Artikel 72 der Verordnung (EU) 2024/1689 — Überwachung nach dem Inverkehrbringen durch Anbieter und Plan zur Überwachung nach dem Inverkehrbringen für Hochrisiko-KI-Systeme. Offizieller Text, praktische Auslegung, zentrale Verpflichtungen und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 72 der Verordnung (EU) 2024/1689 legt eine verbindliche Pflicht zur Überwachung nach dem Inverkehrbringen für Anbieter von Hochrisiko-KI-Systemen fest. Anbieter sind verpflichtet, relevante Daten über die Leistung ihrer Hochrisiko-KI-Systeme während des gesamten Betriebslebens dieser Systeme nach dem Inverkehrbringen oder der Inbetriebnahme proaktiv zu erheben, zu dokumentieren und zu analysieren.
Der Artikel schreibt vor, dass Anbieter einen Plan zur Überwachung nach dem Inverkehrbringen ausarbeiten und umsetzen, der der Art der Hochrisiko-KI-Technologie und den damit verbundenen Risiken angemessen sein muss. Dieser Plan muss Teil der gemäß Artikel 11 erstellten technischen Dokumentation sein und in Übereinstimmung mit Annex IV aufgestellt werden. Er muss die Methoden und Verfahren zur systematischen Erhebung von Leistungsdaten definieren, einschließlich Daten von Betreibern, soweit relevant.
Wenn die Überwachung ergibt, dass ein Hochrisiko-KI-System die in Kapitel III, Abschnitt 2 festgelegten Anforderungen nicht mehr erfüllt, muss der Anbieter unverzüglich geeignete Korrekturmaßnahmen ergreifen. Dazu gehört die Aktualisierung des Systems, die Rücknahme vom Markt oder die Rückrufaktion, sofern erforderlich.
Artikel 72 erkennt auch die Rolle der Betreiber an: Anbieter müssen Betreiber anweisen, relevante Betriebsdaten bereitzustellen, die nicht direkt erhoben werden können. Die Überwachungspflicht ist kontinuierlicher Natur und nicht auf einen bestimmten Zeitpunkt beschränkt, was dem dynamischen Charakter der Leistung von KI-Systemen und den sich verändernden Kontexten, in denen diese Systeme eingesetzt werden, Rechnung trägt.
Was dies in der Praxis bedeutet
Für Organisationen, die Hochrisiko-KI-Systeme entwickeln oder liefern, führt Artikel 72 eine strukturierte, fortlaufende Compliance-Verpflichtung ein, die weit über den Zeitpunkt der Markteinführung hinausgeht. Anbieter können die Konformitätsbewertung nicht als einmalige Übung betrachten. Stattdessen müssen sie eine Überwachungsinfrastruktur entwerfen und in Betrieb nehmen, bevor ihr System in den Betrieb geht.
In der Praxis bedeutet dies, dass im Voraus festgelegt werden muss, welche Daten von eingesetzten Instanzen des Systems erhoben werden, wie diese Daten analysiert werden und welche Leistungsschwellen eine Überprüfung oder Korrekturmaßnahme auslösen. Zum Beispiel muss ein Anbieter eines KI-gestützten medizinischen Diagnose-Tools festlegen, welche Indikatoren – wie Falsch-Negativ-Raten, demographische Leistungsunterschiede oder Modell-Drift-Metriken – in welcher Häufigkeit und von wem verfolgt werden.
Anbieter von KI-Systemen, die in Produkte Dritter eingebettet sind, stehen vor einer zusätzlichen Herausforderung: Sie sind auf Betreiber angewiesen, die Betriebsdaten weiterleiten, auf die der Anbieter nicht direkt zugreifen kann. Dies erfordert vertragliche Vereinbarungen mit Betreibern, die Datenaustauschpflichten klar definieren, wie es die kombinierte Lektüre von Artikel 72 und Artikel 25 vorsieht.
