Artikel 22 — Bevollmächtigte von außerhalb der Union niedergelassenen Anbietern (EU-KI-Gesetz)

Artikel 22 der Verordnung (EU) 2024/1689 — Bevollmächtigte von außerhalb der Union niedergelassenen Anbietern. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 22 der Verordnung (EU) 2024/1689 begründet einen verbindlichen Zugangsmechanismus für Anbieter von Hochrisiko-KI-Systemen und KI-Modellen mit allgemeinem Verwendungszweck, die in Drittländern niedergelassen sind, diese Systeme oder Modelle jedoch auf dem Unionsmarkt in Verkehr bringen oder innerhalb der Union in Betrieb nehmen.

Solche Anbieter müssen, bevor sie ihr KI-System oder GPAI-Modell in der EU verfügbar machen, durch schriftliches Mandat einen in der Union niedergelassenen Bevollmächtigten benennen. Das Mandat muss diesen Bevollmächtigten befähigen, im Namen des Anbieters eine definierte Reihe von Aufgaben wahrzunehmen: die Überprüfung, ob die EU-Konformitätserklärung und die erforderliche technische Dokumentation ordnungsgemäß erstellt wurden; die Sicherstellung der Registrierung in der in Artikel 71 genannten EU-Datenbank; sowie die Funktion als einziger identifizierbarer Ansprechpartner für das KI-Büro und für nationale zuständige Behörden in allen die Einhaltung der Verordnung betreffenden Angelegenheiten.

Der Bevollmächtigte muss in die vorgeschriebenen Registrierungsinformationen aufgenommen werden und muss Zugang zu ausreichenden Unterlagen haben, damit er seine Pflichten erfüllen kann. Der Bevollmächtigte unterliegt einer fortlaufenden Pflicht zur Zusammenarbeit mit den zuständigen Behörden und zur unverzüglichen Unterrichtung des Anbieters über jedes erkannte Risiko oder jede festgestellte Nichtkonformität. Wichtig ist, dass die Bestellung eines Bevollmächtigten den Drittlandsanbieter nicht von seinen eigenen Pflichten aus der Verordnung befreit; beide Parteien tragen unterschiedliche Verantwortlichkeiten, wobei die Haftung des Bevollmächtigten speziell aus den im Mandat zugewiesenen Aufgaben entsteht.

Was dies in der Praxis bedeutet

Artikel 22 fungiert als Äquivalent des EU-KI-Gesetzes zu den Konzepten der „verantwortlichen Person" oder des „Bevollmächtigten", die bereits aus der Produktsicherheitsgesetzgebung wie der Medizinprodukteverordnung und der Verordnung über die allgemeine Produktsicherheit bekannt sind. Sein praktischer Effekt besteht darin, sicherzustellen, dass eine rechtlich identifizierbare Einheit mit physischer Präsenz innerhalb der EU für die Regulierungsbehörden immer erreichbar ist, unabhängig vom Hauptsitz des Entwicklers des KI-Systems.

Wer betroffen ist. Jedes Nicht-EU-Unternehmen — ob ein in den USA ansässiger Entwickler von Grundlagenmodellen, ein in Singapur ansässiges Robotik-Softwareunternehmen oder ein in Großbritannien ansässiger HR-Tech-Anbieter — das EU-Kunden, Betreibern oder Nutzern ein Hochrisiko-KI-System oder ein GPAI-Modell anbietet, muss diese Struktur einrichten. Dies schließt Unternehmen ein, die über EU-Händler oder Cloud-Marktplätze vertreiben: Die Pflicht obliegt dem Anbieter, nicht dem Vertriebskanal.

Was getan werden muss. Der Anbieter muss eine in einem EU-Mitgliedstaat ansässige natürliche oder juristische Person identifizieren, ein schriftliches Mandat abschließen, das die bevollmächtigten Aufgaben des Bevollmächtigten festlegt, sicherstellen, dass der Bevollmächtigte Kopien der relevanten technischen Dokumentation und Konformitätserklärungen besitzt oder sicheren Zugang dazu hat, und die Angaben des Bevollmächtigten in der EU-Datenbank nach Artikel 71 registrieren.

Konkretes Beispiel. Ein kanadisches Unternehmen, das ein KI-basiertes Kreditwürdigkeitsprüfungswerkzeug entwickelt, das nach Anhang III als Hochrisiko eingestuft ist, muss eine in der EU niedergelassene Anwaltskanzlei, Compliance-Beratung oder eine eigene Tochtergesellschaft als Bevollmächtigten unter Vertrag nehmen, bevor eine EU-Bank als Kunde akquiriert wird. Name, Adresse und Kontaktdaten dieses Bevollmächtigten erscheinen in der EU-Datenbank und in der Produktdokumentation, wodurch französischen oder deutschen Marktüberwachungsbehörden ein unmittelbarer inländischer Ansprechpartner zur Verfügung steht.

Fortlaufende Pflicht. Das Mandat ist keine einmalige Einreichung. Der Bevollmächtigte muss erreichbar bleiben, die Dokumentation aktuell halten und jede festgestellte Nichtkonformität unverzüglich an den Anbieter eskalieren.

