Artikel 20 der Verordnung (EU) 2024/1689 — Korrekturmaßnahmen und Informationspflicht. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 20 der Verordnung (EU) 2024/1689 begründet eine verbindliche Korrekturmaßnahmen- und Informationspflicht für Anbieter von Hochrisiko-KI-Systemen. Wenn ein Anbieter Grund zu der Annahme hat, dass ein von ihm in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System nicht mehr den in Kapitel 2 des Titels III festgelegten Anforderungen entspricht, muss er unverzüglich die erforderlichen Korrekturmaßnahmen ergreifen, um das System in Konformität zu bringen, es zurückzuziehen oder zurückzunehmen, je nach Lage der Dinge.
Der Anbieter ist gleichzeitig verpflichtet, die Händler des Systems und gegebenenfalls den Bevollmächtigten, die Betreiber sowie alle anderen relevanten Dritten über die Nichtkonformität und die ergriffenen Korrekturmaßnahmen zu informieren. Wenn das KI-System ein Risiko im Sinne von Artikel 79 Absatz 1 darstellt, muss der Anbieter auch unverzüglich die zuständigen nationalen Behörden der Mitgliedstaaten benachrichtigen, in denen er das System bereitgestellt hat, sowie gegebenenfalls die Benannte Stelle, die ein Zertifikat für das System ausgestellt hat, und dabei Einzelheiten zur Nichtkonformität und den ergriffenen Korrekturmaßnahmen mitteilen.
Der Artikel verbindet somit zwei unterschiedliche, aber miteinander verknüpfte Pflichten: eine operative Pflicht zum Handeln und zur Wiederherstellung der Konformität sowie eine Informationspflicht, die sicherstellt, dass alle Akteure in der Liefer- und Einsatzkette — einschließlich der Marktüberwachungsbehörden — über die Situation und die zu ihrer Behebung ergriffenen Schritte informiert werden. Diese doppelte Struktur stellt sicher, dass Risiken nicht innerhalb der Organisation des Anbieters verbleiben, sondern im regulatorischen und kommerziellen Ökosystem umgehend sichtbar gemacht werden.
Was dies in der Praxis bedeutet
Für Organisationen, die Hochrisiko-KI-Systeme auf dem EU-Markt entwickeln oder in Verkehr bringen, schafft Artikel 20 eine dauerhafte Pflicht, die während des gesamten Lebenszyklus des Systems aktiv ist. Die Einhaltung der Vorschriften kann nicht als punktuelle Maßnahme behandelt werden, die auf die erstmalige Konformitätsbewertung beschränkt ist.
Wer betroffen ist: Jeder Anbieter eines Hochrisiko-KI-Systems im Anwendungsbereich des Anhangs III oder von Systemen, die den Hochrisikoklassifizierungsregeln des Artikels 6 unterliegen. Dazu gehören Hersteller, Importeure, die ein Drittanbietersystem unter eigenem Namen auf dem EU-Markt in Verkehr bringen, sowie juristische Personen in Drittländern, deren Systeme über einen Bevollmächtigten in der EU verwendet werden.
Was eine Maßnahme auslöst: Die Schwelle ist „Grund zur Annahme" — eine bewusst niedrige Beweisanforderung. Ein Anbieter benötigt keine Gewissheit über die Nichtkonformität; eine glaubwürdige Grundlage für Bedenken, ob aus internen Überwachungsdaten nach dem Inverkehrbringen, einem Bericht eines Betreibers, einer Nutzerbeschwerde oder einer Anfrage eines Regulators stammend, reicht aus, um die Pflicht zu aktivieren.
