Was Art. 49 konkret verlangt
Art. 49 AI Act verpflichtet Anbieter (und gegebenenfalls deren Bevollmächtigte) von Hochrisiko-KI-Systemen, sich und ihr System vor dem Inverkehrbringen oder der Inbetriebnahme in der EU-Datenbank nach Art. 71 zu registrieren (Art. 49 Abs. 1). Die Pflicht gilt für alle in Anhang III aufgeführten Hochrisiko-KI-Systeme – mit einer Ausnahme: Systeme nach Anhang III Nummer 2 werden nicht in der EU-Datenbank, sondern auf nationaler Ebene registriert (Art. 49 Abs. 5).
Auch dann, wenn ein Anbieter im Rahmen der Einstufung nach Art. 6 Abs. 3 zu dem Ergebnis kommt, dass sein System entgegen der grundsätzlichen Zuordnung in Anhang III doch nicht hochriskant ist, entfällt die Registrierungspflicht nicht automatisch: Nach Art. 49 Abs. 2 muss auch diese Einschätzung – also die Feststellung „nicht hochriskant trotz Anhang-III-Zuordnung“ – in der EU-Datenbank registriert werden, bevor das System in Verkehr gebracht oder in Betrieb genommen wird.
Wer registrieren muss: Anbieter und Betreiber
Die Registrierungspflicht trifft nicht nur Anbieter. Art. 49 Abs. 3 verpflichtet auch Betreiber, sofern es sich um Behörden, Organe, Einrichtungen oder sonstige Stellen der Union oder in ihrem Namen handelnde Personen handelt. Diese müssen sich vor Inbetriebnahme oder Verwendung eines Anhang-III-Hochrisiko-KI-Systems (wieder mit Ausnahme von Nummer 2) selbst in der EU-Datenbank registrieren, das betreffende System auswählen und dort eintragen.
Praktisch bedeutet das: Entwickeln Sie als Anbieter ein Hochrisiko-KI-System, tragen Sie die Registrierungspflicht. Setzen Sie ein solches System dagegen nur als öffentliche Stelle im Sinne des Abs. 3 ein, entsteht eine eigenständige, zusätzliche Registrierungspflicht auf Betreiberseite. Beide Pflichten sind unabhängig voneinander zu prüfen.
Sonderregeln für sensible Bereiche
Für bestimmte Hochrisiko-KI-Systeme aus Anhang III Nummern 1, 6 und 7 – also Systeme in den Bereichen Strafverfolgung, Migration, Asyl und Grenzkontrolle – sieht Art. 49 Abs. 4 eine abweichende Transparenzregel vor: Die Registrierung erfolgt in einem sicheren, nicht öffentlichen Teil der EU-Datenbank. Dort werden nur ausgewählte Angaben aus Anhang VIII Abschnitt A (Nummern 1 bis 10, mit Ausnahme der Nummern 6, 8 und 9), Abschnitt B (Nummern 1 bis 5 sowie 8 und 9), Abschnitt C (Nummern 1 bis 3) sowie aus Anhang IX (Nummern 1, 2, 3 und 5) hinterlegt. Zugriff auf diese beschränkten Bereiche haben ausschließlich die Kommission und die nach Art. 74 Abs. 8 zuständigen nationalen Behörden.
Für diese Systemkategorien reicht es also nicht, denselben Datensatz wie bei „normalen“ Hochrisiko-Systemen einzureichen – es gilt ein eigener, reduzierter und nicht öffentlicher Umfang an Angaben.
Typische Lücke in der Praxis
In der Praxis wird die Registrierungspflicht häufig als reiner Verwaltungsakt am Ende des Konformitätsprozesses missverstanden – nach dem Motto: „Das trägt jemand aus der Rechtsabteilung kurz vor dem Launch ein.“ Das unterschätzt zwei Punkte.
Erstens ist die Registrierung eine Bedingung, kein nachgelagerter Schritt: Nach Art. 49 Abs. 1 bis 3 darf das System erst in Verkehr gebracht, in Betrieb genommen oder verwendet werden, wenn die Registrierung erfolgt ist – der Wortlaut spricht ausdrücklich von „vor dem Inverkehrbringen oder der Inbetriebnahme“. Ein Launch-Termin ohne abgeschlossene Registrierung ist ein Compliance-Risiko, nicht nur eine formale Unschärfe.
Zweitens wird die Sonderfall-Prüfung nach Art. 49 Abs. 2 oft übersehen: Wer sein System zunächst in Anhang III einordnet, dann aber über Art. 6 Abs. 3 zu „nicht hochriskant“ kommt, glaubt teilweise, damit sei jede Registrierungspflicht erledigt. Das Gegenteil ist der Fall – gerade diese Einschätzung muss dokumentiert und in der EU-Datenbank hinterlegt werden.
Da der 2. August 2026 als Stichtag für die Hochrisiko-Pflichten nach Anhang III markiert, sollten Anbieter und betroffene öffentliche Betreiber die Zuständigkeit für die Registrierung – wer meldet, mit welchen Daten, in welchem Teil der Datenbank – jetzt klären und nicht erst kurz vor dem Termin.
Wo Sie ansetzen sollten
Die Registrierungspflicht nach Art. 49 lässt sich nicht isoliert erfüllen – sie setzt voraus, dass Sie wissen, ob und in welcher Anhang-III-Kategorie Ihr System einzuordnen ist, wer als Anbieter oder Betreiber im Sinne der Verordnung gilt und welche Angaben aus Anhang VIII und IX für Ihren Fall relevant sind. Mit dem kostenlosen Risiko-Check unter /einstufung erhalten Sie eine erste Einordnung Ihres KI-Systems und einen Überblick über die daraus folgenden Pflichten – als Ausgangspunkt für die weitere Umsetzung.