[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:de:die-ki-verordnung-nach-dem-digital-omnibus-die-geaenderten-termine-und-welche-iso-42001-massnahmen-die-nachweise-fuer-artikel-17-und-die-artikel-9-bis-15-erzeugen":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"de","die-ki-verordnung-nach-dem-digital-omnibus-die-geaenderten-termine-und-welche-iso-42001-massnahmen-die-nachweise-fuer-artikel-17-und-die-artikel-9-bis-15-erzeugen","Die KI-Verordnung nach dem Digital Omnibus: die Termine, die sich am 27. Juli 2026 geändert haben, und welche ISO-42001-Maßnahmen die Nachweise für die dreizehn Aspekte des Artikels 17 und die Artikel 9 bis 15 erzeugen","Die Verordnung (EU) 2026\u002F1744, unterzeichnet am 8. Juli 2026, veröffentlicht am 24. Juli, in Kraft seit dem 27. Juli, hat die Hochrisiko-Termine der KI-Verordnung auf den 2. Dezember 2027 für Systeme nach Anhang III und den 2. August 2028 für Systeme nach Anhang I verschoben, die KI-Kompetenz als Pflicht zu Maßnahmen neu gefasst und den Plan für die Beobachtung nach dem Inverkehrbringen zum Teil der technischen Dokumentation gemacht. Das meiste, was rankt, nennt noch die alten Termine. Die Termine in der geänderten Fassung, was sich sonst für einen Anbieter geändert hat, und unsere Zuordnung der dreizehn Aspekte des Qualitätsmanagementsystems nach Artikel 17, der Artikel 9 bis 15, 72 und 73 und der Betreiberpflichten der Artikel 4 und 26 zu den Anhang-A-Maßnahmen der ISO\u002FIEC 42001, mit dem, was die Verordnung verlangt und die Norm nicht hervorbringt.","2026-09-12","\nZwei Dinge muss ein Unternehmen, das in der Union KI entwickelt oder nutzt, am 12. September 2026 wissen, und die meisten Seiten haben das erste falsch. Das erste ist, dass die Termine der KI-Verordnung nicht mehr die im Text von 2024 sind: Die Verordnung (EU) 2026\u002F1744, der Digital Omnibus zur KI, unterzeichnet am 8. Juli 2026, im Amtsblatt veröffentlicht am 24. Juli und in Kraft seit dem 27. Juli, hat den Hochrisiko-Zeitplan ersetzt. Das zweite ist, dass ISO\u002FIEC 42001, die Norm für KI-Managementsysteme, einen großen Teil dessen hervorbringt, was Artikel 17 von einem Anbieter eines Hochrisikosystems verlangt, und einen klar umrissenen Teil nicht. Dieser Artikel ist beides, gelesen aus den beiden Verordnungen auf CELLAR am 12. September 2026 und aus dem Anhang A der Norm; die Zuordnung ist unsere, an den Texten prüfbar, und der Wortlaut der Norm wird nicht wiedergegeben.\n\n## Die Termine, in der geänderten Fassung\n\nArtikel 113 in der Fassung der Verordnung (EU) 2026\u002F1744, mit der Übergangsregel, die die Änderung in Artikel 111 eingefügt hat.