Konkretes Beispiel: Ein Anbieter eines Hochrisiko-KI-Systems, das zur Kreditwürdigkeitsprüfung eingesetzt wird, stellt durch seinen Überwachungsprozess nach dem Inverkehrbringen (gemäß Artikel 72 erforderlich) fest, dass die Genauigkeit des Systems für eine geschützte demografische Gruppe erheblich abgenommen hat, was einen potenziellen Verstoß gegen die Anforderungen zu Verzerrungen und Robustheit nach den Artikeln 9 und 15 darstellt. Nach Artikel 20 muss der Anbieter unverzüglich Korrekturoptionen prüfen (Nachtraining, Parameteranpassung, vorübergehende Aussetzung), die gewählte Maßnahme umsetzen, alle Betreiber, die das System derzeit nutzen, benachrichtigen und die zuständige nationale Marktüberwachungsbehörde informieren, wenn die Verschlechterung ein Risiko im Sinne von Artikel 79 Absatz 1 darstellt.
Dokumentation: Alle Korrekturmaßnahmen und Benachrichtigungen sollten in der technischen Dokumentation gemäß Artikel 18 und den nach Artikel 19 aufbewahrten Protokollen aufgezeichnet werden, da diese die von Behörden primär geprüften Nachweise sein werden.
Wesentliche Pflichten
- Sofortige Korrekturmaßnahmen: Alle erforderlichen Maßnahmen ergreifen, um die Konformität wiederherzustellen, das System vom Markt zurückzuziehen oder es von Betreibern und Nutzern zurückzunehmen, proportional zur Art und Schwere der festgestellten Nichtkonformität.
- Benachrichtigung der Lieferkette: Händler, Bevollmächtigte und Betreiber über die Nichtkonformität und die ergriffenen Korrekturmaßnahmen ohne ungebührliche Verzögerung informieren.
- Behördliche Benachrichtigung: Wenn die Nichtkonformität ein Risiko im Sinne von Artikel 79 Absatz 1 darstellt, die zuständigen Marktüberwachungsbehörden aller betroffenen Mitgliedstaaten und jede Benannte Stelle, die ein Zertifikat für das System ausgestellt hat, benachrichtigen.
- Bereitstellung von Informationen: Den nationalen Behörden und Benannten Stellen vollständige Angaben zur Nichtkonformität, ihren potenziellen Folgen und den durchgeführten oder geplanten Korrekturmaßnahmen liefern.
- Laufende Wachsamkeit: Die nach Artikel 72 erforderlichen Überwachungssysteme nach dem Inverkehrbringen aufrechterhalten, um sicherzustellen, dass Umstände, die zur Nichtkonformität führen, umgehend erkannt werden und nicht unbehandelt bleiben.
- Dokumentation von Maßnahmen: Alle Korrekturentscheidungen, ausgestellte Benachrichtigungen und behördliche Mitteilungen als Teil der laufenden technischen und qualitätsmanagementbezogenen Pflichten nach den Artikeln 17, 18 und 19 aufzeichnen.
Verhältnis zu anderen Artikeln
Artikel 20 steht im operativen Kern der Lebenszyklusverpflichtungen des Anbieters und steht in Verbindung mit mehreren anderen Bestimmungen.
Er ist vorgelagert zu Artikel 73 (Meldung schwerwiegender Vorfälle), der speziell gilt, wenn ein Hochrisiko-KI-System einen schwerwiegenden Vorfall verursacht oder dazu beiträgt; die beiden Regelwerke können gleichzeitig ausgelöst werden und müssen parallel verwaltet werden. Er ist nachgelagert zu Artikel 72 (Überwachung nach dem Inverkehrbringen), der der primäre Mechanismus ist, durch den Anbieter die Nichtkonformitäten erkennen werden, die Artikel 20 aktivieren.
Die Korrekturmaßnahmenpflicht ist auch eng verknüpft mit Artikel 9 (Risikomanagementsystem) und den Artikeln 15 und 17 (Genauigkeit, Robustheit und Qualitätsmanagement), da die Angemessenheit dieser Systeme bestimmt, ob Nichtkonformitäten rechtzeitig erkannt und behoben werden. Artikel 26 begründet eine ergänzende Pflicht für Betreiber, vermutete Nichtkonformitäten an Anbieter zurückzumelden, wodurch Betreiber zu einer wichtigen vorgelagerten Informationsquelle für den Auslöser des Artikels 20 werden. Schließlich befasst sich Artikel 21 mit den Kooperationspflichten der Anbieter, sobald Behörden förmlich eingegriffen haben, und ist als das regulatorische Durchsetzungsgegenstück zur freiwilligen Korrekturmaßnahmenpflicht nach Artikel 20 zu lesen.
