Art. 73 EU-AI-Act verpflichtet Anbieter von Hochrisiko-KI zur Meldung schwerwiegender Vorfälle – mit Fristen von 2 bis 15 Tagen. Was das für Sie bedeutet.

Worum es geht

Art. 73 der KI-VO verpflichtet Anbieter von Hochrisiko-KI-Systemen, schwerwiegende Vorfälle an die zuständige Marktüberwachungsbehörde zu melden – und zwar an die Behörde des Mitgliedstaats, in dem der Vorfall stattgefunden hat (Art. 73 Abs. 1). Die Pflicht trifft in erster Linie den Anbieter, in mehreren Konstellationen wird aber auch der Betreiber genannt, etwa wenn es um dessen Kenntniserlangung geht (Art. 73 Abs. 2, 3, 4).

Wichtig für die Praxis: Diese Meldepflicht ist keine abstrakte Zukunftsübung. Zwar wurden die Hochrisiko-Pflichten für Anhang-III-Systeme durch den Digital Omnibus on AI auf den 2. Dezember 2027 verschoben (ursprünglich 2. August 2026), für Hochrisiko-Systeme über Anhang-I-Produktrecht gilt neu der 2. August 2028 (statt 2. August 2027). Wer heute Hochrisiko-KI entwickelt oder einsetzt, sollte die Meldeprozesse aber bereits jetzt aufbauen, nicht erst kurz vor dem jeweiligen Stichtag.

Fristen: Es kommt auf die Schwere an

Art. 73 kennt keine einheitliche Frist, sondern drei Stufen:

Regelfall: Meldung unmittelbar nach Feststellung des kausalen Zusammenhangs (oder der naheliegenden Wahrscheinlichkeit) zwischen KI-System und Vorfall, spätestens aber 15 Tage nach Kenntniserlangung (Art. 73 Abs. 2). Die Frist ist dabei an der Schwere des Vorfalls auszurichten – „15 Tage” ist die Obergrenze, nicht der Regelwert.
Weitverbreiteter Verstoß / Vorfall nach Art. 3 Nr. 49 Buchstabe b: Meldung unverzüglich, spätestens jedoch 2 Tage nach Kenntniserlangung (Art. 73 Abs. 3).
Todesfall: Meldung unverzüglich nach Feststellung oder Vermutung des kausalen Zusammenhangs, spätestens jedoch 10 Tage nach Kenntniserlangung (Art. 73 Abs. 4).

Wer diese Differenzierung nicht kennt, riskiert, die kurze 2-Tage-Frist zu verpassen, weil er reflexhaft mit der „15-Tage-Regel” kalkuliert. Die Einstufung des Vorfalls – welche Kategorie nach Art. 3 Nr. 49 einschlägig ist – muss also am Anfang jedes internen Eskalationsprozesses stehen, nicht am Ende.

Unvollständiger Erstbericht ist ausdrücklich erlaubt

Art. 73 Abs. 5 erlaubt es, zur Fristwahrung zunächst einen unvollständigen Erstbericht einzureichen, dem später ein vollständiger Bericht folgt. Das ist praktisch relevant: Wer intern noch ermittelt, muss die Frist nicht verstreichen lassen, sondern kann mit dem vorliegenden Kenntnisstand melden und nachliefern. Genau hier liegt in vielen Organisationen eine Lücke – es gibt keinen definierten Prozess für einen „vorläufigen” Meldeentwurf, sodass am Ende gar nicht gemeldet wird, weil die vollständigen Fakten fehlen.

Untersuchungspflicht und Zusammenarbeit

Mit der Meldung ist die Arbeit nicht erledigt. Nach Art. 73 Abs. 6 muss der Anbieter unverzüglich die erforderlichen Untersuchungen durchführen, einschließlich Risikobewertung und Korrekturmaßnahmen. Dabei gilt eine bemerkenswerte Einschränkung: Der Anbieter darf keine Untersuchung vornehmen, die das betroffene System so verändert, dass eine spätere Ursachenbewertung beeinträchtigt werden könnte – ohne die zuständige Behörde vorher darüber zu unterrichten. Das bedeutet konkret: Vor jedem Hotfix oder Rollback am betroffenen System sollte geprüft werden, ob die Behörde informiert werden muss, damit forensische Spuren nicht verloren gehen.

Zuständige Marktüberwachungsbehörden müssen ihrerseits innerhalb von 7 Tagen nach Eingang der Meldung geeignete Maßnahmen nach Art. 19 der Verordnung (EU) 2019/1020 ergreifen (Art. 73 Abs. 8) und informieren bei bestimmten Vorfallskategorien weitere nationale Stellen nach Art. 77 Abs. 1 (Art. 73 Abs. 7). Nationale Behörden wiederum melden jeden schwerwiegenden Vorfall unverzüglich an die Kommission, unabhängig davon, ob sie tätig geworden sind (Art. 73 Abs. 11, i.V.m. Art. 20 VO (EU) 2019/1020).

Sonderfälle: Andere Regelwerke greifen vor

Für Hochrisiko-Systeme nach Anhang III, die bereits gleichwertigen Meldepflichten aus anderen Unionsrechtsinstrumenten unterliegen, reduziert sich die Pflicht auf die in Art. 3 Nr. 49 Buchstabe c genannten Vorfälle (Art. 73 Abs. 9). Gleiches gilt für Hochrisiko-KI als Sicherheitsbauteil von Medizinprodukten nach den Verordnungen (EU) 2017/745 und (EU) 2017/746 – hier ist die von den Mitgliedstaaten dafür ausgewählte nationale Behörde zuständig, nicht automatisch die allgemeine Marktüberwachungsbehörde (Art. 73 Abs. 10). Wer in einem regulierten Sektor wie Medizintechnik unterwegs ist, muss also zusätzlich prüfen, welche Behörde konkret zuständig ist – ein Punkt, der in generischen Compliance-Checklisten oft übersehen wird.

Was das für Ihre Organisation heißt

Die typische Lücke in der Praxis ist nicht die fehlende Kenntnis von Art. 73 als solchem, sondern das Fehlen eines funktionierenden internen Prozesses: Wer erkennt einen „schwerwiegenden Vorfall” überhaupt als solchen, wer entscheidet über die Fristkategorie, wer formuliert den Erstbericht, wer dokumentiert die Untersuchung? Diese Fragen sollten beantwortet sein, bevor die Hochrisiko-Pflichten für Ihre Systeme greifen – also rechtzeitig vor dem 2. Dezember 2027 (Anhang III) beziehungsweise dem 2. August 2028 (Anhang-I-Produktrecht).

Ob und wann Ihre Systeme überhaupt als Hochrisiko-KI einzustufen sind, lässt sich mit unserem kostenlosen Risiko-Check unter /einstufung klären.

Fachliche Orientierung, keine Rechtsberatung. Normverweise beziehen sich auf die genannten Rechtsakte und wurden gegen die amtlichen EUR-Lex-Texte geprüft.

Meldepflicht für KI-Vorfälle: Art. 73 erklärt