Artikel 49 — Registrierung (EU-KI-Gesetz)

Artikel 49 der Verordnung (EU) 2024/1689 — Registrierung. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 49 der Verordnung (EU) 2024/1689 legt ein verbindliches Registrierungsregime für Hochrisiko-KI-Systeme fest, bevor diese auf dem Unionsmarkt in Verkehr gebracht oder in Betrieb genommen werden dürfen. Der Artikel begründet eine primäre Pflicht für Anbieter: Vor dem Inverkehrbringen müssen sie sich selbst und ihre Hochrisiko-KI-Systeme in der nach Artikel 71 eingerichteten EU-Datenbank registrieren. Anbieter, die außerhalb der Union niedergelassen sind, müssen sicherstellen, dass ihr bevollmächtigter Vertreter diese Registrierung in ihrem Namen vornimmt.

Für die spezifische Kategorie von Hochrisiko-KI-Systemen gemäß Annex III, Punkt 8 — Systeme zur biometrischen Kategorisierung und Emotionserkennung, die von Strafverfolgungs-, Grenzschutz-, Einwanderungs- und Asylbehörden eingesetzt werden — erstreckt sich die Pflicht auch auf Betreiber. Diese Betreiber müssen ihre Nutzung solcher Systeme vor dem Einsatz registrieren.

Die bei der Registrierung zu übermittelnden Informationen werden in Annex VIII, Teile I und II, festgelegt und müssen korrekt und aktuell gehalten werden. Bei Aktualisierungen — etwa nach einer wesentlichen Änderung — muss der registrierte Eintrag entsprechend angepasst werden. Systeme, die ausschließlich von Organen, Einrichtungen, Ämtern oder Agenturen der Union genutzt werden, werden in einem gesonderten, eingeschränkten Abschnitt der Datenbank registriert, um sicherzustellen, dass sensible operative Informationen angemessen geschützt werden, während die Rechenschaftspflicht gewahrt bleibt. Der Artikel schafft damit einen strukturierten, lebenszykluszentrierten Transparenzmechanismus, der es Marktüberwachungsbehörden und der Öffentlichkeit ermöglicht, Hochrisiko-KI-Einsätze im Binnenmarkt zu identifizieren und zu überwachen.

Was dies in der Praxis bedeutet

Artikel 49 verpflichtet jedes Unternehmen, das ein Hochrisiko-KI-System im Anwendungsbereich des Annex III entwickelt oder auf den Markt bringt, einen Registrierungsschritt durchzuführen, der funktional mit einer Produktanmeldung bei einer Regulierungsbehörde vergleichbar ist. In der Praxis bedeutet dies, dass das Rechts- oder Compliance-Team eines Anbieters vor der Markteinführung:

1. Ein Konto im EU-KI-Gesetz-Datenbankportal (betrieben von der Europäischen Kommission gemäß Artikel 71) anlegen oder aktualisieren muss.
2. Strukturierte Informationen gemäß Annex VIII einreichen muss — einschließlich Unternehmensidentität, Systembeschreibung, Verwendungszweck, Zusammenfassung des Risikomanagements, Referenznummer der Konformitätserklärung und gegebenenfalls Zertifikatsnummer der notifizierten Stelle.
3. Eine Registrierungsnummer erhalten muss, die anschließend in der EU-Konformitätserklärung erscheinen und die Dokumentation des Systems begleiten muss.

Für Anbieter außerhalb der EU ist der in der Union niedergelassene bevollmächtigte Vertreter der Ansprechpartner, der für die Einreichung der Registrierung verantwortlich ist. Dies entspricht dem Modell, das in anderen EU-Produktsicherheitsrahmen verwendet wird.

Für Betreiber, die Hochrisiko-Biometrie- oder Emotionserkennungssysteme in Strafverfolgungs- oder Grenzschutzkontexten betreiben (Annex III, Punkt 8), ist eine gesonderte Registrierung auf Betreiberseite vor der Aktivierung des Systems in einem operativen Umfeld obligatorisch.

Ein praktisches Beispiel: Ein Unternehmen, das ein KI-gestütztes Bonitätsbewertungstool (Annex III, Punkt 5b) anbietet, muss das System in der EU-Datenbank registrieren, die Registrierungsnummer erhalten, diese Nummer in die Konformitätserklärung aufnehmen und den Eintrag aktualisieren, wenn das Modell eine wesentliche Änderung erfährt — etwa eine signifikante Änderung der Trainingsdaten oder der Ausgangslogik —, die durch das Konformitätsbewertungsverfahren validiert wird.

Die Registrierung ist kein einmaliger Verwaltungsschritt; sie ist ein lebendiger Datensatz, der das System durch sein kommerzielles Leben verfolgt.

