Artikel 87 — Hinweisgeberschutz (EU-KI-Gesetz)

Artikel 87 der Verordnung (EU) 2024/1689 — Hinweisgeberschutz. Offizieller Text, praktische Auslegung, zentrale Pflichten und Auswirkungen auf die Compliance.

Zusammenfassung des offiziellen Textes

Artikel 87 der Verordnung (EU) 2024/1689 (das EU-KI-Gesetz) begründet einen Hinweisgeberschutzrahmen, der für Personen gilt, die Verstöße gegen die Verordnung den zuständigen nationalen Behörden oder den betreffenden Organen, Einrichtungen, Ämtern oder Agenturen der Union melden. Der Artikel stützt sich auf die Richtlinie (EU) 2019/1937 über den Schutz von Personen, die Verstöße gegen das Unionsrecht melden, und erstreckt die Schutzmaßnahmen dieser Richtlinie ausdrücklich auf den Bereich des KI-Gesetzes.

Gemäß Artikel 87 müssen die Mitgliedstaaten sicherstellen, dass meldende Personen — weitgehend definiert als Arbeitnehmer, Auftragnehmer, Praktikanten, Freiwillige und ehemalige Beschäftigte, die relevante Informationen in einem beruflichen Kontext erlangt haben — vor Vergeltungsmaßnahmen, Diskriminierung und nachteiliger Behandlung infolge einer gutgläubigen Meldung geschützt werden. Anbieter, Betreiber und andere dem KI-Gesetz unterliegende Betreiber sind daher verboten, Vergeltungsmaßnahmen gegen Personen zu ergreifen, die Bedenken hinsichtlich potenzieller Nichtkonformität äußern.

Der Artikel verlangt ferner, dass zuständige Behörden, die Meldungen erhalten, diese gemäß den nach der Richtlinie 2019/1937 begründeten Verfahrensgarantien behandeln, einschließlich der Pflichten zur Wahrung der Vertraulichkeit der Identität des Hinweisgebers, zur Eingangsbestätigung und zur zeitnahen Nachverfolgung. Wo Organe auf Unionsebene Meldungen erhalten, gelten entsprechende Schutzmaßnahmen nach dem Statut der Beamten der Union und dem anwendbaren Unionsrecht. Artikel 87 integriert damit die Durchsetzung des KI-Gesetzes in die umfassendere Architektur des Hinweisgeberrechts der Union, anstatt ein paralleles, sektorspezifisches Regime zu schaffen.

Bedeutung für die Praxis

Artikel 87 hat unmittelbare operative Auswirkungen für jede Organisation im Anwendungsbereich des EU-KI-Gesetzes — in erster Linie Anbieter, die KI-Systeme auf dem Unionsmarkt in Verkehr bringen, Betreiber, die Hochrisiko-KI-Systeme verwenden, und Betreiber von KI-Modellen für allgemeine Zwecke.

Für Organisationen besteht die praktische Pflicht darin, sicherzustellen, dass interne Richtlinien, Arbeitsverträge, Verhaltenskodizes und Lieferantenvereinbarungen keine Klauseln enthalten, die Einzelpersonen davon abhalten, sie bestrafen oder vertraglich daran hindern könnten, KI-Gesetz-Verstöße gegenüber externen Behörden zu melden. Geheimhaltungsvereinbarungen und Vertraulichkeitsklauseln müssen überprüft werden, um zu bestätigen, dass sie keine rechtmäßige Hinweisgebertätigkeit einzuschränken beabsichtigen. Sofern eine Organisation bereits einen nach der Richtlinie 2019/1937 vorgeschriebenen internen Meldekanal eingerichtet hat, sollte bestätigt werden, dass dieser KI-Gesetz-bezogene Bedenken abdeckt, und benannte Compliance-Verantwortliche sollten für den Umgang mit solchen Meldungen geschult werden.

Für Personal- und Rechtsteams bedeutet dies, Beschwerde-, Disziplinar- und Kündigungsverfahren zu aktualisieren, um zu dokumentieren, dass jede nachteilige Maßnahme gegen einen Arbeitnehmer, der eine KI-bezogene Meldung gemacht hat, vollständig unabhängig von dieser Meldung ist — und dies bei jeder nachfolgenden behördlichen oder gerichtlichen Überprüfung nachweisen zu können.

Für zuständige nationale Behörden legt Artikel 87 eine Verfahrenspflicht auf, KI-bezogene Meldungen mit denselben Vertraulichkeitsschutzmaßnahmen und Bestätigungsfristen zu behandeln wie andere Hinweisgebermeldungen, die gemäß der nationalen Umsetzung der Richtlinie 2019/1937 eingehen.

Ein konkretes Beispiel: Ein Mitarbeiter eines Unternehmens, das ein Hochrisiko-KI-System im Personalwesen einsetzt, stellt fest, dass die Systemergebnisse aufgrund des Geschlechts diskriminierend sind und damit gegen die Anforderungen des Gesetzes verstoßen. Der Mitarbeiter meldet den Sachverhalt der nationalen Marktüberwachungsbehörde. Artikel 87 stellt sicher, dass er infolgedessen nicht rechtmäßig entlassen, degradiert oder einem feindseligen Arbeitsumfeld ausgesetzt werden kann.

