Artikel 77 der Verordnung (EU) 2024/1689 — Befugnisse der für den Schutz der Grundrechte zuständigen Behörden. Offizieller Text, praktische Auslegung, wesentliche Verpflichtungen und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 77 der Verordnung (EU) 2024/1689 legt spezifische Befugnisse für nationale Behörden fest, deren Mandat den Schutz der Grundrechte umfasst, und ermöglicht es ihnen, als zusätzliche Aufsichtsschicht über die in ihrer Zuständigkeit eingesetzten Hochrisiko-KI-Systeme zu fungieren.
Gemäß Artikel 77 Absatz 1 wird jeder nationalen öffentlichen Behörde oder Stelle, die für die Überwachung oder Durchsetzung von Verpflichtungen im Zusammenhang mit Grundrechten zuständig ist — einschließlich Datenschutzbehörden gemäß Verordnung (EU) 2016/679, Gleichstellungsstellen, Verbraucherschutzbehörden und ähnlichen Einrichtungen — das Recht eingeräumt, von Betreibern von Hochrisiko-KI-Systemen Zugang zu den gemäß der Verordnung erstellten und gepflegten Dokumentationen zu verlangen. Diese Behörden können insbesondere die Folgenabschätzung für die Grundrechte verlangen, die von bestimmten Betreibern gemäß Artikel 27 verlangt wird, die vom KI-System automatisch generierten und gemäß Artikel 26 Absatz 6 aufbewahrten Protokolle sowie jede andere relevante Dokumentation, die die Compliance belegt.
Gemäß Artikel 77 Absatz 2 hat eine solche Behörde, wenn sie hinreichende Gründe zu der Annahme hat, dass ein Hochrisiko-KI-System ein Risiko für die Grundrechte oder die Gesundheit und Sicherheit von Personen darstellt, die zuständige, gemäß Artikel 70 benannte Marktüberwachungsbehörde zu informieren und kann ihr alle ihr zur Verfügung stehenden einschlägigen Informationen übermitteln. Die Marktüberwachungsbehörde ist dann dafür zuständig, gemäß ihren Kompetenzen nach Kapitel VII geeignete Ermittlungs- und Korrekturmaßnahmen zu ergreifen.
Artikel 77 schafft somit einen strukturierten Kooperationsmechanismus zwischen sektorspezifischen Grundrechtsbehörden und der primären Marktüberwachungsinfrastruktur, ohne diesen Behörden unabhängig vom etablierten Marktüberwachungsrahmen direkte Durchsetzungsbefugnisse in Bezug auf die Compliance von KI-Systemen zu übertragen.
Was dies in der Praxis bedeutet
Artikel 77 hat direkte operative Konsequenzen für Betreiber von Hochrisiko-KI-Systemen — insbesondere für diejenigen, die in sensiblen Bereichen wie Beschäftigung, Bildung, Zugang zu wesentlichen Diensten, Strafverfolgung, Migration und der Rechtspflege tätig sind, wo die Exposition gegenüber Grundrechten am stärksten ausgeprägt ist.
Betreiber müssen darauf vorbereitet sein, auf Dokumentationsanfragen von einem breiteren Kreis öffentlicher Behörden zu reagieren als nur von der primären Marktüberwachungsbehörde. Eine Datenschutzbehörde, die eine Untersuchung eines KI-gestützten Recruitingtools durchführt, eine Gleichstellungsstelle, die ein automatisiertes System zur Leistungsanspruchsprüfung untersucht, oder eine Verbraucherschutzbehörde, die eine KI-gestützte Kreditbewertungsplattform prüft, können alle Artikel 77 geltend machen, um die Folgenabschätzung für die Grundrechte des Betreibers und die Systemprotokolle zu erhalten.
Praktisch bedeutet dies, dass Betreiber sicherstellen sollten, dass ihre Folgenabschätzung für die Grundrechte gemäß Artikel 27 abgeschlossen, aktuell und vor der Inbetriebnahme leicht zugänglich ist — sie sollte nicht als nachträgliche Maßnahme behandelt werden. Ebenso müssen die Protokollierungspflichten gemäß Artikel 26 operativ aktiv sein, damit Aufzeichnungen auf Anfrage ohne Verzögerung vorgelegt werden können.
Für Anbieter unterstreicht Artikel 77 die Bedeutung der Erstellung und Pflege umfassender technischer Dokumentation gemäß Artikel 11 und Gebrauchsanweisungen gemäß Artikel 13, die ausreichend detailliert sind, um die Compliance der Betreiber zu unterstützen. Wenn eine Grundrechtsbehörde Bedenken äußert und die Marktüberwachungsbehörde benachrichtigt, wird die Dokumentation des Anbieters bei jeder anschließenden Untersuchung von zentraler Bedeutung sein.
