Article 71 — EU-Datenbank für Hochrisiko-KI-Systeme (EU AI Act)

Article 71 der Verordnung (EU) 2024/1689 — EU-Datenbank für Hochrisiko-KI-Systeme. Offizieller Text, praktische Interpretation, Hauptpflichten und Konsequenzen für die Compliance.

Zusammenfassung des offiziellen Textes

Article 71 der Verordnung (EU) 2024/1689 richtet die EU-Datenbank für Hochrisiko-KI-Systeme ein und überträgt der Europäischen Kommission die Verantwortung für deren Einrichtung und Pflege. Die Datenbank soll als zentrales, öffentlich zugängliches Repository dienen, das die Transparenz bezüglich Hochrisiko-KI-Systemen erhöht, bevor diese auf dem EU-Markt platziert oder in Betrieb genommen werden.

Nach Article 71 müssen Anbieter von Hochrisiko-KI-Systemen, die in den Anwendungsbereich von Annex III fallen, ihre Systeme vor der Marktplatzierung oder Inbetriebnahme in der Datenbank registrieren. In bestimmten Fällen unterliegen auch Deployer von Annex III-Systemen Registrierungspflichten. Die zu übermittelnden Informationen sind in Annex VIII festgelegt und umfassen wesentliche Identifikations- und technische Details des Systems, seinen vorgesehenen Verwendungszweck, den gewählten Konformitätsbewertungsansatz sowie Verweise auf die EU-Konformitätserklärung.

Der Artikel richtet zwei unterschiedliche Bereiche innerhalb der Datenbank ein: einen öffentlich zugänglichen Bereich für die Mehrheit der Hochrisiko-KI-Systeme und einen beschränkten Bereich, der nur für relevante Marktüberwachungsbehörden, die Kommission und das KI-Amt zugänglich ist, für Systeme, die von öffentlichen Behörden in sensiblen Bereichen wie Strafverfolgung, Grenzmanagement, Einwanderung und Asyl eingesetzt werden. Diese Zwei-Track-Struktur balanciert das öffentliche Interesse an Transparenz gegen legitime Vertraulichkeitsbedenken bei sensiblen Tätigkeiten des öffentlichen Sektors. Die Kommission ist damit beauftragt, sicherzustellen, dass die Datenbank funktionsfähig, benutzerfreundlich und interoperabel mit anderen relevanten nationalen und EU-weiten Registern ist.

Praktische Bedeutung

Für Anbieter von Hochrisiko-KI-Systemen, die unter Annex III fallen, ist die unmittelbarste praktische Konsequenz von Article 71 der obligatorische Registrierungsschritt, der vor jeder kommerziellen oder operativen Inbetriebnahme abgeschlossen sein muss. Die Registrierung ist kein nachträglicher Gedanke – sie ist eine Gating-Pflicht, die vorgelagert zum Markteintritt erfüllt sein muss, was bedeutet, dass Compliance-Prozesse so strukturiert sein müssen, dass die Registrierung als Teil der Vorstart-Checkliste abgeschlossen wird.

Anbieter müssen ein Konto auf der von der Kommission verwalteten EU-Datenbankplattform erstellen und die vorgeschriebenen Informationen in Annex VIII einreichen. Dies umfasst eine strukturierte Beschreibung des KI-Systems, seinen vorgesehenen Verwendungszweck, das befolgte Konformitätsbewertungsverfahren, einen Verweis auf die EU-Konformitätserklärung und gegebenenfalls das von einer Notified Body ausgestellte EU-Baumusterprüfbescheinigung. Verweise auf Post-Market-Monitoring-Pläne sind ebenfalls erforderlich.

Beispielsweise muss ein Anbieter, der ein KI-gestütztes Lebenslauf-Screening-Tool für die Personalbeschaffung entwickelt (eine Annex III, Titel IV-Kategorie), das System im öffentlichen Bereich der Datenbank registrieren, bevor es HR-Abteilungen in den EU-Mitgliedstaaten zur Verfügung gestellt wird. Umgekehrt würde eine nationale Polizei, die ein KI-System für die Echtzeit-Gesichtserkennung in öffentlichen Räumen einsetzt, sich im beschränkten Bereich registrieren, wobei der Zugang auf Aufsichtsbehörden beschränkt ist.

Deployer bestimmter Hochrisiko-KI-Systeme nach Annex III – insbesondere solche, die im öffentlichen Sektor tätig sind oder Systeme mit erheblichen gesellschaftlichen Auswirkungen einsetzen – müssen auch sicherstellen, dass die von ihnen in Betrieb genommenen Systeme angemessen registriert sind, und können selbst ergänzende Registrierungspflichten haben, je nach Systemkategorie. Organisationen sollten ihre KI-Portfolios gegen Annex III-Kategorien abbilden und Registrierungsabläufe in ihre umfassenderen KI-Governance-Verfahren einbauen.

