Beim AI Act in Italien richtet sich die zuständige Behörde nach Deinem Anliegen, Deiner Rolle und gegebenenfalls Deiner Branche. Eine Zuständigkeitsanfrage, eine Beschwerde über ein KI-System und eine betriebliche Vorfallmeldung sind unterschiedliche Verfahren. Für Datenschutzfragen gelten zusätzlich die Zuständigkeiten und Pflichten der Datenschutz-Grundverordnung (DSGVO).
Rechtsstand und Einordnung: Dieser Beitrag erklärt die Vorbereitung einer Anfrage oder Meldung. Die aktuellen italienischen Einreichungsverfahren und die nationale Aufgabenverteilung sind hier nicht abschließend verifiziert. Der Beitrag ersetzt deshalb weder einen amtlichen Behördenwegweiser noch die rechtliche Prüfung eines konkreten Falls.
Als Gründer von Berger+Team in Bozen verbinde ich über 20 Jahre Digital- und Markenpraxis. Für die Arbeit mit KMU ist mir wichtig: Verantwortlichkeiten müssen verständlich und im Betriebsalltag umsetzbar sein. Bei auffälligen KI-Vorgängen stehen der Schutz betroffener Menschen und eine nachvollziehbare Dokumentation an erster Stelle.
AI Act in Italien: Zuständigkeit und Meldeweg unterscheiden
Für den AI Act in Italien musst Du drei Ebenen auseinanderhalten:
- Rechtsgrundlage und Anwendbarkeit: Welche Vorschrift betrifft den Vorgang, und gilt die betreffende Pflicht bereits zum maßgeblichen Zeitpunkt? Die Verordnung (EU) 2024/1689 enthält in Artikel 113 gestaffelte Anwendungsbestimmungen.
- Zuständigkeit: Welche Behörde ist für das System, die Branche und die konkrete Aufgabe zuständig?
- Einreichungsverfahren: Welcher Übermittlungsweg ist für Dein Anliegen und Deine Rolle amtlich vorgesehen?
Eine Behördenadresse ist nicht automatisch ein offizieller Meldeweg. Eine allgemeine E-Mail-Adresse, PEC-Adresse oder Kontaktseite belegt noch nicht, dass darüber eine bestimmte formelle Meldung wirksam eingereicht werden kann.
AgID, ACN und Garante: unterschiedliche Aufgaben prüfen
Bei der EU-KI-Verordnung in Italien sind insbesondere folgende Institutionen und Aufgabenbereiche auseinanderzuhalten. Die verlinkten Websites dienen der amtlichen Information, nicht als hier bestätigte Einreichungskanäle:
- AgID – Agenzia per l’Italia Digitale: Für die Zuordnung eines Anliegens sind die jeweils geltenden nationalen Aufgaben maßgeblich. Eine notifizierende Behörde ist insbesondere für Verfahren zur Bewertung, Benennung und Überwachung von Konformitätsbewertungsstellen zuständig – nicht automatisch für jede Beschwerde über KI.
- ACN – Agenzia per la cybersicurezza nazionale: Prüfe die veröffentlichten Zuständigkeiten für das konkrete System. Eine Marktüberwachungsbehörde überwacht die Einhaltung einschlägiger Anforderungen; sektorale Zuständigkeiten können die Zuordnung beeinflussen.
- Garante per la protezione dei dati personali: Die italienische Datenschutzaufsicht ist für Datenschutzfragen relevant. Persönliche Beschwerden und betriebliche Meldungen von Datenschutzverletzungen haben unterschiedliche Voraussetzungen und Verfahren.
Wähle für ein Anliegen zum AI Act in Italien den Empfänger nicht allein nach dem Stichwort „KI“. Gerade bei regulierten Produkten oder Tätigkeiten kann eine besondere Aufsichtsbehörde zuständig sein.
Deine Rolle: Anbieter, Betreiber oder betroffene Person?
Die folgenden Beschreibungen helfen bei der ersten Einordnung. Entscheidend bleiben das konkrete System, die Bereitstellung und der tatsächliche Einsatz:
- Anbieter: Du entwickelst ein KI-System oder lässt ein KI-System entwickeln und bringst das System unter Deinem Namen oder Deiner Marke in Verkehr oder nimmst das System in Betrieb. Eine entgeltliche Bereitstellung ist dafür nicht zwingend erforderlich.
