Konformitätsbewertung: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 19 verlangt, dass Anbieter vor dem Inverkehrbringen ein angemessenes Konformitätsbewertungsverfahren durchführen. Art. 43 unterscheidet zwei Wege: (1) das interne Kontrollverfahren (Selbstbewertung auf Basis der technischen Dokumentation nach Anhang IV) — dies genügt für die meisten Anhang-III-Hochrisiko-Systeme, die nicht biometrisch sind; (2) das Verfahren mit Einbeziehung einer notifizierten Stelle, das für biometrische Hochrisiko-Systeme (Anhang III Nr. 1) und für bestimmte in regulierte Produkte integrierte KI zwingend ist. Im zweiten Fall prüft eine notifizierte Stelle die Konformität und stellt ggf. eine EU-Baumusterprüfbescheinigung aus.

Kern des Nachweises ist die technische Dokumentation nach Anhang IV, die vor der Konformitätsbewertung zu erstellen und zehn Jahre aufzubewahren ist (Art. 18). Sie umfasst u. a. Systembeschreibung, Entwicklungs- und Daten-Governance, Prüf- und Validierungsergebnisse, Risikomanagement-Maßnahmen und Gebrauchsanweisung. Bestätigte Konformität führt zur CE-Kennzeichnung (Art. 47) — dem „Pass" für den EU-Binnenmarkt.

Notifizierte Stellen sind unabhängige, von Notifizierungsbehörden der Mitgliedstaaten notifizierte Prüfstellen (die Kommission weist eine Identifikationsnummer zu, kein Anerkennungsverfahren) (Art. 30–36). Sie führen Konformitätsbewertungen durch, überwachen laufend zertifizierte Systeme und können Zertifikate entziehen. Anbieter können die Stelle frei wählen. Die Akkreditierung und Überwachung der Stellen obliegt den nationalen Notifizierungsbehörden. Für GPAI-Modelle mit systemischem Risiko übernimmt das EU AI Office vergleichbare Aufgaben (Art. 91).