Artikel 58 der Verordnung (EU) 2024/1689 — Bedingungen für die Einrichtung und den Betrieb von KI-Regulierungssandboxen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 58 der Verordnung (EU) 2024/1689 legt die Bedingungen fest, unter denen KI-Regulierungssandboxen eingerichtet und betrieben werden müssen. Er verpflichtet die Mitgliedstaaten unmittelbar, dafür zu sorgen, dass spätestens bis zum 2. August 2026 mindestens eine Sandbox auf nationaler Ebene eingerichtet wird. Der Europäische Datenschutzbeauftragte muss eine Sandbox für Organe, Einrichtungen, Ämter und Agenturen der Union einrichten, die in den Anwendungsbereich der Verordnung fallen.
Der Artikel sieht vor, dass Sandboxen auf der Grundlage eines spezifischen Plans betrieben werden müssen, der zwischen dem Teilnehmer und der zuständigen Behörde vereinbart wurde. Die Teilnahme ist zeitlich begrenzt, in der Regel auf zwölf Monate, verlängerbar um weitere zwölf Monate. Die Auswahl der Teilnehmer muss nach transparenten und fairen Kriterien erfolgen; KMU und Startups sind vorrangig zu berücksichtigen, sofern sie die Zulassungsvoraussetzungen erfüllen.
Die zuständigen Behörden müssen den Teilnehmern während des gesamten Sandbox-Zeitraums Orientierung, Aufsicht und angemessene Unterstützung bieten. Die Teilnehmer bleiben während der Sandbox-Aktivitäten allen geltenden Unions- und nationalen Rechtsvorschriften unterworfen, einschließlich der Pflichten bezüglich Sicherheit, Grundrechten und Datenschutz. Personenbezogene Daten, die während der Sandbox-Aktivitäten verarbeitet werden, müssen gemäß der Verordnung (EU) 2016/679 (DSGVO), der Verordnung (EU) 2018/1725 und der Richtlinie (EU) 2016/680 behandelt werden und dürfen ohne ausdrückliche Genehmigung nicht für andere Zwecke als die im Sandbox-Plan festgelegten verwendet werden.
Am Ende der Sandbox müssen die Teilnehmer einen Abschlussbericht vorlegen. Die zuständigen Behörden können eine Zusammenfassung der Ergebnisse veröffentlichen und damit zur breiteren Erkenntnisbasis für die KI-Regulierung in der gesamten Union beitragen.
Was dies in der Praxis bedeutet
Artikel 58 hat praktische Konsequenzen für eine Vielzahl von Akteuren — nationale Regulatoren, Innovatoren und Rechtsteams gleichermaßen.
Für nationale zuständige Behörden schafft der Artikel eine bindende Verpflichtung: In jedem Mitgliedstaat muss bis zum 2. August 2026 mindestens eine funktionsfähige Sandbox vorhanden sein. Regulatoren, die noch keine Sandbox-Programme gestartet haben, müssen die Governance-Gestaltung, die Ressourcenzuweisung und die behördenübergreifende Koordinierung (insbesondere mit den Datenschutzbehörden) beschleunigen. Grenzüberschreitende Sandboxen, die Artikel 58 ausdrücklich zulässt, erfordern bilaterale oder multilaterale Koordinierungsprotokolle zwischen den nationalen Behörden.
Für Anbieter und potenzielle Anbieter bietet die Sandbox einen strukturierten Weg, um Hochrisiko- oder neuartige KI-Systeme unter behördlicher Aufsicht vor der vollständigen Markteinführung zu testen. Konkret könnte ein Startup, das ein prädiktives Risikobewertungssystem für Kreditentscheidungen entwickelt — ein wahrscheinliches Hochrisiko-System gemäß Annex III — die Teilnahme an einer nationalen Sandbox beantragen, um die Konformität zu bewerten und die technische Dokumentation zu verfeinern, bevor die Hochrisikoregeln vollständig anwendbar werden.
