Menschliche Aufsicht nach Artikel 14 der KI-Verordnung

Auf einen Blick

• Menschliche Aufsicht ist eine verbindliche Pflicht der KI-Verordnung, festgeschrieben in Artikel 14 für den Anbieter und in Artikel 26 für den Betreiber. Sie ist kein ethisches Bekenntnis.
• Artikel 14 Absatz 4 benennt fünf konkrete Fähigkeiten, über die die beauftragte Person verfügen muss, darunter das Übergehen oder Rückgängigmachen einer Ausgabe und das sichere Anhalten des Systems.
• Der Betreiber trägt jene Hälfte der Pflicht, über die kaum jemand schreibt: menschliche Aufsicht an Personen mit Kompetenz, Schulung, Befugnis und der nötigen Unterstützung zu übertragen, Protokolle mindestens sechs Monate aufzubewahren und die Beschäftigten vor dem Einsatz am Arbeitsplatz zu informieren.
• Der Digital-Omnibus hat die Konformität für Hochrisikosysteme nach Anhang III von August 2026 auf den 2. Dezember 2027 verschoben. Das ist ein Konstruktionsfenster, keine Gnadenfrist.
• Aufsicht, die auf dem Papier besteht und in der Praxis versagt, ist der Normalfall und nicht die Ausnahme. Automatisierungsverzerrung und Kompetenzverlust erklären das, und die Gegenmaßnahmen sind messbar.

Menschliche Aufsicht ist eine Rechtspflicht, kein Gestaltungsprinzip

Der überwiegende Teil dessen, was zu diesem Thema veröffentlicht wird, begründet, warum menschliche Aufsicht wichtig sei. Nur selten steht dort, wer was zu tun hat. Diese Lücke ist erheblich, denn in der Europäischen Union hat die menschliche Aufsicht 2024 aufgehört, ein Prinzip zu sein, und ist zu einer Pflicht mit benanntem Träger geworden. Artikel 14 Absatz 1 der KI-Verordnung verlangt, dass Hochrisiko-KI-Systeme so konzipiert und entwickelt werden, dass sie während der Dauer ihrer Verwendung von natürlichen Personen mit geeigneten Mensch-Maschine-Schnittstellen wirksam beaufsichtigt werden können. Die Pflicht knüpft an die Gestaltung des Systems an, nicht an eine interne Richtlinie über das System. Artikel 14 Absatz 2 nennt den Zweck: Risiken für Gesundheit, Sicherheit oder Grundrechte zu verhindern oder so gering wie möglich zu halten, die entstehen können, wenn ein Hochrisikosystem bestimmungsgemäß oder unter Bedingungen einer vernünftigerweise vorhersehbaren Fehlanwendung verwendet wird, insbesondere dann, wenn diese Risiken trotz der übrigen Anforderungen des Abschnitts 2 fortbestehen. Artikel 14 Absatz 3 regelt die Bemessung und teilt die Arbeit auf. Die Aufsichtsmaßnahmen müssen den Risiken, dem Grad der Autonomie und dem Nutzungskontext angemessen sein, und sie werden über zwei Wege erbracht: über Maßnahmen, die der Anbieter vor dem Inverkehrbringen in das System einbaut, und über Maßnahmen, die der Anbieter als vom Betreiber umzusetzen bestimmt. Ein Anbieter erfüllt seine Pflicht nicht dadurch, dass er in die Betriebsanleitung schreibt, der Kunde werde das schon beaufsichtigen, und ein Betreiber erfüllt sie nicht dadurch, dass er auf den Hersteller vertraut. Eine begriffliche Klarstellung erspart viel Verwirrung. Menschliche Aufsicht ist ein Rechtsbegriff. Sie ist nicht dasselbe wie das aus dem Modellbetrieb stammende Vokabular von Human-in-the-Loop und Human-on-the-Loop, auch wenn sich beides überschneidet. Die Taxonomie beschreibt, wo eine Person in einem Entscheidungsfluss sitzt. Die Verordnung beschreibt, was diese Person können muss und was die Organisation nachweisen können muss. Die Taxonomie behandeln wir gesondert in unserem Vergleich von Human-in-the-Loop und Human-on-the-Loop.

