KI-Glossar

Meldepflicht

Anbieter von in der Europäischen Union in Verkehr gebrachten Hochrisiko-KI-Systemen müssen schwerwiegende Vorfälle nach Art. 73 KI-VO der Marktüberwachungsbehörde des Mitgliedstaats melden, in dem der Vorfall eingetreten ist.

Was gilt als schwerwiegender Vorfall?

Dazu zählen Ereignisse oder Fehlfunktionen eines KI-Systems, die unmittelbar oder mittelbar etwa zum Tod oder zu einer schweren Gesundheitsschädigung, zu einer schwerwiegenden und unumkehrbaren Störung kritischer Infrastruktur, zu einer Verletzung grundrechtsschützender Pflichten des Unionsrechts oder zu schweren Sach- oder Umweltschäden führen.

Fristen nach der KI-Verordnung

Die Meldung muss erfolgen, sobald der Anbieter einen ursächlichen Zusammenhang oder dessen naheliegende Wahrscheinlichkeit festgestellt hat – grundsätzlich spätestens 15 Tage nach Kenntnis des Vorfalls durch Anbieter oder gegebenenfalls Betreiber. Bei einem weitverbreiteten Verstoß oder einer schwerwiegenden und unumkehrbaren Störung kritischer Infrastruktur gilt eine Höchstfrist von zwei Tagen; beim Tod einer Person sind es zehn Tage. Eine zunächst unvollständige Meldung kann durch einen vollständigen Bericht ergänzt werden.

Zusätzliche Meldepflichten nach der DSGVO

Sind bei dem Vorfall personenbezogene Daten betroffen, können zusätzlich die Meldepflichten nach der DSGVO greifen. Insbesondere kann eine Datenschutzverletzung nach Art. 33 DSGVO innerhalb von 72 Stunden an die zuständige Datenschutzaufsichtsbehörde zu melden sein. Die Pflichten aus KI-VO und DSGVO müssen jeweils eigenständig geprüft werden.

Meldung und Registrierung

Die Vorfallsmeldung ist von der Registrierung nach Art. 49 KI-VO zu unterscheiden. Die Registrierung erfolgt grundsätzlich vor dem Inverkehrbringen, der Inbetriebnahme oder der Verwendung bestimmter Hochrisiko-KI-Systeme; die Meldung nach Art. 73 KI-VO reagiert dagegen auf einen bereits eingetretenen schwerwiegenden Vorfall.

KI-Glossar