Konformitätsbewertung ist nach Artikel 3 Nummer 20 der KI-Verordnung das Verfahren, mit dem bewertet wird, ob ein Hochrisiko-KI-System die in Titel III Abschnitt 2 festgelegten Anforderungen erfüllt.
Der Begriff stammt nicht aus dem KI-Recht, sondern ist seit Jahrzehnten ein Grundpfeiler des allgemeinen EU-Produktrechts. Die KI-Verordnung überträgt dieses Konzept erstmals auf Software als eigenständige Produktkategorie.
Zusammenfassung
Konformitätsbewertung ist der zentrale Nachweis, dass ein Hochrisiko-System vor dem Inverkehrbringen die Anforderungen an Risikomanagement, Daten-Governance, technische Dokumentation, Transparenz, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit erfüllt (Artikel 8 bis 15). Wer die Bewertung durchführt und dokumentiert, ist – anders als man vermuten könnte – überwiegend der Anbieter selbst, nicht eine externe Prüfstelle.
Herkunft im New Legislative Framework
Konformitätsbewertung ist Teil des sogenannten New Approach der EU-Produktharmonisierung, begründet durch eine Ratsentschließung von 1985 und später im New Legislative Framework verankert – der Rechtsgrundlage des Beschlusses Nr. 768/2008/EG über einen gemeinsamen Rechtsrahmen für die Vermarktung von Produkten. Dieses Regime gilt seit Jahrzehnten für klassische Produktkategorien wie Maschinen, Medizinprodukte, persönliche Schutzausrüstung, Spielzeug und Aufzüge.
Die zugrundeliegende Philosophie: Der Hersteller, der die Details von Entwicklung und Produktion am besten kennt, führt die Bewertung selbst durch – Konformitätsbewertung bleibt „die Obliegenheit des Herstellers allein”, wie es die Kommission zum New Legislative Framework formuliert. Die KI-Verordnung übernimmt dieses Prinzip unverändert und wendet es damit erstmals auf ein Softwareprodukt an, das kein physisches Gegenstück braucht.
Zwei Wege nach Artikel 43
Für die meisten Hochrisiko-Kategorien nach Anhang III – etwa kritische Infrastruktur, Bildung, Beschäftigung, Zugang zu wesentlichen Leistungen, Strafverfolgung, Migration und Rechtspflege – genügt die interne Kontrolle nach Anhang VI: eine Selbstbewertung durch den Anbieter, ohne externe Prüfstelle.
Nur für die Kategorie biometrische Fernidentifizierung und -kategorisierung besteht ein Wahlrecht zwischen Anhang VI (wenn harmonisierte Normen angewendet werden) und Anhang VII – einer Prüfung durch eine notifizierte Stelle, verpflichtend, wenn keine harmonisierten Normen existieren oder nur teilweise angewendet wurden. Bei Systemen für Strafverfolgungs-, Einwanderungs- oder Asylbehörden übernimmt in bestimmten Fällen die Marktüberwachungsbehörde selbst die Rolle der notifizierten Stelle.
Was an KI-Systemen methodisch neu ist
Physische Produkte ändern sich nach dem Inverkehrbringen nicht mehr – ein KI-System kann weiterlernen. Artikel 43 Absatz 4 adressiert das ausdrücklich: Änderungen an einem weiterlernenden System gelten nicht als „wesentliche Änderung”, die eine erneute Bewertung auslöst, wenn sie bereits bei der ursprünglichen Konformitätsbewertung vorbestimmt und in der technischen Dokumentation als vorgesehenes Änderungsmanagement festgehalten wurden. Nur unvorhergesehene Änderungen lösen eine Neubewertung aus.
Kontroversen und Kritik
Michael Veale und Frederik Zuiderveen Borgesius kritisierten bereits am Kommissionsentwurf von 2021, dass externe Prüfstellen faktisch kaum eine Rolle spielen: Für die meisten eigenständigen Hochrisiko-Systeme genüge Selbstbewertung, und nur eine einzige Anwendungskategorie – biometrische Identifizierung und Kategorisierung – verlange zwingend eine „AI Act-spezifische” notifizierte Stelle. Ihr Einwand: Eine Pflicht, die praktisch nie greift, wirke „ein wenig sinnlos”. An der Grundstruktur hat sich zwischen Entwurf und finalem Rechtstext von 2024 wenig geändert – Selbstbewertung bleibt für die meisten Hochrisiko-Kategorien der Regelfall.
Verwandte Begriffe
- CE-Kennzeichnung – das sichtbare Ergebnis einer bestandenen Konformitätsbewertung
- Anbieter – trägt die Konformitätsbewertung fast immer allein
- Marktüberwachungsbehörde – kontrolliert nach dem Inverkehrbringen
- EU AI Act – die Verordnung, deren Artikel 3 diesen Begriff festlegt
- Begriffsbestimmungen der KI-Verordnung – alle 68 Legaldefinitionen im Überblick
Quellenangaben
- Europäisches Parlament und Rat, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz, Artikel 3 Nummer 52, Artikel 5 Absatz 1 Buchstabe d, Artikel 6 Absatz 3, Artikel 26 Absatz 11, Anhang III, Erwägungsgrund 26. Amtsblatt der Europäischen Union, 12. Juli 2024.
- Europäisches Parlament und Rat, 2008. Beschluss Nr. 768/2008/EG über einen gemeinsamen Rechtsrahmen für die Vermarktung von Produkten. Amtsblatt der Europäischen Union L 218/82, 9. Juli 2008.
- Veale, Michael / Zuiderveen Borgesius, Frederik, 2021. Demystifying the Draft EU Artificial Intelligence Act. In: Computer Law Review International 22 (4), S. 97–112. DOI: 10.9785/cri-2021-220402.