Zentrale Pflichten

• Mitgliedstaaten müssen den Hinweisgeberschutz gemäß der Richtlinie (EU) 2019/1937 auf Personen ausdehnen, die Verstöße gegen das EU-KI-Gesetz melden, und so sicherstellen, dass zwischen allgemeinem Hinweisgeberrecht und KI-spezifischer Durchsetzung keine Lücke besteht.
• Dem KI-Gesetz unterliegende Organisationen dürfen keine Vergeltungsmaßnahmen gegen Arbeitnehmer, Auftragnehmer oder andere beruflich tätige Personen ergreifen, die gutgläubig mutmaßliche Verstöße gegenüber zuständigen Behörden oder Unionsorganen melden.
• Interne Meldekanäle, die nach der Richtlinie 2019/1937 erforderlich sind (für Organisationen mit 50 oder mehr Beschäftigten), müssen als deckungsgleich mit KI-Gesetz-Verstößen verstanden werden, und benannte Verantwortliche müssen für die Bewertung solcher Meldungen gerüstet sein.
• Zuständige Behörden, die Meldungen erhalten, sind verpflichtet, die Identität der meldenden Person während des gesamten Ermittlungsverfahrens vertraulich zu behandeln und sie nur offenzulegen, wenn gesetzlich erforderlich, und nach Möglichkeit mit vorheriger Benachrichtigung des Hinweisgebers.
• Vertragsklauseln — einschließlich Geheimhaltungsvereinbarungen, Vergleichsvereinbarungen und Arbeitsverträge —, die externe Meldungen von KI-Gesetz-Verstößen einschränken oder bestrafen sollen, sind insoweit nichtig, als sie im Widerspruch zu den Schutzmaßnahmen des Artikels 87 stehen.
• In gutem Glauben handelnde meldende Personen behalten den vollen Schutz, auch wenn der gemeldete Verstoß letztlich nicht bestätigt wird, sofern die Meldung nicht in Kenntnis ihrer Unwahrheit gemacht wurde.

Bezug zu anderen Artikeln

Artikel 87 ist Teil des Titels IX (Überwachung nach dem Inverkehrbringen, Informationsaustausch und Marktüberwachung) und fungiert als verfahrensmäßige Ermöglichung der in diesem Titel und andernorts in der Verordnung begründeten Durchsetzungsmechanismen.

Er steht in direktem Zusammenhang mit Artikel 74 (Marktüberwachung und -kontrolle), Artikel 75 (Konformität von KI-Systemen) und den Artikeln 78–84 (Pflichten der notifizierten Stellen und nationaler zuständiger Behörden), da Hinweisgebermeldungen die Untersuchungen, die diese Bestimmungen ermächtigen, auslösen oder ergänzen können. Er unterstützt auch Artikel 87 (Meldung schwerwiegender Vorfälle) und schafft einen ergänzenden Kanal, über den Beschäftigte, die Vorfälle oder Beinahe-Vorfälle beobachten, Bedenken ohne Angst vor Vergeltung eskalieren können.

Umfassender sollte Artikel 87 neben Artikel 4 (KI-Kompetenz) und Artikel 9 (Risikomanagementsysteme für Hochrisiko-KI) gelesen werden, da eine Organisation, die echte interne Transparenz und KI-Kompetenz fördert, besser in der Lage ist, meldungswürdige Probleme zu erkennen und nachzuweisen, dass jede nachteilige personalrechtliche Entscheidung vollständig unabhängig von einer geschützten Offenlegung ist. Er interagiert auch mit Erwägungsgrund 179 der Verordnung, der das Bekenntnis der Union bekräftigt, sicherzustellen, dass die Durchsetzung des Gesetzes nicht durch einen Abschreckungseffekt auf legitime Meldungen untergraben wird.

Zeitplan für die Compliance

Das EU-KI-Gesetz trat am 1. August 2024 in Kraft, zwanzig Tage nach seiner Veröffentlichung im Amtsblatt. Artikel 87 wird als Teil des Hauptkörpers der Verordnung am 2. August 2026 vollständig anwendbar — dem allgemeinen Anwendungsdatum für die Mehrheit der Bestimmungen, einschließlich derjenigen für Hochrisiko-KI-Systeme gemäß Annex III (Artikel 113 Abs. 2).

Im Gegensatz zu den Verboten inakzeptabler KI-Praktiken mit inakzeptablem Risiko, die am 2. Februar 2025 anwendbar wurden, oder den Pflichten speziell für KI-Modelle für allgemeine Zwecke, die ab dem 2. August 2025 galten, fällt Artikel 87 nicht in eine beschleunigte Anwendungskategorie. Seine Anwendung entspricht dem allgemeinen zweijährigen Umsetzungszeitraum.

Organisationen, die bereits der Richtlinie (EU) 2019/1937 unterliegen — die die Mitgliedstaaten bis zum 17. Dezember 2021 umzusetzen hatten —, sollten bereits konforme Meldekanäle eingerichtet haben. Die praktische Compliance-Aufgabe vor August 2026 besteht daher darin, bestehende Kanäle zu überprüfen und zu erweitern, um zu bestätigen, dass sie KI-Gesetz-Verstöße ausdrücklich abdecken, Verantwortliche zu schulen und die vertragliche Dokumentation entsprechend zu überprüfen. Organisationen, die Hochrisiko-KI-Systeme einsetzen, die unter die Übergangsbestimmungen vom Dezember 2026 oder August 2027 für bestimmte Annex-I-Systeme fallen, sollten ihre Hinweisgeberbereitschaft mit dem für ihre spezifische Systemkategorie geltenden Datum abstimmen.