Artikel 57 der Verordnung (EU) 2024/1689 — KI-Regulierungssandboxen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 57 der Verordnung (EU) 2024/1689 verpflichtet die Mitgliedstaaten, spätestens bis zum 2. August 2026 mindestens eine KI-Regulierungssandbox auf nationaler Ebene einzurichten und zu betreiben. Diese Sandboxen müssen von der zuständigen nationalen Behörde oder gegebenenfalls gemeinsam mit den zuständigen Behörden anderer Mitgliedstaaten unter der Koordinierung des Europäischen KI-Büros eingerichtet werden. Der Sandbox-Rahmen ermöglicht es Anbietern und potenziellen Anbietern von KI-Systemen, innovative KI-Systeme in einer realen oder simulierten Umgebung unter unmittelbarer Aufsicht der zuständigen Behörden zu entwickeln, zu trainieren, zu validieren und zu testen, bevor diese Systeme in Verkehr gebracht oder in Betrieb genommen werden.
Die Teilnahme stellt keine Befreiung von den in der Verordnung festgelegten Pflichten oder von den geltenden Unions- oder nationalen Rechtsvorschriften dar. Die zuständigen Behörden können jedoch bestehende Rechtsanforderungen innerhalb der Sandbox flexibel oder angepasst anwenden, sofern dies die Ziele dieser Vorschriften nicht untergräbt oder ein Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt.
Teilnehmende Organisationen müssen einen Sandbox-Plan vorlegen und gemäß den von der Behörde festgelegten spezifischen Bedingungen handeln. Die Sandbox läuft für einen anfänglichen Zeitraum von zwölf Monaten, der um weitere zwölf Monate verlängert werden kann. Die Mitgliedstaaten müssen der Kommission jährlich über die Ergebnisse ihrer Sandboxen berichten. Die Kommission erlässt in Zusammenarbeit mit dem KI-Büro und den Mitgliedstaaten Leitlinien zur praktischen Umsetzung dieses Artikels, einschließlich Auswahlkriterien und detaillierter Verfahren für die Teilnahme.
Was dies in der Praxis bedeutet
Artikel 57 schafft einen formellen, überwachten Weg für Organisationen, verantwortungsvoll zu innovieren, ohne auf die vollständige Einrichtung des Compliance-Apparats warten zu müssen. In der Praxis ist die Sandbox am relevantesten für Startups und KMU, die KI-Systeme entwickeln, die möglicherweise unter Hochrisiko-Klassifizierungen fallen oder in rechtlich unsicherem Terrain operieren, etwa Systeme, die Gesundheit, Bildung, Beschäftigung, kritische Infrastruktur oder Strafverfolgung berühren.
Für ein Unternehmen, das eine Sandbox nutzen möchte, beinhaltet der Prozess die Identifizierung der zuständigen Behörde in seinem Mitgliedstaat, die Einreichung eines Antrags mit einem Sandbox-Plan, der das KI-System, die Innovationsziele, die vorgeschlagene Testmethodik und die vorhandenen Schutzmaßnahmen beschreibt. Bei Annahme weist die Behörde einen dedizierten Ansprechpartner zu und kann der Organisation erlauben, das System mit echten Daten oder unter realen Bedingungen zu testen, die andernfalls strengere Vorabmarktzulassungspflichten auslösen würden.
Ein konkretes Beispiel: Ein Startup, das ein KI-gestütztes medizinisches Triageinstrument entwickelt, das normalerweise als Hochrisiko-KI-System gemäß Annex III eingestuft würde, könnte in eine Sandbox eintreten, um klinisch überwachte Pilotprojekte durchzuführen. Während der Sandbox kann die Behörde eine schrittweise Anwendung der Konformitätsbewertungsanforderungen erlauben, während sie das Systemverhalten und die Compliance-Reife des Startups überwacht. Am Ende des Sandbox-Zeitraums muss das Startup entweder die vollständige Konformitätsbewertung abschließen und das System in der EU-Datenbank registrieren oder es zurückziehen.
