Warum ist die kontinuierliche Überwachung von KI-Systemen wichtig? Artikel 72 der KI-Verordnung einfach erklärt
Warum ist die kontinuierliche Überwachung von KI-Systemen wichtig? Weil ein KI-System nach dem Start nicht gleich bleibt. Reale Daten ändern sich, die Nutzung ändert sich, und die Leistung kann sinken. Kontinuierliche Überwachung ist entscheidend, damit die KI aktuell und leistungsfähig bleibt. Sie macht auch Fehler und Schäden rechtzeitig sichtbar.
Für Hochrisiko-KI-Systeme ist das nicht nur gute Praxis, sondern eine Pflicht aus der KI-Verordnung (EU) 2024/1689. Der Anbieter richtet ein System zur Beobachtung nach dem Inverkehrbringen ein (Artikel 72). Der Betreiber überwacht den Betrieb des Systems (Artikel 26 Absatz 5). Schwerwiegende Vorfälle sind je nach Fall spätestens nach 15, 10 oder 2 Tagen zu melden (Artikel 73).
Die Antwort auf die Quizfrage. Viele Multiple-Choice-Tests stellen diese Frage. Die richtige Antwort lautet: „Sie ist entscheidend, damit die KI aktuell und leistungsfähig bleibt“. Die anderen Optionen sind falsch. Überwachung ist nicht nur etwas für sehr einfache Systeme. Sie dient nicht nur der Kostenkontrolle. Und ein trainiertes System läuft nicht für immer von allein.
Diese Seite folgt der konsolidierten Fassung, die seit dem 27. Juli 2026 in Kraft ist (CELEX 02024R1689-20260727), geändert durch die Verordnung (EU) 2026/1744.
Artikel 72: die Beobachtung nach dem Inverkehrbringen durch den Anbieter
Artikel 3 Nummer 3 definiert den Anbieter. Er entwickelt ein KI-System oder lässt es entwickeln. Dann bringt er es unter seinem eigenen Namen oder seiner Handelsmarke in Verkehr oder nimmt es in Betrieb.
Nach Artikel 72 Absatz 1 richtet der Anbieter ein System zur Beobachtung nach dem Inverkehrbringen ein und dokumentiert es. Es muss im Verhältnis zur Art der KI-Technik und zu den Risiken stehen. Nach Absatz 2 müssen sich damit die einschlägigen Daten zur Leistung der Hochrisiko-KI-Systeme „aktiv und systematisch erheben, dokumentieren und analysieren lassen“. Das gilt „über ihre gesamte Lebensdauer hinweg“.
Die Daten können von Betreibern oder aus anderen Quellen stammen. Der Anbieter prüft damit, ob das System die Anforderungen aus Kapitel III Abschnitt 2 weiterhin erfüllt. Gegebenenfalls umfasst die Beobachtung auch die Interaktion mit anderen KI-Systemen.
Absatz 3 nennt ein weiteres Dokument: den Plan für die Beobachtung nach dem Inverkehrbringen. Der Plan gehört in die technische Dokumentation nach Anhang IV Nummer 9. Unsere kostenlose Vorlage für die technische Dokumentation nach Anhang IV deckt auch diesen Punkt ab.
Eine amtliche Vorlage für den Plan gibt es noch nicht. Nach Absatz 3 nimmt die Kommission bis zum 2. September 2027 Leitlinien „einschließlich eines Musters“ an. Der Text von 2024 sah einen Durchführungsrechtsakt bis zum 2. Februar 2026 vor. Die Verordnung (EU) 2026/1744 hat das geändert.
Absatz 4 vermeidet Doppelarbeit. Manche Produkte nach Anhang I Abschnitt A haben nach ihrem eigenen Recht schon ein Beobachtungssystem und einen Plan. Deren Anbieter kann die Elemente der KI-Verordnung dort integrieren, sofern ein gleichwertiges Schutzniveau erreicht wird. Dasselbe gilt für Finanzinstitute, die Systeme nach Anhang III Nummer 5 in Verkehr bringen oder in Betrieb nehmen.
