Artikel 16 der Verordnung (EU) 2024/1689 — Pflichten der Anbieter von Hochrisiko-KI-Systemen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Auswirkungen.
Zusammenfassung des offiziellen Textes
Artikel 16 der Verordnung (EU) 2024/1689 (EU-KI-Gesetz) legt die umfassenden Pflichten fest, die Anbieter von Hochrisiko-KI-Systemen erfüllen müssen, bevor sie ihre Systeme in Verkehr bringen oder in Betrieb nehmen. Der Artikel fungiert als zentraler Ankerpunkt für Anbieterverantwortlichkeiten in Titel III, Kapitel 3.
Gemäß Artikel 16 müssen Anbieter sicherstellen, dass ihre Hochrisiko-KI-Systeme alle in Kapitel 2 von Titel III festgelegten Anforderungen erfüllen, die Risikomanagement (Artikel 9), Daten und Datenverwaltung (Artikel 10), technische Dokumentation (Artikel 11), Aufzeichnungspflichten (Artikel 12), Transparenz und Bereitstellung von Informationen (Artikel 13), menschliche Aufsicht (Artikel 14) sowie Genauigkeit, Robustheit und Cybersicherheit (Artikel 15) umfassen.
Über die Einhaltung von Kapitel 2 hinaus erlegt Artikel 16 spezifische administrative und verfahrensmäßige Pflichten auf. Anbieter müssen ein Qualitätsmanagementsystem gemäß Artikel 17 einrichten, technische Dokumentation gemäß Annex IV erstellen und, soweit zutreffend, vor der Anbringung der CE-Kennzeichnung ein Konformitätsbewertungsverfahren durchlaufen. Sie müssen ihre Systeme in der nach Artikel 71 eingerichteten EU-Datenbank registrieren, soweit dies für die betreffende Kategorie vorgeschrieben ist, auf Anfrage mit nationalen zuständigen Behörden zusammenarbeiten und alle relevanten Unterlagen für einen Zeitraum von zehn Jahren nach dem Inverkehrbringen oder der Inbetriebnahme des Systems aufbewahren. Außerhalb der EU ansässige Anbieter müssen gemäß Artikel 22 einen Bevollmächtigten in der Union benennen.
Praktische Bedeutung
Für Organisationen, die Hochrisiko-KI-Systeme entwickeln oder in Auftrag geben, übersetzt sich Artikel 16 in ein strukturiertes Vormarkt-Compliance-Programm, das vor jeder Bereitstellung oder kommerziellen Freigabe abgeschlossen sein muss.
Entwickler und Anbieter, die KI-Systeme aufbauen, die in die in Annex III definierten Hochrisikokategorien fallen — einschließlich der Bereiche biometrische Identifizierung, kritische Infrastruktur, Bildung, Beschäftigung, wesentliche Dienstleistungen, Strafverfolgung, Migration und Rechtspflege — müssen Artikel 16 als ihre primäre Compliance-Checkliste betrachten. Vor der Markteinführung müssen sie ein dokumentiertes Qualitätsmanagementsystem vorliegen haben, eine Konformitätsbewertung abgeschlossen haben (Selbstbewertung oder durch Dritte, je nach Kategorie), die CE-Kennzeichnung angebracht haben und das Produkt in der EU-KI-Gesetz-Datenbank registriert haben.
Ein konkretes Beispiel: Ein Softwareunternehmen, das ein KI-gestütztes Lebenslauf-Screening-Tool für Personalabteilungen anbietet, fällt unter Annex III, Punkt 4 (Beschäftigung und Arbeitnehmerführung). Vor dem Inverkehrbringen dieses Tools muss das Unternehmen seinen Risikomanagementprozess dokumentieren, die Qualität seiner Trainingsdaten nachweisen, technische Dokumentation bereitstellen, die Regulierungsbehörden eine Compliance-Bewertung ermöglicht, menschliche Aufsichtsmechanismen implementieren und das System registrieren. Wenn das Unternehmen außerhalb der EU ansässig ist, muss es einen in der EU ansässigen Bevollmächtigten benennen.
