Anwendungsfall
Vom Anruf eines Betreibers bis zur Meldung nach Artikel 73: ein Ablauf, um schwerwiegende Vorfälle mit Hochrisiko-KI nach der KI-Verordnung zu melden.
Ein Softwarehaus mit 120 Mitarbeitern, Software für die Vorauswahl von Bewerbungen, Kunden sind die Personalabteilungen von 60 Unternehmen. Freitag, 14:30 Uhr: Die Personalleiterin eines Kunden ruft an. Ihr Team hat beim Nachprüfen gesehen, dass das System seit drei Wochen Bewerbungen von Menschen mit Lücken im Lebenslauf fast ausnahmslos nach unten sortiert, darunter auffällig viele Frauen nach der Elternzeit. Ab diesem Anruf läuft die Uhr der KI-Verordnung: höchstens fünfzehn Tage, bei einem weitverbreiteten Verstoß nur zwei, und dieselbe Modellversion läuft bei 59 weiteren Kunden. Bei uns kaufen Sie die Software, mit der Ihr Qualitätsverantwortlicher einen solchen Vorfall abarbeitet. Rechtsberatung und Meldung bleiben bei Ihnen.
Pflicht
Was das Gesetz verlangt
Die Meldepflicht trifft nur Hochrisiko-KI-Systeme, und die meisten Abläufe, die wir bauen, sind keine: Produkttexte, Datenbereinigung, Anfragen sortieren. Wer aber Bewerber auswählt, Leistung bewertet, Kreditwürdigkeit prüft, kritische Infrastruktur steuert oder Sicherheitsmodule für Maschinen baut, braucht die Meldekette.
| Rechtsgrundlage | Verordnung (EU) 2024/1689, KI-Verordnung, Artikel 73; Information von Anbieter, Einführer oder Händler und Marktüberwachungsbehörde durch den Betreiber Artikel 26 Absatz 5 |
|---|---|
| Wer betroffen ist | Anbieter von Hochrisiko-KI-Systemen, also wer ein solches System entwickelt und unter eigenem Namen in Verkehr bringt. Betreiber, die das System einsetzen, informieren den Anbieter. |
| Auslöser | Ein schwerwiegender Vorfall: Tod oder Gesundheitsschaden, Störung kritischer Infrastruktur, Verstoß gegen Pflichten zum Schutz der Grundrechte, schwerer Schaden an Eigentum oder Umwelt, verursacht durch das System oder mit naheliegender Wahrscheinlichkeit verursacht |
| Fristen | Unmittelbar nach Feststellung des Kausalzusammenhangs oder seiner naheliegenden Wahrscheinlichkeit, spätestens 15 Tage nach Kenntnis; spätestens 2 Tage bei einem weitverbreiteten Verstoß oder einer Störung kritischer Infrastruktur; spätestens 10 Tage bei Tod einer Person. Eine unvollständige Erstmeldung mit Nachreichung ist zulässig. |
| Empfänger | Die Marktüberwachungsbehörde des Mitgliedstaats, in dem der Vorfall eintrat |
| Zeitplan | Nach dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) ab 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III, ab 2. August 2028 für Systeme in Produkten nach Anhang I |
| Bußgeld | Bis 15 Millionen Euro oder 3 Prozent des Jahresumsatzes für Verstöße gegen Anbieter- und Betreiberpflichten (Artikel 99 Absatz 4) |
| Stand | Oktober 2026. Wir bauen den Ablauf; die rechtliche Einordnung, ob ein System hochriskant und ein Vorfall meldepflichtig ist, bleibt bei Ihrer Rechtsabteilung oder Kanzlei. |
Uhr
Der Ablauf, Tag für Tag
Die Uhr startet mit der Kenntnis, aber fällig ist die Meldung unmittelbar nach Feststellung des Zusammenhangs. Die Untersuchung darf also nicht so lange dauern, wie sie eben dauert.
- Minute 0
Der Hinweis kommt an, egal von wem
Meldung eines Betreibers, Alarm der eigenen Überwachung, Beschwerde einer betroffenen Person oder Anfrage einer Behörde: Jeder Eingang wird ein Vorgang. Der Ablauf hält fest, wann er einging und welcher Betreiber und welche Modellversion betroffen sind.
- Stunde 1
Hergang aus den Protokollen
Hochrisiko-Systeme zeichnen ihren Betrieb nach Artikel 12 automatisch auf. Aus diesen Aufzeichnungen zieht der Ablauf die betroffenen Vorgänge und zeigt, seit wann und bei welchen Betreibern dasselbe Muster auftritt. So liegt am Freitagnachmittag eine erste Rekonstruktion vor.