Organisationen, die Hochrisiko-KI-Systeme betreiben, sollten ermitteln, welche Grundrechtsbehörden für ihre Tätigkeiten zuständig sind, und proaktiv bewerten, wie diese Behörden ihr Mandat in Bezug auf die KI-Aufsicht voraussichtlich interpretieren werden.
Wichtigste Verpflichtungen
- Betreiber müssen auf Anfrage Dokumentationen vorlegen: Auf Anfrage einer zuständigen Grundrechtsbehörde müssen Betreiber von Hochrisiko-KI-Systemen Zugang zur Folgenabschätzung für die Grundrechte (Artikel 27), den automatisch generierten Protokollen (Artikel 26 Absatz 6) und jeder anderen für die Bewertung der Behörde relevanten Dokumentation gewähren.
- Grundrechtsbehörden müssen Marktüberwachungsbehörden benachrichtigen: Wenn eine Grundrechtsbehörde hinreichende Gründe zu der Annahme hat, dass ein Hochrisiko-KI-System Risiken für die Grundrechte oder für Gesundheit und Sicherheit darstellt, ist sie verpflichtet, die zuständige, gemäß Artikel 70 benannte Marktüberwachungsbehörde zu informieren und alle relevanten Informationen zu teilen.
- Folgenabschätzungen für die Grundrechte müssen aktuell und zugänglich sein: Da Artikel 77 ein aktives Recht auf Dokumentationsanfragen schafft, können Betreiber, die Artikel 27 unterliegen, die Folgenabschätzung nicht aufschieben oder vernachlässigen — sie muss vorhanden und abrufbar sein, wenn eine Behörde ihre Befugnisse ausübt.
- Protokollaufbewahrung muss vor der Inbetriebnahme operativ sein: Betreiber müssen sicherstellen, dass die gemäß Artikel 26 Absatz 6 erforderlichen Protokollierungsmechanismen aktiv sind und die Aufzeichnungen so aufbewahrt werden, dass sie den Behörden, die Artikel 77 geltend machen, rechtzeitig vorgelegt werden können.
- Behördenübergreifende Zusammenarbeit ist erforderlich: Betreiber und Anbieter müssen darauf vorbereitet sein, gleichzeitig mit mehreren zuständigen Stellen zusammenzuarbeiten — der Grundrechtsbehörde, die die Untersuchung einleitet, und der Marktüberwachungsbehörde, der sie Bericht erstattet — ohne Widersprüche in den an jede Stelle übermittelten Informationen zu erzeugen.
Bezug zu anderen Artikeln
Artikel 77 steht an der Schnittstelle des Rahmens für die Überwachung nach dem Inverkehrbringen (Kapitel IX) und der übergeordneten Marktüberwachungsarchitektur (Kapitel VII) und muss in Verbindung mit mehreren anderen Bestimmungen gelesen werden.
Artikel 26 (Pflichten der Betreiber) legt die zentralen Überwachungs- und Protokollierungspflichten fest, aus denen die Dokumentation hervorgeht, auf die Behörden gemäß Artikel 77 Zugang haben. Artikel 27 (Folgenabschätzung für die Grundrechte bei Hochrisiko-KI-Systemen) erstellt das primäre Dokument, das Grundrechtsbehörden anfordern werden; die beiden Artikel sind operativ miteinander verbunden.
Artikel 70 (Benennung nationaler zuständiger Behörden und nationaler Ansprechpartner) benennt die Marktüberwachungsbehörden, an die Grundrechtsbehörden gemäß Artikel 77 Absatz 2 berichten müssen. Die Artikel 74 und 75 definieren die Ermittlungs- und Korrekturbefugnisse, die diese Marktüberwachungsbehörden nach einer Benachrichtigung ausüben können.
Artikel 13 (Transparenz und Bereitstellung von Informationen für Betreiber) und Artikel 11 (Technische Dokumentation) sind relevant, weil die Angemessenheit der vom Anbieter gelieferten Dokumentation die Fähigkeit des Betreibers, auf Anfragen gemäß Artikel 77 zu reagieren, direkt beeinflusst. Artikel 9 (Risikomanagementsystem) liefert den vorgelagerten Analyserahmen, der die in Artikel 77 genannte Folgenabschätzung für die Grundrechte leiten sollte.