Fortlaufende Pflichten bestehen nach der Bereitstellung. Anbieter müssen Aufzeichnungen führen, die Leistung nach dem Inverkehrbringen gemäß Artikel 72 überwachen, schwerwiegende Vorfälle gemäß Artikel 73 melden und die technische Dokumentation bei wesentlichen Änderungen des Systems aktualisieren. Compliance ist kein einmaliges Ereignis, sondern eine kontinuierliche betriebliche Verantwortung.
Anbieter in regulierten Produktsektoren — wie Medizinprodukte oder Maschinen — müssen darüber hinaus die sektorspezifischen Konformitätsanforderungen erfüllen, die gemäß Annex I mit dem KI-Gesetz interagieren.
Wesentliche Pflichten
- Einhaltung von Kapitel 2 sicherstellen: Vor dem Inverkehrbringen überprüfen, ob das Hochrisiko-KI-System alle technischen und Governance-Anforderungen (Artikel 8–15) erfüllt, einschließlich Risikomanagement, Datenverwaltung, Transparenz, menschliche Aufsicht und Robustheit.
- Qualitätsmanagementsystem einrichten: Ein dokumentiertes QMS gemäß Artikel 17 implementieren, das Richtlinien, Verfahren, Konformitätsbewertung, Marktüberwachung nach dem Inverkehrbringen und Workflows zur Vorfallmeldung abdeckt.
- Technische Dokumentation erstellen und pflegen: Die in Annex IV angegebene technische Dokumentation vorbereiten und aktuell halten, die auf Anfrage nationalen zuständigen Behörden und notifizierten Stellen die Compliance nachweist.
- Konformitätsbewertung durchführen und CE-Kennzeichnung anbringen: Das anwendbare Konformitätsbewertungsverfahren (Selbstbewertung oder durch Dritte) abschließen und die CE-Kennzeichnung anbringen, bevor das System in der EU in Verkehr gebracht oder in Betrieb genommen wird.
- In der EU-Datenbank registrieren: Das System in der nach Artikel 71 eingerichteten EU-weiten Datenbank für Hochrisiko-KI-Systeme eintragen, sofern die Registrierung für die betreffende Kategorie verpflichtend ist.
- Aufzeichnungen zehn Jahre lang aufbewahren und mit Behörden zusammenarbeiten: Alle technischen Unterlagen, Konformitätserklärungen und anwendbaren Protokolle mindestens zehn Jahre lang aufbewahren; auf Informationsanfragen nationaler Aufsichts- und Marktüberwachungsbehörden reagieren; einen in der Union ansässigen Bevollmächtigten benennen, wenn der Anbieter nicht in der Union ansässig ist.
Beziehung zu anderen Artikeln
Artikel 16 kann nicht isoliert gelesen werden. Er ist die Gateway-Pflicht, die nahezu alle anderen anbieterbezogenen Anforderungen in Titel III aktiviert und referenziert.
Die wesentlichen technischen Anforderungen, die Artikel 16 von Anbietern erfüllt wissen will, finden sich in Artikel 8 bis 15 (Kapitel 2). Das von ihm vorgeschriebene Qualitätsmanagementsystem wird in Artikel 17 ausgeführt. Spezifikationen zur technischen Dokumentation erscheinen in Annex IV, auf den Artikel 11 verweist. Die durch Artikel 16 ausgelösten Konformitätsbewertungsverfahren sind in Artikel 43 ausgeführt, mit Regeln zur Konformitätserklärung in Artikel 47 und zur CE-Kennzeichnung in Artikel 48.
Marktüberwachungspflichten nach dem Inverkehrbringen, die die Reichweite von Artikel 16 über die anfängliche Platzierung hinaus ausdehnen, sind in Artikel 72 festgelegt, mit der Meldung schwerwiegender Vorfälle in Artikel 73. Bevollmächtigte — die für Nicht-EU-Anbieter gemäß Artikel 16 erforderlich sind — werden durch Artikel 22 geregelt. Umstände, unter denen Importeure und Händler Anbieterpflichten übernehmen, sind in Artikel 24 festgelegt. Schließlich verbindet sich die EU-Datenbankregistrierungspflicht mit Artikel 71. Nationale zuständige Behörden, die Pflichten aus Artikel 16 durchsetzen, handeln im Rahmen der in Artikel 70 und 74 festgelegten Grundlagen.
