistungsmerkmalen, bekannten Einschränkungen, Anforderungen an die menschliche Aufsicht, erwarteter Lebensdauer und Wartung.

Hinweise zur Umsetzung: Richten Sie die Betriebsanleitung an den Personen aus, die das System tatsächlich bedienen. Beschreiben Sie insbesondere die Leistungsgrenzen, bekannte Fehlerquellen und die Voraussetzungen für einen zuverlässigen Einsatz. So können Betreiber ihre Arbeitsabläufe und Aufsichtsmaßnahmen darauf abstimmen.

Mögliche Nachweise: Betriebsanleitung je Version, Übergabenachweis an die Betreiber.

Was die Verordnung verlangt: Systeme sind so zu gestalten, dass sie während der Verwendung wirksam beaufsichtigt werden können. Die aufsichtführende Person muss die Fähigkeiten und Grenzen verstehen, Automatisierungsbias erkennen, die Ausgabe richtig interpretieren, eingreifen und den Betrieb anhalten können.

Hinweise zur Umsetzung: Berücksichtigen Sie die menschliche Aufsicht bereits bei der Systemgestaltung. Sehen Sie verständliche Anzeigen sowie geeignete Eingriffs- und Stoppmöglichkeiten vor. Prüfen Sie bei biometrischer Fernidentifizierung zusätzlich die einschlägigen Anforderungen an eine Bestätigung durch weitere Personen.

Mögliche Nachweise: Beschreibung der Aufsichtsfunktionen, Bedienkonzept, Nachweis der Wirksamkeit im Test.

Was die Verordnung verlangt: Hochrisiko-Systeme müssen ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit erreichen und über den Lebenszyklus halten. Dazu gehören Widerstandsfähigkeit gegen Fehler und Störungen, gegen Rückkopplungsschleifen bei fortlaufendem Lernen und gegen Angriffe wie Datenvergiftung, Modellvergiftung und adversariale Eingaben.

Hinweise zur Umsetzung: Definieren und dokumentieren Sie geeignete Genauigkeitsmaße und überprüfen Sie diese regelmäßig anhand eines festgelegten Testsatzes. Nutzen Sie den Bedrohungskatalog zur Planung von Sicherheitstests, etwa gegen Datenvergiftung, Prompt Injection und Modelldiebstahl.

Mögliche Nachweise: Messwerte je Version, Testberichte, Ergebnisse des adversarialen Testens.

Änderung durch VO 2026/1744: Neu: Fällt ein Hochrisiko-System in den Anwendungsbereich der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen und erfüllt es deren Voraussetzungen, gilt es als konform mit den Cybersicherheitsanforderungen des Art. 15. Doppelte Nachweise entfallen damit.

Was die Verordnung verlangt: Auf dem System, seiner Verpackung oder den Begleitunterlagen sind Name, eingetragener Handelsname oder eingetragene Marke und die Kontaktanschrift des Anbieters anzugeben. Zudem sind die Barrierefreiheitsanforderungen der Richtlinien (EU) 2016/2102 und (EU) 2019/882 einzuhalten.

Hinweise zur Umsetzung: Prüfen Sie, ob die erforderlichen Anbieterangaben vollständig und korrekt angebracht sind. Berücksichtigen Sie die Anforderungen an die Barrierefreiheit von Bedienoberfläche und Ausgaben bereits bei der Entwicklung.

Mögliche Nachweise: Kennzeichnung im Produkt, Prüfbericht zur Barrierefreiheit.

Was die Verordnung verlangt: Anbieter richten ein Qualitätsmanagementsystem ein, das die Einhaltung der Verordnung sicherstellt. Es umfasst unter anderem eine Regulierungsstrategie, Entwurfs- und Prüfverfahren, Datenmanagement, das Risikomanagementsystem, die Beobachtung nach dem Inverkehrbringen, das Meldeverfahren für Vorfälle sowie Verantwortlichkeiten.

Hinweise zur Umsetzung: Gleichen Sie ein vorhandenes Qualitätsmanagementsystem, etwa nach ISO 9001 oder ISO/IEC 42001, mit den Anforderungen der KI-Verordnung ab und ergänzen Sie fehlende Verfahren. Legen Sie Verantwortlichkeiten fest und überprüfen Sie die Umsetzung im Arbeitsalltag.

Mögliche Nachweise: Dokumentiertes Qualitätsmanagementsystem mit Verfahrensbeschreibungen und benannten Verantwortlichen.

