Serious AI Incidents: Geplante EU-Leitlinien zu Meldepflichten setzen neue Maßstäbe für KI-Compliance

Meldepflichten für serious AI incident
Kategorien:
Bild von  Aristotelis Zervos

Aristotelis Zervos

Aristotelis Zervos, Editorial Director bei 2B Advice, vereint juristische und journalistische Expertise in Datenschutz, IT-Compliance und KI-Regulierung.

Die Europäische Kommission hat am 26. September 2025 eine öffentliche Konsultation zu Leitlinien und einem Meldeformular für „serious AI incidents“ gemäß der KI-Verordnung (EU) 2024/1689 eröffnet. Ziel ist, den Umgang mit schwerwiegenden Vorfällen hochriskanter KI-Systeme zu präzisieren, bevor die Meldepflichten ab August 2026 verbindlich werden. Die Initiative ergänzt die KI-Verordnung um praxisnahe Vorgaben für Anbieter und Betreiber.

Rechtlicher Rahmen: Artikel 73 KI-Verordnung

Gemäß Artikel 73 sind Anbieter hochriskanter KI-Systeme dazu verpflichtet, schwerwiegende Vorfälle (serious incident) unverzüglich den nationalen Marktüberwachungsbehörden zu melden. Ein „serious AI incident” umfasst insbesondere Ereignisse, die

  • den Tod oder eine schwerwiegende Beeinträchtigung der Gesundheit einer Person,
  • eine erhebliche Störung kritischer Infrastrukturen oder
  • gravierende Verletzungen der Grundrechte verursachen oder wahrscheinlich verursachen.


Auch Betreiber müssen in bestimmten Fällen melden. Etwa wenn ihnen sicherheitsrelevante Informationen vorliegen, über die der Anbieter nicht verfügt.

Der Wortlaut von Artikel 73 verlangt für den Fall eines schwerwiegenden Vorfalls:

  1. Definition eines „serious incident“ in Bezug auf ein KI-System.
  2. Pflicht zur Meldung solcher Vorfälle durch Anbieter und in bestimmten Fällen auch durch Betreiber bzw. Stellvertreter.
  3. Zeitliche Vorgaben für die Meldung (innerhalb bestimmter Fristen nach Bekanntwerden).
  4. Pflichtangaben, die in der Meldung zu machen sind (etwa Systemidentifikation, Beschreibung des Vorfalls, Auswirkungen, Maßnahmen).
  5. Zusammenarbeit mit Marktüberwachungsbehörden und nationalen Stellen sowie ggf. mit der Kommission und dem AI Board.
  6. Für Modelle mit systemischem Risiko (z. B. große generative KI) besondere Meldepflichten gegenüber der Kommission.


Wesentlich ist, dass diese Meldepflicht zusätzlich zu anderen Melde- oder Informationspflichten (z. B. im Datenschutzrecht, bei Cyber-Sicherheitsvorfällen) greift.

Die Kommission betont die Abstimmung mit bestehenden Meldepflichten, etwa nach der NIS2-Richtlinie, dem Digital Operational Resilience Act (DORA) oder der Datenschutz-Grundverordnung. Ziel ist es, Doppelmeldungen zu vermeiden und kohärente Verfahren zu schaffen. Zugleich wird eine Anbindung an internationale Standards, wie den OECD AI Incidents Monitor, angestrebt.

Inhalt des Leitlinienentwurfs zu den Meldepflichten

Der Entwurf enthält:

  • Begriffsdefinitionen: Präzisierungen zu „serious incident“, „malfunction“, „unexpected behavior“ und „drop in accuracy“.
  • Beispiele: Szenarien aus der Praxis – etwa Fehlklassifikationen, unvorhergesehene Systemreaktionen oder signifikante Genauigkeitseinbußen.
  • Meldeprozess: Zeitliche Abläufe, Zuständigkeiten und Kommunikationswege zwischen Anbietern, Betreibern, Behörden und der Kommission.
  • Formularstruktur: Einheitliches Meldeformular mit abgestuften Pflichtangaben, das auch internationale Kompatibilität sichern soll.


Offen bleibt, wie detailliert die Angaben sein müssen und inwieweit vorläufige Meldungen zulässig sind.

Link-Tipp: Zweite Phase der KI-Verordnung gestartet – was gilt ab August 2025?

Offene Rechtsfragen zu „serious AI incident“

Der Entwurf wirft eine Reihe von schwierigen rechtlichen und praktischen Fragen auf:

Abgrenzung „serious AI incident“

Ein zentrales Spannungsfeld ergibt sich bei der genauen Abgrenzung, welche Vorfälle meldepflichtig sind. Schon bei Formulierungen wie „erheblicher Rückgang der Genauigkeit“, „unerwartetes Verhalten“ oder „Systemausfall“ besteht ein erheblicher Ermessensspielraum. Betreiber und Anbieter müssen Kriterien entwickeln, um diese normativen Begriffe zuverlässig anzuwenden.

Die Leitlinien könnten weitergehende Schwellen, beispielsweise quantitative Schwellenwerte, einführen. Dies birgt jedoch die Gefahr, dass legitime Vorfälle nicht gemeldet werden, weil sie den Schwellenwert nicht überschreiten. Oder dass es zu vielen Fehlmeldungen kommt.

