Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag KI-Systeme betreiben oder verwenden. Kein vorgeschriebenes Niveau, keine unmittelbare Geldbuße.

Maßnahmen zur Unterstützung der KI-Kompetenz ergreifen

Manipulative oder ausnutzende Techniken, Social Scoring, Vorhersage von Straftaten allein durch Profiling, Auslesen von Gesichtsbildern, Emotionserkennung am Arbeitsplatz und in der Bildung, sensible biometrische Kategorisierung und biometrische Echtzeit-Fernidentifizierung zur Strafverfolgung außerhalb der Ausnahmen.

Keine verbotene Praktik in Verkehr bringen, in Betrieb nehmen oder verwenden

Eingefügt durch die Verordnung (EU) 2026/1744. Systeme, die solche Inhalte erzeugen oder ermöglichen, sind ab dem 2. Dezember 2026 verboten.

Neue Verbote: nicht einvernehmliche intime Deepfakes und Darstellungen sexuellen Kindesmissbrauchs

Ein kontinuierlicher, iterativer Prozess über den gesamten Lebenszyklus: bekannte und vernünftigerweise vorhersehbare Risiken ermitteln und analysieren, bewerten, gezielte Maßnahmen ergreifen und testen.

Ein Risikomanagementsystem einrichten und aufrechterhalten

Datensätze erfüllen die Qualitätskriterien des Art. 10 Abs. 2 bis 5: Designentscheidungen, Erhebung, Aufbereitung, Annahmen, Prüfung auf Verzerrungen und Lücken sind dokumentiert.

Daten-Governance für Trainings-, Validierungs- und Testdaten anwenden

Dokumentation, die die Einhaltung von Abschnitt 2 nachweist und den Behörden die Bewertung ermöglicht. KMU können das vereinfachte Formular nach Art. 11 Abs. 1 verwenden.

Die technische Dokumentation vor dem Inverkehrbringen erstellen

Das System ermöglicht technisch die automatische Aufzeichnung von Ereignissen während seiner Lebensdauer, für Rückverfolgbarkeit und Beobachtung nach dem Inverkehrbringen.

Automatische Aufzeichnung von Ereignissen (Protokollierung) ermöglichen

Der Betrieb ist so transparent, dass Betreiber die Ausgabe interpretieren können; die Gebrauchsanweisung umfasst Identität, Merkmale, Grenzen, Aufsichtsmaßnahmen und erwartete Lebensdauer.

Transparente Informationen und Gebrauchsanweisungen für Betreiber bereitstellen

Mensch-Maschine-Schnittstellen ermöglichen es natürlichen Personen, das System zu beaufsichtigen, seine Grenzen zu verstehen, auf den Einsatz zu verzichten, einzugreifen oder es anzuhalten.

Für wirksame menschliche Aufsicht konzipieren

Angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit, durchgängig über den Lebenszyklus, mit in der Gebrauchsanweisung angegebenen Kennzahlen.

Genauigkeit, Robustheit und Cybersicherheit sicherstellen

Dokumentierte Strategien, Verfahren und Anweisungen zu Compliance-Strategie, Entwurf, Daten, Tests, Risikomanagement, Beobachtung nach dem Inverkehrbringen und Meldung von Vorfällen.

Ein Qualitätsmanagementsystem einrichten

Das Konformitätsbewertungsverfahren durchführen, die EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung vor dem Inverkehrbringen anbringen.

Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung

Anbieter von Hochrisiko-Systemen nach Anhang III registrieren sich und das System in der EU-Datenbank nach Art. 71.

Das System vor dem Inverkehrbringen in der EU-Datenbank registrieren

Ein dokumentierter Plan, der Erfahrungen aus der Verwendung von Hochrisiko-Systemen erfasst und auswertet, um die fortlaufende Konformität zu bewerten.

Ein System zur Beobachtung nach dem Inverkehrbringen betreiben

Unverzüglich nach Feststellung eines Kausalzusammenhangs, spätestens nach 15 Tagen; 10 Tage nach einem Todesfall; 2 Tage bei weitverbreiteten Verstößen oder Vorfällen in kritischer Infrastruktur.

Schwerwiegende Vorfälle an die Marktüberwachungsbehörde melden

Konformitätserklärung und technische Dokumentation prüfen, zehn Jahre aufbewahren, mit den Behörden zusammenarbeiten und den Auftrag beenden, wenn der Anbieter der Verordnung zuwiderhandelt.

Im schriftlichen Auftrag eines außerhalb der Union niedergelassenen Anbieters handeln

Prüfen, dass die Konformitätsbewertung durchgeführt wurde, die technische Dokumentation vorliegt, die CE-Kennzeichnung angebracht und ein Bevollmächtigter benannt ist; Name und Anschrift angeben.