Änderung durch VO 2026/1744: Die Umsetzung erfolgt verhältnismäßig zur Größe der Organisation; die Verordnung (EU) 2026/1744 nennt hier ausdrücklich KMU, Start-ups und kleine Midcap-Unternehmen. Das erforderliche Schutzniveau bleibt davon unberührt. Nach Art. 63 dürfen KMU ohne Partner- oder verbundene Unternehmen bestimmte Elemente vereinfacht einhalten.

Was die Verordnung verlangt: Technische Dokumentation, Unterlagen zum Qualitätsmanagementsystem, Entscheidungen notifizierter Stellen und die EU-Konformitätserklärung sind zehn Jahre ab Inverkehrbringen oder Inbetriebnahme für die Behörden bereitzuhalten.

Hinweise zur Umsetzung: Legen Sie Ablageorte, Zugriffsrechte und Verantwortlichkeiten für die gesamte Aufbewahrungsdauer fest. Stellen Sie sicher, dass die Unterlagen auch nach Projektende, Systemwechseln oder Personalwechseln verfügbar bleiben.

Mögliche Nachweise: Ablageort, Aufbewahrungsfrist je Dokument, benannte verantwortliche Stelle.

Was die Verordnung verlangt: Soweit die Protokolle der Kontrolle des Anbieters unterliegen, sind sie mindestens sechs Monate aufzubewahren, sofern nicht anderes Unionsrecht oder nationales Recht eine andere Frist vorsieht.

Hinweise zur Umsetzung: Stimmen Sie Aufbewahrungsfristen und datenschutzrechtliche Löschvorgaben aufeinander ab. Dokumentieren Sie die festgelegten Fristen und setzen Sie diese in den Systemeinstellungen und im Löschkonzept um.

Mögliche Nachweise: Aufbewahrungsregelung mit Frist, Begründung und Schnittstelle zum Löschkonzept.

Was die Verordnung verlangt: Wer Grund zu der Annahme hat, dass ein in Verkehr gebrachtes System nicht konform ist, ergreift unverzüglich die erforderlichen Korrekturmaßnahmen bis hin zu Rücknahme oder Rückruf und unterrichtet Händler, Betreiber, Bevollmächtigte und Einführer.

Hinweise zur Umsetzung: Pflegen Sie eine aktuelle Übersicht der Empfänger und Betreiber des Systems. Legen Sie fest, wie diese bei Korrekturmaßnahmen, Rücknahmen oder Rückrufen kurzfristig informiert werden.

Mögliche Nachweise: Verteilerliste, Verfahrensbeschreibung, dokumentierte Fälle mit Datum und Maßnahme.

Was die Verordnung verlangt: Anbieter aus Drittländern benennen vor der Bereitstellung auf dem Unionsmarkt schriftlich einen in der Union niedergelassenen Bevollmächtigten und stellen ihm die erforderlichen Unterlagen zur Verfügung.

Hinweise zur Umsetzung: Benennen Sie im schriftlichen Mandat die Aufgaben nach Art. 22 Abs. 3. Regeln Sie den Zugriff auf die erforderlichen Unterlagen für die gesamte Aufbewahrungsdauer, auch nach Beendigung der Geschäftsbeziehung.

Mögliche Nachweise: Schriftliches Mandat, Nachweis der Unterlagenübergabe.

Was die Verordnung verlangt: Der Bevollmächtigte überprüft, ob EU-Konformitätserklärung und technische Dokumentation erstellt und ein Konformitätsbewertungsverfahren durchgeführt wurden, hält eine Kopie dieser Unterlagen sowie die Kontaktdaten des Anbieters zehn Jahre für die Behörden bereit und erteilt auf Verlangen Auskunft.

Hinweise zur Umsetzung: Vereinbaren Sie einen fortlaufenden Zugriff auf die erforderlichen Unterlagen. Berücksichtigen Sie dabei die vorgeschriebene Aufbewahrungsdauer und regeln Sie die Verfügbarkeit nach Beendigung des Mandats.

Mögliche Nachweise: Mandat, Kopien der Unterlagen, Nachweis der Prüfung.

Was die Verordnung verlangt: Hat der Bevollmächtigte Grund zu der Annahme, dass der Anbieter gegen seine Pflichten aus der Verordnung verstößt, beendet er das Mandat und unterrichtet unverzüglich die Marktüberwachungsbehörde und gegebenenfalls die notifizierte Stelle unter Angabe der Gründe.