- Stunde 2
Einstufung mit Vorschlag und Begründung
Der Ablauf schlägt eine Einstufung vor: ob ein Kausalzusammenhang festgestellt oder naheliegend ist, welche Schwere vorliegt und welche der drei Fristen gilt. Ihr Qualitätsverantwortlicher bestätigt oder ändert. Solange offen ist, ob ein weitverbreiteter Verstoß vorliegt, rechnet die Uhr mit der kürzesten Frist.
- bis Tag 2
Betreiber warnen, Erstmeldung vorbereiten
Alle Betreiber derselben Modellversion erhalten eine erste Information mit einer Sofortmaßnahme, die sie selbst treffen können, etwa die Funktion aussetzen. Parallel entsteht der Entwurf der Erstmeldung. Gilt die Zwei-Tage-Frist, geht sie nach Freigabe jetzt hinaus, auch wenn die Ursache noch nicht feststeht.
- bis Tag 10
Meldung bei Todesfall
Steht ein Todesfall im Zusammenhang mit dem System, gilt die Zehn-Tage-Frist. Die Uhr eskaliert an die Geschäftsführung, wenn niemand rechtzeitig freigibt.
- bis Tag 15
Meldung spätestens hier
In allen übrigen Fällen ist Tag 15 die äußerste Grenze. Der Ablauf schreibt die Meldung aus dem Vorgang: System, Version, Hergang, betroffene Betreiber und Personen, erste Bewertung, ergriffene Maßnahmen. Was fehlt, wird als offen markiert: Eine unvollständige Erstmeldung ist zulässig, Warten auf die vollständige nicht.
- danach
Nachreichung, Korrektur, Lehren
Ursache und Korrekturmaßnahme werden nachgereicht, sobald sie feststehen. Die Lehren wandern in Ihr Qualitätsmanagement: geänderte Schwellen, neue Prüffälle im Referenzsatz, angepasste Gebrauchsanweisung.
Kaskade
Wer wann erfährt, was passiert ist
Bei der KI-Verordnung gibt es zwei Rollen, und die Kette läuft durch beide: Betreiber informieren den Anbieter und die Behörde, der Anbieter erstattet die Meldung nach Artikel 73. Erreicht ein Betreiber den Anbieter nicht, gilt Artikel 73 für ihn selbst. Jede Welle nach außen hat einen Entwurf, einen Freigebenden und einen Zeitpunkt im Protokoll; die interne Alarmierung läuft sofort.
| Welle | Empfänger | Kanal | Inhalt | Freigabe |
|---|---|---|---|---|
| 1, in der ersten Stunde | Geschäftsführung des Anbieters, Qualitätsverantwortlicher, Rechtsabteilung, Entwicklung | Teams oder Slack, Anruf bei Nichtreaktion | Hinweis, betroffene Version, erste Rekonstruktion, laufende Frist | keine, interne Alarmierung nach festgelegter Liste |
| 2, bis Tag 2 | Alle Betreiber derselben Modellversion, zuerst die mit den meisten Vorgängen im betroffenen Zeitraum | Mail an die Verantwortlichen für die menschliche Aufsicht, Anruf bei großen Betreibern | Was bekannt ist, welche Version, welche Sofortmaßnahme | Qualitätsverantwortlicher und Geschäftsführung |
| 3, in der Frist | Marktüberwachungsbehörde des Mitgliedstaats, in dem der Vorfall eintrat; bei Produkten nach Anhang I zusätzlich die Benannte Stelle, sofern Ihre Konformitätsbewertung das vorsieht | Meldeweg der Behörde, vorbereitet aus dem Vorgang | Erstmeldung mit allem, was feststeht, offene Punkte als offen markiert | Geschäftsführung |
| 4, nach Absprache | Betroffene Personen, etwa abgelehnte Bewerber, über den jeweiligen Betreiber | Vorlage für den Betreiber, der den Kontakt zu den Personen hat | Was geschehen ist, was der Betreiber jetzt tut, etwa eine erneute Prüfung durch Menschen | Betreiber, mit Ihrer Rechtsabteilung abgestimmt |
| 5, mit der Korrektur | Alle Betreiber, Behörde als Nachreichung | Mail, Kundenportal, Nachtrag zur Meldung | Korrekturmaßnahme: Modell auf den vorigen Stand zurücksetzen, Schwellen ändern oder abschalten, mit Wirkung und Prüfschritt | Entwicklung, Qualitätsverantwortlicher und Geschäftsführung |
Welche Version bei welchem Betreiber läuft, weiß der Ablauf aus Ihrer Versionsverwaltung. Hat ein Betreiber bis Montagmorgen nicht bestätigt, ruft ihn Ihr Kundenservice an.
