Was ist die Beobachtung nach dem Inverkehrbringen?
Die Beobachtung nach dem Inverkehrbringen ist der Prozess, mit dem Anbieter Erfahrungen aus der Verwendung ihrer in Verkehr gebrachten oder in Betrieb genommenen KI-Systeme sammeln und überprüfen, um festzustellen, ob unverzüglich Korrektur- oder Präventivmaßnahmen ergriffen werden müssen.
Rechtliche Einordnung: Diese Definition aus Artikel 3 Nummer 25 ist von der besonderen Pflicht des Artikels 72 zu trennen. Artikel 72 verpflichtet Anbieter von Hochrisiko-KI-Systemen zu einem dokumentierten Beobachtungssystem auf Grundlage eines Plans.
Der Normwortlaut
(1) Anbieter müssen ein System zur Beobachtung nach dem Inverkehrbringen, das im Verhältnis zur Art der KI-Technik und zu den Risiken des Hochrisiko-KI-Systems steht, einrichten und dokumentieren.
(2) Mit dem System zur Beobachtung nach dem Inverkehrbringen müssen sich die einschlägigen Daten zur Leistung der Hochrisiko-KI-Systeme, die von den Anbietern oder den Betreibern bereitgestellt oder aus anderen Quellen erhoben werden können, über ihre gesamte Lebensdauer hinweg aktiv und systematisch erheben, dokumentieren und analysieren lassen, und der Anbieter muss damit die fortdauernde Einhaltung der in Kapitel III Abschnitt 2 genannten Anforderungen an die KI-Systeme bewerten können. Gegebenenfalls umfasst die Beobachtung nach dem Inverkehrbringen eine Analyse der Interaktion mit anderen KI-Systemen. Diese Pflicht gilt nicht für sensible operative Daten von Betreibern, die Strafverfolgungsbehörden sind.
(3) Das System zur Beobachtung nach dem Inverkehrbringen muss auf einem Plan für die Beobachtung nach dem Inverkehrbringen beruhen. Der Plan für die Beobachtung nach dem Inverkehrbringen ist Teil der in Anhang IV genannten technischen Dokumentation.
Quelle des exakten, für die Anbieterpflicht maßgeblichen Ausschnitts: Verordnung (EU) 2024/1689, Artikel 72 Absätze 1 und 2 sowie Absatz 3 Sätze 1 und 2. Artikel 72 Absatz 3 verpflichtet die Kommission darüber hinaus, bis zum 2. Februar 2026 einen Durchführungsrechtsakt mit detaillierten Bestimmungen zu einem Planmuster und den in den Plan aufzunehmenden Elementen zu erlassen. Ob dieser Rechtsakt erlassen wurde und welchen geltenden Inhalt er hat, ist in der Recherchegrundlage nicht claimgenau nachgewiesen. Der Beitrag beansprucht daher hinsichtlich eines aktuellen Musters und seiner Elemente keine Vollständigkeit.
Wer muss ein Beobachtungssystem einrichten?
Normadressat des Artikels 72 ist der Anbieter eines Hochrisiko-KI-Systems, nicht allgemein dessen Betreiber, eine Marktüberwachungsbehörde oder die Geschäftsleitung persönlich. Anbieter ist nach Artikel 3 Nummer 3 insbesondere, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder in Betrieb nimmt.
Der Hochrisikostatus ergibt sich unter den jeweiligen Voraussetzungen aus Artikel 6 Absatz 1 oder 2. Artikel 6 Absatz 1 verlangt sowohl den Bezug zu einem in Anhang I genannten Produkt oder dessen Sicherheitsbauteil als auch eine Konformitätsbewertung durch Dritte. Artikel 6 Absatz 2 erfasst die in Anhang III genannten Systeme. Für Anhang-III-Systeme gilt die Ausnahme des Artikels 6 Absatz 3, wenn kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte besteht und eine der dort genannten Bedingungen erfüllt ist; Profiling natürlicher Personen bleibt stets hochriskant.
Wann beginnt und wie lange dauert die Beobachtung?
Ein Schaden oder Vorfall ist kein notwendiger Auslöser. Für ein von Artikel 72 erfasstes Hochrisiko-KI-System muss die Beobachtung fortlaufend über dessen gesamte Lebensdauer funktionieren.
