Korrektur- und Rückrufmaßnahmen: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 18 verpflichtet Anbieter hochrisiko-KI, die Grund zu der Annahme haben, dass ihr System nicht den AI-Act-Anforderungen entspricht, unverzüglich die erforderlichen Korrekturmaßnahmen zu ergreifen: Abhilfe (Fehlerbehebung), Anpassung (Verbesserung), Einschränkung (Nutzungsbegrenzung) — oder das System zurücknehmen/rückrufen, wenn die Abhilfe nicht möglich ist (Art. 18 Abs. 1). Sie müssen zudem die nationalen Marktüberwachungsbehörden des Mitgliedstaats informieren (Art. 18 Abs. 2), in dem die Marktüberwachung stattfindet; Distributoren sind verpflichtet, Anbieter über angebliche Nicht-Konformität zu informieren (Art. 26). Die Pflicht gilt ab dem 2. August 2026; verspätete/fehlende Korrektur ist ein AI-Act-Verstoß (Sanktionen Art. 99).

Art. 79 befugt die nationalen Marktüberwachungsbehörden, bei berechtigtem Verdacht auf Nicht-Konformität Anordnungen zu erlassen: Anforderung von Informationen; Untersuchung/Prüfung; Anordnung von Abhilfemaßnahmen, Rücknahme, Beschränkung oder Rückruf; bei fortdauerndem Risiko Untersagung des Inverkehrbringens/der Inbetriebnahme; ggf. Beschlagnahme/Vernichtung. Bei grenzüberschreitenden Risiken koordiniert das EAIB und das AI Office; bei GPAI handelt das AI Office federführend. Sanktionen: Bußgelder (Art. 99 Abs. 3–4 — bis 35 Mio./7 % bei Verboten, 15 Mio./3 % bei anderen Verstößen, 7,5 Mio./1 % bei Informationspflichten). Die behördliche Durchsetzung kann parallel zur Anbieter-Selbstkorrektur laufen — die Anbieter-Pflicht ist der erste Schritt, das Aufsichtssystem der zweite.

Praktisch erforderlich: eine dokumentierte Korrektur-/Rückruf-Pipeline, die Nicht-Konformität früh erkennt (Post-Market-Monitoring Art. 72) und Maßnahmen ergreift. Komponenten: Risikomeldungs-/Bug-Tracking-System, Schweregrad-Klassifikation, interne Eskalation (Engineering, Legal, Communications), Entscheidung Abhilfe/Einschränkung/Rückruf, Durchführung (Software-Update, Hardware-Rückruf, Customer-Notification), Meldung an Marktüberwachungsbehörden, Customer-Communication, Post-Mortem-Dokumentation. Herausforderung: Software-KI kann selten physisch „zurückgerufen" werden — das Instrument sind Updates/Deaktivierung, die alle Betreiber erreichen müssen (Update-Mechanismen, Push-Infrastruktur). Überlagert: Produkthaftungs-/AILD-Haftung, Versicherbarkeit (Cyber-/Technologie-Versicherungen, D&O), Reputation. Eine etablierte Pipeline ist Haft- und Reputationsschutz und AI-Act-Compliance zugleich. Anbieter kritischer Systeme üben Rückrufe („tabletop exercises").