Für Organisationen, die der DSGVO unterliegen, sollte Artikel 77 auch in Verbindung mit den Artikeln 35 und 51–59 der Verordnung (EU) 2016/679 gelesen werden, die Datenschutz-Folgenabschätzungen und die Befugnisse der Aufsichtsbehörden regeln — Kompetenzen, die sich bei KI-Einsätzen, die die Verarbeitung personenbezogener Daten umfassen, erheblich mit dem Rahmen von Artikel 77 überschneiden.
Compliance-Zeitplan
Das EU-KI-Gesetz ist am 1. August 2024 in Kraft getreten, zwanzig Tage nach der Veröffentlichung im Amtsblatt der Europäischen Union.
Der schrittweise Anwendungsplan sieht wie folgt aus:
- 2. Februar 2025: Verbot von KI-Praktiken mit unannehmbarem Risiko (Artikel 5) wurde anwendbar.
- 2. August 2025: Regeln für KI-Modelle für allgemeine Zwecke (Titel VIII, Artikel 51–56) und Governance-Verpflichtungen (Titel VII) wurden anwendbar.
- 2. August 2026: Artikel 77 wird zusammen mit dem vollständigen Rahmen für Hochrisiko-KI-Systeme, die in Anhang III aufgeführt sind (einschließlich Anwendungen in den Bereichen Beschäftigung, Bildung, wesentliche Dienste, Strafverfolgung, Migration und Justiz), anwendbar. Dies ist die primäre Compliance-Frist für die meisten Betreiber, die voraussichtlich mit Anfragen gemäß Artikel 77 von Grundrechtsbehörden konfrontiert werden.
- 2. August 2027: Der Rahmen von Artikel 77 — und die umfassenderen Verpflichtungen für Hochrisiko-KI-Systeme — wird auf KI-Systeme anwendbar, die durch Harmonisierungsvorschriften der Union gemäß Anhang I geregelt werden (einschließlich Medizinprodukte, Maschinen, Zivilluftfahrt und Kraftfahrzeugkomponenten).
Betreiber von Hochrisiko-KI-Systemen in grundrechtssensiblen Bereichen sollten ihre Folgenabschätzungen für die Grundrechte gemäß Artikel 27 abschließen und überprüfen, ob ihre Protokollierungsinfrastruktur gemäß Artikel 26 vor der Frist 2. August 2026 operativ ist.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Artikel 77 ermächtigt nationale Behörden, die für den Schutz der Grundrechte zuständig sind — wie Datenschutzbehörden, Gleichstellungsstellen und Verbraucherschutzbehörden — dazu, Zugang zu Dokumentationen zu verlangen und Marktüberwachungsmaßnahmen durchzuführen, wenn sie Grund zu der Annahme haben, dass ein Hochrisiko-KI-System Risiken für die Grundrechte darstellen könnte.
Artikel 77 gilt für jede nationale öffentliche Behörde oder Stelle, die für die Überwachung oder Durchsetzung von Verpflichtungen im Bereich der Grundrechte zuständig ist, einschließlich Aufsichtsbehörden gemäß der DSGVO, Gleichstellungsstellen und anderen zuständigen Behörden, deren Mandat Bereiche betrifft, in denen Hochrisiko-KI-Systeme eingesetzt werden.
Diese Behörden können von Betreibern verlangen, die gemäß Artikel 27 durchgeführte Folgenabschätzung für die Grundrechte, die von Betreibern gemäß Artikel 26 aufbewahrten Protokolle sowie jede andere Dokumentation vorzulegen, die zur Bewertung der Compliance erforderlich ist. Sie können auch die Marktüberwachungsbehörde benachrichtigen, wenn sie potenzielle Verstöße feststellen.
Datenschutzbehörden, die als Aufsichtsbehörden im Rahmen der DSGVO tätig sind, gehören zu den Behörden, die ausdrücklich im Rahmen von Artikel 77 vorgesehen sind. Wenn KI-Systeme personenbezogene Daten verarbeiten und die Grundrechte beeinträchtigen können, können diese Behörden die durch Artikel 77 gewährten Befugnisse in Koordinierung mit ihren bestehenden DSGVO-Durchsetzungskompetenzen ausüben.
Artikel 77 gilt ab dem 2. August 2026 für die meisten in Anhang III aufgeführten Hochrisiko-KI-Systeme und ab dem 2. August 2027 für Hochrisiko-KI-Systeme, die unter bestehende sektorale Harmonisierungsvorschriften der Union fallen, die in Anhang I aufgeführt sind. Die allgemeinen Bestimmungen des EU-KI-Gesetzes sind am 1. August 2024 in Kraft getreten.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.