Schwerer Zwischenfall: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 3 Nr. 49 definiert „schwerer Vorfall" als ein Vorfall oder eine Fehlfunktion eines KI-Systems, die führt oder führen könnte zu: (1) Verlust des Lebens (Tod); (2) Verletzung der körperlichen Unversehrtheit (Körperverletzung); (3) wesentlichem Schaden der Gesundheit einer Person (physisch/psychisch); (4) wesentlichem Schaden der Grundrechte einer Person; (5) einer ernsthaften und irreversiblen Störung der kritischen Infrastruktur (KRITIS). Voraussetzung: Zusammenhang mit dem Betrieb des Systems. Die Definition ist weit — sie erfasst sowohl eingetretene als auch drohende Schäden. Wesentlich: der Schaden muss nicht eingetreten sein, ein konkretes Risiko reicht („führen könnte"). Die Definition orientiert sich an Sicherheits-/Produkthaftungsrecht und erweitert es um Grundrechts-/KRITIS-Dimensionen.

Art. 73 verpflichtet Anbieter und (prozessorientiert) Betreiber, schwere Vorfälle zu melden. Fristen: Initial-Meldung an die nationale Marktüberwachungsbehörde unverzüglich nach Bekanntwerden/Anerkennung; eingehende Meldung schwerer Vorfälle spätestens 15 Tage nach der Initialmeldung (Beschreibung, Art, Schweregrad, Maßnahmen); vollständiger Bericht spätestens 60 Tage nach der Initialmeldung; Zwischenberichte bei andauernden Vorfällen. Bei GPAI mit systemischem Risiko greift Art. 55 Abs. 1 lit. c mit Meldung ans AI Office. Die Pflicht gilt bei Hochrisiko-KI ab dem 2. August 2026, bei GPAI-systemischem Risiko ab dem 2. August 2025. Überlagert: DSGVO (Art. 33 Datenschutzverletzung 72 h), NIS2 (Art. 23 erhebliche Vorfälle 24 h), Medizinprodukte-Vigilanz, KRITIS-Spezifische Meldungen — kumulativ, nicht alternativ.

Praktisch erforderlich: eine Vorfall-Pipeline, die schwere Vorfälle erkennt, klassifiziert, eskaliert und fristgerecht meldet. Komponenten: kontinuierliches Monitoring (Art. 72), Schweregrad-Klassifikation nach Art. 3 Nr. 49 (Leben/Körper/Gesundheit/Grundrechte/KRITIS), interne Eskalation, Meldung an zuständige Behörde(n) mit korrekter Form/Kommission-Vorgabe, Korrekturmaßnahmen (Art. 18), Customer-/Öffentlichkeits-Communication. Kumulation mit anderen Regimes: eine Datenschutzverletzung durch Hochrisiko-KI kann DSGVO Art. 33 (72 h) PLUS AI Act Art. 73 PLUS NIS2 Art. 23 PLUS ggf. GDPR/branchenrechtliche Meldungen auslösen — drei/vier Behörden. Eine konsolidierte Vorfall-Matrix, die alle Regime abdeckt, ist unverzichtbar. Herausforderung: Fristen unterscheiden sich (72 h vs. 15 Tage vs. 24 h); eine frühzeitige, konservative Meldung schützt. Versicherung (Cyber, Tech, D&O) und Incident-Response-Retainer sind etablierte Praxis.