Was Artikel 14 Absatz 4 tatsächlich verlangt: fünf Fähigkeiten

Der maßgebliche Text besteht aus fünf Punkten. Das System ist dem Betreiber so bereitzustellen, dass die mit der Aufsicht betrauten natürlichen Personen in angemessener und verhältnismäßiger Weise in der Lage sind, fünf Dinge zu tun. Das System verstehen und überwachen. Die aufsichtsführende Person muss die Fähigkeiten und Grenzen des Hochrisikosystems angemessen verstehen und seinen Betrieb ordnungsgemäß überwachen können, einschließlich der Erkennung und Behandlung von Anomalien, Fehlfunktionen und unerwarteter Leistung. Das ist zugleich eine Schulungs- und eine Instrumentierungsanforderung. Niemand erkennt eine anomale Ausgabe, ohne zu wissen, wie eine normale Ausgabe aussieht. Sich der Automatisierungsverzerrung bewusst bleiben. Die aufsichtsführende Person muss sich der möglichen Neigung bewusst bleiben, sich automatisch oder übermäßig auf die vom System erzeugten Ergebnisse zu verlassen, insbesondere dann, wenn das System Informationen oder Empfehlungen für eine von Menschen zu treffende Entscheidung liefert. Die Verordnung benennt diesen Fehlermodus ausdrücklich, weshalb eine Aufsichtsgestaltung, die ihn ignoriert, bereits am Text selbst scheitert. Die Ausgabe richtig interpretieren. Die aufsichtsführende Person muss die Ergebnisse des Systems richtig deuten können, wobei die Merkmale des Systems sowie die verfügbaren Interpretationsinstrumente und -methoden zu berücksichtigen sind. Handelt es sich bei der Ausgabe um einen Score, ein Ranking oder eine Wahrscheinlichkeit, muss die Schnittstelle deren Bedeutung lesbar machen. An dieser Stelle hört Erklärbarkeit auf, eine Tugend zu sein, und wird zur Abhängigkeit. Entscheiden, das System nicht zu verwenden, oder es übergehen. Die aufsichtsführende Person muss in der jeweiligen Situation entscheiden können, das Hochrisikosystem nicht zu verwenden oder dessen Ausgabe zu missachten, zu übergehen oder rückgängig zu machen. Das Rückgängigmachen wiegt schwer, denn es setzt voraus, dass die Entscheidung nachgelagert umkehrbar ist und nicht nur im Moment ihrer Entstehung ablehnbar. Eingreifen oder anhalten. Die aufsichtsführende Person muss in den Betrieb des Systems eingreifen oder ihn über eine Stopptaste oder ein vergleichbares Verfahren unterbrechen können, das ein Anhalten in einem sicheren Zustand ermöglicht. Zusammengenommen sind diese fünf Punkte Produktfähigkeiten. Jede einzelne muss in der Schnittstelle, im Betriebshandbuch und im Berechtigungsmodell vorhanden sein. Eine Governance-Richtlinie, die festhält, ein Mensch prüfe alle Hochrisikoentscheidungen, erfüllt für sich genommen keine davon.

