Der EU AI Act verpflichtet Anbieter von Hochrisiko-KI-Systemen zur verpflichtenden Konformitätsbewertung vor dem Markteintritt, wobei Fraunhofer-Forschern zufolge ein erheblicher Teil dieser Systeme eine Zertifizierung durch benannte Drittstellenstellen (Notified Bodies) durchlaufen muss. Für Unternehmen, die KI-Systeme in regulierten Bereichen wie Personalwesen, Kreditvergabe oder kritischer Infrastruktur einsetzen, bedeutet dies konkreten Handlungsbedarf: Ohne nachgewiesene Konformität drohen Marktverbote und Bußgelder. Die Anforderungen umfassen technische Dokumentation, Risikomanagementsysteme und laufende Überwachung nach der Markteinführung. Wer die Zertifizierungspflichten frühzeitig einplant, vermeidet kostspielige Nachbesserungen und sichert die Zulassung zum europäischen Markt.

EU AI Act: So funktionieren Konformitätsbewertung und Zertifizierung für Hochrisiko-KI

Der EU AI Act verpflichtet Anbieter von Hochrisiko-KI-Systemen zu strukturierten Konformitätsbewertungsverfahren, bevor ihre Produkte auf dem europäischen Markt zugelassen werden. Für Unternehmen bedeutet das: Compliance ist kein optionaler Schritt, sondern Voraussetzung für den Marktzugang.

Was der EU AI Act unter Hochrisiko versteht

Der EU AI Act stuft KI-Systeme in Risikoklassen ein. Als Hochrisiko gelten Anwendungen in Bereichen wie kritische Infrastruktur, Bildung, Beschäftigung, Strafverfolgung oder medizinische Diagnostik. Für diese Systeme schreibt die Verordnung vor der Markteinführung eine Konformitätsbewertung vor, die technische Dokumentation, Risikomanagementsysteme, Datengouvernanz und menschliche Aufsicht umfasst. Dies geht aus dem Impulspapier der Plattform Lernende Systeme zur KI-Verordnung hervor.

Konformitätsbewertung: Eigenprüfung oder externe Stelle

Je nach Systemkategorie sieht der EU AI Act unterschiedliche Bewertungswege vor:

• Interne Konformitätsbewertung: Viele Hochrisiko-KI-Systeme dürfen Anbieter zunächst selbst bewerten, sofern sie harmonisierte Normen einhalten. Der Anbieter erstellt eine EU-Konformitätserklärung und bringt die CE-Kennzeichnung an.
• Drittpartei-Bewertung durch notifizierte Stellen: Bei bestimmten Systemkategorien, etwa KI in Sicherheitsbauteilen für Produkte, die bereits anderen EU-Richtlinien unterliegen, ist die Einbindung einer akkreditierten, notifizierten Stelle verpflichtend. Das Fraunhofer-Institut beschreibt in seiner Analyse zur KI-Zertifizierung, dass die Wahl des Bewertungsweges von der konkreten Produktkategorie und den einschlägigen Produktrechtsvorschriften abhängt.

Praktische Implikationen für Unternehmen

1. Technische Dokumentation als Daueraufgabe Die Konformitätsbewertung ist kein einmaliger Akt. Unternehmen müssen ihre technische Dokumentation laufend aktualisieren, wenn sich das KI-System oder sein Einsatzkontext wesentlich ändert. Bitkom weist in seiner Analyse zur KI-Haftung darauf hin, dass lückenhafte Dokumentation im Schadensfall haftungsrechtliche Risiken verstärkt.

2. Risikomanagementsystem vor Markteinführung Anbieter müssen ein kontinuierliches Risikomanagementsystem etablieren, das den gesamten Lebenszyklus des Systems abdeckt. Dieses System muss identifizierte Risiken bewerten und geeignete Maßnahmen dokumentieren, bevor das Produkt auf den Markt kommt.

3. Registrierungspflicht in EU-Datenbank Hochrisiko-KI-Systeme müssen vor Inverkehrbringen in einer zentralen EU-Datenbank registriert werden. Diese Transparenzpflicht schafft Nachvollziehbarkeit für Behörden und, in bestimmten Kategorien, auch für die Öffentlichkeit.

