Artikel 8 der Verordnung (EU) 2024/1689 — Einhaltung der Anforderungen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 8 der Verordnung (EU) 2024/1689, der sich in Titel III (Hochrisiko-KI-Systeme), Kapitel 2 (Anforderungen an Hochrisiko-KI-Systeme) befindet, begründet die grundlegende Compliance-Pflicht für Anbieter von Hochrisiko-KI-Systemen. Nach Artikel 8(1) müssen solche Systeme alle in den Artikeln 9 bis 15 desselben Kapitels festgelegten Anforderungen erfüllen, die Risikomanagementsysteme, Daten und Daten-Governance, technische Dokumentation, Protokollierung, Transparenz und Bereitstellung von Informationen für Betreiber, Maßnahmen zur menschlichen Aufsicht sowie Normen für Genauigkeit, Robustheit und Cybersicherheit abdecken.
Artikel 8(2) befasst sich mit dem Verhältnis zwischen der KI-Regulierung und bestehenden Produktsicherheitsvorschriften. Wenn ein Hochrisiko-KI-System selbst eine Sicherheitskomponente eines Produkts ist oder das Produkt selbst darstellt, und dieses Produkt in den Anwendungsbereich der in Anhang I der Verordnung aufgeführten Harmonisierungsvorschriften der Union fällt, muss das KI-System sowohl die Kapitel-2-Anforderungen als auch die anwendbaren Anhang-I-Rechtsvorschriften erfüllen. In solchen Fällen kann ein einziges Konformitätsbewertungsverfahren gelten, soweit die Harmonisierungsvorschriften der Union dies gestatten, und stellt sicher, dass überschneidende Regulierungsrahmen den Anbietern keine doppelten Verfahrenslasten auferlegen.
Der Artikel erfüllt damit zwei Funktionen: Er aktiviert die vollständige Palette technischer und Governance-Anforderungen für Hochrisiko-KI und legt die Koordinationsregel zwischen der KI-Verordnung und bestehenden sektoriellen Produktvorschriften fest, womit die Kohärenz des Regulierungsrahmens der Union für sicherheitskritische Technologien gewahrt bleibt.
Was dies in der Praxis bedeutet
Artikel 8 ist die Zugangsbestimmung von Kapitel 2. Er legt selbst nicht den Inhalt der einzelnen Anforderungen fest — diese sind in den Artikeln 9 bis 15 im Einzelnen geregelt —, macht jedoch die Einhaltung aller dieser Anforderungen zu einer verbindlichen Rechtspflicht für Anbieter von Hochrisiko-KI-Systemen, bevor ein solches System in Verkehr gebracht, in Betrieb genommen oder bereitgestellt werden kann.
Für Anbieter reiner KI-Produkte: Wenn Sie ein eigenständiges Hochrisiko-KI-System entwickeln und vertreiben — zum Beispiel ein Recruiting-Screening-Tool nach Anhang III, Punkt 4, oder ein Kreditwürdigkeitsbewertungssystem nach Punkt 5 —, müssen Sie die vollständigen Kapitel-2-Anforderungen erfüllen. Dies bedeutet die Einrichtung und Aufrechterhaltung eines Risikomanagementsystems (Artikel 9), die Umsetzung angemessener Daten-Governance-Praktiken (Artikel 10), die Erstellung und Pflege technischer Dokumentation (Artikel 11), die Ermöglichung automatischer Protokollierung (Artikel 12), die Bereitstellung angemessener Gebrauchsanweisungen für Betreiber (Artikel 13), die Ausgestaltung für eine sinnvolle menschliche Aufsicht (Artikel 14) sowie das Erreichen validierter Niveaus an Genauigkeit, Robustheit und Cybersicherheit (Artikel 15).
Für Hersteller, die KI in regulierten Produkten einbetten: Wenn Ihr Hochrisiko-KI-System eine Komponente eines Produkts ist, das bereits der Maschinenverordnung, der Medizinproduktegesetzgebung oder anderen Anhang-I-Rahmen unterliegt, verlangt Artikel 8(2) eine doppelte Einhaltung. In der Praxis bedeutet dies die Zusammenarbeit mit notifizierten Stellen, die mit beiden Regimen vertraut sind, und — wo harmonisierte Normen, die KI-Anforderungen abdecken, vorhanden sind — deren Nutzung zur Begründung einer Konformitätsvermutung und zur Vereinfachung der Bewertungsverfahren.
