Konformitätsbewertung unter der EU-KI-Verordnung

Bevor ein Hochrisiko-KI-System auf dem EU-Markt bereitgestellt oder in Betrieb genommen werden kann, muss es eine Konformitätsbewertung durchlaufen. Dies ist der Prozess, durch den der Anbieter nachweist — und eine zuständige Behörde überprüfen kann — dass das KI-System alle geltenden Anforderungen der EU-KI-Verordnung (Verordnung 2024/1689) erfüllt. Ohne eine abgeschlossene Konformitätsbewertung kann ein Anbieter keine EU-Konformitätserklärung ausstellen, keine CE-Kennzeichnung anbringen oder das System nicht legal in der Europäischen Union bereitstellen.

Der Hochrisiko-Rahmen der Kapitel-III-Abschnitte 1 bis 3 — darunter die Pflicht des Anbieters, ein Hochrisiko-KI-System vor dem Inverkehrbringen der Konformitätsbewertung zu unterziehen — gilt für Systeme nach Artikel 6 Absatz 2 und Anhang III erst ab dem 2. Dezember 2027 (zuvor 2. August 2026) und für Systeme nach Artikel 6 Absatz 1 und Anhang I erst ab dem 2. August 2028 (zuvor 2. August 2027).

Diese Daten wurden durch die Verordnung (EU) 2026/1744 („Digitaler Omnibus zur KI") vom 8. Juli 2026, in Kraft getreten am 27. Juli 2026, verschoben. Die Verschiebung ist unbedingt: Der ursprüngliche Kommissionsvorschlag hätte die neuen Daten an eine Feststellung der Kommission zur Verfügbarkeit harmonisierter Normen geknüpft („stop the clock"); die Mitgesetzgeber haben diesen Auslöser gestrichen. Im verabschiedeten Text gibt es keinen Normenbereitschafts-Vorbehalt und keine weitere automatische Verschiebung.

Die KI-Verordnung selbst wurde damit nicht aufgeschoben. Der allgemeine Geltungsbeginn am 2. August 2026 blieb unverändert, und die Durchsetzung hat an diesem Tag begonnen. Die Verbote des Artikels 5 gelten seit dem 2. Februar 2025, die Transparenzpflichten des Artikels 50 und die Registrierungspflicht des Artikels 49 seit dem 2. August 2026. Verschoben wurden allein die materiellen Hochrisiko-Anforderungen und Anbieterpflichten in Kapitel III Abschnitte 1 bis 3 — und damit der Zeitpunkt, ab dem die in diesem Artikel beschriebene Konformitätsbewertung für die betroffenen Systeme verbindlich wird.

Der rechtliche Rahmen: Artikel 43 und 44

Artikel 43 der EU-KI-Verordnung legt die Konformitätsbewertungsverfahren für Hochrisiko-KI-Systeme fest. Er sieht zwei Wege vor:

Konformitätsbewertung auf der Grundlage interner Kontrolle (Anhang VI): Der Anbieter führt die Bewertung selbst durch, ohne Beteiligung Dritter.
Konformitätsbewertung unter Einbeziehung einer Benannten Stelle (Anhang VII): Eine von einem EU-Mitgliedstaat benannte Drittorganisation prüft das KI-System und stellt ein Zertifikat aus.

Wann ist eine Drittbewertung erforderlich?

Interne Kontrolle (Die meisten Hochrisiko-KI-Systeme) Für die Mehrzahl der in Anhang III aufgeführten Hochrisiko-KI-Systeme kann der Anbieter die Konformitätsbewertung durch interne Kontrolle gemäß Anhang VI durchführen. Keine Benannte Stelle ist erforderlich.

Drittbewertung (Spezifische Fälle) Eine Drittbewertung gemäß Anhang VII ist in zwei Hauptszenarien erforderlich:

KI-Systeme, die unter bestehende EU-Harmonisierungsgesetzgebung gemäß Anhang I, Abschnitt A fallen.
Biometrische Identifizierungs- und Kategorisierungssysteme (Anhang III, Punkt 1).

Auch dort, wo interne Kontrolle erlaubt ist, müssen Anbieter weiterhin harmonisierte Normen oder gemeinsame Spezifikationen anwenden, sofern verfügbar. Die Wahl der internen Kontrolle reduziert nicht die materiellen Compliance-Anforderungen — sie ändert nur, wer die Compliance überprüft.

Harmonisierte Normen und Konformitätsvermutung

Bislang ist keine harmonisierte Norm zur KI-Verordnung im Amtsblatt der EU veröffentlicht worden, sodass noch keine Arbeit von CEN-CENELEC JTC 21 eine Konformitätsvermutung nach Artikel 40 begründet. Der Normungsauftrag M/613 läuft bis zum 28. Februar 2027.

Praktisch bedeutet das: Wer die Konformitätsbewertung heute vorbereitet, kann sich nicht auf eine fertige Normenlandschaft stützen. Anforderungen und Prüftiefe müssen unmittelbar aus dem Verordnungstext abgeleitet und die getroffenen technischen Entscheidungen in der technischen Dokumentation begründet werden. Wird später eine Norm im Amtsblatt veröffentlicht, sollte die Bewertung daran gespiegelt werden.

Das interne Kontrollverfahren (Anhang VI)

Das Verfahren umfasst:

Überprüfung des Qualitätsmanagementsystems gemäß Artikel 17
Überprüfung der technischen Dokumentation gemäß Artikel 11 und Anhang IV
Überprüfung der Compliance mit allen Anforderungen der Artikel 8-15
Ausstellung der EU-Konformitätserklärung gemäß Artikel 47

Interne Kontrolle erfordert eine rigorose Selbstbewertung. „Wir haben unsere eigene Arbeit geprüft" wird Aufsichtsbehörden nicht zufriedenstellen, wenn die Bewertung oberflächlich war. Dokumentieren Sie jeden Überprüfungsschritt und erwägen Sie, externe Expertise einzubinden.