Hinweise zur Umsetzung: Legen Sie fest, wie Hinweise auf Pflichtverstöße bewertet werden, wer über die Beendigung des Mandats entscheidet und wie die zuständigen Stellen informiert werden. Dokumentieren Sie Entscheidung und Begründung.

Mögliche Nachweise: Verfahrensregel zur Beendigung, dokumentierte Meldung an die Behörde.

Was die Verordnung verlangt: Einführer vergewissern sich, dass der Anbieter die Konformitätsbewertung durchgeführt, die technische Dokumentation erstellt, die CE-Kennzeichnung angebracht, die EU-Konformitätserklärung und die Betriebsanleitung beigefügt und gegebenenfalls einen Bevollmächtigten benannt hat.

Hinweise zur Umsetzung: Vereinbaren Sie bereits bei der Bestellung, welche Nachweise der Anbieter vorlegen soll. Prüfen und dokumentieren Sie deren Vollständigkeit vor dem Inverkehrbringen.

Mögliche Nachweise: Prüfvermerk mit den geprüften Unterlagen, Datum und Ergebnis.

Was die Verordnung verlangt: Bei hinreichendem Grund zur Annahme der Nichtkonformität darf das System nicht in Verkehr gebracht werden; bei einem Risiko nach Art. 79 Abs. 1 sind Anbieter und Behörden zu unterrichten. Name, Handelsname oder Marke und Kontaktanschrift des Einführers sind anzugeben, Lager- und Transportbedingungen dürfen die Konformität nicht beeinträchtigen.

Hinweise zur Umsetzung: Legen Sie fest, wer die Konformitätsprüfung durchführt und über die Freigabe entscheidet. Dokumentieren Sie begründete Zweifel sowie die erforderlichen Maßnahmen, bevor das System in Verkehr gebracht wird.

Mögliche Nachweise: Freigabeentscheidungen, Kennzeichnung, Regelung zu Lagerung und Transport.

Was die Verordnung verlangt: Einführer halten für zehn Jahre eine Kopie der Bescheinigung der notifizierten Stelle, gegebenenfalls der Betriebsanleitung und der EU-Konformitätserklärung für die Behörden bereit.

Hinweise zur Umsetzung: Regeln Sie die Aufbewahrung und den Zugriff auf die Unterlagen für die gesamte vorgeschriebene Dauer, auch nach Beendigung der Lieferbeziehung.

Mögliche Nachweise: Abgelegte Kopien mit Aufbewahrungsfrist und Zugriffsregelung.

Was die Verordnung verlangt: Händler überprüfen, ob die CE-Kennzeichnung angebracht ist, die EU-Konformitätserklärung und die Betriebsanleitung beiliegen und Anbieter und Einführer ihre jeweiligen Pflichten erfüllt haben. Bei begründeten Zweifeln darf das System nicht bereitgestellt werden; Lagerung und Transport dürfen die Konformität nicht beeinträchtigen.

Hinweise zur Umsetzung: Nutzen Sie eine Prüfliste für Kennzeichnung, Konformitätserklärung und Betriebsanleitung. Halten Sie das Ergebnis fest und klären Sie begründete Zweifel, bevor Sie das System bereitstellen.

Mögliche Nachweise: Prüfliste je Produkt mit Datum, Ergebnis und verantwortlicher Person.

Was die Verordnung verlangt: Wer als Händler Grund zu der Annahme hat, dass ein bereitgestelltes System nicht konform ist, ergreift die erforderlichen Korrekturmaßnahmen oder wirkt darauf hin, dass Anbieter oder Einführer sie ergreifen, und unterrichtet bei einem Risiko die Behörden.

Hinweise zur Umsetzung: Dokumentieren Sie, an welche Stellen die Systeme geliefert wurden. Legen Sie fest, wie betroffene Empfänger bei Korrekturmaßnahmen, Rücknahmen oder Rückrufen erreicht werden.

Mögliche Nachweise: Lieferkette je Produkt, dokumentierte Maßnahmen und Meldungen.

Was die Verordnung verlangt: Wer seinen Namen oder seine Marke auf ein bereits in Verkehr gebrachtes Hochrisiko-System setzt, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es hochriskant wird, gilt als Anbieter dieses Systems und trägt die vollen Anbieterpflichten.

Hinweise zur Umsetzung: Prüfen Sie vor einer Vermarktung unter eigenem Namen, einer wesentlichen Anpassung oder einer Änderung der Zweckbestimmung, ob Ihre Organisation die Anbieterrolle übernimmt. Berücksichtigen Sie die daraus entstehenden Pflichten bereits bei der Planung.

