Was Artikel 16 regelt und für wen er gilt
Artikel 16 der Verordnung (EU) 2024/1689 führt die Pflichten der Anbieter von Hochrisiko-KI-Systemen auf. Er enthält keine eigenständige Liste sämtlicher technischer Anforderungen an ein System. Vielmehr legt er fest, wer für die Einhaltung verantwortlich ist und welche organisatorischen und dokumentarischen Aufgaben der Anbieter übernehmen muss – zusätzlich zu weiteren Pflichten aus der Verordnung.
Zunächst muss die Rolle der Organisation korrekt bestimmt werden. Artikel 16 richtet sich an den Anbieter, während Artikel 26 Pflichten für den Betreiber festlegt, also für die Person oder Organisation, die das System unter ihrer Aufsicht verwendet. Artikel 25 sieht Fälle vor, in denen andere Unternehmen als Anbieter gelten können, etwa bei bestimmten Änderungen oder einer Änderung der Zweckbestimmung. Die vertragliche Bezeichnung eines Unternehmens entscheidet daher nicht allein über seine rechtliche Rolle.
Die acht Pflichten des Anbieters
Artikel 16 umfasst acht Buchstaben. Zusammengefasst muss der Anbieter sicherstellen, dass das System die einschlägigen Anforderungen von Kapitel III Abschnitt 2 erfüllt; seinen Namen oder seine Marke sowie eine Kontaktanschrift angeben; ein Qualitätsmanagementsystem einrichten; die erforderliche Dokumentation aufbewahren; automatisch erzeugte Protokolle aufbewahren, soweit sie seiner Kontrolle unterliegen; das maßgebliche Konformitätsbewertungsverfahren abschließen; die EU-Konformitätserklärung erstellen und die CE-Kennzeichnung anbringen; sowie die geltenden Registrierungspflichten erfüllen.
Was die einzelnen Aufgaben genau bedeuten, ergibt sich aus den Artikeln, auf die Artikel 16 verweist. Inhalt und Aufbewahrung der technischen Dokumentation werden beispielsweise in Artikel 11 und Anhang IV konkretisiert, das Qualitätsmanagement in Artikel 17, die Konformitätsbewertung in Artikel 43 und die Erklärung sowie die Kennzeichnung in den Artikeln 47 und 48. Artikel 16 ersetzt diese Bestimmungen also nicht, sondern weist dem Anbieter die Verantwortung für die jeweiligen Aufgaben zu.
Pflicht und auffindbarer Nachweis
| Artikel 16 | Überprüfbare Kontrolle oder Nachweis |
|---|---|
| a) Einhaltung der einschlägigen Anforderungen | Matrix, die die geltenden Anforderungen mit Prüfungen, Verantwortlichen und dem jeweiligen Prüfstatus verknüpft. |
| b) Anbieterkennzeichnung und Kontakt | Name oder Marke sowie Kontaktanschrift, je nach Anforderung am System, an der Verpackung oder in der Dokumentation. |
| c) Qualitätsmanagement | Verfahren und Aufzeichnungen, die das nach Artikel 17 erforderliche System belegen. |
| d) Technische Dokumentation | Aktuelle, gemäß Artikel 11 und Anhang IV erstellte technische Unterlagen mit Versionskontrolle. |
| e) Automatisch erzeugte Protokolle | Regelung zu Aufbewahrung und Zugriff sowie Nachweis dazu, welche Protokolle der Anbieter kontrolliert. |
| f) Konformitätsbewertung | Unterlagen und Ergebnis der einschlägigen Bewertung einschließlich dokumentierter Korrekturmaßnahmen. |
| g) Konformitätserklärung und CE-Kennzeichnung | EU-Konformitätserklärung und Nachweis der Kennzeichnung gemäß den einschlägigen Artikeln. |
| h) Registrierung | Nachweis der erforderlichen Registrierung und Übereinstimmung der Angaben mit der vermarkteten Version. |
Pflichten in überprüfbare Kontrollen übersetzen
Artikel 16 schreibt weder ein bestimmtes Managementwerkzeug noch ein einheitliches Format für die Unterlagen oder ein bestimmtes technisches Modell vor. Der Compliance-Nachweis sollte an der konkreten Pflicht und den Bestimmungen ausgerichtet werden, auf die sie verweist. Eine zweckmäßige Rückverfolgbarkeitsmatrix benennt jede Anforderung, das dazugehörige Dokument oder die jeweilige Kontrolle, die zuständige Person, das Prüfdatum und etwaige noch offene Einschränkungen.