Nach der adjudizierten Grundlage gilt die Verordnung grundsätzlich ab dem 2. August 2026; für Systeme nach Artikel 6 Absatz 1 und die entsprechenden Pflichten gilt der 2. August 2027. Für Hochrisiko-KI-Systeme außerhalb der Sondergruppe des Artikels 111 Absatz 1, die vor dem 2. August 2026 in Verkehr gebracht oder in Betrieb genommen wurden, verlangt Artikel 111 Absatz 2 die Einhaltung durch Anbieter grundsätzlich nur, wenn diese Systeme ab diesem Zeitpunkt erheblich in ihrer Konzeption verändert werden. Die weiteren Sonderregeln des Artikels 111 bleiben für die jeweils erfassten Systemgruppen gesondert zu prüfen.
Welche Daten und Auswertungen sind erforderlich?
Das System muss einschlägige Leistungsdaten aktiv und systematisch erfassbar, dokumentierbar und analysierbar machen. Erfasst sind Daten, die Anbieter oder Betreiber bereitstellen oder die aus anderen Quellen erhoben werden können. Die Auswertung muss dem Anbieter ermöglichen, die fortdauernde Einhaltung der Anforderungen aus Kapitel III Abschnitt 2 zu bewerten. Eine Analyse der Interaktion mit anderen KI-Systemen gehört nur gegebenenfalls dazu.
Technische Einordnung: Es handelt sich um einen lebenszyklusbezogenen Feedbackprozess. Automatische Protokollierungsfunktionen nach Artikel 12 sollen diesen Prozess erleichtern, ersetzen aber weder das Beobachtungssystem noch den Plan nach Artikel 72.
Welche Ausnahmen und Spezialregime gelten?
Die Datenpflicht des Artikels 72 Absatz 2 gilt nicht für sensible operative Daten von Betreibern, die Strafverfolgungsbehörden sind. Diese Ausnahme betrifft nur Absatz 2 und beseitigt nicht pauschal das Beobachtungssystem.
Artikel 72 Absatz 4 ermöglicht ebenfalls keine ersatzlose Befreiung: Bei den dort genannten, nach Anhang I Abschnitt A sektoral regulierten Hochrisiko-KI-Systemen dürfen die erforderlichen Elemente der Absätze 1 bis 3 gegebenenfalls unter Verwendung des Musters nach Absatz 3 in bestehende Systeme und Pläne integriert werden, sofern ein gleichwertiges Schutzniveau erreicht wird. Entsprechendes gilt für die bezeichneten Systeme nach Anhang III Nummer 5, die von den erfassten Finanzinstituten in Verkehr gebracht oder in Betrieb genommen werden und den genannten unionsrechtlichen Governance-, Regelungs- oder Verfahrensanforderungen unterliegen. Die Integrationsmodalität wird hier normtextgetreu beschrieben; ob ein geltendes Muster vorliegt und wie es ausgestaltet ist, bleibt mangels claimgenauen Nachweises offen.
Welche Fristen und Schwellenwerte gelten?
Artikel 72 nennt für die Beobachtung durch den Anbieter keine allgemeine Tagesfrist und keine numerische Leistungsschwelle. Maßgeblich ist die gesamte Lebensdauer. Die in Artikel 72 Absatz 3 der Kommission gesetzte Frist zum Erlass eines Durchführungsrechtsakts ist keine Reaktions- oder Meldefrist für Anbieter. Erlass, Geltung und Inhalt dieses Rechtsakts sind in der Recherchegrundlage nicht claimgenau nachgewiesen und bleiben deshalb offen.
Die Meldung schwerwiegender Vorfälle ist ein eigenständiger Prozess nach Artikel 73. Dessen konkrete Trigger, Höchstfristen, Sonderfälle und zuständige Meldestellen werden hier nicht wiedergegeben, weil sie für den jeweiligen Vorfall anhand der am Prüfungstag geltenden Fassung gesondert festzustellen sind. Diese Meldepflichten sind weder Fristen des Beobachtungssystems noch Wartefristen für erforderliche Korrekturmaßnahmen.
Was folgt aus erkannten Problemen?
