Artikel 73 der Verordnung (EU) 2024/1689 — Meldung schwerwiegender Vorfälle. Offizieller Text, praktische Auslegung, zentrale Verpflichtungen und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 73 der Verordnung (EU) 2024/1689 (der EU AI Act) legt eine verbindliche Meldepflicht für schwerwiegende Vorfälle für Anbieter von Hochrisiko-KI-Systemen fest, die auf dem Unionsmarkt bereitgestellt werden. Gemäß dieser Bestimmung müssen Anbieter jeden schwerwiegenden Vorfall der Marktüberwachungsbehörde des Mitgliedstaats melden, in dem der Vorfall eingetreten ist, und zwar unverzüglich und innerhalb der in dem Artikel festgelegten Fristen.
Der Artikel definiert die Informationen, die ein Bericht enthalten muss: eine Beschreibung des Vorfalls, das betroffene Hochrisiko-KI-System, die Art des verursachten oder drohenden Schadens, die ergriffenen oder geplanten Korrekturmaßnahmen sowie alle relevanten technischen Unterlagen. Wenn ein Anbieter nicht in der Union ansässig ist, übernimmt der Bevollmächtigte die Meldepflicht.
Artikel 73 sieht ferner vor, dass dann, wenn ein schwerwiegender Vorfall gleichzeitig in den Anwendungsbereich anderer Rechtsvorschriften der Union fällt – wie der Verordnung (EU) 2017/745 über Medizinprodukte oder der Richtlinie 2016/680 über die Datenverarbeitung durch Strafverfolgungsbehörden – der Anbieter eine einzige Meldung über den geeignetsten Meldekanal übermitteln kann, sofern alle Informationsanforderungen der jeweiligen anwendbaren Rechtsinstrumente vollständig erfüllt werden. Marktüberwachungsbehörden müssen Vorfallsdaten mit dem Europäischen KI-Büro und mit Behörden anderer Mitgliedstaaten teilen, in denen dasselbe System eingesetzt wird, um unionsweites Lagebewusstsein sicherzustellen.
Was dies in der Praxis bedeutet
Für jede Organisation, die ein Hochrisiko-KI-System auf dem EU-Markt bereitstellt – ob als ursprünglicher Entwickler, Importeur oder Bevollmächtigter – begründet Artikel 73 eine unmittelbar operative Verpflichtung, die in dem Moment aktiviert wird, in dem ein schwerwiegender Vorfall erkannt wird.
In der Praxis erfordert die Compliance drei parallele Arbeitsbereiche. Erstens die interne Erkennung: Organisationen müssen über Überwachungssysteme, Protokollierungsinfrastruktur und Vorfallstriage-Prozesse verfügen, die in der Lage sind, Ereignisse zu identifizieren, die die in Artikel 3(49) definierte Schwelle für schwerwiegende Vorfälle erfüllen. Eine Anomalie in einem Kreditscoring-KI-System, die in großem Maßstab eine diskriminierende Kreditvergabeentscheidung verursacht, oder eine Fehlfunktion in einem KI-basierten medizinischen Diagnose-Tool, die zu einer Fehldiagnose beiträgt, würden wahrscheinlich beide in Frage kommen.
Zweitens die Benachrichtigung: Sobald ein Vorfall identifiziert wird, beginnt die Uhr zu laufen. Eine 72-Stunden-Frist gilt, wenn unmittelbares Risiko für Leben oder Sicherheit besteht; eine 15-Tage-Frist gilt in anderen Fällen. Organisationen benötigen vorbereitete Meldevorlagen, benannte Meldekontakte innerhalb ihrer Qualitätsmanagementsysteme (QMS) und Klarheit darüber, welche nationale Marktüberwachungsbehörde zuständig ist – in der Regel bestimmt durch den Ort, an dem der betroffene Betreiber oder Nutzer ansässig ist.
Drittens die Nachverfolgung: Die erste Meldung ist selten das Ende. Behörden werden ergänzende Informationen, technische Protokolle und Ursachenanalysen anfordern. Anbieter sollten ein Vorfallsregister führen und alle ergriffenen Korrekturmaßnahmen dokumentieren.