Artikel 26 Absatz 5: was der Betreiber überwacht
Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, zum Beispiel ein Unternehmen, das eine Software zur Vorauswahl von Lebensläufen nutzt. Artikel 26 Absatz 5 verlangt vom Betreiber vier Dinge:
- den Betrieb des Systems „anhand der Betriebsanleitung“ überwachen und gegebenenfalls die Anbieter informieren;
- wenn die Verwendung gemäß der Betriebsanleitung ein Risiko nach Artikel 79 Absatz 1 bergen kann: unverzüglich den Anbieter oder Händler informieren. Außerdem die zuständige Marktüberwachungsbehörde informieren und die Verwendung des Systems aussetzen;
- wenn er einen schwerwiegenden Vorfall feststellt: unverzüglich zuerst den Anbieter, dann den Einführer oder Händler und die zuständigen Marktüberwachungsbehörden informieren;
- wenn er den Anbieter nicht erreicht: Artikel 73 gilt „entsprechend“, also gelten die Meldepflichten mit den nötigen Anpassungen für den Betreiber.
Absatz 6 regelt die Protokolle. Der Betreiber bewahrt die automatisch erzeugten Protokolle auf, soweit sie seiner Kontrolle unterliegen. Er bewahrt sie mindestens sechs Monate auf, sofern das Unionsrecht oder nationale Recht nichts anderes bestimmt.
Für Betreiber, die Finanzinstitute sind, gilt eine Sonderregel (Absatz 5 Unterabsatz 2). Deren Überwachungspflicht gilt als erfüllt, wenn sie die Vorschriften zur internen Unternehmensführung des Finanzdienstleistungsrechts einhalten.
Artikel 73: schwerwiegende Vorfälle und Meldefristen
Artikel 3 Nummer 49 definiert den schwerwiegenden Vorfall. Das ist ein Vorfall oder eine Fehlfunktion eines KI-Systems, der oder die direkt oder indirekt eine der folgenden Folgen hat:
- a) den Tod oder die schwere gesundheitliche Schädigung einer Person;
- b) eine schwere und unumkehrbare Störung der Verwaltung oder des Betriebs kritischer Infrastrukturen;
- c) die Verletzung von Pflichten aus den Unionsrechtsvorschriften zum Schutz der Grundrechte;
- d) schwere Sach- oder Umweltschäden.
Der Anbieter meldet den Vorfall den Marktüberwachungsbehörden des Mitgliedstaats, in dem er stattgefunden hat. Jede Frist läuft ab dem Zeitpunkt, zu dem der Anbieter oder gegebenenfalls der Betreiber davon Kenntnis erlangt:
| Fall | Späteste Frist | Artikel |
|---|---|---|
| Schwerwiegender Vorfall, allgemeine Regel | Unmittelbar nach Feststellung des kausalen Zusammenhangs oder seiner naheliegenden Wahrscheinlichkeit, spätestens 15 Tage nach Kenntnis | Art. 73 Abs. 2 |
| Weitverbreiteter Verstoß oder schwere und unumkehrbare Störung kritischer Infrastrukturen (Artikel 3 Nummer 49 Buchstabe b) | Unverzüglich, spätestens 2 Tage nach Kenntnis | Art. 73 Abs. 3 |
| Tod einer Person | Unverzüglich nach Feststellung oder Vermutung eines kausalen Zusammenhangs, spätestens 10 Tage nach Kenntnis | Art. 73 Abs. 4 |
Um die Frist einzuhalten, kann der Anbieter oder Betreiber zunächst einen unvollständigen Erstbericht vorlegen, dem ein vollständiger Bericht folgt (Absatz 5). Der Meldezeitraum trägt auch der Schwere des Vorfalls Rechnung (Absatz 2).
Nach der Meldung führt der Anbieter unverzüglich die erforderlichen Untersuchungen durch. Dazu gehören eine Risikobewertung des Vorfalls und Korrekturmaßnahmen. Bevor er die zuständigen Behörden informiert hat, darf er das System nicht so verändern, dass eine spätere Bewertung der Ursachen beeinträchtigt werden kann (Absatz 6).
