Was Art. 72 verlangt
Art. 72 AI Act verpflichtet Anbieter von Hochrisiko-KI-Systemen dazu, ein System zur Beobachtung nach dem Inverkehrbringen einzurichten und zu dokumentieren – proportional zur KI-Technik und zu den Risiken des Systems (Art. 72 Abs. 1). Das ist keine einmalige Prüfung, sondern eine Pflicht über die gesamte Lebensdauer des Systems: Leistungsdaten, die Anbieter oder Betreiber bereitstellen oder die aus anderen Quellen erhoben werden können, müssen aktiv und systematisch gesammelt, dokumentiert und analysiert werden (Art. 72 Abs. 2). Ziel ist, dass der Anbieter fortlaufend bewerten kann, ob die Anforderungen aus Kapitel III Abschnitt 2 der KI-VO weiterhin erfüllt sind – also nicht nur zum Zeitpunkt der Konformitätsbewertung, sondern im laufenden Betrieb.
Wo relevant, gehört auch die Analyse der Interaktion mit anderen KI-Systemen dazu. Eine Ausnahme gilt für sensible operative Daten von Betreibern, die Strafverfolgungsbehörden sind – diese müssen nicht in das Beobachtungssystem einfließen.
Der Plan für die Beobachtung
Das Beobachtungssystem darf nicht ad hoc entstehen, sondern muss auf einem dokumentierten Plan beruhen, der fester Bestandteil der technischen Dokumentation nach Anhang IV ist (Art. 72 Abs. 3). Die Kommission sollte hierzu bis zum 2. Februar 2026 einen Durchführungsrechtsakt mit einem Muster für diesen Plan sowie der Liste der aufzunehmenden Elemente erlassen. Dieser Termin liegt aus heutiger Sicht (11.08.2026) bereits hinter uns – prüfen Sie den aktuellen Stand des Durchführungsrechtsakts, bevor Sie Ihren Plan final dokumentieren, da sich Detailanforderungen an das Muster noch konkretisieren können.
Praktisch bedeutet das: Ein Beobachtungsplan ohne feste Zuständigkeiten, Datenquellen, Auswertungsintervalle und Eskalationswege genügt nicht. Der Plan muss so konkret sein, dass ein Auditor nachvollziehen kann, welche Daten wann von wem ausgewertet werden und wie Abweichungen von der erwarteten Leistung in Korrekturmaßnahmen münden.
Wann die Pflicht tatsächlich greift
Art. 72 ist Teil der Hochrisiko-Pflichten aus Kapitel III Abschnitt 2. Durch den Digital Omnibus on AI wurden die Anwendungstermine dieser Pflichten verschoben: Für Hochrisiko-KI-Systeme nach Anhang III (etwa in den Bereichen Personal, Kreditwürdigkeit, Strafverfolgung) gilt die Pflicht erst ab dem 2. Dezember 2027 statt wie ursprünglich vorgesehen ab dem 2. August 2026. Für Hochrisiko-KI-Systeme, die über Anhang-I-Produktrecht erfasst werden, verschiebt sich der Stichtag auf den 2. August 2028. Der 2. August 2026 selbst betrifft nicht Art. 72, sondern die Transparenzpflichten nach Art. 50 – die beiden Termine sollten Sie in Ihrer Planung nicht verwechseln.
Wer die zusätzliche Zeit ungenutzt lässt, verschenkt sie: Ein funktionierendes Beobachtungssystem lässt sich nicht kurzfristig aus dem Boden stampfen, weil es Datenpipelines, Verantwortlichkeiten und Auswertungsroutinen braucht, die im Produktivbetrieb erst reifen müssen.
Integration statt Doppelarbeit
Art. 72 Abs. 4 erlaubt Anbietern, die bereits einer sektoralen Marktüberwachung nach Anhang I Abschnitt A unterliegen, ihre bestehenden Beobachtungssysteme und -pläne zu nutzen, statt parallele Strukturen aufzubauen – vorausgesetzt, das bestehende System erreicht ein gleichwertiges Schutzniveau und die erforderlichen Elemente aus Art. 72 Abs. 1 bis 3 werden unter Verwendung des Kommissionsmusters integriert. Dasselbe gilt für Hochrisiko-KI-Systeme nach Anhang III Nummer 5, die von Finanzinstituten in Verkehr gebracht werden und bereits Governance-Anforderungen aus dem Finanzdienstleistungsrecht unterliegen. Das ist besonders für Unternehmen relevant, die etwa DORA-Meldeprozesse oder Produktsicherheitsüberwachung ohnehin betreiben – hier lohnt sich eine Lückenanalyse, statt zwei getrennte Systeme parallel zu pflegen.
Typische Lücken in der Praxis
In der Beratungspraxis zeigen sich immer wieder dieselben Schwachstellen: Beobachtungssysteme existieren nur auf dem Papier, ohne dass tatsächlich Daten aus dem Betrieb zurückfließen. Betreiberrückmeldungen werden nicht strukturiert erfasst, sodass der Anbieter Leistungsabweichungen erst bemerkt, wenn es zu spät ist. Und der Beobachtungsplan wird als einmaliges Dokument zur Konformitätsbewertung erstellt, statt als lebendes Steuerungsinstrument gepflegt zu werden. Wer jetzt beginnt, Datenflüsse und Zuständigkeiten für die Beobachtung nach dem Inverkehrbringen zu definieren, hat bis zum jeweiligen Anwendungstermin – 2. Dezember 2027 oder 2. August 2028 – einen belastbaren Prozess statt eines hektisch zusammengestellten Dokuments.
Ob und in welcher Kategorie Ihr KI-System als Hochrisiko-System einzustufen ist und welche Fristen für Sie konkret gelten, lässt sich mit unserem kostenlosen Risiko-Check unter /einstufung in wenigen Minuten klären.