Mögliche Nachweise: Vermerk je Anpassung: Art der Änderung, Bewertung nach Art. 25 Abs. 1, Ergebnis.

Was die Verordnung verlangt: Wird ein anderer Akteur zum Anbieter, arbeitet der Erstanbieter eng mit ihm zusammen: Er stellt die technischen Unterlagen bereit, die zur Bewertung der Pflichten aus Art. 16 ausreichen, unterrichtet über bekannte Einschränkungen und Fehlerarten und gewährt gezielten technischen Zugang, auch zu Test- und Validierungszwecken. Wer Werkzeuge, Dienste oder Komponenten für ein Hochrisiko-System liefert, regelt die erforderliche Unterstützung in einer schriftlichen Vereinbarung.

Hinweise zur Umsetzung: Vereinbaren Sie frühzeitig, welche technischen Unterlagen, Zugänge und Unterstützungsleistungen bereitgestellt werden. Berücksichtigen Sie dabei einen möglichen Wechsel des Kunden in die Anbieterrolle und die dafür erforderliche Zusammenarbeit.

Mögliche Nachweise: Schriftliche Vereinbarung mit Umfang der Unterlagen, Zugang und Unterstützung.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat die Kooperationspflicht des Erstanbieters konkretisiert und zugleich eine Ausnahme geschaffen: Sie entfällt, wenn der Erstanbieter eindeutig festgelegt hat, dass sein System nicht in ein Hochrisiko-System umgewandelt werden darf. Verstöße gegen Art. 25 Abs. 2 und 4 sind seither ausdrücklich bußgeldbewehrt.

Was die Verordnung verlangt: Betreiber treffen geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass sie die Systeme entsprechend der beigefügten Betriebsanleitung verwenden.

Hinweise zur Umsetzung: Gleichen Sie die Betriebsanleitung vor der Einführung mit dem geplanten Einsatz ab. Prüfen Sie bei Abweichungen von der Zweckbestimmung, ob sich die rechtliche Einordnung oder die Rolle Ihrer Organisation verändert.

Mögliche Nachweise: Abgleichvermerk zwischen Zweckbestimmung und geplantem Einsatz, interne Nutzungsregel.

Was die Verordnung verlangt: Die menschliche Aufsicht ist natürlichen Personen zu übertragen, die die erforderliche Kompetenz, Ausbildung und Befugnis besitzen und die nötige Unterstützung erhalten.

Hinweise zur Umsetzung: Benennen Sie die aufsichtführenden Personen und legen Sie ihre Eingriffsbefugnisse schriftlich fest. Sorgen Sie dafür, dass sie über ausreichende Kenntnisse, Unterstützung und Handlungsmöglichkeiten verfügen, um bei Bedarf wirksam einzugreifen.

Mögliche Nachweise: Benennung der aufsichtführenden Personen, Kompetenznachweis, schriftliche Eingriffsbefugnis.

Was die Verordnung verlangt: Soweit der Betreiber die Kontrolle über die Eingabedaten hat, sorgt er dafür, dass sie der Zweckbestimmung des Systems entsprechen und hinreichend repräsentativ sind.

Hinweise zur Umsetzung: Prüfen Sie die Eignung und Repräsentativität der Eingabedaten, die Ihrer Kontrolle unterliegen. Berücksichtigen Sie insbesondere mögliche Verzerrungen in eigenen Datenbeständen, etwa in Personalakten oder früheren Entscheidungen.

Mögliche Nachweise: Beschreibung der Eingabedaten, Prüfung auf Eignung und Repräsentativität.

Was die Verordnung verlangt: Betreiber überwachen den Betrieb anhand der Betriebsanleitung. Ergibt sich ein Risiko im Sinne des Art. 79 Abs. 1, unterrichten sie unverzüglich Anbieter oder Händler und die Marktüberwachungsbehörde und setzen die Verwendung aus. Bei einem schwerwiegenden Vorfall ist zunächst der Anbieter, dann der Einführer oder Händler und die Behörde zu unterrichten.

Hinweise zur Umsetzung: Legen Sie Kriterien fest, anhand derer Risiken erkannt und Maßnahmen eingeleitet werden. Bestimmen Sie, wer über die Aussetzung des Betriebs entscheidet und wie Anbieter sowie zuständige Behörden informiert werden.