- Betreiber: Dein Betrieb verwendet ein KI-System in eigener Verantwortung. Die ausschließlich persönliche, nicht berufliche Verwendung fällt nicht unter diese Betreiberdefinition.
- Betroffene Person: Ein KI-gestützter Ablauf wirkt sich auf Dich aus, beispielsweise bei einer Bewerbung. Für eine Datenschutzbeschwerde ist entscheidend, ob die Verarbeitung Deiner personenbezogenen Daten betroffen ist.
Beim AI Act in Italien ergibt sich Deine Rolle nicht allein daraus, wer die Software bezahlt. Änderungen am Verwendungszweck, wesentliche Systemänderungen oder die Bereitstellung unter eigenem Namen können die rechtliche Einordnung verändern.
Halte deshalb fest, wer das System bereitstellt, wer das System einsetzt und wer die Auswirkungen erlebt. Diese Verantwortungszuordnung gehört zur KI-Governance.
AI Act in Italien: fünf Anliegen getrennt vorbereiten
Die folgenden Schritte helfen Dir, Deinen Sachverhalt einzuordnen. Pflichtangaben, Fristen und zulässige Übermittlungswege ergeben sich aus dem jeweils anwendbaren Verfahren.
1. Du suchst die zuständige Stelle
Beschreibe System, Verwendungszweck, Branche und Deine Rolle in wenigen Sätzen. Stelle anschließend eine konkrete Zuständigkeitsfrage über einen amtlich veröffentlichten Auskunftskontakt.
Bitte um Benennung des passenden Verfahrens und des vorgesehenen Empfängers. Behandle eine allgemeine Anfrage nicht automatisch als formelle Beschwerde oder fristwahrende Meldung.
2. Du vermutest einen Verstoß gegen den AI Act
Artikel 85 sieht ein Beschwerderecht bei der zuständigen Marktüberwachungsbehörde vor, wenn natürliche oder juristische Personen Grund zur Annahme eines Verstoßes haben. Ob diese Bestimmung zum Zeitpunkt Deines Anliegens bereits anwendbar ist, musst Du anhand der Anwendungsbestimmungen prüfen.
Für eine Beschwerde zum AI Act in Italien dokumentierst Du am besten:
- Systembezeichnung und verantwortliches Unternehmen, soweit bekannt;
- Datum und konkret beobachteten Ablauf;
- mögliche Auswirkungen sowie ausgewählte Nachweise.
Trenne Beobachtungen von Vermutungen. „Die Software hat diese Entscheidung ausgegeben“ ist als Tatsachenbeschreibung hilfreicher als die unbelegte Feststellung „Die KI ist rechtswidrig“.
3. Ein möglicherweise schwerwiegender Vorfall ist aufgetreten
Ein schwerwiegender Vorfall ist ein gesetzlich definierter Sachverhalt, nicht jede fehlerhafte KI-Ausgabe. Bei einem Hochrisiko-KI-System müssen unter anderem die Auswirkungen, der mögliche Zusammenhang mit dem System und die Rolle des Unternehmens geprüft werden.
Beim AI Act in Italien sind Informationspflichten von Betreibern und Meldepflichten von Anbietern nicht gleichzusetzen. Organisiere bei möglichen schweren Schäden sofort eine fachliche Prüfung und sichere insbesondere:
- Entdeckungszeitpunkt, Ereignisablauf und Systemversion;
- bekannte Auswirkungen und mögliche betroffene Personen;
- Schutzmaßnahmen und bisherige Kommunikation.
Warte bei einem möglicherweise fristgebundenen Vorfall nicht auf die vollständige Aufklärung, bevor Du fachliche Unterstützung einbeziehst.
4. Du möchtest Dich über die Verarbeitung Deiner Daten beschweren
Eine Datenschutzbeschwerde betrifft die Verarbeitung Deiner personenbezogenen Daten. Nach Artikel 77 DSGVO kannst Du Dich insbesondere an die Aufsichtsbehörde Deines gewöhnlichen Aufenthaltsorts, Deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.