Die Dokumentation muss sich auf die tatsächlich in Verkehr gebrachte Version beziehen. Unterlagen, die für eine frühere Version korrekt waren, reichen nach Änderungen an Design, Daten, Zweckbestimmung oder Komponenten möglicherweise nicht mehr aus. Das Team sollte ein Änderungsmanagement einrichten, anhand dessen geprüft wird, wann Tests, Dokumentation, Konformitätsbewertung und Registrierung aktualisiert werden müssen. Dies ist eine operative Empfehlung: Artikel 16 weist Pflichten zu, beschreibt aber nicht den internen Ablauf der Entwicklung im Detail.
Praktischer Prüfzyklus
Empfohlener Ablauf, um Nachweise zu organisieren. Er ist nicht mit einer durch Artikel 16 wörtlich vorgeschriebenen Abfolge gleichzusetzen.
- 01Für jedes System und jede Version bestimmen, wer als Anbieter handelt, und Änderungen der Rolle gemäß der Verordnung dokumentieren.
- 02Eine Matrix zu allen acht Buchstaben von Artikel 16 anlegen und jede Pflicht mit den ergänzenden Bestimmungen und den zugehörigen Nachweisen verknüpfen.
- 03Prüfen, ob sich technische Dokumentation, Protokolle, Erklärung, Kennzeichnung und Registrierungsangaben auf dieselbe Version und Zweckbestimmung beziehen.
- 04Verantwortliche und Prüftermine festlegen sowie Mängel, Entscheidungen und Korrekturmaßnahmen dokumentieren.
- 05Vor der Vermarktung oder einer wesentlichen Änderung des Systems prüfen, welche Pflichten und Verfahren aktualisiert werden müssen.
Anbieter und Betreiber: die Aufgabenverteilung
Artikel 16 weist dem Anbieter Aufgaben zu, die vor und während des Inverkehrbringens oder der Inbetriebnahme des Systems anfallen. Dazu gehören Dokumentation, Konformitätsbewertung und gegebenenfalls Registrierung. Artikel 26 betrifft dagegen den Betreiber des Systems. Zu seinen Pflichten gehört unter anderem, das System gemäß der Gebrauchsanweisung einzusetzen, die menschliche Aufsicht geeigneten und befugten Personen zu übertragen, den Betrieb zu überwachen und gegebenenfalls die Nutzung auszusetzen sowie Risiken oder Vorfälle entsprechend den Vorgaben der Verordnung zu melden.
Diese Aufgabenverteilung bedeutet weder, dass Informationen automatisch ausgetauscht werden, noch dass die gesamte Verantwortung bei nur einer Partei liegt. Der Anbieter muss die erforderlichen Anweisungen und Informationen nach Maßgabe der geltenden Bestimmungen bereitstellen; der Betreiber muss das System entsprechend einsetzen und seine eigenen Pflichten erfüllen. Verträge und Verfahren für Vorfälle sollten deshalb Kommunikationswege, Verantwortliche, interne Fristen und Mindestangaben für die Eskalation festlegen. Solche privaten Vereinbarungen ersetzen jedoch keine gesetzlichen Pflichten.
