EU-Datenbank für Hochrisiko-KI – Registrierungspflicht erklärt

Viele Unternehmen wissen noch nicht, dass eine Registrierungspflicht auf sie zukommt. Wer eine Hochrisiko-KI nach Annex III in Verkehr bringt – und in bestimmten Fällen auch, wer sie einsetzt –, muss sie ab dem 2. Dezember 2027 vorab in einer zentralen EU-Datenbank eintragen. Wer das versäumt, riskiert nicht nur Bußgelder, sondern auch, dass die Behörde den Vertrieb des Systems untersagt. Hier erfahren Sie, wen die Pflicht trifft, was eingetragen werden muss und bis wann Sie handeln müssen.

Was ist die EU-Datenbank für Hochrisiko-KI?

Der AI Act schafft mit Artikel 71 eine europaweit einheitliche, öffentlich zugängliche Datenbank für Hochrisiko-KI-Systeme. Sie wird von der Europäischen Kommission betrieben und dient einem klaren Ziel: Transparenz. Behörden, Bürgerinnen und Bürger, aber auch Geschäftspartner sollen nachvollziehen können, welche KI-Systeme auf dem EU-Markt sind, wer sie entwickelt hat und wofür sie eingesetzt werden.

Die Datenbank ist kein bürokratischer Selbstzweck. Sie ist das zentrale Aufsichtsinstrument, mit dem Marktüberwachungsbehörden prüfen können, ob ein Anbieter seinen Pflichten nachkommt. Ein System, das nicht registriert ist, gilt als nicht konform – unabhängig davon, ob es technisch einwandfrei ist.

Wer muss registrieren?

Die Registrierungspflicht trifft zwei Gruppen: Anbieter (Providers) und in bestimmten Fällen auch Betreiber (Deployers).

Anbieter von Hochrisiko-KI-Systemen

Als Anbieter gilt, wer ein KI-System entwickelt und auf dem EU-Markt in Verkehr bringt oder in Betrieb nimmt – also typischerweise Softwareunternehmen, Tech-Startups, aber auch Konzerne, die eigene KI-Lösungen bauen. Die Registrierungspflicht nach Artikel 49 Abs. 1 gilt für alle Hochrisiko-KI-Systeme gemäß Annex III des AI Act.

Konkret bedeutet das: Bevor ein System auf den Markt kommt, muss es eingetragen sein. Keine Registrierung, kein Marktzugang. Ausnahme: Hochrisiko-KI für kritische Infrastruktur (Annex III Nr. 2) wird nicht in der EU-Datenbank, sondern auf nationaler Ebene registriert (Art. 49 Abs. 5).

Betreiber aus dem öffentlichen Sektor

Für Betreiber aus dem öffentlichen Bereich – also Behörden, öffentliche Stellen, staatlich finanzierte Einrichtungen – gilt eine eigene Registrierungspflicht nach Artikel 49 Abs. 3. Bevor sie ein Hochrisiko-KI-System nach Annex III in Betrieb nehmen, müssen sie sich selbst registrieren, das System in der Datenbank auswählen und ihre Nutzung eintragen – zusätzlich zur Registrierung durch den Anbieter. Ein nicht registriertes System dürfen sie nicht einsetzen.

Wichtig für KMUs: Sitzt Ihr Anbieter außerhalb der EU, muss er einen EU-Bevollmächtigten benennen, der die Registrierung übernehmen kann (Art. 22, Art. 49 Abs. 1). Lassen Sie sich die Registrierung vertraglich zusichern und bestätigen.

Was ist mit privaten Betreibern?

Private Unternehmen, die eine Hochrisiko-KI ausschließlich einsetzen und diese nicht selbst entwickelt haben, sind grundsätzlich nicht registrierungspflichtig – aber sie sind auf registrierte Anbieter angewiesen. Ein nicht registriertes Hochrisiko-System ist formal nicht konform, und die Marktüberwachung kann seine Bereitstellung einschränken oder untersagen. Die Registrierung des Anbieters ist also Ihre Compliance-Grundlage. Achtung: Verändern Sie ein System wesentlich oder vertreiben es unter eigenem Namen, können Sie selbst zum Anbieter werden (Art. 25).

Welche KI-Systeme sind betroffen?

Nicht jede KI muss registriert werden – nur solche, die als Hochrisiko eingestuft sind. Die Liste der relevanten Anwendungsfelder findet sich in Annex III des AI Act. Dazu gehören unter anderem:

Bereich	Beispielhafte Anwendungen
Biometrie	Gesichtserkennung, Emotionserkennung
Kritische Infrastruktur	KI in Strom-, Wasser-, Verkehrsmanagement
Bildung	Zulassungsentscheidungen, Leistungsbewertung
Beschäftigung	Bewerberscreening, Mitarbeiterbewertung
Wesentliche Dienste	Kreditwürdigkeit, Sozialleistungen
Strafverfolgung	Risikobewertung, Polygraftests
Migrationskontrolle	Visumentscheidungen, Grenzkontrolle
Justiz	Entscheidungsunterstützung für Gerichte

Wenn Ihr Unternehmen KI in einem dieser Bereiche einsetzt oder entwickelt, sollten Sie unverzüglich prüfen, ob eine Registrierungspflicht besteht. Unser KI-Risikoklassen-Vergleich hilft dabei, die eigene Einordnung zu verstehen.