Ein medizinisches Bildgebungsunternehmen, das ein KI-Diagnose-Tool in Deutschland und Frankreich einsetzt, muss darauf vorbereitet sein, gleichzeitig der Bundesnetzagentur (oder der benannten zuständigen Behörde in Deutschland) und der entsprechenden französischen Behörde zu melden, wenn Vorfälle in beiden Rechtsgebieten auftreten. Das Europäische KI-Büro erhält konsolidierte Daten, um grenzüberschreitende Muster zu verfolgen.
Wesentliche Verpflichtungen
- Unverzügliche Benachrichtigung: Schwerwiegende Vorfälle der zuständigen Marktüberwachungsbehörde des betroffenen Mitgliedstaats ohne unangemessene Verzögerung melden – innerhalb von 72 Stunden, wenn Leben oder Sicherheit gefährdet sind, und spätestens innerhalb von 15 Tagen in anderen Fällen.
- Inhaltliche Anforderungen an den Bericht: Eine Beschreibung des Vorfalls, die Identifizierung des KI-Systems, Art und Ausmaß des Schadens, ergriffene oder geplante Korrekturmaßnahmen sowie Verweise auf die gemäß Artikel 11 gepflegte relevante technische Dokumentation aufnehmen.
- Pflicht des Bevollmächtigten: Wenn der Anbieter außerhalb der EU ansässig ist, ist der gemäß Artikel 22 benannte Bevollmächtigte verantwortlich für die Einreichung des Vorfallsberichts im Namen des Anbieters.
- Koordination bei mehreren Rechtsinstrumenten: Wenn ein Vorfall auch Meldepflichten nach anderen Rechtsvorschriften der Union auslöst (z. B. MDR, NIS2, DORA), kann der Anbieter Meldungen konsolidieren, sofern alle regulatorischen Informationsanforderungen vollständig erfüllt sind.
- Informationsaustausch durch Behörden: Marktüberwachungsbehörden, die einen Bericht erhalten, müssen diesen mit dem Europäischen KI-Büro teilen und Behörden in anderen Mitgliedstaaten benachrichtigen, in denen dasselbe System eingesetzt wird, um eine koordinierte Reaktion auf Unionsebene zu ermöglichen.
- Führung eines Vorfallsregisters: Anbieter müssen Aufzeichnungen über alle schwerwiegenden Vorfälle und Beinahe-Vorfälle als Teil ihrer Überwachungspflichten nach dem Inverkehrbringen gemäß Artikel 72 führen, um Rückverfolgbarkeit und Prüfungsbereitschaft sicherzustellen.
Verhältnis zu anderen Artikeln
Artikel 73 kann nicht isoliert betrachtet werden. Er ist der Benachrichtigungsmechanismus, der den umfassenderen Rahmen für die Überwachung nach dem Inverkehrbringen, der in Artikel 72 festgelegt ist, operationalisiert. Dieser Artikel verpflichtet Anbieter, kontinuierliche Überwachungssysteme und Vorfallsprotokolle als Teil ihres Qualitätsmanagementsystems zu unterhalten. Das QMS selbst wird durch Artikel 17 geregelt, der die Dokumentations- und Prozessanforderungen festlegt, die jeden glaubwürdigen Vorfallsbericht untermauern.
Die Definition des „schwerwiegenden Vorfalls" in Artikel 3(49) ist der Schwellenwert-Auslöser für die Verpflichtungen gemäß Artikel 73, und der Anwendungsbereich des „Hochrisiko-KI-Systems" in Artikel 6 und Annex III bestimmt, welche Systeme in den Anwendungsbereich des Artikels fallen. Artikel 22 regelt Bevollmächtigte und wird direkt für Anbieter außerhalb der EU referenziert.
Auf der Ebene der Marktüberwachung fließt Artikel 73 in die breitere Aufsichtsarchitektur der Artikel 74–77 (Marktüberwachungsbefugnisse, Zugang zu Informationen und Korrekturmaßnahmen) ein. Artikel 78 regelt die Vertraulichkeit der zwischen Behörden ausgetauschten Informationen. Für KI-Modelle für allgemeine Zwecke mit systemischem Risiko legt Artikel 55 parallele Meldepflichten für Vorfälle fest, die mit Artikel 73 interagieren, wenn solche Modelle in Hochrisikoanwendungen integriert werden.