Orientierende Aufgabenverteilung
| Anbieter – Artikel 16 | Betreiber – Artikel 26 |
|---|---|
| Stellt sicher, dass das System die einschlägigen Anforderungen erfüllt, und erledigt die ihm obliegenden Konformitätsaufgaben. | Verwendet das System gemäß den Anweisungen und kontrolliert seinen Einsatz im tatsächlichen Nutzungskontext. |
| Führt die erforderliche technische Dokumentation und das Qualitätsmanagementsystem. | Sorgt für eine angemessene menschliche Aufsicht durch kompetente und befugte Personen, die eingreifen können. |
| Erfüllt die anwendbaren Pflichten zu Kennzeichnung, Erklärung, CE-Kennzeichnung und Registrierung. | Überwacht den Betrieb, bewahrt die seiner Kontrolle unterliegenden Protokolle auf und reagiert gemäß der Verordnung auf Risiken. |
| Erfüllt seine Kommunikations- und Kooperationspflichten aus der Verordnung. | Meldet Vorfälle oder Risiken an die zuständigen Stellen und kann eigene Informationspflichten haben. |
Überwachung, Protokolle und Vorfälle: ungenaue Zuordnungen vermeiden
Artikel 16 unterscheidet die Aufbewahrung automatisch erzeugter Protokolle, soweit sie der Kontrolle des Anbieters unterliegen, von anderen Überwachungs- oder Meldepflichten in verwandten Bestimmungen. Die Vorschrift sollte nicht pauschal als allgemeine Pflicht zur Überwachung des Systemeinsatzes in jeder Umgebung zusammengefasst werden: Artikel 26 regelt operative Pflichten des Betreibers, während sich die Pflichten des Anbieters aus Artikel 16 und den damit zusammenhängenden Vorschriften der Verordnung ergeben.
Die Meldung schwerwiegender Vorfälle und die Zusammenarbeit mit Behörden werden an anderer Stelle in der Verordnung geregelt. Artikel 16 enthält für sich genommen weder das vollständige Verfahren noch sämtliche Adressaten oder Fristen. Der Anbieter sollte die einschlägigen Verweise auf gesetzliche Pflichten erfassen, einen Eskalationsweg einrichten und Nachweise über vorgeschriebene Mitteilungen aufbewahren. Wenn die Anwendbarkeit einer Pflicht von den Umständen abhängt, ist sie anhand des vollständigen und geltenden Rechtstextes zu prüfen, statt sie aus einer allgemeinen Checkliste abzuleiten.
Anwendungsfristen und Sanktionen: vor der Zeitplanung prüfen
Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft und sieht eine gestaffelte Anwendung vor. Die allgemeine Anwendung ist ab dem 2. August 2026 vorgesehen; bestimmte Kapitel und Bestimmungen gelten jedoch nach dem Zeitplan in Artikel 113 und dessen Änderungen früher oder später. Welche Frist für ein konkretes System gilt, muss zusammen mit den Übergangsbestimmungen und der jeweiligen Kategorie geprüft werden. Es ist nicht sicher, daraus abzuleiten, dass sämtliche Pflichten aus Artikel 16 für alle Systeme gleichzeitig beginnen.
Artikel 99 sieht für Verstöße gegen die Verordnung Geldbußen vor. Die Höchstbeträge unterscheiden sich je nach Verstoß und können für Unternehmen entweder als Festbetrag oder als Prozentsatz des weltweiten Jahresgesamtumsatzes des vorangegangenen Geschäftsjahres angegeben sein; soweit der Artikel dies vorsieht, gilt der höhere Betrag. Nicht jeder Verstoß gegen Artikel 16 führt zwangsläufig zum selben Höchstbetrag. Die zuständige Behörde muss die Umstände und die Kriterien der Verordnung berücksichtigen. Vor der Verwendung einer konkreten Zahl für eine geschäftliche Entscheidung sollten die genaue Verstoßkategorie, die einschlägige Sanktionsbestimmung und etwaige besondere Regeln geprüft werden.
Compliance-Checkliste und häufige Fehler
Eine wirksame Prüfung muss zwischen den gesetzlichen Anforderungen und internen Maßnahmen unterscheiden, die deren Nachweis erleichtern. Gesetzliche Pflichten sind die Aufgaben aus Artikel 16 und die Anforderungen der Artikel, auf die er verweist. Empfohlene Maßnahmen sind beispielsweise, für jeden Buchstaben eine verantwortliche Person zu benennen, eine Nachweismatrix zu führen und regelmäßige Prüfungen anzusetzen. Sie dürfen nicht als ausdrücklich von Artikel 16 vorgeschriebene Formate dargestellt werden.
