Artikel 21 der Verordnung (EU) 2024/1689 — Zusammenarbeit mit zuständigen Behörden. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 21 der Verordnung (EU) 2024/1689 (dem EU-KI-Gesetz) begründet eine allgemeine Pflicht für Anbieter von Hochrisiko-KI-Systemen, auf Anfrage mit den zuständigen nationalen Behörden zusammenzuarbeiten. Nach dieser Bestimmung müssen Anbieter — und gegebenenfalls ihre Bevollmächtigten — den zuständigen Behörden alle Informationen und Unterlagen vorlegen, die notwendig sind, um nachzuweisen, dass das betreffende Hochrisiko-KI-System den in Kapitel 2 des Titels III festgelegten Anforderungen entspricht. Diese Kooperationspflicht erstreckt sich auf die Gewährung des Zugangs zum KI-System selbst, wenn die zuständige Behörde einen solchen Zugang als notwendig erachtet, um ihre Aufsichts- oder Marktüberwachungsaufgaben zu erfüllen.
Der Artikel wirkt im Rahmen des allgemeinen Marktüberwachungsrahmens der Verordnung und muss im Zusammenhang mit den Durchsetzungsbefugnissen gelesen werden, die den nationalen Behörden nach Titel X eingeräumt werden. Er begründet keine proaktive Offenlegungspflicht im gewöhnlichen Geschäftsgang; vielmehr wird er durch eine formelle oder informelle Anfrage einer Aufsichtsbehörde aktiviert. Die Pflicht ist in ihrem Umfang unbedingt: Anbieter können die Zusammenarbeit nicht mit der Begründung der kaufmännischen Vertraulichkeit, des Geschäftsgeheimnisses oder proprietärer Belange verweigern, obwohl die Verordnung gesonderte Schutzmaßnahmen für den Umgang von Behörden mit vertraulichen Informationen vorsieht. Artikel 21 fungiert effektiv als Brücke zwischen den Konformitätspflichten der Anbieter und der Durchsetzungskapazität der von den Mitgliedstaaten und dem Europäischen KI-Büro errichteten Regulierungsinfrastruktur.
Was dies in der Praxis bedeutet
Für Anbieter von Hochrisiko-KI-Systemen verlangt Artikel 21, dass jederzeit eine strukturierte, audit-bereite Compliance-Haltung aufrechterhalten wird — nicht nur zum Zeitpunkt der Konformitätsbewertung. Wenn eine nationale Marktüberwachungsbehörde, eine im Auftrag handelnde Benannte Stelle oder das Europäische KI-Büro eine Untersuchung einleitet, muss der Anbieter in der Lage sein, umgehend mit umfassender technischer Dokumentation, Konformitätsbewertungsergebnissen, Risikomanagementsunterlagen und Überwachungsdaten nach dem Inverkehrbringen zu reagieren.
Wer betroffen ist. Anbieter, die Hochrisiko-KI-Systeme (gemäß Anhang III oder von der Anhang-I-Sektorgesetzgebung erfasste Systeme) auf dem EU-Markt in Verkehr bringen, sind die primären Pflichtträger. Bevollmächtigte, die im Auftrag von Drittlandsanbietern handeln, tragen im Rahmen ihres Mandats dieselbe Pflicht. Betreiber sind nicht die primären Adressaten von Artikel 21, können aber in Kooperationsverfahren einbezogen werden, wenn ihre Betriebsdaten oder der Zugang zum eingesetzten System von einer Behörde benötigt werden.
Konkrete Beispiele. Ein Medizinproduktehersteller, der ein KI-gestütztes Diagnosewerkzeug integriert, muss auf Anfrage die vollständige technische Akte einschließlich Beschreibungen der Trainingsdaten, Validierungsprotokollen und Überwachungsprotokollen nach dem Einsatz vorlegen. Ein Personalvermittler, der ein KI-gestütztes Lebenslaufscreeningsystem einsetzt, das nach Anhang III als Hochrisiko eingestuft ist, muss den Behördenzugang zur Entscheidungslogik und den Konfigurationsparametern des Systems ermöglichen, wenn eine Untersuchung eingeleitet wird.
Operative Vorbereitung. Organisationen sollten eine Funktion als Regulierungsbeauftragter einrichten, versionskontrollierte technische Dokumentation pflegen und ein internes Protokoll für Behördenanfragen einschließlich rechtlicher Prüfungsfristen aufstellen, die eine rechtzeitige Zusammenarbeit nicht behindern.
Wesentliche Pflichten
- Dokumentation auf Anfrage vorlegen. Anbieter müssen den zuständigen Behörden alle Informationen und technischen Unterlagen liefern, die zur Bewertung der Einhaltung des Kapitels 2 des Titels III erforderlich sind, einschließlich der nach Artikel 11 erforderlichen technischen Akte und der nach Artikel 12 geführten Protokolle.
- Zugang zum KI-System gewähren. Wenn eine zuständige Behörde feststellt, dass eine Inspektion des oder eine Interaktion mit dem KI-System erforderlich ist, müssen Anbieter einen solchen Zugang ohne ungebührliche Verzögerung oder Behinderung ermöglichen.
- Über Bevollmächtigte zusammenarbeiten. Drittlandsanbieter müssen sicherstellen, dass ihr in der EU ansässiger Bevollmächtigter befugt ist, die Kooperationspflichten vollständig in ihrem Namen zu erfüllen, wie nach Artikel 22 gefordert.
- Informationen in abrufbarer Form aufbewahren. Der praktische Nutzen von Artikel 21 hängt davon ab, dass die Dokumentation aktuell, korrekt und abrufbar ist. Anbieter dürfen nicht zulassen, dass technische Unterlagen veralten oder zum Zeitpunkt des Eingangs einer Anfrage unzugänglich werden.