Vorbereitung auf die Konformitätsbewertung?

Ctrl AI hilft Ihnen beim Aufbau des Qualitätsmanagementsystems, der technischen Dokumentation und der Audit-Trails, die für die Konformitätsbewertung erforderlich sind.

Learn About Ctrl AI

Das Drittverfahren (Anhang VII)

Wenn eine Drittbewertung erforderlich ist, prüft eine Benannte Stelle das KI-System und das Qualitätsmanagementsystem des Anbieters. Das Verfahren umfasst eine Bewertung des QMS, eine Prüfung der technischen Dokumentation und die Ausstellung eines Zertifikats.

Das Zertifikat ist maximal fünf Jahre gültig und kann verlängert werden.

Die EU-Konformitätserklärung

Artikel 47 legt die Anforderungen an die EU-Konformitätserklärung fest. Sie muss enthalten: Name und Typ des KI-Systems, Name und Adresse des Anbieters, eine Erklärung der Konformität, Verweise auf angewandte harmonisierte Normen, gegebenenfalls Informationen zur Benannten Stelle, sowie Ort, Datum und Unterschrift.

Die Erklärung muss 10 Jahre lang aufbewahrt werden.

CE-Kennzeichnung

Artikel 48 verlangt, dass die CE-Kennzeichnung auf dem Hochrisiko-KI-System angebracht wird. Sie zeigt an, dass das KI-System die Anforderungen der Verordnung erfüllt. Für digital bereitgestellte KI-Systeme kann eine digitale CE-Kennzeichnung verwendet werden.

Benannte Stellen

Benannte Stellen sind Organisationen, die von EU-Mitgliedstaaten benannt werden, um Konformitätsbewertungen durch Dritte durchzuführen. Sie müssen Unabhängigkeit, technische Kompetenz, angemessene Ressourcen und Vertraulichkeit nachweisen.

Die Verordnung (EU) 2026/1744 hat hier eine neue Frist eingefügt: Stellen, die bereits nach den sektoralen Rechtsvorschriften des Anhangs I Abschnitt A notifiziert sind, müssen die Benennung nach Kapitel III Abschnitt 4 der KI-Verordnung bis zum 28. Januar 2028 beantragen (Artikel 43 Absatz 3).

Für Anbieter, deren System eine Drittbewertung erfordert, ist die Verfügbarkeit von Benannten Stellen damit ein eigenständiger Planungsfaktor. Die Frist des Artikels 43 Absatz 3 betrifft unmittelbar nur die bereits sektoral notifizierten Stellen, zeigt aber, dass der Aufbau der Benennungslandschaft bis in das Jahr 2028 hineinreicht — während Anhang-III-Systeme, die nach Anhang VII zu bewerten sind, schon ab dem 2. Dezember 2027 erfasst werden. Der zeitliche Vorlauf zwischen der Beauftragung einer Benannten Stelle und einem ausgestellten Zertifikat lässt sich nicht beliebig verkürzen. Wer auf Anhang VII angewiesen ist, sollte den Kontakt früh aufnehmen, statt auf die Geltungsdaten hin zu planen.

Änderungen und Neubewertung

Artikel 43 Absatz 4 behandelt wesentliche Änderungen an einem bereits konformitätsbewerteten System. Eine wesentliche Änderung erfordert eine neue Konformitätsbewertung.

Die Unterscheidung zwischen wesentlichen und nicht-wesentlichen Änderungen ist sachverhaltsspezifisch. Im Zweifelsfall behandeln Sie eine Änderung als wesentlich. Ein nicht-konformes System auf dem Markt zu haben, hat weitaus gravierendere Konsequenzen als eine zusätzliche Bewertung durchzuführen.

Sanktionen

Ein Hochrisiko-KI-System ohne abgeschlossene Konformitätsbewertung auf den EU-Markt zu bringen, ist ein schwerwiegender Verstoß mit Bußgeldern von bis zu 15 Millionen EUR oder 3 % des weltweiten Gesamtjahresumsatzes.

Fazit

Die Konformitätsbewertung ist das Tor zum EU-Markt für Hochrisiko-KI-Systeme. Ob Ihr System den internen Kontrollweg oder eine Drittbewertung durchläuft — die zugrunde liegende Arbeit ist dieselbe: umfassende technische Dokumentation, ein robustes Qualitätsmanagementsystem, gründliches Risikomanagement und rigoroses Testen und Validieren.

Organisationen sollten die Konformitätsbewertung nicht als einmalige Hürde betrachten. Sie ist eine fortlaufende Pflicht — wesentliche Änderungen lösen eine Neubewertung aus, Zertifikate haben begrenzte Gültigkeit, und Marktüberwachungsbehörden können jederzeit Dokumentation und Nachweise der Compliance anfordern.

Die verschobenen Geltungsdaten — 2. Dezember 2027 für Anhang-III-Systeme, 2. August 2028 für Anhang-I-Systeme — verschaffen Vorbereitungszeit, nehmen der Arbeit aber nichts von ihrem Umfang. Solange keine harmonisierte Norm im Amtsblatt veröffentlicht ist, muss die Begründung der Konformität ohnehin aus dem Verordnungstext selbst kommen, und wer eine Benannte Stelle braucht, sollte deren Vorlauf einplanen.