Zwölf Pflichten, ein Artikel
Art. 16 der KI-VO (EU) 2024/1689 fasst zusammen, was Anbieter von Hochrisiko-KI-Systemen leisten müssen. Der Artikel selbst ist eine Liste – die eigentliche Substanz steckt in den referenzierten Artikeln. Wer Art. 16 verstehen will, muss diese Verweise mitlesen:
- Anforderungen aus Abschnitt 2 erfüllen (Buchstabe a) – das ist der materielle Kern (Risikomanagement, Daten, Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit/Robustheit/Cybersicherheit).
- Kennzeichnungspflichten: Name, Handelsname bzw. Handelsmarke und Kontaktanschrift auf dem System, der Verpackung oder in der Dokumentation (b).
- Qualitätsmanagementsystem nach Art. 17 (c).
- Technische Dokumentation nach Art. 18 aufbewahren (d).
- Protokolle aus dem automatischen Betrieb nach Art. 19 aufbewahren, soweit sie der eigenen Kontrolle unterliegen (e).
- Konformitätsbewertungsverfahren nach Art. 43 durchlaufen, bevor das System in Verkehr gebracht oder in Betrieb genommen wird (f).
- EU-Konformitätserklärung nach Art. 47 ausstellen (g).
- CE-Kennzeichnung nach Art. 48 anbringen (h).
- Registrierung nach Art. 49 Abs. 1 vornehmen (i).
- Korrekturmaßnahmen und Informationspflichten nach Art. 20 bei Nichtkonformität (j).
- Nachweispflicht gegenüber nationalen Behörden auf begründete Anfrage (k).
- Barrierefreiheit nach den Richtlinien (EU) 2016/2102 und (EU) 2019/882 (l).
Das Muster ist erkennbar: Art. 16 ist kein Selbstzweck, sondern ein Inhaltsverzeichnis für ein ganzes Compliance-System, das Qualitätsmanagement, Dokumentation, Konformitätsbewertung und Marktüberwachung zusammenbindet.
Wann diese Pflichten tatsächlich greifen
Der „Digital Omnibus on AI“ hat die Fristen für Hochrisiko-KI-Systeme verschoben. Für Systeme, die über Anhang III als hochriskant eingestuft sind (etwa in den Bereichen Personalauswahl, Kreditwürdigkeitsprüfung oder biometrische Identifizierung), gelten die Pflichten aus Art. 16 nun ab dem 02.12.2027 – ursprünglich war der 02.08.2026 vorgesehen. Für Hochrisiko-KI-Systeme, die als Produkte oder Sicherheitsbauteile unter EU-Produktrecht nach Anhang I fallen, verschiebt sich der Stichtag auf 02.08.2028 (statt 02.08.2027).
Wichtig: Diese Verschiebung betrifft nicht die Verbote nach Art. 5 und die KI-Kompetenz nach Art. 4 (seit 02.02.2025 in Kraft) und nicht die GPAI-Pflichten, Governance-Strukturen und Sanktionen (seit 02.08.2025). Auch die Transparenzpflichten nach Art. 50 folgen einem eigenen Zeitplan ab 02.08.2026, mit Schonfrist bis 02.12.2026 für bereits im Verkehr befindliche Systeme. Art. 16 betrifft ausschließlich Hochrisiko-Systeme – und deren Frist liegt jetzt deutlich später als ursprünglich geplant.
Warum die verschobene Frist keine Verschnaufpause ist
Zwischen “die Frist ist verschoben” und “wir haben Zeit” liegt ein Denkfehler, der in der Praxis häufig zu spät auffällt. Die in Art. 16 aufgezählten Pflichten setzen aufeinander auf: Ein Qualitätsmanagementsystem nach Art. 17 lässt sich nicht in wenigen Wochen aufbauen, wenn es Entwicklungsprozesse, Datenmanagement und Änderungsmanagement über den gesamten Lebenszyklus abdecken soll. Die technische Dokumentation nach Art. 18 muss parallel zur Entwicklung entstehen, nicht nachträglich rekonstruiert werden. Und die Konformitätsbewertung nach Art. 43 setzt voraus, dass die Anforderungen aus Abschnitt 2 bereits nachweisbar erfüllt sind – das ist der letzte Schritt einer längeren Kette, nicht deren Ausgangspunkt.
Typische Lücken, die uns in der Praxis begegnen:
- QMS existiert nur auf Papier: Prozesse sind beschrieben, aber nicht gelebt oder nicht auf das konkrete KI-System bezogen.
- Dokumentation wird nachträglich erstellt: Statt begleitend über den Entwicklungsprozess zu entstehen, wird sie kurz vor der Bewertung zusammengeschustert – mit entsprechenden Lücken.
- Registrierungspflicht nach Art. 49 Abs. 1 wird übersehen, weil sie organisatorisch oft nicht dem Entwicklungsteam, sondern Compliance oder Recht zugeordnet ist.
- Barrierefreiheit nach Buchstabe l wird als IT-Thema behandelt, nicht als Teil der KI-Compliance – dabei verweist Art. 16 ausdrücklich auf die einschlägigen Richtlinien.
Was das für Ihre Planung bedeutet
Die verschobenen Fristen – 02.12.2027 für Anhang-III-Systeme, 02.08.2028 für Anhang-I-Produkte – verschaffen mehr Vorlaufzeit, aber der Aufwand pro Pflicht ändert sich nicht. Wer heute beginnt, ein QMS aufzubauen und die Dokumentationsprozesse zu etablieren, hat bei Inkrafttreten belastbare Nachweise statt eines Zeitdrucks kurz vor Stichtag. Wer wartet, verlagert das Risiko nur zeitlich.
Ob Ihr System überhaupt unter Art. 16 fällt, hängt von der Einstufung nach Anhang III oder Anhang I ab – und das ist oft weniger eindeutig, als es zunächst scheint. Mit unserem kostenlosen Risiko-Check unter /einstufung erhalten Sie eine erste Einschätzung, ob und in welcher Kategorie Ihr KI-System einzuordnen ist.