Freigabe
Was bei Ihren Leuten bleibt
- Die Einstufung. Ob ein Zusammenhang besteht, wie schwer der Vorfall wiegt und welche Frist gilt, entscheidet Ihr Qualitätsverantwortlicher, bei Zweifeln mit der Rechtsabteilung. Der Ablauf legt die Begründung vor.
- Jede Meldung an die Behörde. Kein Entwurf geht ohne Freigabe hinaus.
- Jede Information an Betreiber. Wortlaut, Empfängerkreis und Sofortmaßnahme werden vor dem Versand bestätigt.
- Die Korrekturmaßnahme. Zurücksetzen auf den vorigen Stand, Schwellen ändern oder abschalten entscheidet Ihre Entwicklung mit der Geschäftsführung.
- Die menschliche Aufsicht. Artikel 14 verlangt, dass Menschen ein Hochrisiko-System überwachen und eingreifen können. Wir planen sie mit ein: wer welche Abweichung sieht und wer den Stoppschalter hat.
Anschluss
In welchen Systemen der Ablauf sitzt
Die Meldekette gehört zum Qualitätsmanagement des Anbieters. Sie liest aus den Systemen, die Sie haben, und schreibt dorthin zurück.
- EingangSupport-Postfach, Hotline, Kundenportal, Alarme der eigenen Überwachung
- ProtokolleAutomatische Aufzeichnungen des Systems, Kennzahlen der Überwachung, Referenzsatz
- VersionenModellregister oder Versionsverwaltung mit der Zuordnung, welcher Betreiber welche Version nutzt
- VorgangJira, ServiceNow oder das Ticketsystem Ihrer Entwicklung, dazu die Dokumente Ihres Qualitätsmanagements
- KundenCRM wie Salesforce oder HubSpot mit den Ansprechpartnern der Betreiber
- BehördeMeldeweg der Marktüberwachungsbehörde. Behördenportale haben selten eine Schnittstelle: Der Ablauf füllt die Meldung fertig vor, ein Mensch trägt sie ein, der Zeitstempel kommt ins Protokoll.
Nachweis
Das Protokoll ist der Nachweis
Wenn die Behörde fragt, wann Sie Kenntnis hatten, wann der Zusammenhang feststand und wann Sie gemeldet haben, ist die Antwort ein Export. Jeder Schritt steht mit Zeitstempel im Vorgang: Eingang, Rekonstruktion, Einstufung mit Begründung und Namen, Information der Betreiber, Erstmeldung, Nachreichung, Korrektur.
Auch Hinweise, die sich als kein schwerwiegender Vorfall erwiesen, stehen mit Begründung im Vorgang, und so ist jede Prüfung belegt. Denselben Export bekommen Auditoren und Betreiber, die nach Ihrem Qualitätsmanagement fragen.
Zweimal im Jahr läuft ein erfundener Vorfall durch, ohne dass etwas hinausgeht; er zeigt, ob die Zuordnung von Versionen zu Betreibern stimmt.
Erfahrung
Was wir mitbringen
In unserem eigenen Betrieb prüfen Abläufe jede Nacht die Systeme unserer Kunden und melden nur die Abweichung, mit Fundort und Protokoll. Bei einem Ersatzteilhändler geht jede neue Fassung in einer Einführung in Wellen live, mit Qualitätsprüfungen, Stoppschalter und bitgleichem Zurücksetzen auf den vorigen Stand: Genau diese Rückkehr ist die Korrekturmaßnahme, die eine Meldekette braucht. Eingänge in Menge zuordnen kennen wir von einem Technologie-Distributor mit zwölf Standorten, wo Anfragen von zwölf Standorten in Europa regelbasiert beim richtigen Team landen.
Die Kette bis zur Marktüberwachungsbehörde nehmen wir mit Ihrer Entwicklung und Ihrem Qualitätsmanagement in Betrieb. Zur Abnahme läuft ein erfundener Vorfall durch: Er muss zeigen, dass der Ablauf aus den Aufzeichnungen Ihres Systems alle Betreiber mit der betroffenen Modellversion findet und dass die Erstmeldung binnen zwei Tagen freigegeben vorliegt. Ein Beispielprotokoll sehen Sie im ersten Gespräch.