Für Rechts- und Compliance-Teams schafft Artikel 58 keinen Compliance-Urlaub. Alle materiellen Pflichten nach anderen geltenden Rechtsvorschriften bleiben während der Sandbox-Teilnahme in Kraft. Datenschutz-Folgenabschätzungen sind weiterhin erforderlich, wo relevant; Grundrechtsschutzmaßnahmen können nicht aufgehoben werden. Was die Sandbox bietet, ist ein strukturierter regulatorischer Dialog, frühzeitiges Aufsichtsfeedback und ein gewisses Maß an Verfahrensflexibilität — keine Abweichung von materiellen Regeln.
Organisationen, die eine Sandbox-Teilnahme in Betracht ziehen, sollten frühzeitig Kontakt mit ihrer nationalen zuständigen Behörde aufnehmen, einen detaillierten Sandbox-Plan erstellen, der Ziele, Methodik, Daten-Governance und Abschlusskriterien abdeckt, und alle Entscheidungen und Ergebnisse im Hinblick auf die abschließende Berichtspflicht sorgfältig dokumentieren.
Wesentliche Pflichten
- Die Mitgliedstaaten müssen spätestens bis zum 2. August 2026 mindestens eine KI-Regulierungssandbox auf nationaler Ebene einrichten; der Europäische Datenschutzbeauftragte muss eine Sandbox für Organe, Einrichtungen, Ämter und Agenturen der Union einrichten.
- Die Sandbox-Teilnahme muss durch einen schriftlichen Plan geregelt sein, der zwischen dem Teilnehmer und der zuständigen Behörde vereinbart wird und das zu entwickelnde oder zu testende KI-System, die durchzuführenden Aktivitäten, die Ziele, die Dauer und die Aufsichtsvereinbarungen festlegt.
- Die Dauer ist auf zwölf Monate begrenzt, einmalig um weitere zwölf Monate verlängerbar, für maximal vierundzwanzig Monate insgesamt; Verlängerungen müssen begründet und von der zuständigen Behörde genehmigt werden.
- Die Auswahlkriterien müssen transparent und nichtdiskriminierend sein; KMU und Startups, die die Zulassungsvoraussetzungen erfüllen, sind vorrangig zu berücksichtigen, was der innovationsfreundlichen Politikabsicht von Titel VI entspricht.
- Alle geltenden Unions- und nationalen Rechtsvorschriften gelten weiterhin während des gesamten Sandbox-Zeitraums, einschließlich der DSGVO, sektorspezifischer Rechtsvorschriften und Sicherheitsanforderungen; personenbezogene Daten dürfen nur für die im Sandbox-Plan festgelegten Zwecke verarbeitet werden.
- Am Ende des Sandbox-Zeitraums muss ein Abschlussbericht vorgelegt werden, der Aktivitäten, Ergebnisse, gewonnene Erkenntnisse und Maßnahmen dokumentiert, die ergriffen wurden oder geplant sind, um die Compliance vor der Markteinführung oder Inbetriebnahme sicherzustellen.
Verhältnis zu anderen Artikeln
Artikel 58 ist Teil von Titel VI (Maßnahmen zur Unterstützung von Innovationen) und muss zusammen mit den umliegenden Bestimmungen dieses Titels gelesen werden. Artikel 57 definiert, was eine KI-Regulierungssandbox ist, und legt die allgemeine Rahmenverpflichtung fest, auf der Artikel 58 seine Betriebsbedingungen aufbaut. Artikel 59 behandelt die spezifische Regelung für die Verarbeitung personenbezogener Daten innerhalb von Sandboxen und liefert die Datenschutzschnittstelle, die Artikel 58 erfordert, aber selbst nicht im Detail ausführt. Artikel 60 erweitert analoge Testbestimmungen auf reale Bedingungen außerhalb von Sandboxen für bestimmte Hochrisiko-KI-Systeme.
Über Titel VI hinaus verbindet sich Artikel 58 mit den Pflichten der Anbieter von Hochrisiko-KI-Systemen gemäß Titel III, da die Sandbox-Teilnahme für Systeme, die möglicherweise unter Annex III-Klassifizierungen fallen, am relevantesten ist. Er steht auch in Wechselwirkung mit Artikel 74 (Marktüberwachung) und Artikel 70 (Vertraulichkeit), da die zuständigen Behörden innerhalb der Sandbox Aufsichtsbefugnisse ausüben und von den Teilnehmern geteilte kommerziell sensible Informationen verarbeiten.