Beschreibe die Verarbeitung, das beteiligte Unternehmen und Deine Beanstandung. Ergänze gegebenenfalls bisherigen Schriftwechsel. Für eine Einreichung beim Garante gelten dessen Verfahrensinformationen. Ein paralleles Anliegen zum AI Act in Italien ist davon getrennt zu beurteilen.
5. Dein Betrieb vermutet eine Datenschutzverletzung
Eine Verletzung des Schutzes personenbezogener Daten kann beispielsweise durch unbefugte Offenlegung, unbefugten Zugriff oder Datenverlust entstehen. Beziehe sofort die intern zuständigen Personen und gegebenenfalls Deinen Datenschutzbeauftragten ein.
Nach Artikel 33 DSGVO muss der Verantwortliche eine meldepflichtige Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Die Meldung entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Datenschutzverletzungen sind unabhängig von einer Behördenmeldung zu dokumentieren.
Als Auftragsverarbeiter musst Du den Verantwortlichen unverzüglich informieren. Diese datenschutzrechtlichen Rollen sind nicht mit „Anbieter“ und „Betreiber“ gleichzusetzen. Bei voraussichtlich hohem Risiko kann zusätzlich eine Benachrichtigung betroffener Personen nach Artikel 34 DSGVO erforderlich sein.
Drei illustrative Fälle aus Südtiroler KMU
Die folgenden Beispiele sind erfunden. Die Beispiele zeigen, wie Du Fragen zum AI Act in Italien von Datenschutz- und Qualitätsproblemen abgrenzt; eine abschließende rechtliche Bewertung erlauben die Kurzbeschreibungen nicht.
Vertrauliche Daten in einem KI-Assistenten
Ein Mitarbeiter lädt Namen und Gesprächsnotizen in einen nicht freigegebenen KI-Assistenten. Stoppe weitere Uploads, melde den Vorgang intern und kläre Datenfluss, Zugriffsrechte sowie Speicher- und Löschmöglichkeiten.
Sichere Nachweise geschützt, ohne vertrauliche Inhalte unnötig zu vervielfältigen. Ob eine meldepflichtige Datenschutzverletzung vorliegt, hängt vom Sachverhalt ab. Vorbeugende Maßnahmen erläutert unser Beitrag zur Freigabe von KI-Tools aus Datenschutzsicht.
KI-gestützte Bewerberauswahl
Eine Software sortiert Bewerbungen vor; mehrere Ablehnungen wirken unbegründet. Lass auffällige Entscheidungen menschlich überprüfen und dokumentiere den tatsächlichen Einfluss des Systems auf die Auswahl.
Prüfe mögliche Benachteiligungen sowie die Hochrisiko-Einstufung anhand des Verwendungszwecks und der gesetzlichen Kriterien. Die Produktwerbung allein ist keine belastbare Einstufungsgrundlage.
Irreführende Antworten eines Website-Chatbots
Dein Chatbot nennt falsche Stornobedingungen. Sichere die betreffende Antwort, korrigiere die Wissensbasis und deaktiviere bei Bedarf den problematischen Antwortbereich. Prüfe auch, ob betroffene Kunden informiert werden müssen.
Eine Falschantwort ist nicht automatisch ein meldepflichtiger schwerwiegender Vorfall. Vorbeugend helfen klare Antwortgrenzen und Übergaben an Menschen.
Welche Unterlagen solltest Du vorbereiten?
Für Anliegen zum AI Act in Italien erleichtert eine geordnete Dokumentation die fachliche Prüfung. Die folgenden Angaben sind Vorbereitungshilfen, keine allgemeingültige amtliche Pflichtliste.
System und Verantwortung
- Kontaktperson: Wer beantwortet Rückfragen?
- Rolle: In welcher Funktion handelt Dein Betrieb?
- System: Produktname, Version, Anbieter und beteiligte Dienstleister.
- Verwendungszweck: Welche Aufgabe erfüllt das System?
Ereignis und Reaktion
- Zeitlicher Ablauf: Auftreten, Entdeckung und erste Reaktion.
- Auswirkungen: Bekannte Tatsachen, Vermutungen und offene Fragen getrennt.