Für Einführer und Händler: Obwohl Artikel 8 die Hauptpflichten den Anbietern auferlegt, müssen Einführer und Händler prüfen, ob die Anbieter diesen Pflichten nachgekommen sind, bevor sie Systeme bereitstellen, da die nachgelagerte Haftungsexposition mit dem Compliance-Status des Anbieters zusammenhängt.
Wesentliche Pflichten
- Vollständige Einhaltung von Kapitel 2 erforderlich: Anbieter müssen jede Anforderung der Artikel 9–15 erfüllen — Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit — als kumulative und nicht verhandelbare Pflicht vor der Markteinführung.
- Konformitätsnachweis vor der Markteinführung: Die Konformität muss nachgewiesen und belegt sein, bevor das Hochrisiko-KI-System in Verkehr gebracht oder in Betrieb genommen wird, nicht rückwirkend.
- Doppelte Einhaltung für Anhang-I-Produkte: Wenn ein Hochrisiko-KI-System eine Sicherheitskomponente eines Produkts ist oder ein Produkt darstellt, das den in Anhang I aufgeführten Harmonisierungsvorschriften der Union unterliegt, muss der Anbieter gleichzeitig die Kapitel-2-Anforderungen und die anwendbaren sektoriellen Rechtsvorschriften erfüllen.
- Integriertes Konformitätsbewertungsverfahren, wo verfügbar: Anbieter von Anhang-I-Produkten können ein einziges Konformitätsbewertungsverfahren nutzen, soweit die anwendbaren Harmonisierungsvorschriften der Union eine solche Integration gestatten, um Verfahrensduplikate zu reduzieren.
- Fortlaufende Konformität, keine einmalige Zertifizierung: Die Anforderungen von Kapitel 2 begründen kontinuierliche Pflichten — Risikomanagementsysteme müssen aktualisiert, Protokolle müssen geführt und technische Dokumentation muss während des gesamten Lebenszyklus des Systems auf dem neuesten Stand gehalten werden.
- Anbieterverantwortung auch bei Drittkomponenten: Wenn ein Hochrisiko-KI-System auf Modellen oder Infrastrukturen Dritter aufbaut, trägt der Anbieter weiterhin die Verantwortung dafür, dass das vollständige System alle anwendbaren Kapitel-2-Anforderungen erfüllt.
Verhältnis zu anderen Artikeln
Artikel 8 ist von den Artikeln 9 bis 15, die er aktiviert und auf die er ausdrücklich verweist, nicht zu trennen. Er sollte auch in Verbindung mit Artikel 6 und Anhang III gelesen werden, die definieren, welche KI-Systeme als Hochrisiko eingestuft werden und daher dem Kapitel-2-Regime unterliegen, das Artikel 8 vorschreibt.
Artikel 16 (Pflichten der Anbieter) operationalisiert Artikel 8, indem er die Verfahrens- und Verwaltungsschritte festlegt, die Anbieter zum Konformitätsnachweis unternehmen müssen, einschließlich der Erstellung technischer Dokumentation, der Durchführung einer Konformitätsbewertung, der Anbringung der CE-Kennzeichnung und der Registrierung des Systems. Artikel 43 regelt die Konformitätsbewertungsverfahren, deren Ergebnisse für die Einhaltung von Artikel 8 erforderlich sind.
Für Systeme, die unter Anhang-I-Produktvorschriften fallen, ist Artikel 8(2) neben den anwendbaren sektoriellen Rechtsakten zu lesen — etwa der Verordnung (EU) 2017/745 über Medizinprodukte oder der Richtlinie 2006/42/EG über Maschinen —, um zu bestimmen, wie die Anforderungen zusammenwirken und welcher Konformitätsbewertungsweg zur Verfügung steht.