Konformität vor dem Inverkehrbringen eines Hochrisiko-Systems prüfen

Kein nicht konformes System bereitstellen; sicherstellen, dass Lagerung und Transport die Konformität nicht beeinträchtigen; Anbieter oder Einführer und die Behörden informieren.

CE-Kennzeichnung, Konformitätserklärung und Gebrauchsanweisung vor der Bereitstellung prüfen

Ein Betreiber, Einführer oder Händler wird zum Anbieter, wenn er seinen Namen auf ein Hochrisiko-System setzt, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es hochriskant wird.

Wissen, wann Sie zum Anbieter werden

Technische und organisatorische Maßnahmen gemäß Gebrauchsanweisung; Aufsicht durch kompetente, geschulte Personen; relevante Eingabedaten; Überwachung; Protokolle mindestens sechs Monate aufbewahren.

Das System gemäß Gebrauchsanweisung verwenden, menschliche Aufsicht zuweisen, überwachen und Protokolle aufbewahren

Vor Inbetriebnahme oder Verwendung eines Hochrisiko-Systems am Arbeitsplatz informieren Arbeitgeber die Arbeitnehmervertreter und die betroffenen Beschäftigten.

Arbeitnehmervertreter und betroffene Beschäftigte vor dem Einsatz am Arbeitsplatz informieren

Betreiber informieren natürliche Personen darüber, dass ihnen gegenüber ein Hochrisiko-System verwendet wird, das Entscheidungen trifft oder unterstützt.

Natürliche Personen informieren, über die das System Entscheidungen trifft oder unterstützt

Vor der ersten Verwendung: Prozesse, Zeitraum und Häufigkeit, Kategorien betroffener Personen, spezifische Risiken, Maßnahmen der menschlichen Aufsicht, Abhilfemaßnahmen; der Marktüberwachungsbehörde mitgeteilt.

Eine Grundrechte-Folgenabschätzung durchführen

Personen, die einer Entscheidung auf Grundlage eines Systems nach Anhang III mit rechtlichen oder ähnlich erheblichen Wirkungen unterliegen, können eine Erläuterung der Rolle des Systems und der wichtigsten Elemente der Entscheidung erhalten.

Auf Verlangen eine klare und aussagekräftige Erläuterung geben

Ein Anbieter, der ein System nach Anhang III nicht als hochriskant einstuft, dokumentiert die Bewertung vor dem Inverkehrbringen und registriert das System in der EU-Datenbank.

Die Bewertung nach Art. 6 Abs. 3 dokumentieren und das System registrieren

Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, werden so konzipiert, dass die Personen informiert werden, es sei denn, dies ist aus Sicht einer angemessen informierten Person offensichtlich.

Personen darüber informieren, dass sie mit einem KI-System interagieren

Ausgaben werden als künstlich erzeugt oder manipuliert gekennzeichnet und erkennbar gemacht; die technische Lösung ist wirksam, interoperabel, belastbar und zuverlässig, soweit technisch machbar.

Synthetische Audio-, Bild-, Video- oder Textausgaben maschinenlesbar kennzeichnen

Betreiber informieren die natürlichen Personen, die dem Betrieb des Systems ausgesetzt sind, und verarbeiten personenbezogene Daten im Einklang mit der DSGVO.

Personen informieren, die Emotionserkennung oder biometrischer Kategorisierung ausgesetzt sind

Betreiber legen offen, dass die Inhalte künstlich erzeugt oder manipuliert wurden; erleichterte Offenlegung, wenn das Werk offensichtlich künstlerisch, kreativ, satirisch oder fiktional ist.

Offenlegen, dass Bild-, Audio- oder Videoinhalte ein Deepfake sind

Betreiber legen offen, dass der Text künstlich erzeugt oder manipuliert wurde, es sei denn, er wurde einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen und eine Person trägt die redaktionelle Verantwortung.

KI-generierte Texte offenlegen, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck halten die Modelldokumentation aktuell, informieren nachgelagerte Anbieter, führen eine Urheberrechtsstrategie ein und veröffentlichen eine Zusammenfassung der Trainingsinhalte.

Technische Dokumentation, Informationen für nachgelagerte Anbieter, Urheberrechtsstrategie und Zusammenfassung der Trainingsinhalte

Modellbewertung mit Angriffstests, Bewertung und Minderung systemischer Risiken, Meldung schwerwiegender Vorfälle an das Büro für KI und ein angemessenes Maß an Cybersicherheit.

Ein KI-System einstufen. Ohne Konto, ohne E-Mail.

Welche Rollen hat Ihre Organisation für dieses System?