Was muss in die Datenbank eingetragen werden?

Die Registrierung ist keine formlose Selbstauskunft. Artikel 49 in Verbindung mit Anhang VIII des AI Act definiert genau, welche Informationen einzutragen sind. Für Anbieter umfasst das unter anderem:

Pflichtangaben für Anbieter

Name und Kontaktdaten des Anbieters und ggf. seines EU-Bevollmächtigten
Handelsname und eine eindeutige Referenz zur Identifizierung und Rückverfolgbarkeit des KI-Systems
Beschreibung der Zweckbestimmung sowie der Komponenten und Funktionen
Kurzbeschreibung der verwendeten Informationen (Daten, Eingaben) und der Funktionslogik
Status auf dem Markt – in Verkehr, außer Betrieb genommen, zurückgerufen
Zertifikatsangaben der benannten Stelle (falls zutreffend)
Mitgliedstaaten, in denen das System in Verkehr gebracht oder in Betrieb genommen wurde
Kopie der EU-Konformitätserklärung
Elektronische Betriebsanleitung (Instructions for Use)

Öffentliche Betreiber tragen zusätzlich ihre Kontaktdaten, den Link zum Datenbankeintrag des Anbieters, eine Zusammenfassung ihrer Grundrechte-Folgenabschätzung (Art. 27) und – soweit vorhanden – eine Zusammenfassung der Datenschutz-Folgenabschätzung ein.

Änderungen müssen nachgepflegt werden

Die Registrierung ist kein einmaliger Akt. Wenn sich wesentliche Eigenschaften des Systems ändern – neue Version, neuer Anwendungsbereich, Rücknahme vom Markt – muss die Datenbank aktualisiert werden. Die Angaben sind laut Anhang VIII aktuell zu halten – veraltete oder unvollständige Einträge riskieren Sie also nicht ungestraft.

Wie läuft die Registrierung praktisch ab?

Die Registrierung erfolgt über das EU-Portal für KI-Systeme, das von der Europäischen Kommission bereitgestellt wird. Zum Zeitpunkt der Erstellung dieses Artikels befindet sich das Portal im Aufbau; die operative Phase beginnt mit dem Inkrafttreten der Hochrisiko-Pflichten.

Schritt-für-Schritt

KI-Inventar erstellen: Erfassen Sie alle KI-Systeme Ihres Unternehmens. Unser Leitfaden KI-Inventar erstellen zeigt, wie das gelingt.
Hochrisiko-Prüfung: Prüfen Sie für jedes System, ob es unter Annex III fällt. Im Zweifel gilt: lieber registrieren als ignorieren.
Konformitätsbewertung abschließen: Die Registrierung setzt voraus, dass das Konformitätsbewertungsverfahren abgeschlossen ist und eine EU-Konformitätserklärung vorliegt.
EU-Portal nutzen: Halten Sie alle Pflichtangaben gemäß Anhang VIII bereit und tragen Sie das System ein.
Registrierung dokumentieren: Halten Sie den Eintrag (Registrierungsnachweis, Link) in Ihrer Dokumentation fest und geben Sie ihn an Ihre Betreiber weiter – öffentliche Betreiber verweisen bei ihrer eigenen Registrierung auf Ihren Eintrag.

Die Angaben für die Datenbank sind dieselben, die auch in der technischen Dokumentation stehen. Wer beides getrennt pflegt, pflegt es doppelt. Software für die AI-Act-Dokumentation hält sie an einer Stelle.

Fristen: Wann gilt die Pflicht?

Der AI Act-Zeitplan ist gestaffelt. Für die Registrierungspflicht bei Hochrisiko-KI nach Annex III gilt:

2. Dezember 2027: Registrierungspflicht für Hochrisiko-KI-Systeme nach Annex III. Ursprünglich war der 2. August 2026 vorgesehen; der Digital Omnibus (VO (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat den Termin als festes Datum verschoben.
Annex I (regulierte Produkte): Hochrisiko-KI in Produkten wie Medizinprodukten unterliegt ab dem 2. August 2028 den Hochrisiko-Pflichten. Eine Registrierung in der EU-Datenbank nach Art. 49 ist für diese Systeme aber nicht vorgesehen – sie gilt nur für Annex III.

Vereinfachung bei Art. 6(3): Anbieter, die ein Annex-III-System per Art. 6(3) als nicht hochriskant einstufen, müssen es weiterhin registrieren (Art. 49 Abs. 2). Durch den Digital Omnibus wurden die Pflichtangaben dafür aber gestrafft. Die Einstufung muss vor dem Inverkehrbringen dokumentiert sein; Behörden können sie anfordern.