Zeitplan für die Compliance
Das EU-KI-Gesetz trat am 1. August 2024 in Kraft (zwanzig Tage nach der Veröffentlichung im Amtsblatt am 12. Juli 2024). Artikel 20 fällt unter Titel III, Kapitel 3 und gilt für Hochrisiko-KI-Systeme. Der gestaffelte Anwendungszeitplan ist wie folgt:
- Februar 2025: Bestimmungen über verbotene KI-Praktiken (Titel II) wurden anwendbar.
- August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII, Kapitel 2) wurden anwendbar.
- August 2026: Pflichten für Hochrisiko-KI-Systeme gemäß Anhang III, die von Behörden genutzt werden, wurden anwendbar.
- Dezember 2026 (Hauptfrist für Hochrisiko): Das vollständige Paket der Pflichten nach Titel III — einschließlich Artikel 20 — wurde für Anbieter von Hochrisiko-KI-Systemen nach Anhang III anwendbar. Anbieter, deren Systeme bereits vor diesem Datum auf dem Markt waren, profitierten von einem Übergangszeitraum, müssen nun jedoch vollständig compliant sein.
- August 2027: Verlängerte Frist für bestimmte Hochrisiko-KI-Systeme, die Komponenten von groß angelegten EU-IT-Systemen sind oder harmonisierten Normen unterliegen, die zum Zeitpunkt des Inkrafttretens noch nicht veröffentlicht waren.
Für die meisten Anbieter von Hochrisiko-KI-Systemen nach Anhang III gilt Artikel 20 vollständig ab Dezember 2026, und Korrekturmaßnahmen- und Informationsprozesse sollten bereits in Betrieb sein.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Artikel 20 wird ausgelöst, wenn ein Anbieter Grund zu der Annahme hat, dass ein von ihm in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System nicht mehr den Anforderungen des Kapitels 2 des Titels III entspricht. Dies umfasst Situationen, in denen die Nichtkonformität vom Anbieter selbst festgestellt, von einem Betreiber gemeldet oder durch Aktivitäten zur Marktüberwachung nach dem Inverkehrbringen aufgedeckt wird.
Anbieter müssen die zuständigen nationalen Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie das System bereitgestellt haben, sowie alle an der Konformitätsbewertung beteiligten Benannten Stellen, Händler und Betreiber des betroffenen Hochrisiko-KI-Systems benachrichtigen. Die Benachrichtigung muss sowohl die festgestellte Nichtkonformität als auch die ergriffenen Korrekturmaßnahmen umfassen.
Artikel 20 legt die Hauptpflicht den Anbietern auf. Betreiber haben jedoch nach Artikel 26 eine ergänzende Pflicht, Anbieter zu informieren, wenn sie Grund zu der Annahme haben, dass die Nutzung eines Hochrisiko-KI-Systems ein Risiko darstellt oder das System nicht mehr konform ist. Artikel 20 und Artikel 26 wirken daher in der Lieferkette zusammen.
Korrekturmaßnahmen umfassen die Wiederherstellung der Konformität des KI-Systems, seinen Rückzug vom Markt, seine Rücknahme von Betreibern und Nutzern sowie die Sperrung des Zugangs zum System, sofern dies technisch möglich ist. Die angemessene Maßnahme hängt von Art und Schwere der Nichtkonformität und dem Risiko für Gesundheit, Sicherheit oder Grundrechte ab.
Artikel 20 befasst sich mit der strukturellen Nichtkonformität mit den Anforderungen des Kapitels 2, während Artikel 73 speziell die Meldung schwerwiegender Vorfälle regelt. In der Praxis kann ein schwerwiegender Vorfall eine systemische Nichtkonformität aufdecken, die gleichzeitig die Korrekturmaßnahmenpflicht nach Artikel 20 auslöst. Anbieter müssen beide Pflichten parallel erfüllen, wenn die Tatsachen dies erfordern.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.