\n\n| Gilt ab | Was |\n| --- | --- |\n| 2. Februar 2025 | Kapitel I und II: Gegenstand, Begriffsbestimmungen, KI-Kompetenz (Artikel 4), verbotene Praktiken (Artikel 5) |\n| 2. August 2025 | Kapitel V, KI-Modelle mit allgemeinem Verwendungszweck, und die Kapitel zu Governance und Sanktionen |\n| 27. Juli 2026 | Artikel 102 bis 110, die Änderungen anderer Rechtsakte der Union |\n| 2. August 2026 | Die Verordnung im Allgemeinen, einschließlich der Transparenzpflichten des Artikels 50 |\n| 2. Dezember 2026 | Artikel 50(2), maschinenlesbare Kennzeichnung synthetischer Inhalte, für Systeme, die am 2. August 2026 bereits im Verkehr waren (Artikel 111(4) in der geänderten Fassung) |\n| 2. Dezember 2027 | Kapitel III, Abschnitte 1 bis 3: die Hochrisiko-Anforderungen und die Pflichten von Anbietern und Betreibern, für Systeme, die nach Artikel 6(2) und Anhang III als hochriskant eingestuft sind |\n| 2. August 2028 | Dasselbe für Systeme, die nach Artikel 6(1) und Anhang I, den Produktsicherheitsvorschriften, als hochriskant eingestuft sind |\n\nDer ursprüngliche Text nannte den 2. August 2026 für Anhang III und den 2. August 2027 für Anhang I. Die Änderung hat außerdem den 2. September 2027 als Termin festgelegt, bis zu dem die Kommission Leitlinien und eine Vorlage für den Plan zur Beobachtung nach dem Inverkehrbringen erlässt (Artikel 72(3) in der geänderten Fassung), und Artikel 4a eingefügt, der einem Anbieter unter Bedingungen erlaubt, besondere Kategorien personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen zu verarbeiten.\n\n## Was der Omnibus sonst für einen Anbieter geändert hat\n\nVier Änderungen erreichen das Compliance-Programm eines Unternehmens unmittelbar. Artikel 4 wurde neu gefasst: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen, die in ihrem Auftrag KI betreiben, zu unterstützen, und der Artikel sagt jetzt ausdrücklich, dass dies nicht verlangt, ein bestimmtes Kompetenzniveau einer Person zu garantieren; die Kommission und die Mitgliedstaaten sollen die Bemühungen unterstützen, mit praktischen Beispielen. Artikel 17(2) sagt jetzt, dass das Qualitätsmanagementsystem der Größe des Anbieters angemessen ist, und nennt KMU, Start-ups und SMCs. Artikel 10 hat seinen Absatz 5 verloren und verweist für Daten besonderer Kategorien auf den neuen Artikel 4a, und gilt bei Systemen, die nicht mit Daten trainiert werden, nur für die Testdatensätze. Artikel 72(3) macht den Plan zur Beobachtung nach dem Inverkehrbringen zum Teil der technischen Dokumentation nach Anhang IV, auf der Vorlage der Kommission, sobald sie erlassen ist. Artikel 6 hat die Absätze 1a bis 1c erhalten, die KI, die ausschließlich für nicht sicherheitsrelevante Aspekte wie Leistungsoptimierung, Diensteffizienz, Automatisierung, Komfort oder Qualitätskontrolle genutzt wird, aus der Definition einer Sicherheitskomponente herausnehmen.\n\n## Artikel 17: die dreizehn Aspekte, zugeordnet\n\nArtikel 17(1) verlangt von einem Anbieter eines Hochrisiko-KI-Systems ein Qualitätsmanagementsystem, das systematisch und ordnungsgemäß in Form schriftlicher Strategien, Verfahren und Anweisungen dokumentiert ist, mit mindestens dreizehn Aspekten. ISO 42001 ist eine Managementsystemnorm, also treffen sich die beiden hier am unmittelbarsten. Die Zuordnung nennt die Anhang-A-Maßnahmen und Klauseln der ISO\u002FIEC 42001:2023, deren Nachweise der Prozess hinter jedem Aspekt sind; die Grundlage sagt, ob der Nachweis der Norm der Beleg ist, oder die Norm den Prozess betreibt und das KI-System den Beleg liefert.