Meldung schwerer Vorfälle: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 73 Abs. 1 verpflichtet Anbieter hochrisiko-KI, ernsthafte Vorfälle der Marktüberwachungsbehörde des betroffenen Mitgliedstaats zu melden. Art. 26 Abs. 5 trifft Betreiber mit einer parallelen Pflicht. „Schwerer Vorfall" umfasst nach Art. 3 Nr. 49 jede Störung oder Fehlfunktion, die zu Todesfällen oder schweren Verletzungen führt, schwere und unvermeidbare Störungen kritischer digitaler/physikalischer Infrastruktur oder wesentliche Verstöße gegen Grundrechte. Für GPAI mit systemischem Risiko gelten zusätzliche Meldungen (Art. 55).

Die Fristen sind gestaffelt: Todesfälle oder ernsthafte Sicherheitssorgen sind unverzüglich, spätestens innerhalb von zwei Tagen zu melden. Eine erste ernsthafte Vorfallsmeldung erfolgt innerhalb von 15 Tagen nach Feststellung. Der Anbieter reicht im Anschluss einen Abschlussbericht mit korrigierenden Maßnahmen ein. Die zuständige Behörde kann Abhilfe verlangen und Maßnahmen bis zur Beschränkung oder dem Rückruf des Systems anordnen (Art. 79). Eine saubere interne Vorfallserkennungs- und Melde-logik verkürzt die Reaktionszeit und mindert Sanktionsrisiken.

Vorfallsmeldungen überlagern sich häufig: Wer als Betreiber kritischer Dienste auch NIS2-pflichtig ist, meldet erhebliche Vorfälle an die Cybersicherheits-Aufsicht; Datenschutzverletzungen sind nach Art. 33 DSGVO binnen 72 Stunden an die Datenschutz-Aufsicht zu melden. AI Act, NIS2 und DSGVO sind kumulativ — ein Vorfall kann mehrere Meldepflichten auslösen. Eine konsolidierte Vorfall-Matrix, die alle Pflichten und Adressaten erfasst, ist für Betreiber kritischer Dienste unverzichtbar.