Compliance-Zeitplan
Das EU-KI-Gesetz trat am 1. August 2024 in Kraft und löste einen gestuften Anwendungsplan aus. Die für Artikel 58 relevanten Schlüsseldaten sind:
- 1. August 2024 — Verordnung tritt in Kraft; alle Bestimmungen beginnen ihren Countdown zur Anwendung.
- 2. Februar 2025 — Verbote von KI-Praktiken mit unannehmbarem Risiko (Artikel 5) werden anwendbar.
- 2. August 2025 — Pflichten für GPAI-Modelle (Titel VIII) und Governance-Bestimmungen werden anwendbar.
- 2. August 2026 — Artikel 58 wird vollständig anwendbar: Die Mitgliedstaaten müssen bis zu diesem Datum mindestens eine betriebsbereite nationale KI-Regulierungssandbox eingerichtet haben. Die Sandbox des Europäischen Datenschutzbeauftragten für Organe der Union muss ebenfalls in Betrieb sein.
- 2. Dezember 2026 / 2. August 2027 — Pflichten für Hochrisiko-KI-Systeme gemäß Annex III (und Annex I für eingebettete Systeme) werden vollständig anwendbar — der Zeitraum, für den die Sandbox-Teilnahme für Anbieter, die Hochrisiko-Systeme entwickeln, am strategisch relevantesten ist.
Organisationen und nationale Behörden sollten den 2. August 2026 als harte Frist für die Sandbox-Bereitschaft behandeln, nicht als ein Ziel, auf das in letzter Minute hingearbeitet werden soll.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Eine KI-Regulierungssandbox ist eine kontrollierte Umgebung, die von einer oder mehreren nationalen zuständigen Behörden eingerichtet wird und es Anbietern sowie potenziellen Anbietern ermöglicht, innovative KI-Systeme unter behördlicher Aufsicht zu entwickeln, zu trainieren, zu testen und zu validieren, bevor sie in Verkehr gebracht oder in Betrieb genommen werden.
Die Teilnahme steht Anbietern und potenziellen Anbietern von KI-Systemen offen, einschließlich KMU und Startups. Die Auswahlkriterien müssen transparent sein, und die nationalen zuständigen Behörden müssen Antragsteller, die KMU oder Startups sind, vorrangig berücksichtigen, sofern sie die in Artikel 58 festgelegten Zulassungsvoraussetzungen erfüllen.
Nein. Die Teilnahme an einer Sandbox befreit Anbieter nicht von ihren Haftungspflichten nach dem KI-Gesetz oder anderen geltenden Unions- oder nationalen Rechtsvorschriften. Die zuständigen Behörden können ihre Aufsichtsbefugnisse jedoch während des Sandbox-Zeitraums mit einem gewissen Maß an Flexibilität ausüben, sofern der Schutz der öffentlichen Sicherheit und der Grundrechte gewahrt bleibt.
Der Sandbox-Zeitraum ist zeitlich begrenzt. In der Regel dauert die Teilnahme zwölf Monate und kann einmalig um weitere zwölf Monate verlängert werden, sodass die maximale Gesamtdauer vierundzwanzig Monate beträgt.
Ja. Artikel 58 sieht ausdrücklich die Möglichkeit gemeinsamer Sandboxen vor, an denen die zuständigen Behörden von zwei oder mehr Mitgliedstaaten beteiligt sind, um grenzüberschreitende Innovation und eine einheitliche Anwendung der Vorschriften im Binnenmarkt zu unterstützen.
Am Ende der Sandbox müssen die Teilnehmer der zuständigen Behörde einen Bericht vorlegen, in dem die Ergebnisse der durchgeführten Aktivitäten, die gewonnenen Erkenntnisse und gegebenenfalls die Maßnahmen zur Sicherstellung der Compliance vor der Markteinführung beschrieben werden. Die zuständige Behörde kann eine Zusammenfassung dieser Ergebnisse veröffentlichen.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.