\n\n| Artikel 17(1) | ISO 42001 | Grundlage |\n| --- | --- | --- |\n| 17(1)(a): Eine Strategie für die Einhaltung der Vorschriften, die Konformitätsbewertung und das Management von Änderungen | 4.2, A.2.2, A.2.3, A.6.2.5 | Prozess; das System liefert den Beleg |\n| 17(1)(b): Entwurf, Entwurfskontrolle und Entwurfsverifizierung | A.6.1.3, A.6.2.2, A.6.2.3, A.6.2.4 | Prozess; das System liefert den Beleg |\n| 17(1)(c): Entwicklung, Qualitätskontrolle und Qualitätssicherung | A.6.1.3, A.6.2.3, A.6.2.4 | Prozess; das System liefert den Beleg |\n| 17(1)(d): Untersuchung, Test und Validierung vor, während und nach der Entwicklung, und wie oft | A.6.2.4, A.6.2.6 | Prozess; das System liefert den Beleg |\n| 17(1)(e): Die angewandten technischen Spezifikationen und Normen, und die Mittel, wo harmonisierte Normen nicht angewandt werden | A.6.2.2 | Prozess; das System liefert den Beleg |\n| 17(1)(f): Datenverwaltung, von der Erhebung bis zur Aufbewahrung | A.7.2, A.7.3, A.7.4, A.7.5, A.7.6 | Nachweis ist der Beleg |\n| 17(1)(g): Das Risikomanagementsystem nach Artikel 9 | 6.1.2, 6.1.3, A.5.2, A.5.3, A.5.4, A.5.5 | Prozess; das System liefert den Beleg |\n| 17(1)(h): Ein System zur Beobachtung nach dem Inverkehrbringen, nach Artikel 72 | A.6.2.6, A.8.3 | Prozess; das System liefert den Beleg |\n| 17(1)(i): Verfahren zur Meldung schwerwiegender Vorfälle, nach Artikel 73 | A.8.4, A.3.3 | Prozess; das System liefert den Beleg |\n| 17(1)(j): Kommunikation mit Behörden, notifizierten Stellen, Akteuren, Kunden und interessierten Parteien | A.8.2, A.8.5, A.10.4 | Prozess; das System liefert den Beleg |\n| 17(1)(k): Aufzeichnung aller einschlägigen Dokumentation und Informationen | 7.5, A.6.2.7, A.6.2.8 | Nachweis ist der Beleg |\n| 17(1)(l): Ressourcenmanagement, einschließlich Versorgungssicherheit | A.4.2, A.4.3, A.4.4, A.4.5, A.4.6, A.10.3 | Prozess; das System liefert den Beleg |\n| 17(1)(m): Ein Rahmen für die Rechenschaftspflicht von Leitung und Personal | 5.3, A.3.2, A.10.2 | Nachweis ist der Beleg |\n\nWas die Norm für Artikel 17 nicht hervorbringt, Aspekt für Aspekt: für (a) das Konformitätsbewertungsverfahren des Artikels 43 und der Anhänge VI und VII und die Regel für wesentliche Änderungen; für (d) die Häufigkeit der Tests und die Validierung nach der Entwicklung; für (e) die Angabe, nach welchen harmonisierten Normen oder gemeinsamen Spezifikationen das System gebaut ist, und der Mittel, wo diese eine Anforderung nicht abdecken; für (g) den Prozess des Artikels 9 über die Lebensdauer mit Tests gegen definierte Metriken und einem Urteil über das Restrisiko je Gefahr; für (h) den Plan zur Beobachtung nach dem Inverkehrbringen auf der Vorlage der Kommission; für (i) die Meldung an die Marktüberwachungsbehörde innerhalb der Fristen des Artikels 73, 15 Tage im Allgemeinen, 2 Tage bei einem weitverbreiteten Verstoß oder einem Vorfall nach Artikel 3(49)(b), 10 Tage bei einem Todesfall. Die übrigen sieben Aspekte sind, was ein konformes KI-Managementsystem bereits hält.