Organisationen mit bestehenden Qualitätsmanagementsystemen (QMS) – wie solche, die bereits ISO 13485 für Medizinprodukte oder allgemeiner ISO 9001 einhalten – werden eine natürliche Übereinstimmung mit den Anforderungen von Artikel 72 feststellen. Der Plan zur Überwachung nach dem Inverkehrbringen sollte in das umfassendere, gemäß Artikel 17 dokumentierte QMS integriert werden, anstatt als eigenständiges Dokument behandelt zu werden.
Kleinere Anbieter und Start-ups müssen diese Funktion angemessen mit Ressourcen ausstatten: Artikel 72 sieht keine De-minimis-Ausnahme nach Unternehmensgröße vor, obwohl die Verhältnismäßigkeit des Plans zum Risikoniveau des Systems ausdrücklich anerkannt wird.
Wesentliche Verpflichtungen
- Erstellen eines Plans zur Überwachung nach dem Inverkehrbringen, der dem Risikoniveau und der Art des Hochrisiko-KI-Systems angemessen ist und als Teil der technischen Dokumentation gemäß Artikel 11 und Annex IV dokumentiert wird.
- Aktives Erheben und Analysieren von Daten nach dem Inverkehrbringen über die Systemleistung während des gesamten Betriebslebens, einschließlich Daten von Betreibern, wenn eine direkte Erhebung nicht möglich ist.
- Festlegen von Leistungsindikatoren und Schwellenwerten für Korrekturmaßnahmen im Voraus, mit Angabe, welches Maß an Leistungsabfall oder Nichtkonformität eine formelle Überprüfung oder Korrekturmaßnahme auslöst.
- Unverzügliches Ergreifen von Korrekturmaßnahmen, wenn die Überwachung ergibt, dass das System die Hochrisiko-Anforderungen aus Kapitel III, Abschnitt 2 nicht mehr erfüllt, was die Aktualisierung, den Rückruf oder die Rücknahme des Systems einschließen kann.
- Integration der Überwachungsergebnisse in das Qualitätsmanagementsystem gemäß Artikel 17, um sicherzustellen, dass die Erkenntnisse in die Produktverbesserung, Dokumentationsaktualisierungen und Neubewertungsprozesse einfließen.
- Anweisung an Betreiber, betrieblich relevante Daten bereitzustellen und am Überwachungsprozess nach dem Inverkehrbringen mitzuwirken, unterstützt durch geeignete vertragliche oder technische Vereinbarungen.
Verhältnis zu anderen Artikeln
Artikel 72 steht im Zentrum eines Clusters miteinander verbundener Verpflichtungen. Er füttert direkt Artikel 73, der die Meldung schwerwiegender Vorfälle und Funktionsstörungen an die nationalen zuständigen Behörden regelt: Das gemäß Artikel 72 eingerichtete Überwachungssystem ist der Erkennungsmechanismus für die Ereignisse, die Artikel 73 zur Meldung verpflichtet.
Artikel 17 (Qualitätsmanagementsysteme) liefert den organisatorischen Rahmen, in den der Plan zur Überwachung nach dem Inverkehrbringen eingebettet werden muss. Artikel 11 und Annex IV definieren die Anforderungen an die technische Dokumentation, zu der der Überwachungsplan gehören muss.
Artikel 25 verteilt die Verantwortlichkeiten zwischen Anbietern und Betreibern und ist wesentlich für das Verständnis, wie Anbieter Betriebsdaten von nachgelagerten Nutzern erhalten können. Artikel 26 ergänzt dies durch die Detaillierung der Betreiberpflichten, einschließlich der Pflicht, den Systemeinsatz zu überwachen und Anomalien an den Anbieter zu melden.
Für Hochrisiko-KI-Systeme, die Sicherheitskomponenten in Produkten sind, die unter in Annex I aufgeführte Harmonisierungsrechtsvorschriften der Union fallen, muss Artikel 72 zusammen mit den Marktüberwachungspflichten in der anwendbaren sektoralen Verordnung gelesen werden, wie der Medizinprodukteverordnung (EU) 2017/745 oder der Maschinenverordnung (EU) 2023/1230, um eine kohärente und nicht redundante Compliance sicherzustellen.
Zeitplan für die Compliance
Der EU AI Act trat am 1. August 2024 in Kraft, nachdem er im Amtsblatt der Europäischen Union veröffentlicht wurde. Die Verordnung gilt in Phasen für verschiedene Verpflichtungskategorien.