Die Betreiberhälfte, über die niemand schreibt

Wer nach dem Begriff sucht, findet viel darüber, was Anbieter bauen müssen, und fast nichts darüber, was Betreiber personell aufstellen müssen. Artikel 26 beherbergt diese zweite Hälfte, und für die meisten Organisationen ist es die einschlägige, weil die meisten KI-Systeme einkaufen statt sie zu entwickeln. Die Rollenverteilung sollte man zuerst in unserem Leitfaden zu den Akteuren der KI-Verordnung nachlesen. Artikel 26 Absatz 2 ist der Satz, den man sich merken sollte: Betreiber übertragen die menschliche Aufsicht natürlichen Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis sowie über die erforderliche Unterstützung verfügen. Vier Begriffe, vier eigenständige Nachweispflichten. Kompetenz bedeutet, dass die Person die Ausgabe des Systems tatsächlich lesen kann. Ausbildung setzt einen Nachweis darüber voraus, wie sie diese Fähigkeit erworben hat. Befugnis bedeutet, dass ihr Übergehen keine Eskalation erfordert, die es praktisch unmöglich macht. Unterstützung umfasst Zeit, Werkzeuge und Personal, und genau an diesem Merkmal scheitert die Praxis am häufigsten, wenn die Aufsicht jemandem übertragen wird, der bereits eine Vollzeitstelle ausfüllt. Die benachbarten Absätze vervollständigen das Bild. Artikel 26 Absatz 1 verlangt geeignete technische und organisatorische Maßnahmen, damit das System entsprechend der Betriebsanleitung verwendet wird. Artikel 26 Absatz 5 verpflichtet den Betreiber, den Betrieb zu überwachen und, wenn Anlass zu der Annahme besteht, dass die Verwendung ein Risiko darstellt, unverzüglich den Anbieter und die Marktüberwachungsbehörde zu unterrichten sowie schwerwiegende Vorfälle sofort zu melden. Dieser Meldeweg hat seine eigene Mechanik, die wir in unserem Leitfaden zur Meldung von KI-Vorfällen darstellen. Artikel 26 Absatz 6 verlangt, die automatisch erzeugten Protokolle für einen dem Zweck angemessenen Zeitraum von mindestens sechs Monaten aufzubewahren, sofern das Unionsrecht oder das nationale Recht nichts anderes bestimmt. Artikel 26 Absatz 7 verpflichtet den Arbeitgeber, der ein Hochrisikosystem am Arbeitsplatz einsetzt, die Arbeitnehmervertretung und die betroffenen Beschäftigten vor der Inbetriebnahme zu informieren. Dieser letzte Punkt verdient in Deutschland besondere Aufmerksamkeit, weil die Unterrichtungs- und Beratungsrechte des Betriebsrats bei der Planung technischer Anlagen und die Mitbestimmung bei Einrichtungen zur Verhaltens- oder Leistungskontrolle nach dem Betriebsverfassungsgesetz ohnehin bestehen. Die KI-Verordnung tritt neben diesen Rahmen, sie ersetzt ihn nicht. Wer die betriebliche Mitbestimmung erst nach der Systemauswahl einbindet, hat in der Regel bereits ein Zeitproblem. Schließlich gibt es eine zahlenmäßige Regel, die in Kommentaren selten auftaucht. Nach Artikel 14 Absatz 5 darf bei Systemen zur biometrischen Fernidentifizierung nach Anhang III Nummer 1 Buchstabe a keine Maßnahme und keine Entscheidung des Betreibers auf der Grundlage der Identifizierung getroffen werden, sofern diese nicht von mindestens zwei natürlichen Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis gesondert überprüft und bestätigt wurde. Die Anforderung entfällt, soweit das Unionsrecht oder das nationale Recht sie für Zwecke der Strafverfolgung, der Migration, der Grenzkontrolle oder des Asyls als unverhältnismäßig ansieht.

