Artikel 23 — Pflichten der Importeure (EU-KI-Gesetz)

Artikel 23 der Verordnung (EU) 2024/1689 — Pflichten der Importeure. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 23 der Verordnung (EU) 2024/1689 (dem EU-KI-Gesetz) legt die Compliance-Pflichten fest, die Importeuren von Hochrisiko-KI-Systemen obliegen. Der Artikel steht in Titel III, Kapitel 3, das die Pflichten von Anbietern, Betreibern, Importeuren und Händlern regelt.

Nach Artikel 23 muss ein Importeur vor dem Inverkehrbringen eines Hochrisiko-KI-Systems auf dem Markt überprüfen, dass:

1. das einschlägige Konformitätsbewertungsverfahren vom Anbieter durchgeführt wurde;
2. der Anbieter die nach Anhang IV erforderliche technische Dokumentation erstellt hat;
3. das System die erforderliche CE-Kennzeichnung trägt und von der EU-Konformitätserklärung und Gebrauchsanweisungen begleitet wird;
4. der Anbieter gemäß Artikel 22 einen Bevollmächtigten in der Union bestellt hat.

Wenn ein Importeur Grund zu der Annahme hat, dass ein System nicht der Verordnung entspricht, ist es ihm verboten, es auf dem Markt in Verkehr zu bringen, bis die Konformität hergestellt ist. Wenn das System ein unannehmbares Risiko im Sinne von Artikel 6 darstellt, muss der Importeur den Anbieter, den Bevollmächtigten und die zuständigen Marktüberwachungsbehörden informieren.

Importeure müssen auch sicherstellen, dass Lagerungs- und Transportbedingungen die Konformität nicht gefährden, solange ein Hochrisiko-KI-System in ihrer Verantwortung liegt. Sie müssen ihren Namen, ihren eingetragenen Handelsnamen oder ihr Zeichen und ihre Postanschrift auf dem System oder seiner Verpackung angeben. Schließlich müssen Importeure eine Kopie der EU-Konformitätserklärung und der technischen Dokumentation zehn Jahre lang aufbewahren und uneingeschränkt mit den zuständigen Behörden zusammenarbeiten.

Was dies in der Praxis bedeutet

Artikel 23 hat unmittelbare, konkrete Auswirkungen auf jede in der EU niedergelassene Einheit, die ein von einem außerhalb der Union ansässigen Anbieter entwickeltes Hochrisiko-KI-System bezieht und auf dem EU-Markt in Verkehr bringt.

Wer betroffen ist. Ein europäischer Händler, der ein von einem US-amerikanischen Softwareunternehmen entwickeltes Hochrisiko-KI-Einstellungswerkzeug importiert, ist nach diesem Artikel Importeur. Entsprechend wird eine EU-Tochtergesellschaft, die das (drittländische) KI-gestützte medizinische Diagnosesystem des Mutterkonzerns auf dem europäischen Markt in Verkehr bringt, als Importeur behandelt und trägt die nachstehend beschriebenen Pflichten. Wenn hingegen der Nicht-EU-Anbieter einen Bevollmächtigten bestellt, der in seinem Namen handelt, bleibt die Importeursrolle und die damit verbundenen Pflichten von der Rolle dieses Bevollmächtigten unterschieden.

Welche Maßnahmen vor dem Inverkehrbringen des Systems erforderlich sind. Importeure müssen eine Due-Diligence-Prüfung des Compliance-Pakets des Anbieters durchführen: Sie müssen bestätigen, dass die Konformitätsbewertung abgeschlossen ist, die Konformitätserklärung prüfen, die CE-Kennzeichnung überprüfen und sicherstellen, dass die technische Dokumentation (Anhang IV) vorhanden und zugänglich ist. Dies ist keine oberflächliche Tick-Box-Übung — wenn die Dokumentation fehlt oder glaubwürdige Zweifel an der Konformität bestehen, muss der Importeur den Vorgang stoppen.

Fortlaufende Pflichten. Sobald das System auf dem Markt ist, müssen Importeure ihre eigene Kopie der Erklärung und Dokumentation zehn Jahre lang aufbewahren, ihre Kontaktdaten am System oder an der Verpackung anbringen und schwerwiegende Vorfälle oder Nichtkonformitäten den Marktüberwachungsbehörden melden. Sie müssen auch mit jeder von nationalen Behörden verlangten Marktüberwachung oder Untersuchung zusammenarbeiten und sicherstellen, dass keine Lagerung oder logistische Handhabung die Konformitätseigenschaften des Systems beeinträchtigt.

Ein praktisches Beispiel: Ein in der EU ansässiger Gesundheitstechnologie-Importeur, der ein drittländisches KI-gestütztes Triagesystem importiert, das unter Anhang III aufgeführt ist, muss die vollständige Dokumentationsprüfung abschließen, die CE-Kennzeichnung bestätigen, das Produkt mit seiner EU-Adresse kennzeichnen und die Unterlagen zehn Jahre lang aufbewahren — bevor ein einziges Krankenhaus als Kunde angesprochen wird.