Das klingt nach viel Zeit – ist es aber nicht. Die Konformitätsbewertung, die Erstellung der technischen Dokumentation und die Schulung der Mitarbeitenden nach Artikel 4 brauchen Vorlaufzeit. Wer erst 2027 beginnt, wird es eng.

Bestandssysteme

Für Hochrisiko-KI-Systeme, die bereits vor dem 2. Dezember 2027 auf dem Markt sind, gelten die Pflichten nur, wenn sie ab diesem Datum wesentlich geändert werden – dann ab dem Zeitpunkt der Änderung (Art. 111 Abs. 2; für Annex-I-Systeme gilt entsprechend der 2. August 2028). Ausnahme: Systeme, die für die Nutzung durch Behörden bestimmt sind, müssen spätestens bis zum 2. August 2030 konform sein – auch ohne Änderung.

Was passiert, wenn Sie nicht registrieren?

Fehlende Registrierung ist kein Kavaliersdelikt. Die Registrierung gehört zu den Anbieterpflichten nach Art. 16; Verstöße dagegen sowie gegen Betreiberpflichten nach Art. 26 können nach Artikel 99 Abs. 4 mit bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Für KMUs gilt der jeweils niedrigere Betrag (Art. 99 Abs. 6), für kleine Midcaps ebenso (Abs. 6a).

Für ein KMU mit 50 Millionen Euro Jahresumsatz läge die Obergrenze damit bei 1,5 Millionen Euro. Für ein Startup mit 5 Millionen Euro Umsatz läge sie bei 150.000 Euro. Und das ist nur die Geldbuße – hinzu kommen mögliche Marktverbote und Reputationsschäden. Mehr zu den Bußgeldern und Strafen des AI Act erfahren Sie in unserem ausführlichen Artikel dazu.

Drei häufige Missverständnisse zur Registrierungspflicht

1. „Unser Anbieter kümmert sich darum“

Für die Registrierung des Systems ist der Anbieter zuständig – aber verlassen Sie sich nicht blind darauf. Sitzt der Anbieter außerhalb der EU, braucht er einen EU-Bevollmächtigten. Als öffentliche Stelle müssen Sie zudem Ihre eigene Nutzung registrieren. Und wer ein System wesentlich verändert oder unter eigenem Namen vertreibt, wird selbst zum Anbieter. Klären Sie vertraglich, wer registriert – und lassen Sie sich den Eintrag bestätigen.

2. „Wir sind ein KMU, für uns gelten Ausnahmen“

Es gibt erleichterte Pflichten für KMUs und – seit dem Digital Omnibus – auch für kleine Midcaps in bestimmten Bereichen, etwa bei der Erstellung technischer Dokumentation. Die Registrierungspflicht selbst kennt keine KMU-Ausnahme. Wenn das System hochriskant ist, muss es eingetragen werden.

3. „Das System läuft intern, niemand merkt es“

Die Registrierungspflicht gilt unabhängig davon, ob ein System öffentlich zugänglich ist oder intern genutzt wird. Auch ein HR-Tool zur Bewerberauswahl, das nur intern läuft, fällt unter Annex III und muss vom Anbieter registriert werden.

Verbindung zur DSGVO: Synergiepotenzial nutzen

Die Registrierungspflicht nach dem AI Act und die DSGVO-Anforderungen überschneiden sich in mehreren Punkten. Die Datenschutz-Folgenabschätzung (DSFA) ist oft für dieselben Systeme relevant, die auch AI Act-pflichtig sind. Wer beide Prozesse parallel aufzieht, spart erheblich Zeit und vermeidet Doppelarbeit. Fassen Sie die Dokumentation zusammen, nutzen Sie gemeinsame Prozessschritte und legen Sie klare Zuständigkeiten für beide Compliance-Stränge fest.

Fazit

Die EU-Datenbank für Hochrisiko-KI ist kein bürokratisches Randthema – sie ist das öffentliche Rückgrat der KI-Aufsicht in Europa. Für Unternehmen, die Hochrisiko-KI entwickeln oder betreiben, ist die Registrierung eine Grundvoraussetzung für legalen Marktzugang. Die Pflicht gilt ab dem 2. Dezember 2027 (verschoben durch den Digital Omnibus, ein festes Datum), aber die Vorbereitungszeit ist bereits jetzt knapp.

Die gute Nachricht: Wer das KI-Inventar bereits aufgebaut hat, die Risikoklassen kennt und die Konformitätsbewertung angeht, hat den schwierigsten Teil bereits hinter sich. Die Registrierung selbst ist dann nur noch der letzte administrative Schritt.

Handeln Sie jetzt – nicht erst wenn die Frist drängt.

Wissen Sie, ob Ihre KI-Systeme registrierungspflichtig sind?