Wann menschliche Aufsicht greift: der Neustart durch den Digital-Omnibus

Ein erheblicher Teil der Inhalte, die derzeit zu diesem Thema ranken, behauptet oder legt nahe, die Pflichten für Hochrisikosysteme gälten seit August 2026. Das ist inzwischen falsch, und das richtige Datum unterscheidet einen tragfähigen Compliance-Plan von hektischem Aktionismus. Die Verordnung (EU) 2026/1744, der Digital-Omnibus zur KI, ist am 27. Juli 2026 in Kraft getreten und hat den Anwendungszeitplan der KI-Verordnung geändert. Eigenständige Hochrisikosysteme nach Anhang III, die unter anderem Personalauswahl, Kreditwürdigkeitsprüfung, Bildung, Strafverfolgung und Grenzkontrolle abdecken, müssen die Anforderungen nun bis zum 2. Dezember 2027 erfüllen. In Produkte nach Anhang I eingebettete KI, etwa in Medizinprodukten, Maschinen und Fahrzeugen, rückt auf den 2. August 2028. Zwei Einzelheiten sind für die Planung wesentlich. Erstens handelt es sich um feste Kalenderdaten. Nach der Analyse von Gibson Dunn hat die Einigung den ursprünglich von der Kommission vorgeschlagenen bedingten Auslösemechanismus, der die Anwendung an die Verfügbarkeit harmonisierter Normen geknüpft hätte, durch Daten ersetzt, die sich nicht verschieben. Zweitens ist der Aufschub eng begrenzt. Artikel 50 zur Transparenz wurde nicht geändert: Der 2. August 2026 bleibt ein wirksames Compliance-Datum, mit einer Übergangsfrist bis zum 2. Dezember 2026 allein für die Kennzeichnungspflicht nach Artikel 50 Absatz 2 bei bereits in Verkehr befindlichen Systemen. Als Grund für den Aufschub wird angeführt, dass harmonisierte Normen und die Kapazität notifizierter Stellen nicht bereitstanden. Dieser Grund verrät, wofür die gewonnene Zeit gedacht ist. Die Normen, die festlegen werden, was angemessene menschliche Aufsicht ausmacht, befinden sich noch in der Erarbeitung. Wer den Dezember 2027 als Erlaubnis zum Abwarten liest, wird seine Aufsichtsschnittstellen Mitte 2027 spezifizieren, gegen Normen, die kurz zuvor veröffentlicht wurden. Wer ihn als Konstruktionsfenster liest, wird diese Schnittstellen bereits ausgeliefert und erprobt haben und über die entsprechende Betriebshistorie verfügen.

Das Aufsichtsparadox: warum auch konforme Aufsicht scheitert

Nehmen wir an, die Schnittstelle steht und die Person ist benannt. Aufsicht kann dennoch scheitern, und der Fehlermodus ist vorhersehbar genug, um ihn einzuplanen. Das Weltwirtschaftsforum spricht vom Aufsichtsparadox: Governance-Rahmen wie die KI-Verordnung beruhen auf der Annahme, der Mensch behalte die Kontrolle, doch die Kompetenz, die jemand zur Beaufsichtigung eines Systems braucht, erhält sich durch Übung, und genau diese Übung übernimmt inzwischen das System. Die Fähigkeit der aufsichtsführenden Person erodiert, weil die Tätigkeit, die sie aufgebaut hat, automatisiert wurde. Drei Kräfte richten den Schaden an. Die Automatisierungsverzerrung führt dazu, dass Prüfende plausible Ausgaben ohne eigene Verifizierung akzeptieren, also genau jenes Versagen, das Artikel 14 Absatz 4 Buchstabe b beim Namen nennt. Bestätigungsmüdigkeit entsteht, wenn das Volumen der Routinefreigaben eine echte Prüfung jeder einzelnen unmöglich macht und das Abzeichnen zur Gewohnheit wird. Der Kompetenzverlust folgt über Monate, bis die nominell verantwortliche Person eine schlechte Antwort nicht mehr als solche erkennt. Keine verschärfte Richtlinie löst das. Die Lösung besteht darin, Aufsicht als gemessenen Prozess mit eigenen Kennzahlen zu führen. Fünf Kontrollen lohnen den Aufbau:

• Die Übergehungsquote messen und eine Quote nahe null als Alarm werten. Wer dem System nie widerspricht, beaufsichtigt es nicht. Legen Sie eine Untergrenze fest, die eine Überprüfung der Aufsichtsregelung selbst auslöst.
• Blind stichprobenartig nachentscheiden. Ziehen Sie einen Anteil der freigegebenen Entscheidungen, entfernen Sie die Empfehlung des Systems und lassen Sie eine zweite qualifizierte Person unabhängig entscheiden. Die Abweichungsquote misst, ob die Aufsicht real ist.
• Die Zeit budgetieren. Aufsichtskapazität gehört als ausgewiesene Arbeitslast eingeplant und nicht als Zeile in einer Stellenbeschreibung. Das ist der konkrete Gehalt der erforderlichen Unterstützung nach Artikel 26 Absatz 2.
• Bewusst fehlerhafte Fälle einspeisen. Leiten Sie regelmäßig synthetische Anomalien an die Prüfenden und messen Sie die Erkennungsrate. Das ist der einzige direkte Test darauf, ob Kompetenz erodiert ist.
• Kompetenz planmäßig auffrischen und rotieren. Koppeln Sie Schulungsnachweise an die Systemversion, damit eine wesentliche Modelländerung die Schulungsuhr neu startet.

Jede dieser Kontrollen erzeugt einen Nachweis, was günstig ist, denn um Nachweise geht es im nächsten Abschnitt.

Menschliche Aufsicht prüfbar machen

Eine Pflicht, die sich nicht belegen lässt, ist eine nicht erfüllte Pflicht. Die Leitlinien des Europäischen Datenschutzbeauftragten vom November 2025 zum Risikomanagement von KI-Systemen treffen strukturell dieselbe Feststellung, indem sie Interpretierbarkeit und Erklärbarkeit als Voraussetzung und nicht als Funktion behandeln: Eine Kontrolle, die sich nicht erklären lässt, lässt sich auch nicht nachweisen. Eine Marktüberwachungsbehörde, eine notifizierte Stelle oder die Innenrevision wird nach vier Dingen suchen. Erstens nach der Beschreibung der Aufsichtsmaßnahmen in der technischen Dokumentation. Anhang IV verlangt, dass die Unterlagen die Maßnahmen zur menschlichen Aufsicht einschließlich der Mensch-Maschine-Schnittstellen beschreiben und erläutern, wie die Ergebnisse von Betreibern zu interpretieren sind. Das fügt sich in die weitergehende Dokumentationspflicht ein, die wir in unserem Beitrag zu den Dokumentationsanforderungen für KI-Systeme aufschlüsseln. Zweitens nach den Protokollen. Artikel 12 verlangt, dass Hochrisikosysteme die automatische Aufzeichnung von Ereignissen über ihre Lebensdauer ermöglichen, und Artikel 26 Absatz 6 setzt den Betreiber unter eine Aufbewahrungsfrist von mindestens sechs Monaten. Protokolle verwandeln eine Behauptung über Aufsicht in eine rekonstruierbare Zeitachse. Drittens nach dem Rollenverzeichnis: wer welches System beaufsichtigt, über welche Kompetenz und Schulung diese Person verfügt, welche Befugnis sie trägt und wann das zuletzt aktualisiert wurde. Viertens nach dem Interventionsverzeichnis: Übergehungen, Rücknahmen, Eskalationen und Stoppereignisse, jeweils mit Begründung. Das Rechenschaftsheft des Alan Turing Institute bietet hier einen brauchbaren Rahmen, indem es Rechenschaft in Answerability, also die Fähigkeit, eine Entscheidung zu erklären, und Auditability, also die Fähigkeit, den erzeugenden Prozess zu belegen, unterteilt. Dieselbe Unterscheidung behandeln wir in unserem Beitrag zur Rechenschaftspflicht bei KI. Schließlich ist zu wissen, dass die Normung läuft. Der Entwurf prEN 18229-1, erarbeitet von CEN-CENELEC JTC 21 im Rahmen des Normungsauftrags M/613, deckt Protokollierung, Transparenz und menschliche Aufsicht für die Artikel 12 bis 14 ab. Es handelt sich um einen lizenzierten Entwurf, der deshalb nicht zitiert werden kann, doch seine Existenz zeigt, wo die Messlatte liegen wird.