Artikel 72 gilt als Teil von Titel IX, der die Überwachung nach dem Inverkehrbringen und die Marktüberwachung regelt, für Anbieter von Hochrisiko-KI-Systemen, die in Annex III aufgeführt sind (allgemeine Hochrisikoklassen wie Biometrie, Beschäftigung, Bildung und Zugang zu wesentlichen Dienstleistungen), ab dem 2. August 2027. Hochrisiko-KI-Systeme gemäß Annex I – solche, die Sicherheitskomponenten von Produkten sind, die bereits unter bestehende Harmonisierungsrechtsvorschriften der Union fallen – unterliegen in den meisten Fällen ebenfalls ab dem 2. August 2027 den vollständigen Verpflichtungen, einschließlich Artikel 72, entsprechend dem allgemeinen Anwendungsdatum für Hochrisiko-KI-Systeme.
Anbieter sollten beachten, dass die früheren Fristen – Februar 2025 für verbotene KI-Praktiken und August 2025 für Verpflichtungen in Bezug auf KI-Modelle für allgemeine Zwecke – Artikel 72 nicht direkt regeln, der Grundstein für die Überwachungsinfrastruktur aber weit vor der Frist 2027 gelegt werden sollte. Organisationen, die heute Hochrisiko-KI-Systeme entwickeln, wird empfohlen, mit der Entwicklung ihrer Pläne zur Überwachung nach dem Inverkehrbringen als Teil des Konformitätsvorbereitungsprozesses zu beginnen, anstatt diese erst zum Zeitpunkt der Anwendung nachzurüsten.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Artikel 72 verpflichtet Anbieter von Hochrisiko-KI-Systemen, Daten über die Leistung ihrer Systeme nach dem Inverkehrbringen oder der Inbetriebnahme aktiv zu sammeln und zu prüfen. Ziel ist es sicherzustellen, dass die Systeme während ihres gesamten Betriebslebens die Anforderungen weiterhin erfüllen, damit Anbieter Probleme erkennen und beheben können, die bei der Konformitätsbewertung vor der Markteinführung möglicherweise nicht erkennbar waren.
Anbieter von Hochrisiko-KI-Systemen im Sinne von Annex III der Verordnung (EU) 2024/1689 oder von Systemen, die unter Annex I fallen, sind verpflichtet, einen Plan zur Überwachung nach dem Inverkehrbringen zu erstellen und aufrechtzuerhalten. Betreiber können gemäß Artikel 72(4) verpflichtet sein, durch die Übermittlung relevanter Informationen an den Anbieter mitzuwirken.
Der Plan muss Methoden und Verfahren zur aktiven Erhebung und Analyse von Daten nach dem Inverkehrbringen umfassen, Leistungsindikatoren und Schwellenwerte festlegen, Auslöser für Korrekturmaßnahmen identifizieren und sicherstellen, dass relevante Erkenntnisse in das Qualitätsmanagementsystem einfließen. Er muss als Teil der technischen Dokumentation gemäß Artikel 11 und Annex IV dokumentiert werden.
Artikel 72 wirkt zusammen mit Artikeln 73 und 74. Wenn die Überwachung nach dem Inverkehrbringen einen schwerwiegenden Vorfall oder einen Verstoß gegen Verpflichtungen aufdeckt, müssen Anbieter dies unverzüglich der zuständigen nationalen Behörde melden. Das Überwachungssystem dient als Erkennungsmechanismus, der die in den nachfolgenden Artikeln festgelegten Meldepflichten auslöst.
Artikel 72 gilt für Hochrisiko-KI-Systeme gemäß Annex III ab dem 2. August 2027 und für Hochrisiko-KI-Systeme gemäß Annex I (Sicherheitskomponenten in regulierten Produkten) in den meisten Fällen ebenfalls ab dem 2. August 2027. Einige Kategorien aus Annex III – insbesondere in den Bereichen Biometrie, kritische Infrastruktur und Bildung, die bereits unter frühere sektorale Vorschriften fallen – folgen dem Anwendungsdatum Dezember 2026.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.