§ 20Register über bestimmte Hochrisiko-KI-Systeme

(1) Die Bundesnetzagentur führt ein nicht-öffentliches Register nach Artikel 49 Absatz 5 der Verordnung (EU) 2024/1689 über Hochrisiko-KI-Systeme nach Anhang III Nummer 2 der Verordnung (EU) 2024/1689.

(2) Vor dem Inverkehrbringen oder der Inbetriebnahme eines in Anhang III Nummer 2 der Verordnung (EU) 2024/1689 genannten Hochrisiko-KI-Systems müssen Anbieter oder deren Bevollmächtigte sich und das Hochrisiko-KI-System im Register nach Absatz 1 registrieren. Dies gilt nicht für öffentliche Stellen der Länder im Sinne des § 2 des Bundesdatenschutzgesetzes. Bei der Registrierung müssen die Anbieter oder deren Bevollmächtigte die in Anhang VIII Abschnitt A der Verordnung (EU) 2024/1689 aufgeführten Informationen entsprechend bereitstellen.

(3) Vor der Inbetriebnahme oder der Verwendung eines in Anhang III Nummer 2 der Verordnung (EU) 2024/1689 genannten Hochrisiko-KI-Systems müssen Betreiber sich und das Hochrisiko-KI-System im Register nach Absatz 1 registrieren, wenn es sich bei den Betreibern um öffentliche Stellen des Bundes im Sinne des § 2 des Bundesdatenschutzgesetzes handelt. Bei der Registrierung müssen die Betreiber die in Anhang VIII Abschnitt C der Verordnung (EU) 2024/1689 aufgeführten Informationen entsprechend bereitstellen.

(4) Die nach § 2 Absatz 1 bis 6 und 8 zuständigen Marktüberwachungsbehörden sind berechtigt, Informationen über das jeweils in ihre Zuständigkeit fallende Hochrisiko-KI-System aus dem Register zu erhalten, soweit dies zur Wahrnehmung ihrer Aufgaben erforderlich ist. Zu diesem Zweck ist die Bundesnetzagentur berechtigt, die entsprechenden Informationen aus dem Register an die zuständige Marktüberwachungsbehörde weiterzugeben. Die Bundesnetzagentur darf Informationen aus dem Register an die Europäische Kommission sowie an andere nach der Verordnung (EU) 2024/1689 vorgesehene Stellen übermitteln, soweit dies zur Wahrnehmung der Aufgaben der Bundesnetzagentur erforderlich ist. Eine Übermittlung an Dritte findet nicht statt.

(5) Die Verarbeitung personenbezogener Daten durch die Bundesnetzagentur im Rahmen des Registers ist zulässig, soweit sie zur Führung des Registers erforderlich ist.