Wesentliche Pflichten

• Registrierung vor dem Inverkehrbringen: Anbieter müssen sich selbst und ihre Hochrisiko-KI-Systeme in der EU-Datenbank gemäß Artikel 71 registrieren, bevor das System in der Union in Verkehr gebracht oder in Betrieb genommen wird.
• Bevollmächtigter Vertreter als Registrierender: Ist der Anbieter außerhalb der EU niedergelassen, muss der in einem Mitgliedstaat niedergelassene bevollmächtigte Vertreter die Registrierung abschließen und einreichen.
• Betreiberregistrierung für Systeme gemäß Punkt 8: Betreiber von Hochrisiko-KI-Systemen gemäß Annex III, Punkt 8 (biometrische Kategorisierung, Emotionserkennung) in Strafverfolgungs- und Grenzschutzkontexten müssen ihre beabsichtigte Nutzung vor dem Einsatz registrieren.
• Informationsanforderungen gemäß Annex VIII: Registrierungen müssen alle in Annex VIII, Teile I und II, festgelegten Informationen enthalten, einschließlich Systemidentität, Fähigkeiten, Einschränkungen, Konformitätsdokumentation und Zertifikatreferenzen.
• Fortlaufende Aktualitätspflicht: Registrierte Informationen müssen aktuell gehalten werden; jede wesentliche Änderung, die eine neue Konformitätsbewertung auslöst, erfordert eine entsprechende Aktualisierung des Registrierungseintrags.
• Eingeschränkte Einträge für sensible Behördennutzung: Systeme, die ausschließlich von Strafverfolgungs-, Grenzschutz-, Einwanderungs- und Asylbehörden gemäß Annex III, Punkte 1–7, genutzt werden, werden in einem nicht-öffentlichen Abschnitt der Datenbank registriert, um Transparenz und operative Sicherheit in Einklang zu bringen.

Bezug zu anderen Artikeln

Artikel 49 steht an der Schnittstelle mehrerer grundlegender Pflichten und kann nicht isoliert gelesen werden.

Artikel 71 richtet die EU-Datenbank ein und regelt sie; er legt die Verantwortlichkeiten der Kommission als Verwalterin sowie die Regeln für den öffentlichen Zugang fest, auf die Artikel 49 verweist.

Annex VIII legt die genauen Informationsfelder fest, die eingereicht werden müssen, und ist damit operativ untrennbar vom Registrierungsprozess.

Artikel 47 (EU-Konformitätserklärung) und Artikel 48 (CE-Kennzeichnung) gehen der Registrierung logisch voraus: Die Referenznummer der Konformitätserklärung muss zum Zeitpunkt der Registrierung vorliegen, und die Registrierungsnummer fließt in die Erklärung zurück. Zusammen bilden die Artikel 47, 48 und 49 das abschließende Compliance-Tor vor dem Marktzugang.

Artikel 43 (Konformitätsbewertung) mündet in die Registrierung, da das dort erworbene Zertifikat der notifizierten Stelle ein Pflichtdatenfeld in Annex VIII ist, sofern eine Bewertung durch Dritte erforderlich ist.

Artikel 111 (Übergangsbestimmungen) regelt, wie die Registrierungszeitpläne mit Systemen interagieren, die bereits vor Inkrafttreten der Pflichten auf dem Markt sind, und sollte neben Artikel 49 für jede Analyse von Altsystemen herangezogen werden.

Zeitplan für die Compliance

Das EU-KI-Gesetz ist am 1. August 2024, zwanzig Tage nach der Veröffentlichung im Amtsblatt, in Kraft getreten. Die Registrierungspflichten gemäß Artikel 49 gelten jedoch nicht unmittelbar ab dem Inkrafttreten; sie folgen dem stufenweisen Anwendungsplan des Gesetzes:

• 2. Februar 2025 — Verbotene KI-Praktiken (Artikel 5) wurden durchsetzbar. Keine unmittelbaren Auswirkungen auf Artikel 49, aber relevant für Scoping-Übungen.
• 2. August 2025 — KI-Modelle für allgemeine Zwecke (Titel VIII) und der Governance-Rahmen wurden anwendbar. Die Registrierung gemäß Artikel 49 wird für reine GPAI-Modelle, die nicht gesondert als Hochrisikosysteme eingestuft sind, in dieser Phase nicht ausgelöst.
• 2. August 2026 — Registrierungspflichten gemäß Artikel 49 gelten für Hochrisiko-KI-Systeme gemäß Annex III, Punkte 1 bis 7. Dies ist die primäre Compliance-Frist für die meisten Unternehmens-KI-Anbieter.
• 2. August 2027 — Registrierungspflichten erstrecken sich auf Hochrisiko-KI-Systeme gemäß Annex II (harmonisierte Produktsicherheitsgesetzgebung), wie Medizinprodukte und Maschinen.

Anbieter und Betreiber sollten Registrierungs-Workflows — einschließlich der Datenerhebung gemäß Annex VIII, des Zugangs zum EU-Datenbankportal und der Vereinbarungen mit bevollmächtigten Vertretern — weit vor der Frist im August 2026 planen, um Engpässe in letzter Minute zu vermeiden. Systeme, die vor diesen Terminen im Rahmen früherer Regelwerke auf dem Markt gebracht wurden, profitieren von Übergangsregelungen gemäß Artikel 111; Anbieter sind jedoch ausdrücklich dazu angehalten zu prüfen, ob diese Regelungen auf ihre spezifische Produktkategorie anwendbar sind.