Zeitplan für die Compliance
Das EU-KI-Gesetz trat am 1. August 2024, zwanzig Tage nach der Veröffentlichung im Amtsblatt, in Kraft. Seine Bestimmungen gelten jedoch stufenweise:
- 2. Februar 2025: Verbote von KI-Praktiken mit inakzeptablem Risiko (Artikel 5) wurden vollstreckbar.
- 2. August 2025: Pflichten im Zusammenhang mit Allzweck-KI-Modellen (Titel VIII, Artikel 51–56) wurden anwendbar.
- 2. August 2026: Pflichten aus Artikel 16 werden für in Annex III aufgeführte Hochrisiko-KI-Systeme vollstreckbar (eigenständige KI-Systeme in Bereichen wie Beschäftigung, Bildung, wesentliche Dienstleistungen, Biometrie und Strafverfolgung).
- 2. August 2027: Pflichten aus Artikel 16 werden für durch Annex I erfasste Hochrisiko-KI-Systeme vollstreckbar (Sicherheitskomponenten von Produkten, die bereits durch bestehende EU-Sektorsgesetzgebung geregelt werden, wie Medizinprodukte, Maschinen und Zivilluftfahrt).
Anbieter sollten nicht bis zu diesen Durchsetzungsterminen warten, um mit den Vorbereitungen zu beginnen. Der Aufbau eines Qualitätsmanagementsystems, die Erstellung technischer Dokumentation und der Abschluss von Konformitätsbewertungen sind ressourcenintensive Prozesse. Organisationen, die Annex-III-Systeme in Verkehr bringen, wird empfohlen, spätestens Mitte 2026 operativ konform zu sein, mit Lückenanalysen und Abhilfeprogrammen, die spätestens Anfang 2025 eingeleitet werden.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Ein Anbieter ist jede natürliche oder juristische Person, Behörde, Einrichtung oder Stelle, die ein Hochrisiko-KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt, unabhängig davon, ob dies entgeltlich oder unentgeltlich erfolgt. Importeure und Händler können unter bestimmten in Artikel 24 definierten Umständen ebenfalls Anbieterpflichten übernehmen.
Artikel 16 verlangt von Anbietern sicherzustellen, dass ihr Hochrisiko-KI-System den in Kapitel 2 von Titel III (Artikel 8 bis 15) festgelegten Anforderungen entspricht, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Dazu gehören die Einrichtung eines Qualitätsmanagementsystems, die Erstellung technischer Dokumentation und die Registrierung des Systems in der EU-Datenbank, soweit zutreffend.
Ja. Artikel 16 verpflichtet Anbieter, die technische Dokumentation und gegebenenfalls die vom System automatisch generierten Protokolle für einen Zeitraum von zehn Jahren nach dem Inverkehrbringen oder der Inbetriebnahme des Systems aufzubewahren. Diese Aufbewahrungspflicht ist für die Marktüberwachung nach dem Inverkehrbringen und für Durchsetzungszwecke von entscheidender Bedeutung.
Für die meisten in Annex III aufgeführten Hochrisiko-KI-Systeme gelten die Pflichten aus Artikel 16 ab dem 2. August 2026. Systeme, die durch Annex I (Sicherheitskomponenten von Produkten, die durch bestehende sektorale Rechtsvorschriften geregelt werden) erfasst sind, haben bis zum 2. August 2027 Zeit. Anbieter sollten rechtzeitig vor diesen Terminen mit den Compliance-Vorbereitungen beginnen.
Anbieter können in der EU ansässige Bevollmächtigte einsetzen, um bestimmte administrative Pflichten in ihrem Namen zu erfüllen, wie in Artikel 22 festgelegt. Die rechtliche Verantwortung für die Einhaltung der Anforderungen aus Kapitel 2 verbleibt jedoch beim Anbieter. Die Delegation überträgt nicht die Haftung für die Konformität des Systems selbst.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.