Wesentliche Pflichten

• Konformitätsüberprüfung vor dem Inverkehrbringen. Bestätigen, dass der Anbieter das anwendbare Konformitätsbewertungsverfahren nach Artikel 43 abgeschlossen hat und dass alle erforderlichen Unterlagen — technische Akte (Anhang IV) und EU-Konformitätserklärung — verfügbar und aktuell sind.
• Prüfung der CE-Kennzeichnung und Beschriftung. Überprüfen, dass das Hochrisiko-KI-System eine gültige CE-Kennzeichnung trägt und dass der eigene Name des Importeurs, sein Handelszeichen und seine Postanschrift auf dem System oder seiner Verpackung oder den begleitenden Unterlagen erscheinen.
• Verbot des Inverkehrbringens nicht konformer Systeme. Unterlassen des Inverkehrbringens eines Hochrisiko-KI-Systems auf dem Markt, wenn hinreichender Grund zur Annahme besteht, dass es nicht der Verordnung entspricht oder ein unannehmbares Risiko darstellt; den Anbieter, den Bevollmächtigten und die zuständigen Marktüberwachungsbehörden entsprechend benachrichtigen.
• Aufbewahrung von Dokumentation. Kopien der EU-Konformitätserklärung und der technischen Dokumentation zehn Jahre ab dem Datum des Inverkehrbringens oder der Inbetriebnahme aufbewahren und den zuständigen Behörden auf Anfrage zur Verfügung stellen.
• Meldung von Vorfällen und Nichtkonformitäten. Die zuständigen nationalen Marktüberwachungsbehörden und den Anbieter unverzüglich informieren, wenn ein bereits auf dem Markt gebrachtes System als nicht konform befunden wird oder ein Risiko darstellt, und mit jeder erforderlichen Korrektur- oder Untersuchungsmaßnahme zusammenarbeiten.
• Erhaltung der Konformitätsbedingungen. Sicherstellen, dass Lagerungs-, Handhabungs- und Transportvereinbarungen unter der Verantwortung des Importeurs die Konformität des Hochrisiko-KI-Systems mit den in Kapitel 2 des Titels III festgelegten Anforderungen nicht gefährden.

Verhältnis zu anderen Artikeln

Artikel 23 kann nicht isoliert gelesen werden. Er steht in engem Zusammenhang mit Artikel 16 (Pflichten der Anbieter), der die grundlegenden Compliance-Pflichten festlegt, deren Einhaltung der Importeur vor dem Inverkehrbringen überprüft. Artikel 22 (Bevollmächtigte) wird direkt referenziert: Der Importeur muss bestätigen, dass ein solcher Bevollmächtigter bestellt wurde, und dabei die Rolle des Importeurs von der des Bevollmächtigten unterscheiden. Artikel 43 (Konformitätsbewertung) definiert die Verfahren, deren Abschluss der Importeur überprüfen muss.

Auf der Dokumentationsseite legt Anhang IV die technische Dokumentation fest, deren Vorhandensein der Importeur überprüfen muss, und Artikel 47 regelt die EU-Konformitätserklärung, die das System begleiten muss. Für Pflichten nach dem Inverkehrbringen bieten Artikel 72 (Marktüberwachung nach dem Inverkehrbringen) und Artikel 73 (Meldung schwerwiegender Vorfälle) den Rahmen, in dem die Meldepflichten des Importeurs wirken. Artikel 25 (Pflichten der Händler) ist die natürliche Begleitbestimmung, die klärt, wie sich die Pflichten unterscheiden, sobald das System die Lieferkette über den Importeur hinaus weiterbewegt.

Zeitplan für die Compliance

Das EU-KI-Gesetz trat am 1. August 2024 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt. Seine Bestimmungen gelten jedoch in Phasen:

• 2. Februar 2025 — Verbote von KI-Praktiken mit unannehmbarem Risiko (Titel II, Artikel 5) wurden anwendbar. Importeure sind von diesen Verboten nicht unmittelbar betroffen, müssen aber wissen, dass die von ihnen importierten Systeme nicht in diese Kategorien fallen dürfen.
• 2. August 2025 — Bestimmungen über KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII) und Governance-Strukturen wurden anwendbar. Artikel 23 regelt GPAI-Modelle nicht unmittelbar.
• 2. August 2026 — Die Hochrisiko-KI-System-Pflichten nach Titel III, einschließlich Artikel 23, werden vollständig anwendbar für Systeme, die unter Anhang III fallen (die Hauptkategorie der Hochrisiko-KI-Systeme). Importeure dieser Systeme müssen ab diesem Datum vollständig compliant sein.
• 2. August 2027 — Verlängerte Frist für Hochrisiko-KI-Systeme nach Anhang I (Sicherheitsbauteile nach bestehenden Harmonisierungsrechtsvorschriften der Union), die bereits vor dem 2. August 2026 auf dem Markt in Verkehr gebracht wurden.

Importeure sollten den 2. August 2026 als harte Frist für die Einrichtung ihrer Due-Diligence- und Dokumentationsprozesse für alle Hochrisiko-KI-Systeme gemäß Anhang III betrachten, die sich derzeit in ihrer Lieferkette befinden.