Drei Fehler gilt es besonders zu vermeiden: Anbieter und Betreiber als denselben Akteur zu behandeln; anzunehmen, Artikel 16 enthalte sämtliche technischen Anforderungen; und dem Artikel Fristen, Verfahren für Vorfälle oder Sanktionen zuzuschreiben, die an anderer Stelle geregelt sind. Artikel 16 verpflichtet für sich genommen weder zur Verwendung eines bestimmten Modells noch einer bestimmten Technologie. Welche konkreten Pflichten gelten, hängt von der Systemkonfiguration und den übrigen Vorschriften der Verordnung ab.
Abschließende Checkliste: gesetzliche Pflicht und empfohlene Praxis
| Prüfung | Einordnung | Nachweis oder Maßnahme |
|---|---|---|
| Die tatsächliche Anbieterrolle bestimmen und dokumentieren. | Rechtlich erforderlich, abhängig von der Verordnung und den tatsächlichen Umständen. | Analyse der Funktionen, Verträge, Marke, Änderungen und Zweckbestimmung. |
| Alle acht Buchstaben von Artikel 16 abdecken. | Rechtliche Pflicht. | Matrix mit Status, einschlägiger Vorschrift und auffindbarem Nachweis. |
| Dokumentation und Qualitätsmanagement gemäß den jeweiligen Vorschriften führen. | Rechtliche Pflicht; interne Formate können variieren. | Versionierte Unterlagen und Managementaufzeichnungen gemäß Artikel 11, Anhang IV und Artikel 17. |
| Für jeden Nachweis eine verantwortliche Person und ein Prüfdatum festlegen. | Empfohlene Praxis. | RACI-Matrix oder internes Verzeichnis der Zuständigkeiten und Prüfungen. |
| Kommunikationswege mit den Betreibern vereinbaren. | Empfohlene Praxis zur Unterstützung der Compliance; ersetzt keine gesetzlichen Pflichten. | Verfahren für Rückfragen, Eskalation von Risiken und Meldung von Vorfällen. |
| Fristen und Sanktionen vor Genehmigung des Plans anhand des geltenden Textes prüfen. | Empfohlene rechtliche Kontrolle. | Prüfung des anwendbaren Zeitplans und der maßgeblichen Sanktionsbestimmung. |
Abschlussprüfung vor dem Abschluss einer Compliance-Prüfung
Nutzen Sie die folgenden Fragen als abschließenden Filter. Eine verneinende oder unsichere Antwort sollte eine weitere Prüfung auslösen, nicht die Vermutung, dass Compliance besteht.
- 01Ist der tatsächliche Anbieter für diese Version und diese Zweckbestimmung festgestellt?
- 02Gibt es für jede Pflicht aus Artikel 16 einen aktuellen Nachweis und eine verantwortliche Person?
- 03Verweist der Nachweis auf die richtigen ergänzenden Artikel und nicht nur auf Artikel 16?
- 04Sind die Kontrollen des Anbieters von den Betreiberpflichten nach Artikel 26 abgegrenzt?
- 05Wurden Fristen, Ausnahmen und Sanktionen anhand des anwendbaren amtlichen Rechtstextes geprüft?
Offene Fragen
- Das bereitgestellte Material enthält den Text von Artikel 16 sowie Verweise auf Artikel 25 und Kapitel III, aber keine spezifischen Links zu den Artikeln 26, 99 und 113. Der detaillierte Vergleich, der Zeitplan und die Sanktionen sollten vor rechtlichen Entscheidungen anhand des konsolidierten amtlichen Textes geprüft werden.
- Welche Pflichten und Fristen gelten, kann von der Systemkategorie, Übergangsbestimmungen, Rechtsänderungen und den konkreten Umständen der Vermarktung oder des Betriebs abhängen.
- Die Kontrolle von Protokollen, die Anbietereigenschaft und Kommunikationspflichten hängen von den tatsächlichen Umständen und den einschlägigen Bestimmungen ab. Sie lassen sich nicht allein aus der vertraglichen Bezeichnung der Parteien ableiten.
Weiter entdecken
Verwendete Quellen
Korrekturen und Transparenz
Wenn du falsche oder veraltete Angaben findest, sende uns die Seite und die zu prüfende Quelle.
Korrektur vorschlagen