4. Notifizierte Stellen als Engpass einplanen Die Akkreditierung ausreichend vieler notifizierter Stellen gilt als offene Herausforderung für die Umsetzung des EU AI Act. Die Plattform Lernende Systeme empfiehlt Unternehmen, den Zertifizierungsbedarf frühzeitig zu planen, da Kapazitätsengpässe bei Prüfstellen die Markteinführung verzögern können.

Zusammenhang mit Haftungsfragen

Die Konformitätsbewertung entscheidet nicht nur über den Marktzugang, sondern hat auch haftungsrechtliche Relevanz. Bitkom hebt hervor, dass das bestehende EU-Produkthaftungsrecht für KI-Systeme Anpassungsbedarf zeigt, weil Kausalitätsnachweise bei autonomen Systementscheidungen schwer zu führen sind. Eine vollständige Konformitätsdokumentation kann im Haftungsfall als Entlastungsnachweis dienen, garantiert dies aber nicht automatisch.

Quellen

• KI-Zertifizierung und Absicherung im Kontext des EU AI Act – Fraunhofer
• Haftung für Künstliche Intelligenz (KI) – Bitkom e.V.
• KI-Verordnung – Plattform Lernende Systeme

Häufige Fragen

Welche KI-Systeme gelten laut EU AI Act als Hochrisiko und unterliegen einer Konformitätsbewertung?

Der EU AI Act stuft KI-Systeme als hochriskant ein, wenn sie in sensiblen Bereichen eingesetzt werden, etwa in der kritischen Infrastruktur, im Bildungs- und Beschäftigungsbereich, bei der Strafverfolgung oder im Gesundheitswesen. Für diese Systeme schreibt die Verordnung eine verpflichtende Konformitätsbewertung vor, bevor sie auf den Markt gebracht werden dürfen.

Können Unternehmen die Konformitätsbewertung selbst durchführen oder ist eine externe Zertifizierungsstelle vorgeschrieben?

Der EU AI Act sieht für viele Hochrisiko-KI-Systeme eine interne Konformitätsbewertung durch den Anbieter vor, sofern das System nicht unter einen Bereich fällt, der zwingend eine externe Prüfung erfordert. Für bestimmte sicherheitskritische Anwendungen ist hingegen die Einbindung einer akkreditierten Konformitätsbewertungsstelle vorgeschrieben. Fraunhofer-Forschungen zum EU AI Act betonen, dass die Abgrenzung dieser Fälle für Unternehmen eine zentrale Compliance-Herausforderung darstellt.

Welche technischen Anforderungen müssen Hochrisiko-KI-Systeme für eine erfolgreiche Konformitätsbewertung erfüllen?

Laut EU AI Act müssen Hochrisiko-Systeme unter anderem Anforderungen an Datenverwaltung, technische Dokumentation, Transparenz, menschliche Aufsicht sowie Robustheit und Genauigkeit erfüllen. Anbieter sind zudem verpflichtet, ein Qualitätsmanagementsystem einzurichten. Die Plattform Lernende Systeme weist darauf hin, dass diese Anforderungen über den gesamten Lebenszyklus des Systems einzuhalten sind.

Wie ist die Haftung geregelt, wenn ein Hochrisiko-KI-System trotz Zertifizierung Schäden verursacht?

Eine erfolgreiche Konformitätsbewertung schließt eine Haftung nicht aus. Bitkom hält fest, dass bei KI-bedingten Schäden die Frage der Kausalität und Verschuldenszurechnung komplex ist. Bestehende Haftungsregime wie die Produkthaftungsrichtlinie werden durch den EU AI Act ergänzt, nicht ersetzt. Unternehmen sollten daher neben der Zertifizierung auch ihre vertraglichen und versicherungsrechtlichen Absicherungen prüfen.

Müssen Unternehmen die Konformitätsbewertung wiederholen, wenn sie ihr KI-System nachträglich ändern?

Ja. Der EU AI Act sieht vor, dass wesentliche Änderungen an einem Hochrisiko-KI-System eine erneute Konformitätsbewertung auslösen können. Als wesentlich gilt eine Änderung dann, wenn sie die Zweckbestimmung, die Leistung oder die Konformität des Systems beeinflusst. Anbieter müssen daher Änderungsprozesse intern dokumentieren und regelmäßig prüfen, ob eine neue Bewertung erforderlich wird.