Wichtig ist, dass die Sandbox-Teilnahme keine regulatorische Immunität schafft. Jeder Schaden, der Einzelpersonen während der Erprobung zugefügt wird, bleibt die Haftung des Anbieters, und der Grundrechtsschutz gilt während des gesamten Zeitraums. Die Sandbox ist eine Test- und Lernumgebung, kein Verzicht auf Pflichten.
Wesentliche Pflichten
- Einrichtungsfrist: Jeder Mitgliedstaat muss bis zum 2. August 2026 mindestens eine funktionsfähige KI-Regulierungssandbox unter der Aufsicht seiner nationalen zuständigen Behörde oder über eine gemeinsame grenzüberschreitende Sandbox-Vereinbarung in Betrieb haben.
- Sandbox-Plan-Anforderung: Die Teilnehmer müssen einen genehmigten Sandbox-Plan vorlegen und nach diesem handeln, der das in der Entwicklung befindliche KI-System, den Testumfang, die Schutzmaßnahmen und die beabsichtigte Marktanwendung definiert.
- Fortbestehende gesetzliche Haftung: Teilnehmende Organisationen haften weiterhin uneingeschränkt für Schäden, Beeinträchtigungen oder Rechtsverletzungen, die bei Sandbox-Aktivitäten verursacht werden; die Teilnahme gewährt keine Immunität nach Zivil-, Straf- oder Datenschutzrecht.
- Dauerbeschränkungen: Sandboxen sind auf zwölf Monate begrenzt, einmalig um weitere zwölf Monate verlängerbar; danach muss das System vollständige Compliance erreichen oder zurückgezogen werden.
- Vorrangiger Zugang für KMU und Startups: Die zuständigen Behörden müssen sicherstellen, dass KMU und Startups priorisierten oder erleichterten Zugang zu Sandbox-Programmen erhalten, auch durch vereinfachte Bewerbungsverfahren und dedizierte Unterstützung.
- Berichterstattung und Transparenz: Die zuständigen Behörden müssen am Ende jedes Sandbox-Zyklus Berichte erstellen, die Aktivitäten, Ergebnisse und gewonnene Erkenntnisse zusammenfassen; die Mitgliedstaaten müssen der Kommission jährlich über das Gesamtfunktionieren ihrer Sandbox-Programme berichten.
Verhältnis zu anderen Artikeln
Artikel 57 ist Teil von Titel VI (Maßnahmen zur Unterstützung von Innovationen) zusammen mit den Artikeln 58 bis 63, die sandbox-spezifische Datenverarbeitungsregeln, reale Tests außerhalb von Sandboxen und Maßnahmen für KMU betreffen. Er ist eng mit Artikel 58 verbunden, der die Datenschutzbedingungen festlegt, unter denen personenbezogene Daten in einer Sandbox zum Zweck der KI-Entwicklung im öffentlichen Interesse verarbeitet werden dürfen.
Der Artikel steht auch in direktem Zusammenhang mit den Hochrisiko-KI-System-Pflichten in Titel III (Artikel 8 bis 51), da Sandboxen in erster Linie dazu dienen, Anbietern dabei zu helfen, diese Anforderungen vor der Marktplatzierung zu erfüllen. Artikel 74 über die Marktüberwachung ist relevant, da die für eine Sandbox zuständige Behörde möglicherweise dieselbe Stelle ist, die für die Nachmarktüberwachung verantwortlich ist.
Artikel 57 sollte ferner zusammen mit Artikel 3 (Begriffsbestimmungen, insbesondere die Definitionen von „Anbieter", „potenzieller Anbieter" und „KI-System") und Artikel 96 gelesen werden, der die Rolle des KI-Büros bei der Koordinierung grenzüberschreitender Sandbox-Aktivitäten und der Herausgabe von Umsetzungsleitlinien regelt.
Compliance-Zeitplan
Das EU-KI-Gesetz trat am 1. August 2024 in Kraft, wobei die Pflichten in einem mehrjährigen Zeitraum schrittweise eingeführt werden. Artikel 57 fällt unter das allgemeine Anwendungsdatum des 2. August 2026, was bedeutet, dass die Mitgliedstaaten bis zu diesem Datum ihre KI-Regulierungssandboxen in Betrieb haben müssen.