Menschliche Aufsicht auf ISO 42001 und das NIST AI RMF abbilden

Nur wenige Organisationen stehen einem einzigen Rahmenwerk gegenüber. Der wirtschaftliche Zug besteht darin, einen einzigen Satz von Aufsichtsnachweisen zu erzeugen, der mehreren genügt. ISO/IEC 42001 führt in Anhang A 38 Maßnahmen in neun Maßnahmenbereichen, die Folgenabschätzung, Datenmanagement, Transparenz, Erklärbarkeit, menschliche Aufsicht und Lebenszyklusmanagement abdecken. Der Bereich zur verantwortungsvollen Nutzung von KI-Systemen nimmt die Aufsichtsregelungen im Betrieb auf, und seine Dokumentationserwartungen decken sich eng mit den oben beschriebenen Verzeichnissen. Das NIST AI RMF wird noch deutlicher. GOVERN 3.2 hält fest, dass Richtlinien und Verfahren vorhanden sind, um Rollen und Verantwortlichkeiten für Mensch-KI-Konfigurationen und die Beaufsichtigung von KI-Systemen zu definieren und voneinander abzugrenzen. Das ist derselbe Nachweissatz: eine benannte Rolle, eine definierte Befugnisgrenze, ein dokumentiertes Verfahren. Praktisch folgt daraus, dass die Artefakte gemeinsam nutzbar sind, auch wenn die Rahmenwerke es nicht sind. Ein Rollenverzeichnis, ein Schulungsnachweis, ein Übergehungsprotokoll und ein dokumentierter Eskalationsweg genügen gleichzeitig der Besetzungspflicht aus Artikel 26 Absatz 2, der Maßnahme zur verantwortungsvollen Nutzung nach ISO 42001 und GOVERN 3.2. Die weitergehende Überschneidung kartieren wir in unserem Leitfaden zum Normenstapel aus ISO 42001 und KI-Verordnung.

Menschliche Aufsicht bei agentischer KI

Agentische Systeme brechen die Annahmen hinter Artikel 14 auf eine bestimmte Weise. Wenn ein System plant, Werkzeuge aufruft und mehrstufige Handlungen ausführt, ist der Gegenstand der Aufsicht nicht mehr eine einzelne Ausgabe, sondern eine Folge äußerer Wirkungen. Eine 2026 veröffentlichte Analyse zur Compliance-Architektur von KI-Agenten im Unionsrecht benennt die aus dem bestärkenden Lernen erwachsende Umgehung der Aufsicht als agentenspezifische Herausforderung, neben der Privilegienminimierung, der mehrseitigen Transparenz und der Verhaltensdrift zur Laufzeit, gemessen an der Grenze der wesentlichen Änderung nach Artikel 3 Nummer 23. Das Fazit fällt eindeutig aus: Hochrisiko-Agentensysteme, deren Verhaltensdrift nicht nachverfolgbar ist, können die wesentlichen Anforderungen der Verordnung derzeit nicht erfüllen. Für die Gestaltung folgen daraus zwei Dinge. Die Stoppfähigkeit nach Artikel 14 Absatz 4 Buchstabe e muss die Handlungen des Agenten erreichen und nicht nur seinen Text, was einen Abschaltpfad zu den Werkzeugen und Integrationen voraussetzt, die er aufrufen kann. Und die Überwachungsfähigkeit nach Buchstabe a muss das Handlungsprotokoll umfassen, denn die Schadensfläche eines Agenten liegt in dem, was er getan hat, nicht in dem, was er gesagt hat. Das weitergehende Governance-Problem betrachten wir in unserem Beitrag zu autonomen KI-Agenten.