Ist der Anbieter der Auffassung oder hat er Grund zu der Annahme, dass sein in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System nicht konform ist, muss er nach Artikel 20 Absatz 1 unverzüglich die erforderlichen Korrekturmaßnahmen ergreifen, um die Konformität herzustellen oder das System gegebenenfalls zurückzunehmen, zurückzurufen oder zu deaktivieren. Händler und gegebenenfalls Betreiber, Bevollmächtigte und Einführer sind entsprechend zu informieren.
Wird dem Anbieter ein Risiko im Sinne des Artikels 79 Absatz 1 bewusst, muss er nach Artikel 20 Absatz 2 unverzüglich dessen Ursachen untersuchen, gegebenenfalls gemeinsam mit dem meldenden Betreiber, und die dort genannten zuständigen Stellen insbesondere über Nichtkonformität und Korrekturmaßnahmen informieren. Diese Folgepflichten sind rechtlich eigenständig: Sie können durch Beobachtungserkenntnisse angestoßen werden, lösen das Beobachtungssystem aber nicht erst aus.
Häufige Fehlannahmen
- „Die Beobachtung beginnt erst nach einem Vorfall.“ Nein. Sie läuft für das erfasste Hochrisiko-KI-System über dessen gesamte Lebensdauer.
- „Automatisches Logging genügt.“ Nein. Protokollierung kann die Beobachtung erleichtern, ersetzt aber weder die systematische Analyse noch den dokumentierten Plan.
- „Artikel 72 verpflichtet alle Betreiber.“ Nein. Die System- und Planpflicht richtet sich an Anbieter von Hochrisiko-KI-Systemen; Betreiber können Daten bereitstellen und haben andere eigene Pflichten.
- „Sektorale Systeme befreien vollständig von Artikel 72.“ Nein. Die erforderlichen Elemente dürfen nur unter den Voraussetzungen des Absatzes 4 integriert werden und müssen ein gleichwertiges Schutzniveau erreichen.
- „Beobachtung ist behördliche Marktüberwachung oder garantiert lückenlose Fehlererkennung.“ Nein. Sie ist ein Anbieterprozess zur systematischen Gewinnung und Bewertung einschlägiger Erkenntnisse; eine Erfolgsgarantie enthält die Norm nicht.
Was die Geschäftsleitung tun sollte
Praxisempfehlung, keine persönliche Pflichtbehauptung: Die unmittelbaren Pflichten treffen den Anbieter. Die Geschäftsleitung sollte deren organisatorische Erfüllung absichern:
- betroffene Hochrisiko-KI-Systeme sowie die für sie geltenden Anwendungs- und Übergangsregeln systembezogen bestimmen;
- Verantwortlichkeiten und angemessene Ressourcen im Qualitätsmanagement festlegen sowie für jedes betroffene System einen dokumentierten Plan als Teil der technischen Dokumentation führen;
- Datenquellen, Auswertungsrhythmus und Kriterien für die fortdauernde Konformitätsbewertung definieren und Ergebnisse nachvollziehbar dokumentieren;
- getrennte Eskalationswege für Nichtkonformität, Risiken und schwerwiegende Vorfälle einrichten und vorab die jeweils zuständige Meldestelle bestimmen;
- bei sektoralen Systemen dokumentieren, wie die Integration sämtliche erforderlichen Elemente abdeckt und ein gleichwertiges Schutzniveau erreicht.
Für die Geschäftsleitung
Zu entscheiden ist zunächst, ob die Organisation Anbieter eines Hochrisiko-KI-Systems ist und welche Anwendungs- oder Übergangsregel das konkrete System erfasst. Danach braucht jedes erfasste System einen verhältnismäßigen, dokumentierten Lebenszyklusprozess mit Plan, belastbaren Datenwegen, Konformitätsbewertung und getrennten Eskalationen. Als Nachweis dienen insbesondere Plan und technische Dokumentation, geregelte Leitungsverantwortlichkeiten, dokumentierte Auswertungen sowie Aufzeichnungen über Korrektur- und Meldeentscheidungen.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung), amtlicher deutscher Text: insbesondere Artikel 3 Nummern 3, 25 und 49; Artikel 6 Absätze 1 bis 3; Artikel 12; Artikel 17; Artikel 20; Artikel 72; Artikel 73; Artikel 79; Artikel 111 und Artikel 113.