\n\n## Artikel 9 bis 15, 72 und 73: die Anforderungen an das System\n\nAbschnitt 2 des Kapitels III ist die Liste der Anforderungen, die ein Hochrisikosystem erfüllen muss, und das Muster ändert sich: Die Maßnahme legt fest, was das System tun muss, das System ist der Beleg.\n\n| Artikel | ISO 42001 | Grundlage |\n| --- | --- | --- |\n| 9: Risikomanagementsystem | 6.1.2, 6.1.3, A.5.2, A.5.3, A.5.4, A.5.5, A.6.2.4 | Prozess; das System liefert den Beleg |\n| 10: Daten und Daten-Governance | A.7.2, A.7.3, A.7.4, A.7.5, A.7.6 | Prozess; das System liefert den Beleg |\n| 11: Technische Dokumentation, nach Anhang IV | A.6.2.3, A.6.2.7 | Prozess; das System liefert den Beleg |\n| 12: Aufzeichnungspflichten: automatische Protokolle über die Lebensdauer | A.6.2.8 | Prozess; das System liefert den Beleg |\n| 13: Transparenz und Betriebsanleitungen | A.8.2, A.6.2.7, A.10.4 | Prozess; das System liefert den Beleg |\n| 14: Menschliche Aufsicht | keine | Nicht in Anhang A |\n| 15: Genauigkeit, Robustheit und Cybersicherheit | A.6.2.4, A.6.2.6 | Prozess; das System liefert den Beleg |\n| 72: Beobachtung nach dem Inverkehrbringen | A.6.2.6, A.8.3 | Prozess; das System liefert den Beleg |\n| 73: Meldung schwerwiegender Vorfälle | A.8.4, A.3.3 | Prozess; das System liefert den Beleg |\n\nDie Lücken sind konkret. Artikel 10 legt die Eigenschaften der Trainings-, Validierungs- und Testdatensätze fest, relevant, hinreichend repräsentativ, so weit wie möglich fehlerfrei und vollständig, mit dokumentierten Designentscheidungen, Herkunft, Aufbereitung, Annahmen, Prüfung auf Verzerrungen und Lücken; Anhang A regelt die Daten, die Verordnung spezifiziert sie. Artikel 11 legt den Inhalt der technischen Dokumentation in Anhang IV fest, mit einer vereinfachten Vorlage für KMU, Start-ups und SMCs. Artikel 12 verlangt, dass das System selbst die Ereignisse protokolliert, die er nennt. Artikel 13 legt den Inhalt der Betriebsanleitungen fest, darunter die angegebenen Genauigkeitsmetriken. Artikel 14 ist die eine Anforderung, die keine Anhang-A-Maßnahme hervorbringt: Aufsichtsmaßnahmen, die in das System eingebaut oder für den Betreiber festgelegt sind, damit die zugewiesenen Personen seine Grenzen verstehen, auf Automatisierungsverzerrung achten, die Ausgabe interpretieren, entscheiden können, es nicht zu nutzen, und es stoppen können. Artikel 15 verlangt angegebene Genauigkeit, Widerstandsfähigkeit gegen Fehler und Rückkopplungsschleifen und Widerstandsfähigkeit gegen Datenvergiftung, Modellvergiftung, feindliche Beispiele und Modellschwächen, und dort tragen die Maßnahmen der ISO 27001 die Cybersicherheitshälfte und keine der beiden Normen testet die Robustheit für Sie.\n\n## Artikel 4 und 26: die Pflichten eines Unternehmens, das KI nutzt\n\nDie meisten Unternehmen sind Betreiber, nicht Anbieter. Artikel 4 gilt für beide seit dem 2. Februar 2025, [in der Fassung des Omnibus](\u002Farticles\u002Fai-literacy-under-article-4-of-the-ai-act-as-rewritten-on-27-july-2026-what-take-measures-means-who-it-covers-what-it-does-not-require-and-the-record-to-keep); Artikel 26 gilt für Betreiber von Hochrisikosystemen ab denselben Terminen wie die Anbieterpflichten.