Hauptpflichten

• Anbieterregistrierung vor Marktplatzierung: Anbieter von Hochrisiko-KI-Systemen nach Annex III müssen das System in der EU-Datenbank registrieren, bevor es auf dem Markt platziert oder in der EU in Betrieb genommen wird.
• Übermittlung von Annex VIII-Informationen: Die Registrierung erfordert die vollständige und genaue Übermittlung aller in Annex VIII vorgeschriebenen Informationsfelder, einschließlich Systembeschreibung, vorgesehenem Verwendungszweck, Konformitätsbewertungsdetails und Verweisen auf die Konformitätserklärung.
• Deployer-Registrierung in bestimmten Fällen: Deployer bestimmter Hochrisiko-KI-Systeme nach Annex III (insbesondere Deployer aus dem öffentlichen Sektor) haben eigene Registrierungspflichten und müssen die relevanten Informationen vor der Inbetriebnahme des Systems eingeben.
• Registrierung im beschränkten Bereich für sensible Domains: KI-Systeme, die von öffentlichen Behörden in der Strafverfolgung, Grenzkontrolle, Einwanderung und Asyl eingesetzt werden, müssen im nicht öffentlichen, beschränkten Bereich der Datenbank und nicht im allgemeinen öffentlichen Bereich registriert werden, wobei der Zugang entsprechend kontrolliert wird.
• Aktuell halten der Registrierungsinformationen: Anbieter und Deployer müssen sicherstellen, dass registrierte Informationen während des gesamten Lebenszyklus des Systems genau und aktuell bleiben und Einträge aktualisieren, wenn relevante Änderungen eintreten (z. B. wesentliche Änderungen, die eine neue Konformitätsbewertung auslösen).
• Pflege und Interoperabilität durch die Kommission: Die Europäische Kommission ist verpflichtet, die Datenbank einzurichten, zu pflegen und betriebsbereit, benutzerfreundlich und interoperabel mit anderen relevanten Registern zu halten, um ihre langfristige Zugänglichkeit für die Öffentlichkeit und zuständige Behörden zu gewährleisten.

Bezug zu anderen Artikeln

Article 71 fungiert als praktisches Instrument, durch das die an anderer Stelle in der Verordnung festgelegten Dokumentations- und Transparenzpflichten öffentlich sichtbar gemacht werden. Er verbindet eng mit Article 48 (EU-Konformitätserklärung) und Article 47 (bevollmächtigte Vertreter), da der Verweis auf die Konformitätserklärung ein obligatorisches Datenbankfeld ist. Die in den Articles 43 und 44 festgelegten Konformitätsbewertungsverfahren fließen direkt in das ein, was Anbieter bei der Registrierung offenlegen müssen.

Article 71 arbeitet auch mit Article 49 (Registrierungspflichten als eigenständiger Artikel in Titel VI) zusammen, der die Datenbank als Mechanismus zur Erfüllung dieser Pflichten querverweist. Die Informationsanforderungen von Annex VIII sind untrennbar mit den technischen Dokumentationspflichten in Annex IV (Articles 11 und 12) verbunden. Für die nachgelagerte Aufsicht unterstützt Article 71 den Marktüberwachungsrahmen in Articles 74 und 75, da nationale Behörden und das KI-Amt Datenbankeinträge als Ausgangspunkt für Überwachungs- und Durchsetzungsmaßnahmen nutzen können. Schließlich regelt Article 78 (Vertraulichkeit), wie sensible Informationen, die in die Datenbank eingereicht werden, insbesondere im beschränkten Bereich, von zuständigen Behörden behandelt werden müssen.

Zeitplan für die Compliance

Der EU AI Act trat am 1. August 2024 in Kraft und löste den in Article 113 festgelegten gestaffelten Anwendungsplan aus.

• 1. August 2024 — Verordnung tritt in Kraft; die Kommission beginnt mit der Vorbereitungsarbeit zur Einrichtung der EU-Datenbankinfrastruktur.
• 2. Februar 2025 — Verbotene KI-Praktiken (Article 5) werden anwendbar; noch keine aktiven Article 71-Registrierungspflichten.
• 2. August 2025 — GPAI-Modellpflichten und Governance-Bestimmungen (Titel III, Kapitel III und Titel V) werden anwendbar; Article 71-Datenbank noch nicht für diese Kategorien operativ.
• 2. August 2026 — Article 71-Registrierungspflichten werden für Anbieter und Deployer von Hochrisiko-KI-Systemen nach Annex III anwendbar (ausgenommen jene, die bereits unter die in Annex I aufgeführte Harmonisierungsgesetzgebung der Union fallen). Dies ist das primäre Aktivierungsdatum für die EU-Datenbank für die Mehrheit der in den Anwendungsbereich fallenden Systeme.
• 2. August 2027 — Hochrisiko-KI-Systeme unter Annex I-Produktsicherheitsgesetzgebung (z. B. Medizinprodukte, Maschinen), die vor dem 2. August 2024 bereits auf dem Markt waren, müssen alle geltenden Pflichten einschließlich der Registrierung erfüllen, sofern sie einer wesentlichen Änderung unterzogen wurden.

Organisationen, die Annex III-KI-Systeme entwickeln oder einsetzen, sollten die Frist August 2026 als festes operatives Ziel für die Bereitschaft zur Datenbankregistrierung behandeln und Registrierungsabläufe gut im Voraus in ihre Compliance-Programme integrieren.