Zur Vorbereitung gibt es Hilfe. Am 26. September 2025 hat die Kommission einen Entwurf von Leitlinien und eine Meldevorlage für schwerwiegende Vorfälle zur Konsultation veröffentlicht.
Merkblatt KI-Überwachung: Wer hat welche Monitoring-Pflichten
Diese Tabelle fasst die Artikel 19, 20, 26, 72 und 73 für Hochrisiko-KI-Systeme zusammen. Sie ist eine Übersicht, kein amtliches Merkblatt.
| Thema | Anbieter | Betreiber |
|---|---|---|
| Überwachung | Richtet ein System zur Beobachtung nach dem Inverkehrbringen ein, dokumentiert es und erstellt den Plan (Art. 72 Abs. 1 und 3) | Überwacht den Betrieb anhand der Betriebsanleitung (Art. 26 Abs. 5) |
| Daten und Protokolle | Erhebt und analysiert Leistungsdaten über die gesamte Lebensdauer (Art. 72 Abs. 2). Bewahrt die Protokolle unter seiner Kontrolle mindestens sechs Monate auf (Art. 19 Abs. 1) | Bewahrt die Protokolle unter seiner Kontrolle mindestens sechs Monate auf (Art. 26 Abs. 6) |
| Risiko bei der Verwendung | Wird er sich eines Risikos bewusst (Art. 79 Abs. 1), untersucht er die Ursachen, gegebenenfalls mit dem meldenden Betreiber, und informiert die Marktüberwachungsbehörden (Art. 20 Abs. 2) | Informiert unverzüglich den Anbieter oder Händler und die Marktüberwachungsbehörde und setzt die Verwendung aus (Art. 26 Abs. 5) |
| Schwerwiegender Vorfall | Meldet ihn der Marktüberwachungsbehörde binnen 15, 10 oder 2 Tagen und untersucht ihn dann (Art. 73) | Informiert unverzüglich zuerst den Anbieter, dann den Einführer oder Händler und die Marktüberwachungsbehörden (Art. 26 Abs. 5) |
Ab wann gelten die Artikel 72, 73 und 26?
Die Verordnung gilt ab dem 2. August 2026 (Artikel 113). Die Artikel 72 und 73 stehen in Kapitel IX, für das Artikel 113 keinen späteren Geltungsbeginn vorsieht.
Die Verordnung (EU) 2026/1744 hat Kapitel III Abschnitte 1, 2 und 3 verschoben. Diese Abschnitte gelten ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I. Dazu gehören die Einstufungsregeln aus Artikel 6 und die Pflichten aus den Artikeln 19, 20 und 26.
Vorsicht bei Systemen, die schon auf dem Markt sind. Manche Hochrisiko-KI-Systeme wurden vor dem Beginn der Anwendung von Kapitel III in Verkehr gebracht oder in Betrieb genommen. Für sie gilt die Verordnung nur, wenn ihre Konzeption ab diesem Datum erheblich verändert wird. In jedem Fall müssen Anbieter und Betreiber von Systemen für Behörden die Anforderungen bis zum 2. August 2030 erfüllen (Artikel 111 Absatz 2).
So richten Sie die kontinuierliche Überwachung ein: fünf praktische Schritte
Diese Schritte sind gute Praxis, keine Liste aus dem Gesetz. Die gesetzlichen Pflichten stehen in den Abschnitten oben.
- Erfassen Sie die KI-Systeme, die Sie nutzen oder entwickeln. Prüfen Sie, welche unter Anhang III (Anhang 3) fallen.
- Halten Sie für jedes System Ihre Rolle fest: Anbieter, Betreiber oder beides.
- Als Anbieter schreiben Sie den Plan für die Beobachtung nach dem Inverkehrbringen und nehmen ihn in die technische Dokumentation auf. Legen Sie fest, welche Daten Sie aus welchen Quellen erheben und wer sie analysiert.
- Als Betreiber lesen Sie die Betriebsanleitung. Legen Sie fest, wer das System prüft, worauf er achtet und wie oft.