Artikel 9 der KI-Verordnung ist der unmittelbar nachgelagerte Artikel, der das Risikomanagementsystem begründet, das das operative Rückgrat der Kapitel-2-Compliance bildet.
Zeitplan für die Compliance
Die KI-Verordnung trat am 1. August 2024 in Kraft, zwanzig Tage nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union. Artikel 8 und die weiteren Kapitel-2-Anforderungen gelten jedoch nicht sofort für alle Hochrisiko-KI-Systeme.
Die Verordnung gilt phasenweise:
- 2. Februar 2025: Verbote von KI-Praktiken mit unannehmbarem Risiko (Artikel 5) wurden anwendbar. Artikel 8 gilt zu diesem Zeitpunkt noch nicht.
- 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII) und Governance-Bestimmungen wurden anwendbar. Artikel 8 bleibt nicht anwendbar.
- 2. August 2026: Artikel 8 und alle Kapitel-2-Anforderungen werden für in Anhang III aufgeführte Hochrisiko-KI-Systeme anwendbar (z. B. biometrische Identifizierung, kritische Infrastrukturen, Beschäftigung, Bildung, Zugang zu Dienstleistungen, Strafverfolgung, Migration, Rechtspflege).
- 2. August 2027: Artikel 8 und Kapitel-2-Anforderungen werden für Hochrisiko-KI-Systeme anwendbar, die Sicherheitskomponenten von Produkten sind, die den Anhang-I-Harmonisierungsvorschriften der Union unterliegen (z. B. Medizinprodukte, Maschinen, Spielzeug, Luftfahrtausrüstung), angesichts der längeren Konformitätsbewertungszyklen dieser Sektoren.
Anbieter, die Hochrisiko-Systeme nach Anhang III nach dem 2. August 2026 in Verkehr bringen, müssen ab diesem Datum vollständig mit den Artikeln 8–15 konform sein. Anbieter von in Anhang I eingebetteten Systemen haben bis zum 2. August 2027 Zeit, sollten die Compliance-Arbeit jedoch deutlich im Voraus beginnen, angesichts der Komplexität der Dual-Regime-Bewertung.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Artikel 8 verlangt, dass Hochrisiko-KI-Systeme alle Anforderungen erfüllen, die in Kapitel 2 von Titel III festgelegt sind, und die Risikomanagement, Daten-Governance, technische Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit abdecken. Die Konformität muss nachgewiesen werden, bevor das System in Verkehr gebracht oder in Betrieb genommen wird.
Anbieter von Hochrisiko-KI-Systemen tragen die Hauptverantwortung für die Compliance nach Artikel 8. Wenn ein Produkt, das ein Hochrisiko-KI-System enthält, in Verkehr gebracht oder in Betrieb genommen wird, teilen der Anbieter des KI-Systems und der Hersteller des Produkts die Verantwortung entsprechend ihren jeweiligen Rollen, wie sie in der Verordnung definiert sind.
Nein. Artikel 8 gilt speziell für Hochrisiko-KI-Systeme, wie sie in Artikel 6 und Anhang III der Verordnung (EU) 2024/1689 definiert und aufgelistet sind. KI-Systeme, die den Schwellenwert für die Hochrisiko-Klassifizierung nicht erreichen, unterliegen nicht den Kapitel-2-Anforderungen, die Artikel 8 vorschreibt.
Ja. Nach Artikel 8(2) müssen Hochrisiko-KI-Systeme, die auch Sicherheitskomponenten von Produkten sind, die unter die in Anhang I aufgeführten Harmonisierungsvorschriften der Union fallen, zusätzlich zu den Kapitel-2-Anforderungen die Anforderungen dieser Rechtsvorschriften erfüllen. Die Einhaltung geltender harmonisierter Normen begründet eine Konformitätsvermutung für diese Anforderungen.
Artikel 8 gilt für Hochrisiko-KI-Systeme ab dem 2. August 2026 für in Anhang III aufgeführte Systeme und ab dem 2. August 2027 für Hochrisiko-KI-Systeme, die Sicherheitskomponenten von Produkten sind, die bereits den sektoriellen Harmonisierungsvorschriften der Union gemäß Anhang I unterliegen.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.