Zeitplan für die Compliance
Der EU AI Act trat am 1. August 2024 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt der Europäischen Union. Die Bestimmungen gelten jedoch nach einem Stufenplan:
- 2. Februar 2025: Verbote für KI-Praktiken mit unannehmbarem Risiko (Titel II) wurden anwendbar.
- 2. August 2025: Verpflichtungen für KI-Modelle für allgemeine Zwecke (Titel VIII, einschließlich Artikel 55 zur Meldung systemischer Risiken) wurden anwendbar. Das Europäische KI-Büro und die Governance-Strukturen wurden operativ.
- 2. August 2026: Regeln für Hochrisiko-KI-Systeme aus Annex III, die keine Sicherheitskomponenten von Produkten sind, die durch bestehende Harmonisierungsrechtsvorschriften der Union reguliert werden, werden anwendbar – die Meldung von Vorfällen gemäß Artikel 73 tritt für diese Systeme an diesem Datum in vollem Umfang in Kraft.
- 2. August 2027: Regeln für Hochrisiko-KI-Systeme, die Sicherheitskomponenten von Produkten sind, die bereits unter Harmonisierungsrechtsvorschriften der Union fallen (z. B. Medizinprodukte, Maschinen), werden anwendbar und schließen den stufenweisen Rollout ab.
Organisationen, die Hochrisiko-KI-Systeme in den Anwendungsbereichen der Termine Dezember 2026 / August 2027 einsetzen, sollten 2025–2026 als Compliance-Aufbauphase betrachten: Implementierung der Überwachungsinfrastruktur nach dem Inverkehrbringen, Ausarbeitung von Vorfallreaktionsverfahren und Belastungstest der Meldeabläufe weit vor dem Inkrafttreten der Verpflichtungen gemäß Artikel 73.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Anbieter von Hochrisiko-KI-Systemen, die auf dem EU-Markt bereitgestellt werden, sind die primären Meldepflichtigen gemäß Artikel 73. Wenn ein Anbieter außerhalb der EU ansässig ist, übernimmt der Bevollmächtigte die Meldepflicht im Namen des Anbieters. Betreiber, die Behörden oder Organe der Union sind, können ebenfalls Meldepflichten unterliegen, wenn sie von einem schwerwiegenden Vorfall Kenntnis erlangen.
Ein schwerwiegender Vorfall ist in Artikel 3(49) der Verordnung (EU) 2024/1689 definiert als ein Vorfall oder eine Fehlfunktion eines Hochrisiko-KI-Systems, der/die direkt oder indirekt zum Tod einer Person oder zu schwerwiegenden Schäden für die Gesundheit, das Eigentum oder die Umwelt einer Person oder zu einer schwerwiegenden und irreversiblen Störung kritischer Infrastruktur führt. Beinahe-Vorfälle, die zu solchen Folgen hätten führen können, können je nach Leitlinien der nationalen Marktüberwachungsbehörde ebenfalls eine Meldung auslösen.
Anbieter müssen die zuständige Marktüberwachungsbehörde unverzüglich nach Bekanntwerden eines schwerwiegenden Vorfalls und spätestens 15 Tage nach erstmaligem Bekanntwerden benachrichtigen. Wenn der Vorfall ein Risiko für Leben oder Sicherheit von Personen beinhaltet, muss die Benachrichtigung ohne unangemessene Verzögerung und, wenn möglich, spätestens 72 Stunden nach Bekanntwerden des Vorfalls durch den Anbieter erfolgen.
Der Bericht muss der Marktüberwachungsbehörde des Mitgliedstaats übermittelt werden, in dem der Vorfall eingetreten ist oder in dem der betroffene Nutzer ansässig ist. Die Agentur der Europäischen Union für Cybersicherheit (ENISA) fungiert als zentrale Stelle für bestimmte infrastrukturbezogene Vorfälle, und das Europäische KI-Büro koordiniert den Informationsfluss auf Unionsebene.
Nein. Artikel 73 gilt speziell für Hochrisiko-KI-Systeme im Sinne von Artikel 6 und Annex III sowie für KI-Modelle für allgemeine Zwecke mit systemischem Risiko, soweit schwerwiegende Vorfälle aus ihrer Integration in Hochrisikoanwendungen entstehen. Für KI-Systeme mit geringem oder minimalem Risiko gilt die Meldepflicht für Vorfälle gemäß diesem Artikel nicht.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.