Häufige Fragen

Ist menschliche Aufsicht gesetzlich vorgeschrieben? Ja, für Hochrisiko-KI-Systeme in der Europäischen Union. Artikel 14 der KI-Verordnung verpflichtet den Anbieter, Systeme so zu gestalten, dass natürliche Personen sie wirksam beaufsichtigen können, und Artikel 26 Absatz 2 verpflichtet den Betreiber, diese Aufsicht Personen mit der erforderlichen Kompetenz, Ausbildung, Befugnis und Unterstützung zu übertragen. Außerhalb der Hochrisikokategorie ist die Anforderung nicht als eigenständige Rechtspflicht formuliert, doch Artikel 50 zur Transparenz und sektorale Regelungen können greifen. Worin unterscheidet sich menschliche Aufsicht von Human-in-the-Loop? Human-in-the-Loop beschreibt eine Architektur: Eine Person sitzt im Entscheidungsfluss und handelt, bevor ein Ergebnis endgültig wird. Menschliche Aufsicht ist eine Rechtspflicht, die Fähigkeiten und Rechenschaft festlegt, nicht eine Topologie. Eine Architektur kann Human-in-the-Loop sein und dennoch an Artikel 14 scheitern, wenn der Person die Befugnis zum Übergehen oder die Schulung zur richtigen Deutung der Ausgabe fehlt. Wer ist für die Aufsicht verantwortlich, Anbieter oder Betreiber? Beide, auf verschiedenen Hälften. Der Anbieter baut die Schnittstellenfähigkeiten und bestimmt, welche Maßnahmen der Betreiber umzusetzen hat, nach Artikel 14 Absatz 3. Der Betreiber besetzt, finanziert und dokumentiert die Aufsicht selbst, nach Artikel 26. Keine Seite befreit sich, indem sie auf die andere verweist. Ab wann gelten die Aufsichtspflichten der KI-Verordnung? Für eigenständige Hochrisikosysteme nach Anhang III ab dem 2. Dezember 2027, nachdem die Verordnung (EU) 2026/1744 das Datum von August 2026 verschoben hat. Für in Anhang-I-Produkte eingebettete KI ab dem 2. August 2028. Die Transparenzpflichten nach Artikel 50 wurden nicht aufgeschoben und gelten seit dem 2. August 2026. Was gilt in einer Prüfung als Nachweis menschlicher Aufsicht? Vier Artefakte: die Beschreibung der Aufsichtsmaßnahmen und Schnittstellen in der technischen Dokumentation nach Anhang IV, die automatisch erzeugten und nach Artikel 26 Absatz 6 mindestens sechs Monate aufbewahrten Protokolle, ein Rollenverzeichnis mit Angabe, wer welches System beaufsichtigt, samt Kompetenz- und Schulungsnachweisen, sowie ein Interventionsverzeichnis über Übergehungen, Eskalationen und Stoppereignisse mit Begründung. Gilt die Aufsichtspflicht auch für KI-Modelle mit allgemeinem Verwendungszweck? Artikel 14 bindet Hochrisiko-KI-Systeme, nicht Modelle mit allgemeinem Verwendungszweck als solche. Ein in ein Hochrisikosystem integriertes Modell zieht dieses System in den Anwendungsbereich, und Anbieter von Modellen mit systemischem Risiko tragen eigene Pflichten nach den Artikeln 53 und 55. Die Unterscheidung stellen wir in unserer Übersicht zu KI mit allgemeinem Verwendungszweck dar.

Fazit

Menschliche Aufsicht verdient nicht deshalb Ernst, weil Aufsichtsbehörden danach fragen werden, auch wenn sie es tun werden. Sie verdient ihn, weil sie jene Kontrolle ist, die alles auffängt, was die übrigen Kontrollen durchlassen, und genau deshalb versagt sie lautlos, sobald niemand sie misst. Die Organisationen, die im Dezember 2027 eine Prüfung bestehen, werden nicht diejenigen mit der besten Aufsichtsrichtlinie sein. Es werden diejenigen sein, die die Person benennen, den Schulungsnachweis vorlegen, das Übergehungsprotokoll ausgeben und erklären können, warum die Übergehungsquote dort liegt, wo sie liegt. Jedes dieser Artefakte braucht Monate an Betriebshistorie, weshalb der Aufschub ein Konstruktionsfenster und keine Verzögerung ist. Beginnen Sie damit, Ihre Hochrisikosysteme aufzulisten, und stellen Sie zu jedem eine einzige Frage: Wer ist benannt, und kann diese Person es tatsächlich anhalten?