- Bereiten Sie jetzt das Verfahren für schwerwiegende Vorfälle vor: wer entscheidet, wer meldet und innerhalb welcher Frist. Bewahren Sie Nachweise für jede Prüfung und jede Meldung auf.
Wie LandingRed hilft
LandingRed führt für jedes KI-System einen Plan für die Beobachtung nach dem Inverkehrbringen. Kritische Schwellenwert-Alarme eröffnen automatisch einen Vorfall, und die Frist nach Artikel 73 wird für Sie berechnet. LandingRed reicht die Meldung nicht bei der Behörde ein. Es speichert das Aktenzeichen, das Ihnen die Behörde mitteilt.
Mehr dazu auf der LandingRed-Seite zur KI-Verordnung – oder starten Sie mit der kostenlosen Selbstbewertung: Sie schätzt in etwa fünf Minuten Ihre Betroffenheit und Pflichten nach der KI-Verordnung ein.
Häufige Fragen zur kontinuierlichen Überwachung von KI-Systemen
Warum ist die kontinuierliche Überwachung von KI-Systemen wichtig?
Weil sich die Leistung eines KI-Systems nach dem Start ändern kann. Kontinuierliche Überwachung hält die KI aktuell und leistungsfähig und macht Fehler und Schäden rechtzeitig sichtbar. Für Hochrisiko-KI-Systeme ist sie Pflicht: Artikel 72 für den Anbieter, Artikel 26 Absatz 5 für den Betreiber.
Wer muss die Beobachtung nach dem Inverkehrbringen durchführen?
Der Anbieter des Hochrisiko-KI-Systems (Artikel 72). Der Betreiber führt das Beobachtungssystem des Anbieters nicht. Er überwacht den Betrieb des Systems anhand der Betriebsanleitung und informiert gegebenenfalls den Anbieter (Artikel 26 Absatz 5).
Gibt es eine amtliche Vorlage für den Beobachtungsplan?
Noch nicht. Nach Artikel 72 Absatz 3 nimmt die Kommission bis zum 2. September 2027 Leitlinien mit einem Muster an. Unabhängig davon gehört der Plan in die technische Dokumentation nach Anhang IV Nummer 9.
Innerhalb welcher Frist ist ein schwerwiegender Vorfall zu melden?
Unmittelbar nach Feststellung des kausalen Zusammenhangs oder seiner naheliegenden Wahrscheinlichkeit. Spätestens 15 Tage, nachdem der Anbieter oder Betreiber davon Kenntnis erlangt hat. Bei einem Todesfall gilt eine Frist von 10 Tagen. Bei einem weitverbreiteten Verstoß oder einer schweren und unumkehrbaren Störung kritischer Infrastrukturen sind es 2 Tage (Artikel 73).
Ab wann gelten die Überwachungspflichten?
Die Artikel 72 und 73 stehen in Kapitel IX, für das Artikel 113 keinen späteren Geltungsbeginn vorsieht: Sie gelten ab dem 2. August 2026. Artikel 26 mit den Pflichten der Betreiber steht in Kapitel III Abschnitt 3. Er gilt ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I.
Verwandte Ressourcen
- KI-Systeme nach der KI-Verordnung überwachen: die zehn Dimensionen
- Anhang III (Anhang 3): die 8 Hochrisiko-Bereiche
- Vorlage für die technische Dokumentation nach Anhang IV
- LandingRed für die KI-Verordnung
Dies sind Informationen, keine Rechtsberatung. Verbindlich sind nur die im Amtsblatt der Europäischen Union veröffentlichten Texte.
Ist Ihr System hochriskant? Prüfen Sie die Einstufung, bevor Sie die Überwachung einrichten. Kostenlose Selbstbewertung starten.
Geprüft und veröffentlicht unter der redaktionellen Verantwortung von AB Corporate Advisory S.R.L.
LandingRed automatisiert all das
Hör auf, Compliance in Tabellen zu verwalten. Klassifiziere, dokumentiere, bewerte und überwache deine KI-Systeme aus einer Plattform.