EU AI-verordening Artikel 73: incidentmelding voor aanbieders van hoog-risico AI

Wat telt als een ernstig incident

Artikel 3(49) definieert een ernstig incident als elk incident of elke storing van een hoog-risico AI-systeem die direct of indirect leidt tot: (a) de dood van een persoon, of ernstige schade aan de gezondheid van een persoon; (b) ernstige en onomkeerbare verstoring van kritieke infrastructuur; (c) schending van verplichtingen op grond van het Unierecht dat beoogt de grondrechten te beschermen; (d) ernstige schade aan eigendommen of het milieu. De definitie is ruim – 'ernstig' is feitelijk bepaald en de bevoegde nationale autoriteit doet de uiteindelijke beoordeling.

Meldingstermijnen

Artikel 73(2): onverwijld nadat het causale verband is vastgesteld, en uiterlijk 15 dagen na bewustwording. Artikel 73(3): voor incidenten die wijdverspreide inbreuk of ernstige en onomkeerbare verstoring van kritieke infrastructuur inhouden – kortere termijn van 2 dagen. Artikel 73(4): voor incidenten waarbij dodelijke slachtoffers vallen – onmiddellijke melding, uiterlijk binnen 10 dagen. De termijn begint te lopen op het moment van bewustwording, niet op het moment dat de causaliteit is bevestigd.

Vereiste informatie

Artikel 73(5): de melding bevat alle beschikbare relevante informatie, waaronder: identificatie van het hoog-risico AI-systeem, beschrijving van het incident, identificatie van de getroffen personen of eigendommen, beschrijving van de oorzaak indien bekend, beschrijving van de genomen of geplande corrigerende maatregelen. De melding kan worden aangevuld naarmate meer informatie beschikbaar komt. Nationale autoriteiten kunnen aanvullende informatie opvragen.

Wie meldt

De aanbieder van het hoog-risico AI-systeem heeft de primaire meldingsverplichting op grond van Artikel 73(1). Bij de via Artikel 25 overgenomen aanbiederstatus (ingrijpende wijziging) meldt de overnemende partij. Gebruiksverantwoordelijken moeten de aanbieder informeren over relevante incidenten (Artikel 26(6)) en kunnen parallelle meldingsverplichtingen hebben op grond van sectorspecifieke regelgeving (waakzaamheid Machinerichtlijn, waakzaamheid Verordening medische hulpmiddelen).

Praktische complianceinrichting

Richt de Artikel 73-workflow in vóór elke productvrijgave. Vereiste elementen: mechanisme voor incidentdetectie (klantenondersteuning, interne monitoring, gebruikersmeldingen, postmarktmonitoring conform Artikel 72), classificatierichtlijn voor incidenten om de drempel van 'ernstig' te bepalen, meldingssjabloon afgestemd op de vereisten van Artikel 73(5), contactlijst van relevante nationale autoriteiten voor elk EU-land waarin u actief bent, interne escalatieketen, systeem voor het bijhouden van termijnen. Test de workflow jaarlijks. Documenteer eerdere incidenten (geanonimiseerd) in het compliancearchief.

Frequently asked questions

Wanneer treedt Artikel 73 in werking?

2 augustus 2026 voor hoog-risico AI-systemen.

Wat is de meldingstermijn?

15 dagen na bewustwording voor standaard ernstige incidenten. 10 dagen voor incidenten waarbij dodelijke slachtoffers vallen. 2 dagen voor wijdverspreide inbreuk of verstoring van kritieke infrastructuur.

Wie meldt – aanbieder of gebruiksverantwoordelijke?

Primair de aanbieder op grond van Artikel 73(1). Gebruiksverantwoordelijken moeten de aanbieder informeren op grond van Artikel 26(6) en kunnen parallelle verplichtingen hebben op grond van sectorspecifieke regels.

Waar doe ik de melding?

Bij de nationale markttoezichtautoriteit in elk EU-land waar het incident heeft plaatsgevonden of waar de getroffen personen woonachtig zijn. Elke lidstaat heeft aangewezen autoriteiten op grond van Artikel 70.

Wat is de sanctie bij overtreding van Artikel 73?

Tot €15 miljoen of 3% van de wereldwijde jaaromzet op grond van Artikel 99(4). Het niet melden van ernstige incidenten wordt op vergelijkbare wijze behandeld als andere schendingen van hoog-risicoverplichtingen.

Sources

• https://eur-lex.europa.eu/eli/reg/2024/1689/oj