- Maßnahmen: Beispielsweise Zugriff begrenzt oder Prozess angehalten.
- Nachweise: Relevante Protokolle, Bildschirmaufnahmen und Schriftwechsel.
Ein Audit-Trail erleichtert die Rekonstruktion. Bewahre Originalnachweise zugriffsgeschützt auf. Verwende für erste Anfragen datensparsame Auszüge statt vollständiger Personalakten, Zugangsdaten oder umfangreicher Chatverläufe.
Häufige Fragen zum AI Act in Italien
Gibt es für Südtirol eine eigene Anlaufstelle?
Aus dem Unternehmenssitz in Südtirol folgt nicht automatisch eine eigene Anlaufstelle für den AI Act in Italien. Entscheidend sind die sachliche und örtliche Zuständigkeit sowie das konkrete Verfahren. Eine spezielle Südtiroler Einreichungsstelle wird hier nicht bestätigt.
Ist AgID oder ACN zuständig?
Für den AI Act in Italien ist die konkrete Aufgabe entscheidend: Eine Frage zur Konformitätsbewertung ist nicht dasselbe wie eine Beschwerde über ein eingesetztes System. Gleiche System, Rolle, Branche und Anliegen mit den amtlich veröffentlichten Zuständigkeiten ab.
Kann ich als betroffene Person eine Beschwerde einreichen?
Die DSGVO sieht ein Beschwerderecht wegen der Verarbeitung Deiner personenbezogenen Daten vor. Artikel 85 der KI-Verordnung sieht ebenfalls ein Beschwerderecht vor; dafür sind die zeitliche Anwendbarkeit und das zuständige Marktüberwachungsverfahren gesondert zu prüfen.
Muss ich als bloßer Tool-Nutzer melden?
Aus der Nutzung allein ergibt sich keine bestimmte Meldepflicht. Entscheidend sind Deine rechtliche Rolle, das System und der Vorgang. Interne Information, Kommunikation mit dem Anbieter und Behördenmeldung sind unterschiedliche Schritte.
Können mehrere Meldewege parallel relevant sein?
Ja. Ein Vorgang kann sowohl den AI Act in Italien als auch Datenschutzrecht oder sektorale Vorschriften betreffen. Eine Nachricht an eine Behörde erfüllt nicht automatisch sämtliche Informations- und Meldepflichten.
Was mache ich, wenn ich kein spezielles Formular finde?
Bitte über einen amtlichen Auskunftskontakt um Bestätigung des vorgesehenen Verfahrens. Dokumentiere Deine Anfrage und hole bei möglichen Fristen parallel qualifizierte Rechtsberatung ein. Ein nicht gefundenes Formular setzt gesetzliche Fristen nicht außer Kraft.
Sind deutschsprachige Eingaben vorgesehen?
Die zulässige Verfahrenssprache hängt von der zuständigen Stelle und dem Verfahren ab. Lass vor einer umfangreichen Einreichung bestätigen, ob Deutsch akzeptiert wird und ob Übersetzungen erforderlich sind.
AI Act in Italien: nächste Schritte für Deinen Betrieb
Für die organisatorische Vorbereitung auf die KI-Verordnung in Italien empfehle ich Dir fünf Schritte:
- KI-Einsatz erfassen: System, Zweck, Daten und verantwortliche Person notieren.
- Ansprechpartner benennen: Festlegen, wer Hinweise entgegennimmt und die Prüfung organisiert.
- Hinweise sichern: Sachlich, nachvollziehbar und datensparsam dokumentieren.
- Verfahren zuordnen: Rechtsgrundlage, Rolle, Branche und Einreichungsweg abgleichen.
- Rechtliche Unterstützung einbeziehen: Besonders bei möglichen Schäden, personenbezogenen Daten und fristgebundenen Pflichten.
Bei Berger+Team unterstützen wir Dich organisatorisch und technisch: bei der Bestandsaufnahme, klaren Abläufen und nachvollziehbarer Systemdokumentation. Als Freelancer-Kollektiv in Bozen arbeiten wir mit direktem Kundenkontakt. Rechtsberatung und die verbindliche Bewertung einer Meldepflicht gehören dagegen in qualifizierte juristische Hände.