Mögliche Nachweise: Überwachungsregel mit Schwellen, Eskalationsweg, dokumentierte Meldungen.

Was die Verordnung verlangt: Soweit die automatisch erzeugten Protokolle der Kontrolle des Betreibers unterliegen, sind sie mindestens sechs Monate aufzubewahren, soweit nicht anderes Recht etwas anderes bestimmt.

Hinweise zur Umsetzung: Klären Sie mit dem Anbieter, wer die Protokolle speichert und wie Sie darauf zugreifen können. Stimmen Sie technische Einstellungen und vertragliche Regelungen auf die erforderliche Aufbewahrungsdauer ab, insbesondere bei Cloud-Diensten.

Mögliche Nachweise: Vertragliche Zusicherung des Protokollzugriffs, dokumentierte Aufbewahrungsfrist.

Was die Verordnung verlangt: Arbeitgeber, die ein Hochrisiko-System am Arbeitsplatz in Betrieb nehmen, informieren vorab die Arbeitnehmervertreter und die betroffenen Beschäftigten darüber, dass sie der Verwendung des Systems unterliegen.

Hinweise zur Umsetzung: Planen Sie die Information der betroffenen Beschäftigten und ihrer Vertretung vor der Inbetriebnahme ein. Prüfen Sie zusätzlich die einschlägigen Beteiligungsrechte nach nationalem Arbeitsrecht.

Mögliche Nachweise: Informationsschreiben mit Datum, Nachweis der Beteiligung der Vertretung.

Was die Verordnung verlangt: Betreiber, die Behörden oder Organe, Einrichtungen und sonstige Stellen der Union sind, registrieren sich vor der Inbetriebnahme oder Verwendung eines Anhang-III-Systems in der EU-Datenbank und registrieren dort das System; ausgenommen sind Systeme nach Anhang III Nummer 2, also Sicherheitsbauteile kritischer Infrastruktur. Organe und Einrichtungen der Union dürfen ein nicht registriertes System nach Art. 26 Abs. 8 nicht verwenden und unterrichten Anbieter oder Händler.

Hinweise zur Umsetzung: Prüfen Sie vor der Inbetriebnahme die erforderlichen Einträge in der EU-Datenbank. Klären Sie fehlende oder unvollständige Anbieterangaben im Beschaffungsprozess und dokumentieren Sie das Ergebnis.

Mögliche Nachweise: Registrierungseintrag, Prüfung des Anbietereintrags vor der Inbetriebnahme.

Was die Verordnung verlangt: Soweit einschlägig, verwenden Betreiber die nach Art. 13 erhaltenen Informationen, um ihrer Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO oder Art. 27 der Richtlinie (EU) 2016/680 nachzukommen.

Hinweise zur Umsetzung: Beziehen Sie die relevanten Anbieterangaben in die Datenschutz-Folgenabschätzung ein. Verknüpfen Sie die Unterlagen nachvollziehbar, insbesondere Angaben zu Leistungsgrenzen und bekannten Fehlerarten.

Mögliche Nachweise: Datenschutz-Folgenabschätzung mit Verweis auf die Anbieterangaben.

Was die Verordnung verlangt: Wer ein System zur nachträglichen biometrischen Fernidentifizierung im Rahmen von Ermittlungen einsetzt, beantragt vorab oder unverzüglich, spätestens binnen 48 Stunden, die Genehmigung einer Justiz- oder Verwaltungsbehörde. Wird sie abgelehnt, ist die Verwendung sofort einzustellen und sind die Daten zu löschen. Jede Verwendung wird dokumentiert; über die Verwendung sind der Marktüberwachungsbehörde und der Datenschutzbehörde Jahresberichte vorzulegen.

Hinweise zur Umsetzung: Richten Sie einen Genehmigungsprozess ein, der die einschlägigen Fristen auch außerhalb regulärer Dienstzeiten berücksichtigt. Dokumentieren Sie für jeden Einsatz den konkreten Ermittlungsbezug sowie Antrag, Entscheidung und weitere Verfahrensschritte.

Mögliche Nachweise: Genehmigungsanträge und Entscheidungen, Eintrag in der Verfahrensakte, Jahresbericht an Marktüberwachungs- und Datenschutzbehörde.

Änderung durch VO 2026/1744: Eine Verwendung ohne Zusammenhang mit einer Straftat, einem Strafverfahren, einer konkreten Gefahr oder der Suche nach einer vermissten Person ist ausgeschlossen. Eine ausschließlich auf die Systemausgabe gestützte nachteilige Entscheidung ist unzulässig.