- Keine Behinderung. Jede Handlung oder Unterlassung, die eine Aufsichtsuntersuchung behindert, verzögert oder vereitelt — einschließlich selektiver Offenlegung, Vernichtung von Unterlagen oder Zurückhalten von Zugangsdaten — stellt einen Verstoß gegen Artikel 21 dar und kann Sanktionen nach Artikel 99 auslösen.
- Zusammenarbeit auf Aktivitäten der Marktüberwachung nach dem Inverkehrbringen ausdehnen. Die Zusammenarbeit nach Artikel 21 beschränkt sich nicht auf Konformitätsprüfungen vor dem Inverkehrbringen; sie umfasst die laufende Aufsicht über den gesamten Lebenszyklus des Hochrisiko-KI-Systems.
Verhältnis zu anderen Artikeln
Artikel 21 steht an der Schnittstelle von Anbieterpflichten und regulatorischer Durchsetzung und kann nicht isoliert gelesen werden. Er hängt unmittelbar von Artikel 11 (technische Dokumentation) und Artikel 12 (Aufzeichnung und Protokollierung) ab, da diese Bestimmungen den Corpus der Informationen definieren, die ein Anbieter vorlegen können muss. Er steht in Verbindung mit Artikel 17 (Qualitätsmanagementsystem), der die Organisationsprozesse regelt, die der dokumentarischen Bereitschaft zugrunde liegen. Artikel 22 (Bevollmächtigte) operationalisiert Artikel 21 für Drittlandsanbieter, indem er bestimmt, wer die Kooperationspflichten in der EU trägt. Auf der Durchsetzungsseite fließt Artikel 21 in das Marktüberwachungsregime des Titels X (Artikel 74–76), die Befugnisse des Europäischen KI-Büros nach Titel VIII und den Sanktionsrahmen des Artikels 99 ein, der Sanktionen für Nichtkooperation vorsieht. Artikel 9 (Risikomanagement) ist ebenfalls relevant, da Behörden prüfen können, ob Risikoidentifikations- und -minderungsunterlagen angemessen sind. Die Lektüre von Artikel 21 zusammen mit den Artikeln 13 (Transparenz) und 14 (menschliche Aufsicht) ergibt ein vollständiges Bild der Informationsumgebung, die Anbieter aufrechterhalten müssen.
Zeitplan für die Compliance
Das EU-KI-Gesetz trat am 1. August 2024 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt. Seine Bestimmungen gelten nach einem gestaffelten Zeitplan:
- 2. Februar 2025 — Verbote von KI-Praktiken mit unannehmbarem Risiko (Titel II) wurden anwendbar. Artikel 21 selbst galt zu diesem Zeitpunkt noch nicht für Hochrisikosysteme.
- 2. August 2025 — Bestimmungen über KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII) und Pflichten des Europäischen KI-Büros wurden anwendbar.
- 2. August 2026 — Artikel 21 wird zusammen mit dem vollständigen Paket der Pflichten nach Titel III für Hochrisiko-KI-Systeme gemäß Anhang III (mit Ausnahme derjenigen, die von früherem Sektorrecht erfasst werden) anwendbar. Anbieter, deren Systeme unter diese Kategorie fallen, müssen bis zu diesem Datum vollständig zur Zusammenarbeit bereit sein.
- 2. August 2027 — Hochrisiko-KI-Systeme, die durch die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union geregelt werden (z. B. Medizinprodukte, Maschinen, Luftfahrt) und bereits Konformitätsbewertungsverfahren unterliegen, haben bis zu diesem Datum Zeit, bevor die vollen KI-Gesetz-Hochrisikopflichten einschließlich Artikel 21 auf Legacy-Produkte Anwendung finden.
Anbieter sollten den Zeitraum bis zu ihrem jeweiligen Anwendungsdatum nicht als Schonfrist, sondern als Umsetzungszeit betrachten: Technische Dokumentation, Protokollierungsinfrastruktur und interne Kooperationsprotokolle sollten weit vor dem Termin in Betrieb sein.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Artikel 21 gilt in erster Linie für Anbieter von Hochrisiko-KI-Systemen sowie für ihre in der EU ansässigen Bevollmächtigten. Betreiber können ebenfalls Kooperationspflichten unterliegen, wenn zuständige Behörden Informationen oder Zugang zu einem eingesetzten Hochrisiko-KI-System benötigen.
Anbieter müssen zuständigen Behörden alle angeforderten Informationen und Unterlagen vorlegen, um die Konformität mit den Anforderungen des Titels III, Kapitel 2 nachzuweisen. Dies umfasst den Zugang zur technischen Dokumentation, zu Protokollen und Testergebnissen. Die Zusammenarbeit muss zeitnah und vollständig sein — das Zurückhalten relevanter Informationen oder die Behinderung einer Untersuchung stellt einen Verstoß gegen Artikel 21 dar.
Hochrisiko-KI-Systeme, die vor den maßgeblichen Anwendungsdaten in Verkehr gebracht oder in Betrieb genommen wurden, können von Übergangsbestimmungen profitieren, aber sobald diese Fristen abgelaufen sind, gelten die vollen Kooperationspflichten. Anbieter sollten nicht davon ausgehen, dass Legacy-Systeme von der Aufsicht ausgenommen sind.
Ja. Artikel 21 ist weit genug gefasst, um Anfragen nach Zugang zum KI-System, seinen Komponenten und seiner Betriebsumgebung zu umfassen, wenn dies für die Behörde notwendig ist, um ihr Aufsichtsmandat zu erfüllen. Anbieter sollten sowohl auf dokumentarische als auch auf technische Formen der Zusammenarbeit vorbereitet sein.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.