\n\n| Artikel | ISO 42001 | Grundlage |\n| --- | --- | --- |\n| 4: KI-Kompetenz | 7.2, 7.3, A.4.6 | Nachweis ist der Beleg |\n| 26: Betreiber von Hochrisikosystemen | A.9.2, A.9.3, A.9.4, A.6.2.8, A.8.5 | Prozess; das System liefert den Beleg |\n\nFür einen Betreiber steht das, was ISO 42001 nicht regelt, in Artikel 26 selbst: menschliche Aufsicht durch kompetente natürliche Personen, Eingabedaten, die für den Verwendungszweck relevant sind, die Protokolle des Systems mindestens sechs Monate aufbewahrt, Arbeitnehmervertreter und betroffene Arbeitnehmer informiert, bevor ein Hochrisikosystem am Arbeitsplatz eingesetzt wird, und die Grundrechte-Folgenabschätzung nach Artikel 27, wo der Betreiber eine öffentliche Stelle oder ein privater Erbringer öffentlicher Dienste ist oder eine Bank oder ein Versicherer die Kredit- und Versicherungssysteme des Anhangs III nutzt.\n\n## Was das zusammen ergibt\n\nFür einen Anbieter eines Hochrisikosystems ist ISO 42001 das Qualitätsmanagementsystem nach Artikel 17 in seiner Struktur und in zehn seiner dreizehn Aspekte; was für die Verordnung zu schreiben ist, sind der Weg der Konformitätsbewertung, die technische Dokumentation nach Anhang IV mit dem Plan zur Beobachtung nach dem Inverkehrbringen darin, der Risikoprozess nach Artikel 9 mit seinen Metriken, das Vorfallverfahren mit Behörde und Fristen und die menschliche Aufsicht nach Artikel 14. Für ein Unternehmen, das KI nutzt, sind die Klauseln der Norm zu Kompetenz und Bewusstsein und ihre A.9-Maßnahmen zur Nutzung der Nachweis für Artikel 4 und Artikel 26. Die Termine geben einem Anbieter eines Systems nach Anhang III Zeit bis zum 2. Dezember 2027, und keiner der Termine gibt jemandem einen Grund, nach dem 27. Juli eine Seite mit dem 2. August 2026 zu veröffentlichen.\n\n[Die 38 Anhang-A-Maßnahmen der ISO 42001 in einfachem Deutsch](\u002Fiso-42001\u002Fcontrols), [was StandardOS von der Norm Klausel für Klausel abdeckt](\u002Fiso-42001) und [die Zertifizierungsfrage, mit der Zahl der Ausschreibungen](\u002Farticles\u002Fiso-42001-certification) sind die Gegenstücke.\n\n## Quellen\n\n- Verordnung (EU) 2024\u002F1689 (die KI-Verordnung), Artikel 4, 6, 9 bis 15, 17, 26, 27, 50, 72, 73, 111 und 113, Anhänge III und IV, gelesen auf CELLAR am 12. September 2026.\n- Verordnung (EU) 2026\u002F1744 vom 8. Juli 2026 (der Digital Omnibus zur KI), Artikel 1, Nummern (5), (6), (8), (9), (10), (11), (30), (39) und (40); Amtsblatt vom 24. Juli 2026, ELI http:\u002F\u002Fdata.europa.eu\u002Feli\u002Freg\u002F2026\u002F1744\u002Foj; in Kraft seit dem 27. Juli 2026.\n- ISO\u002FIEC 42001:2023, Anhang A und die Klauseln 4.2, 5.3, 6.1.2, 6.1.3, 7.2, 7.3 und 7.5, nach Nummer zitiert; der Text gehört der ISO und wird nicht wiedergegeben; die Zuordnung ist unsere.\n\nDies ist keine Rechtsberatung. Ob ein bestimmtes System hochriskant ist, entscheidet sich nach Artikel 6 und den Anhängen; die Zuordnung ist eine Lesart zweier Texte, keine Konformitätsvermutung.\n",1789383968287]