Preis
Preis und Umfang
Die Größenordnung vorweg: Die Ablaufanalyse kostet 4.900 Euro Festpreis und dauert drei Tage. Ein Werkzeug nach Maß liegt nach unseren Projekten erfahrungsgemäß zwischen 25.000 und 60.000 Euro, als Festpreis nach der Analyse verbindlich; die erste Fassung steht in etwa sechs Wochen, bei mehreren Pflichten und Sprachen länger. Die Begleitung danach beginnt bei 2.900 Euro im Monat und ist monatlich kündbar. Genauer vorab wäre geraten, denn fünf Betreiber und zweihundert in vier Ländern brauchen nicht dasselbe Werkzeug. Was den Preis bestimmt:
- ob die Protokolle Ihres Systems schon auswertbar sind oder erst strukturiert werden müssen
- Zahl der Betreiber, Modellversionen und Mitgliedstaaten
- Zahl der Eingangskanäle und Sprachen
- ob der Ablauf nur Artikel 73 abdeckt oder auch die Datenpanne, die bei Personaldaten oft mitläuft
Datenfluss: Vorfalldaten, Protokolle und Personendaten bleiben auf Ihrem Server oder in einem deutschen Rechenzentrum. Die KI-Anteile laufen auf offenen Modellen im Haus oder über europäische Rechenzentren. Datenfluss je Leistung.
Verwandt
Verwandte Anwendungsfälle
- Medizinprodukte: schwerwiegendes Vorkommnis melden. Dieselbe Staffel aus zwei, zehn und fünfzehn Tagen, und wer KI in einem Medizinprodukt einsetzt, hat beide Pflichten.
- Cyber Resilience Act: Schwachstelle melden. Wenn ein Angriff das System manipuliert hat, läuft eine zweite Uhr.
- Hinweisgeberschutz: interne Meldestelle. Oft kommt der erste Hinweis auf ein auffälliges System aus den eigenen Reihen.
- Alle Anwendungsfälle: Meldepflichten mit Frist, mit der Fristentabelle über alle Pflichten.
Zum Weiterlesen: EU AI Act für den Mittelstand: welche Pflichten bei welchen Abläufen entstehen und KI-Ablauf im Betrieb überwachen und warten.
Rückfragen
Fragen zur Meldekette nach der KI-Verordnung
Was Anbieter und Betreiber von Hochrisiko-Systemen fragen, bevor sie eine Meldekette aufsetzen. Weitere Antworten stehen unter Fragen und Antworten.
Unsere KI-Abläufe schreiben Produkttexte und sortieren Anfragen. Brauchen wir das?
In aller Regel nicht. Solche Abläufe haben ein minimales Risiko, und die Meldepflicht nach Artikel 73 gilt nur für Hochrisiko-Systeme. Sie betrifft etwa Bewerberauswahl, Kreditprüfung und Sicherheitskomponenten von Maschinen. Ob Ihr System dazugehört, klärt Ihre Rechtsberatung.
Die Pflichten gelten erst ab Dezember 2027. Warum jetzt bauen?
Weil die Meldekette auf Daten aufsetzt, die ein System von Anfang an liefern muss: Protokolle, Versionen je Betreiber, Ansprechpartner für die menschliche Aufsicht. Wer heute ein Hochrisiko-System baut oder betreibt, baut die Kette gleich mit.
Wir setzen ein Hochrisiko-System nur ein. Was müssen wir als Betreiber tun?
Sie informieren unverzüglich den Anbieter sowie Einführer oder Händler und die Marktüberwachungsbehörde, wenn Sie einen schwerwiegenden Vorfall feststellen; erreichen Sie den Anbieter nicht, melden Sie nach Artikel 73 selbst. Dafür bauen wir den Eingangsteil: Hinweise sammeln, Hergang festhalten, den Anbieter mit Zeitstempel informieren und nachfassen.
Wer ist nachts und am Wochenende da, und wer haftet wofür?
Kommt der Hinweis am Freitagnachmittag, legt der Ablauf den Vorgang an, rechnet vorsorglich mit der kürzesten Frist und ruft die Personen auf Ihrer Bereitschaftsliste an, bis jemand bestätigt. In der Begleitung überwachen wir, dass der Ablauf läuft, mit Reaktionszeiten an Werktagen; eine Rufbereitschaft rund um die Uhr vereinbaren wir gesondert. Fällt er aus, liegen Bereitschaftsliste, Vorlagen und die Zuordnung der Versionen zu Betreibern als Export bereit, damit Ihr Team von Hand weitermachen kann. Für die Meldung bleibt Ihr Unternehmen als Anbieter verantwortlich; für das Werkzeug haften wir nach unseren Geschäftsbedingungen.
Übergabe
Der erste Schritt ist ein Gespräch von 30 Minuten.
Sie erzählen uns von dem Ablauf, der Sie am meisten Zeit kostet. Wir sagen Ihnen ehrlich, ob sich KI dort lohnt und was der nächste Schritt wäre. Ob danach eine Ablaufanalyse folgt, entscheiden Sie.