Wesentliche Pflichten

• Verbindliches schriftliches Mandat. Der Anbieter muss dem Bevollmächtigten ein förmliches schriftliches Mandat erteilen, bevor das Hochrisiko-KI-System oder GPAI-Modell auf dem EU-Markt in Verkehr gebracht wird, in dem ausdrücklich festgelegt ist, welche Aufgaben der Bevollmächtigte im Namen des Anbieters wahrnehmen darf.
• Anforderung der Niederlassung in der EU. Der Bevollmächtigte muss eine natürliche oder juristische Person sein, die innerhalb der Europäischen Union niedergelassen ist; ein in einem Drittland ansässiger Bevollmächtigter — einschließlich EWR-EFTA-Staaten, die nicht durch eine Äquivalenzvereinbarung abgedeckt sind — erfüllt diese Anforderung nicht.
• Zugang zu und Überprüfung von Dokumentation. Der Bevollmächtigte muss überprüfen, ob die EU-Konformitätserklärung und die nach den Artikeln 11 und 18 erforderliche technische Dokumentation ordnungsgemäß erstellt wurden, und muss während der gesamten Dauer des Mandats Zugang zu diesen Unterlagen behalten.
• Registrierung in der EU-Datenbank. Der Bevollmächtigte ist dafür verantwortlich, dass die Informationen des Anbieters — einschließlich der eigenen Kontaktdaten des Bevollmächtigten — in der in Artikel 71 genannten EU-Datenbank registriert sind und die Registrierung auf dem neuesten Stand gehalten wird.
• Ansprechpartner für Behörden. Der Bevollmächtigte dient als primärer Ansprechpartner für das KI-Büro und die nationalen zuständigen Behörden für alle Compliance-, Marktüberwachungs- und Durchsetzungsanfragen in Bezug auf das KI-System oder GPAI-Modell im Anwendungsbereich.
• Warnpflicht und Kooperationspflicht. Der Bevollmächtigte muss den Anbieter unverzüglich über jedes ihm zur Kenntnis gelangte Risiko für Gesundheit, Sicherheit oder Grundrechte oder jeden Verdacht auf Nichtkonformität informieren und muss auf Anfrage uneingeschränkt mit den zuständigen Behörden zusammenarbeiten, einschließlich der Vorlage von Dokumentation und des Zugangs zu Unterlagen.

Verhältnis zu anderen Artikeln

Artikel 22 wirkt im weiteren Rahmen des Kapitels 3, das die Pflichten von Anbietern und Betreibern regelt, und muss zusammen mit mehreren anderen Bestimmungen gelesen werden.

Artikel 16 legt die vollständige Liste der Pflichten für Anbieter von Hochrisiko-KI-Systemen fest; Artikel 22 delegiert die inländische Erfüllung dieser Pflichten effektiv an den Bevollmächtigten, wenn der Anbieter außerhalb der EU niedergelassen ist.

Die Artikel 11 und 18 definieren die technischen Dokumentations- und Aufzeichnungspflichten, deren Erfüllung der Bevollmächtigte vor dem Inverkehrbringen des Systems überprüfen muss.

Artikel 71 begründet die EU-Datenbank, in der die Angaben des Bevollmächtigten registriert werden müssen, was Artikel 22 zu einer Voraussetzung für die rechtmäßige Registrierung durch Drittlandsanbieter macht.

Artikel 53 regelt die spezifischen Pflichten von Anbietern von KI-Modellen mit allgemeinem Verwendungszweck; Artikel 22 erweitert die Anforderung des Bevollmächtigten auf diese Kategorie und bekräftigt, dass GPAI-Anbieter außerhalb der EU gleichwertige Zugangspflichten tragen.

Die Artikel 74 und 75 zur Marktüberwachung werden unmittelbar durch Artikel 22 bedient: Zuständige Behörden üben ihre Aufsichtsbefugnisse gegenüber dem Bevollmächtigten als inländischem Durchsetzungsanker aus, wenn der tatsächliche Anbieter nicht erreichbar ist.

Zeitplan für die Compliance

Das EU-KI-Gesetz (Verordnung 2024/1689) trat am 1. August 2024 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt. Die Anwendung erfolgt gestaffelt:

• 2. Februar 2025 — Bestimmungen über verbotene KI-Praktiken (Artikel 5) wurden anwendbar. Artikel 22 gilt zu diesem Zeitpunkt noch nicht isoliert, aber Anbieter sollten bereits prüfen, ob ihre Systeme in den Hochrisiko- oder GPAI-Anwendungsbereich fallen.
• 2. August 2025 — Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Titel V, einschließlich Artikel 53) werden anwendbar. Da Artikel 22 GPAI-Modellanbieter ausdrücklich erfasst, müssen Drittlands-GPAI-Anbieter bis zu diesem Datum ihren Bevollmächtigten bestellt haben.
• 2. Dezember 2026 — Hochrisiko-KI-Systeme gemäß Anhang III, die bereits bestehender EU-Produktsicherheitsgesetzgebung unterliegen, müssen der vollständigen Anbieter-Pflichtkette einschließlich der Anforderungen des Bevollmächtigten nach Artikel 22 entsprechen.
• 2. August 2027 — Alle verbleibenden Hochrisiko-KI-Systeme gemäß Anhang III unterliegen dem vollständigen Pflichtenkatalog. Drittlandsanbieter dieser Systeme, die bis zu diesem Datum noch keinen Bevollmächtigten benannt haben, befinden sich ab diesem Datum im Verstoß.

Anbieter, die Hochrisikosysteme zum ersten Mal nach dem 2. August 2024 auf dem EU-Markt in Verkehr bringen, sollten die Anforderung des Bevollmächtigten von Anfang an als Marktzugangsvoraussetzung betrachten und nicht auf den jeweiligen Anwendungstermin für ihre Systemkategorie warten.