Betreiber von Hochrisiko-Systemen (Art. 26, 27)

Ab dem 2. Dezember 2027 gelten die Hochrisiko-Regeln für Systeme nach Anhang III (vor der Änderung von 2026: 2. August 2026). Für KI in Produkten nach Anhang I gelten sie ab dem 2. August 2028. Ein Betreiber eines Hochrisiko-Systems hat dann nach Art. 26 diese Pflichten:

• Gebrauchsanweisung. Das System gemäß der Gebrauchsanweisung des Anbieters verwenden.
• Menschliche Aufsicht. Die Aufsicht Personen übertragen, die die nötige Kompetenz, Schulung, Befugnis und Unterstützung haben.
• Eingabedaten. Soweit Sie die Eingabedaten kontrollieren, sicherstellen, dass sie für den vorgesehenen Zweck relevant und ausreichend repräsentativ sind.
• Überwachung des Betriebs. Den Betrieb des Systems überwachen und den Anbieter und die Behörden über Risiken und schwerwiegende Vorfälle informieren.
• Protokolle. Die automatisch erzeugten Protokolle des Systems, soweit sie unter Ihrer Kontrolle stehen, mindestens sechs Monate aufbewahren, sofern anderes Recht nichts anderes vorsieht.
• Beschäftigte. Vor dem Einsatz eines Hochrisiko-Systems am Arbeitsplatz die betroffenen Beschäftigten und ihre Vertretungen informieren.
• Registrierung. Behörden registrieren ihre Verwendung in der EU-Datenbank.
• Datenschutz. Die Informationen des Anbieters für eine Datenschutz-Folgenabschätzung nutzen, wo eine erforderlich ist.

#Grundrechte-Folgenabschätzung (Art. 27)

Vor der ersten Verwendung schätzen manche Betreiber die Auswirkungen des Systems auf die Grundrechte ab: Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, und Betreiber von Systemen zur Kreditwürdigkeitsprüfung oder zur Preisbildung bei Lebens- und Krankenversicherungen. Nach der Änderung kann die Abschätzung auf eine bestehende Datenschutz-Folgenabschätzung verweisen, und das Büro für Künstliche Intelligenz stellt eine Fragebogenvorlage bereit.

#Schwerwiegende Vorfälle

Anbieter melden schwerwiegende Vorfälle innerhalb von 15 Tagen, nachdem sie davon Kenntnis erlangt haben, innerhalb von 2 Tagen bei einem weitverbreiteten Verstoß oder bestimmten schwerwiegenden Vorfällen und innerhalb von 10 Tagen im Todesfall (Art. 73). Betreiber informieren den Anbieter und die Behörden (Art. 26(5)).