Der umfassendere Compliance-Kalender gibt den Kontext für die Sandbox-Relevanz: Verbote von KI-Praktiken mit unannehmbarem Risiko wurden ab dem 2. Februar 2025 durchsetzbar; Pflichten bezüglich Allzweck-KI-Modellen (Titel VIII) galten ab dem 2. August 2025; und Pflichten für Hochrisiko-KI-Systeme, die in Annex III aufgeführt sind, gelten ab dem 2. August 2026, mit einer weiteren Verlängerung bis zum 2. August 2027 für Hochrisiko-Systeme, die unter bestehende Unionsharmonisierungsrechtsvorschriften fallen.
Diese Stufenregelung bedeutet, dass der Sandbox-Mechanismus gemäß Artikel 57 genau dann verfügbar wird, wenn die Hochrisiko-KI-Pflichten durchsetzbar werden, und gibt innovativen Anbietern einen strukturierten Weg, ihre Systeme unter Aufsicht zu testen und zu verfeinern, bevor sie das volle Gewicht der Konformitätsbewertung, der Registrierung in der EU-Datenbank gemäß Artikel 71 und der laufenden Nachmarktüberwachungspflichten gemäß Artikel 72 tragen müssen.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Eine KI-Regulierungssandbox ist ein kontrollierter Rahmen, der von einer oder mehreren nationalen zuständigen Behörden eingerichtet wird und es Anbietern sowie potenziellen Anbietern von KI-Systemen ermöglicht, innovative KI-Systeme unter behördlicher Aufsicht für einen begrenzten Zeitraum und mit verringerten Compliance-Anforderungen zu entwickeln, zu trainieren, zu validieren und zu testen, bevor diese Systeme in Verkehr gebracht oder in Betrieb genommen werden.
Der Zugang ist in erster Linie für KMU, einschließlich Startups, vorgesehen und kann auf weitere Teilnehmer ausgeweitet werden. Anbieter und potenzielle Anbieter von KI-Systemen müssen sich bei der zuständigen Behörde des Mitgliedstaats bewerben, in dem sie ansässig sind. Die Auswahl erfolgt anhand von Kriterien wie dem innovativen Charakter des KI-Systems, dem potenziellen gesellschaftlichen, gesundheitlichen, sicherheitsbezogenen, grundrechtlichen oder ökologischen Nutzen sowie der Unfähigkeit des Antragstellers, das System unter Bedingungen zu testen, die eine reale Umgebung angemessen simulieren.
Nein. Die Sandbox-Teilnahme befreit die Teilnehmer nicht von den geltenden EU- und nationalen Rechtsvorschriften. Bestimmte Vorschriften können jedoch von den Aufsichtsbehörden innerhalb der Sandbox flexibel angewendet werden. Die Teilnehmer haften weiterhin uneingeschränkt für Schäden, die während der Erprobung entstehen, und müssen einen mit der Behörde vereinbarten Sandbox-Plan einhalten.
Sandboxen werden zunächst für einen Zeitraum von zwölf Monaten betrieben, der um weitere zwölf Monate verlängert werden kann. Die Gesamtdauer kann daher vierundzwanzig Monate nicht überschreiten; danach muss der Teilnehmer das System entweder vollständig in die Compliance überführen oder es vom Markt nehmen.
Am Ende des Sandbox-Zeitraums müssen die Teilnehmer entweder die vollständige Konformität mit dem EU-KI-Gesetz und den einschlägigen EU-Rechtsvorschriften nachweisen, bevor sie ihr System in Verkehr bringen, oder den Betrieb einstellen. Die zuständige Behörde erstellt einen Bericht, der die durchgeführten Aktivitäten und gewonnenen Erkenntnisse zusammenfasst und anderen Behörden oder der Öffentlichkeit zugänglich gemacht werden kann, um die künftige Politikgestaltung zu informieren.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.