Was die Verordnung verlangt: Betreiber eines Anhang-III-Systems, das Entscheidungen über natürliche Personen trifft oder dabei unterstützt, informieren diese Personen darüber, dass sie der Verwendung des Systems unterliegen.

Hinweise zur Umsetzung: Platzieren Sie den Hinweis so, dass betroffene Personen ihn im jeweiligen Verfahren wahrnehmen können, etwa während einer Bewerbung oder Kreditanfrage. Prüfen Sie, ob allgemeine Datenschutzhinweise dafür ausreichen oder gezielte Informationen erforderlich sind.

Mögliche Nachweise: Wortlaut und Platzierung des Hinweises je Prozess.

Was die Verordnung verlangt: Auf begründetes Verlangen der zuständigen Behörden sind alle Informationen und Unterlagen zur Verfügung zu stellen, die für den Nachweis der Konformität erforderlich sind, in einer der Amtssprachen der Union.

Hinweise zur Umsetzung: Klären Sie, in welcher Sprache die zuständige Behörde die Unterlagen benötigt. Vereinbaren Sie mit Zulieferern die rechtzeitige Bereitstellung der erforderlichen Informationen und Übersetzungen.

Mögliche Nachweise: Benannte Anlaufstelle, vollständige Unterlagen in der erforderlichen Sprache.

Was die Verordnung verlangt: Vor der Inbetriebnahme führen bestimmte Betreiber eine Grundrechte-Folgenabschätzung durch: Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber von Systemen nach Anhang III Nummer 5 Buchstaben b und c, also zur Bewertung der Kreditwürdigkeit und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Systeme nach Anhang III Nummer 2 sind ausgenommen. Zu beschreiben sind Verfahren, Zeitraum und Häufigkeit der Verwendung, betroffene Personengruppen, Schadensrisiken, Aufsichtsmaßnahmen und Abhilfen.

Hinweise zur Umsetzung: Prüfen Sie zunächst, ob Ihre Organisation und der vorgesehene Einsatz unter die Pflicht fallen. Planen Sie die Abschätzung und die erforderliche Mitteilung an die zuständige Marktüberwachungsbehörde vor der Inbetriebnahme ein.

Mögliche Nachweise: Ausgefüllte Grundrechte-Folgenabschätzung, Anzeige an die Marktüberwachungsbehörde.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat die Doppelarbeit reduziert: Wo eine Datenschutz-Folgenabschätzung dieselben Punkte bereits abdeckt, dürfen deren einschlägige Abschnitte als Verweis oder als Auszug übernommen werden. Das Büro für Künstliche Intelligenz erarbeitet dafür einen Musterfragebogen, auch als automatisiertes Instrument.

Was die Verordnung verlangt: Für Hochrisiko-Systeme, die vor dem Beginn der Anwendung des Kapitels III in Verkehr gebracht oder in Betrieb genommen wurden, gilt die Verordnung nur, wenn sie danach in ihrer Konzeption erheblich verändert wurden. Die Verbote des Art. 5 bleiben davon unberührt.

Hinweise zur Umsetzung: Dokumentieren Sie für jedes Bestandssystem den Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme sowie den damaligen Entwicklungsstand. Halten Sie spätere Änderungen fest, damit sich die Anwendbarkeit der Übergangsregel nachvollziehen lässt.

Mögliche Nachweise: Bestandsverzeichnis mit Stichtag je System und Änderungshistorie.

Änderung durch VO 2026/1744: Die Verordnung (EU) 2026/1744 hat den Bezugspunkt angepasst: Maßgeblich ist nun der Beginn der Anwendung des Kapitels III nach Art. 113, also der 2. Dezember 2027 für Anhang III und der 2. August 2028 für Anhang I.

Was die Verordnung verlangt: Anbieter und Betreiber von Hochrisiko-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, treffen in jedem Fall bis zum 2. August 2030 die erforderlichen Maßnahmen zur Erfüllung der Anforderungen und Pflichten der Verordnung.

Hinweise zur Umsetzung: Erfassen Sie die betroffenen Bestandssysteme und erstellen Sie einen Umsetzungsplan bis zum 2. August 2030. Berücksichtigen Sie notwendige Anpassungen, Beschaffungsverfahren und die Abstimmung mit Anbietern.

Mögliche Nachweise: Umsetzungsplan je Bestandssystem mit Meilensteinen bis 2030.