Verantwortlichkeit von Anbietern vs. Betreibern

Die Zuweisung von Meldepflichten zwischen Anbietern, Betreibern und anderen Beteiligten ist nicht trivial. Betreiber sind oftmals nicht in der Lage, ausreichende technische Einblicke zu gewinnen, um bestimmte Ursachen zu identifizieren. Umgekehrt haben Anbieter oft keinen unmittelbaren Zugriff auf alle realen Einsatzbedingungen.

Die Leitlinien müssen daher klar regeln, in welchen Fällen allein der Anbieter meldepflichtig ist und in welchen Fällen der Betreiber beteiligt werden muss (z. B. als Meldepflichtiger oder als Informationspflichtiger).

Meldeschwellen, Meldefristen und Vollständigkeit

Die Fristen für das Melden von Vorfällen spielen eine zentrale Rolle. Der Entwurf nennt zwar Meldezeitpunkte. Offen bleibt jedoch, wie realistisch deren Einhaltung bei komplexen KI-Systemen ist. In Situationen, in denen die Ursachen erst nach einer detaillierten Analyse identifiziert werden müssen, besteht das Risiko, dass die ursprüngliche Meldung unvollständig ist oder nachträglich angepasst werden muss.

Ferner stellt sich die Frage, wie vollständig die erste Meldung sein muss. Müssen etwa alle Informationen zum Zeitpunkt der Meldung vorhanden sein oder kann eine vorläufige Meldung erfolgen, die später ergänzt wird?

Schnittstellen zu Datenschutz- und Sicherheitsrecht

Viele KI-Vorfälle könnten gleichzeitig als Datenschutzverletzungen (z. B. fehlerhafte Personenklassifizierung) oder als Sicherheitsvorfälle eingestuft werden. Es besteht die Gefahr widersprüchlicher Meldepflichten und Inkonsistenzen zwischen Zuständigkeiten.

Handlungsempfehlungen für die Praxis

1. Aufbau eines Incident-Management-Systems

Unternehmen sollten ihre Compliance-Strukturen anpassen:

  • Definition interner Meldekriterien,
  • Zuständigkeitsregeln und Eskalationspfade,
  • technische Nachvollziehbarkeit und Dokumentation,
  • Schulung relevanter Mitarbeiter.

2. Beteiligung an der Konsultation

Die Konsultation läuft bis 7. November 2025. Anbieter, Betreiber und Branchenverbände sollten die Gelegenheit nutzen, um praxisnahe Rückmeldungen einzubringen und die Ausgestaltung der Leitlinien mitzugestalten.

3. Integration in bestehende Compliance-Systeme

KI-Meldestrukturen sollten mit Datenschutz- und Cyber-Compliance-Prozessen verknüpft werden, um konsistente Abläufe und Synergien zu schaffen.

4. Internationale Abstimmung

Für multinationale Anbieter empfiehlt sich ein zentrales Meldesystem, das nationale Unterschiede berücksichtigt und internationale Berichtsformate abbildet.

Die Leitlinien zur Meldung schwerwiegender KI-Vorfälle sind ein wichtiger Schritt zur praktischen Umsetzung des AI Act. Sie werden den Umgang mit KI-Risiken entscheidend prägen.

Für die Praxis gilt: Jetzt ist der richtige Zeitpunkt, interne Prozesse zu überprüfen, Meldewege zu etablieren und aktiv an der Konsultation teilzunehmen. Nur so lässt sich sicherstellen, dass die endgültigen Vorgaben praktikabel, rechtssicher und technologisch realisierbar bleiben.

Quelle: Targeted stakeholder consultation on the Commissions Draft Guidance on Article 73 AI Act – Incident Reporting (High-Risk AI Systems)

Praxislösung: KI-Governance mit Ailance

Die neuen Meldepflichten der KI-Verordnung verdeutlichen: Unternehmen benötigen ein strukturiertes, nachvollziehbares und revisionssicheres KI-Governance-System. Mit Ailance KI-Governance bietet 2B Advice eine praxiserprobte Lösung zur Umsetzung regulatorischer Anforderungen.Ailance unterstützt Sie bei:

  •  der Risikoklassifizierung und Dokumentation von KI-Systemen,

  • der Erkennung und Bewertung von „serious incidents“,

  • der Integration von Meldepflichten in bestehende Compliance-Workflows,

  • der Erstellung konformer Reports für Behörden und Aufsichtsstellen,

  • sowie der laufenden Governance und Auditfähigkeit Ihrer KI-Anwendungen.

Gestalten Sie Ihre KI-Compliance jetzt proaktiv, bevor Meldepflichten zur Belastung werden.

Aristotelis Zervos ist Editorial Director bei 2B Advice, Jurist und Journalist mit profundem Know-how in Datenschutz, DSGVO, IT-Compliance und KI-Governance. Er veröffentlicht regelmäßig fundierte Artikel zu KI-Regulierung, DSGVO-Compliance und Risikomanagement. Mehr über ihn erfahren Sie auf seiner Autorenprofil-Seite.

Tags:
Share this post :