EU-KI-Gesetz: Konformitätsbewertung und CE-Kennzeichnung – ein Leitfaden für Anbieter

Wenn Sie ein hochriskantes KI-System anbieten, verlangt das EU-KI-Gesetz, dass Sie dies vor dem Inverkehrbringen nachweisen – durch eine Konformitätsbewertung, eine EU-Konformitätserklärung und eine CE-Kennzeichnung. Das klingt aufwendig, doch für die meisten Anhang-III-Systeme bewerten Sie sich selbst, ohne notifizierte Stelle. Hier ist der Weg.

Selbstbewertung oder notifizierte Stelle?

Artikel 43 legt den Weg fest, und für die meisten KMU ist die Antwort beruhigend:

• Die meisten Anhang-III-Systeme bewerten sich selbst (Anhang VI). Für die Anwendungsfälle in Anhang III Punkte 2 bis 8 – Bildung, Beschäftigung, wesentliche Dienste, Strafverfolgung, Migration, Justiz – wenden Sie die interne Kontrolle an, ohne dass eine notifizierte Stelle beteiligt ist (Artikel 43 Absatz 2).
• Biometrie erfordert möglicherweise eine notifizierte Stelle (Anhang VII). Für Anhang III Punkt 1 (Biometrie) können Sie sich nur dann selbst bewerten, wenn Sie harmonisierte Normen oder gemeinsame Spezifikationen angewandt haben; andernfalls muss eine notifizierte Stelle beteiligt werden (Artikel 43 Absatz 1).
• Medizinprodukte- und sonstige Produktsicherheits-KI folgt dem bestehenden sektoralen Weg (zum Beispiel der MDR), in den das KI-Gesetz eingebettet wird (Artikel 43 Absatz 3).

Die drei Dokumente

1. Konformitätsbewertung. Führen Sie das Verfahren der internen Kontrolle (Anhang VI) oder der notifizierten Stelle (Anhang VII) durch und bewahren Sie die Nachweise auf, aufbauend auf Ihrer technischen Dokumentation nach Anhang IV.
2. EU-Konformitätserklärung (Artikel 47). Erstellen Sie eine unterzeichnete Erklärung für das System, übernehmen Sie die Verantwortung für die Einhaltung der Anforderungen und bewahren Sie sie 10 Jahre für die Behörden auf.
3. CE-Kennzeichnung (Artikel 48). Bringen Sie die CE-Kennzeichnung sichtbar, leserlich und unauslöschlich an (oder digital, oder auf der Verpackung). War eine notifizierte Stelle beteiligt, fügen Sie deren Kennnummer hinzu.

Anschließend registrieren

Bevor Sie ein hochriskantes Anhang-III-System in Verkehr bringen, registrieren Sie sich selbst und das System in der EU-Datenbank (Artikel 49 und 71). Systeme für kritische Infrastruktur (Anhang III Punkt 2) verwenden eine gesonderte, nicht öffentliche Registrierung.

Wesentliche Änderungen lösen eine erneute Prüfung aus

Eine Konformitätsbewertung gilt nicht für immer. Wenn Sie das System wesentlich ändern, über die im Voraus dokumentierten Änderungen hinaus, müssen Sie eine neue Konformitätsbewertung durchführen (Artikel 43 Absatz 4).

Fristen

Diese Pflichten gelten nach dem Zeitplan für Hochrisiko-Systeme: Anhang-III-Systeme ab dem 2. Dezember 2027, Produktsicherheits-Systeme (Anhang I) ab dem 2. August 2028, beide durch den Digital Omnibus neu terminiert (angenommen, Veröffentlichung im Amtsblatt steht noch aus). Siehe den Fristen-Leitfaden.

Wo Sie anfangen

Prüfen Sie mit dem kostenlosen EU AI Act Snapshot, ob Ihr System hochriskant ist und welchen Weg es einschlägt, erstellen Sie dann die Anhang-IV-Dokumentation und bearbeiten Sie die 9-Schritte-Checkliste. Tarife beginnen bei EUR 0.