Kurzdefinition: Der schwerwiegende Vorfall ist der Meldetatbestand der KI-Verordnung für Hochrisiko-KI. Nach Art. 73 KI-VO melden Anbieter solche Vorfälle den Marktüberwachungsbehörden der betroffenen Mitgliedstaaten. [N-KI-VO-73]
Der Normwortlaut
Art. 73 Abs. 1 KI-VO bestimmt: Anbieter von in der Union in Verkehr gebrachten Hochrisiko-KI-Systemen „melden schwerwiegende Vorfälle den Marktüberwachungsbehörden der Mitgliedstaaten, in denen der Vorfall stattgefunden hat“. [N-KI-VO-73]
Wer muss melden?
Der Anbieter. Die Meldepflicht nach Art. 73 KI-VO trifft die Anbieter von Hochrisiko-KI-Systemen. Die Meldung geht an die Marktüberwachungsbehörden der Mitgliedstaaten, in denen der Vorfall stattgefunden hat — nicht an eine einzelne zentrale Stelle. [N-KI-VO-73]
Welche Frist gilt?
Spätestens 15 Tage. Nach Art. 73 Abs. 2 KI-VO erfolgt die Meldung unmittelbar, nachdem der Anbieter den kausalen Zusammenhang zwischen dem KI-System und dem Vorfall oder dessen naheliegende Wahrscheinlichkeit festgestellt hat, spätestens jedoch 15 Tage, nachdem der Anbieter oder der Betreiber Kenntnis von dem schwerwiegenden Vorfall erlangt hat. Weitere Detail- und Sonderfristen sind gesondert anhand der vollständigen KI-VO-Fassung zu prüfen. [N-KI-VO-73]
Wie verhält sich die Pflicht zu anderen Meldepflichten?
Sie steht neben ihnen. Die Meldung nach Art. 73 KI-VO ist eigenständig und tritt neben Meldepflichten wie die Datenpanne nach Art. 33 DSGVO oder die BSIG-Meldung erheblicher Sicherheitsvorfälle. Derselbe Vorfall kann daher mehrere Meldewege auslösen. [N-KI-VO-73]
Wem ist zu melden?
Den Marktüberwachungsbehörden. Nach Art. 73 Abs. 1 KI-VO melden die Anbieter schwerwiegende Vorfälle den Marktüberwachungsbehörden der Mitgliedstaaten, in denen der Vorfall stattgefunden hat. Die Meldung geht also an die produktrechtliche Aufsicht. [N-KI-VO-73]
Welche Systeme sind erfasst?
In der Union in Verkehr gebrachte Hochrisiko-KI-Systeme. Die Meldepflicht des Art. 73 KI-VO knüpft an solche Systeme an; für sie besteht die besondere Vorfallmeldung. [N-KI-VO-73]
Wen trifft die Meldepflicht?
Die Anbieter. Art. 73 Abs. 1 KI-VO richtet sich an die Anbieter der betroffenen Hochrisiko-KI-Systeme. Sie sind für die Meldung schwerwiegender Vorfälle verantwortlich. [N-KI-VO-73]
Häufige Fehlannahmen
- „Nur der Betreiber muss KI-Vorfälle melden.“ Nein. Art. 73 KI-VO adressiert die Anbieter. [N-KI-VO-73]
- „Es gibt keine feste Meldefrist.“ Doch. Der lokale Art.-73-Auszug nennt die 15-Tage-Grenze; Details und Sonderfälle sind gesondert zu prüfen. [N-KI-VO-73]
- „Die KI-Meldung ersetzt die DSGVO- oder BSIG-Meldung.“ Nein. Sie steht eigenständig neben ihnen. [N-KI-VO-73]
- „Für alle schwerwiegenden Vorfälle gilt dieselbe Frist.“ Nein. Neben der Regelfrist von spätestens 15 Tagen sieht Art. 73 KI-VO für bestimmte Fälle, etwa Todesfälle und weitverbreitete Verstöße, kürzere Fristen vor. [N-KI-VO-73]
- „Nach der Meldung passiert nichts weiter.“ Nein. Die Marktüberwachungsbehörde ergreift nach Eingang der Meldung geeignete Maßnahmen. [N-KI-VO-73]
Was die Geschäftsleitung tun sollte
- Rolle klären. Als Anbieter von Hochrisiko-KI die Meldepflicht einplanen.
- Meldeweg vorbereiten. Zuständige Marktüberwachungsbehörden kennen.
- Fristen sichern. Die 15-Tage-Frist prozessual abbilden.
- Meldewelten koppeln. DSGVO- und BSIG-Meldungen parallel prüfen.
Für die Geschäftsleitung
Die Meldung schwerwiegender Vorfälle macht die KI-Verordnung im Ernstfall spürbar: Anbieter von Hochrisiko-KI müssen zügig, spätestens binnen 15 Tagen, an die Marktüberwachung melden. Für Unternehmen ist wichtig, dass diese Pflicht neben DSGVO- und BSIG-Meldungen steht — ein KI-Vorfall kann mehrere Uhren gleichzeitig starten.
Quellen
- [N-KI-VO-73] Art. 73 KI-VO (Meldung schwerwiegender Vorfälle), Abs. 1 und 2. Verordnung (EU) 2024/1689, CELEX 32024R1689. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689
