Artikel 24 — Pflichten der Händler (EU-KI-Gesetz)

Artikel 24 der Verordnung (EU) 2024/1689 — Pflichten der Händler. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 24 der Verordnung (EU) 2024/1689 legt die Pflichten fest, die Händlern von Hochrisiko-KI-Systemen im Sinne von Artikel 3 Absatz 7 obliegen. Bevor Händler ein Hochrisiko-KI-System auf dem Markt bereitstellen, müssen sie überprüfen, ob es die erforderliche CE-Konformitätskennzeichnung trägt, ob es von einer Kopie der vom Anbieter ausgestellten EU-Konformitätserklärung begleitet wird und ob die erforderlichen Gebrauchsanweisungen in einer Sprache bereitgestellt werden, die für Nutzer im Mitgliedstaat der Bereitstellung leicht verständlich ist.

Händler sind verpflichtet zu überprüfen, ob der Anbieter und gegebenenfalls der Importeur ihren jeweiligen Pflichten nach den Artikeln 16 und 23 nachgekommen sind. Wenn ein Händler Grund zu der Annahme hat, dass ein Hochrisiko-KI-System nicht den Anforderungen der Verordnung entspricht, darf er das System nicht bereitstellen, bis die Konformität wiederhergestellt wurde. Wenn das System ein Risiko darstellt, muss der Händler den Anbieter oder Importeur und die zuständigen Marktüberwachungsbehörden entsprechend informieren.

Händler müssen auch auf Anfrage mit Anbietern, Importeuren und zuständigen Behörden zusammenarbeiten und alle Informationen und Unterlagen in ihrem Besitz vorlegen, die notwendig sind, um die Konformität eines Hochrisiko-KI-Systems nachzuweisen. Aufbewahrungspflichten für relevante Unterlagen gelten für einen Zeitraum von zehn Jahren nach der Bereitstellung des Systems auf dem Markt. Entscheidend ist, dass der Artikel die Bedingungen festlegt, unter denen ein Händler die vollständigen Pflichten eines Anbieters übernimmt: wenn er ein System unter eigenem Namen auf dem Markt in Verkehr bringt, es wesentlich modifiziert oder seinen Verwendungszweck in einer Weise ändert, die die Hochrisikoschwelle erfüllt.

Was dies in der Praxis bedeutet

Artikel 24 betrifft unmittelbar jedes Unternehmen, das Hochrisiko-KI-Systeme vertreibt, ohne sie zu entwickeln — Einzelhändler von KI-gestützten Medizinprodukten, Wiederverkäufer von KI-basierten biometrischen Systemen oder Plattformbetreiber, die Unternehmenskunden KI-Werkzeuge von Drittanbietern bereitstellen. Der Artikel begründet einen Due-Diligence-Kontrollpunkt vor jeder Vertriebshandlung.

Konkret muss ein Händler vor jeder Bereitstellung eine Compliance-Prüfung durchführen: das Vorhandensein und die Gültigkeit der CE-Kennzeichnung bestätigen, eine Kopie der EU-Konformitätserklärung einholen und aufbewahren sowie sicherstellen, dass Produktdokumentation und Gebrauchsanweisungen in die relevante Sprache des Mitgliedstaats übersetzt oder anderweitig zugänglich sind. Dies sind keine einmaligen Aufgaben — sie gelten jedes Mal, wenn das System bereitgestellt wird.

Wenn eine Prüfung, eine Kundenbeschwerde oder eine interne Überprüfung einen Konformitätsbedenken aufwirft, darf der Händler den Vertrieb nicht fortsetzen und muss unverzüglich an den Anbieter oder Importeur eskalieren sowie, wenn ein Risiko für Gesundheit, Sicherheit oder Grundrechte vorliegt, an Marktüberwachungsbehörden wie die nach Artikel 70 benannten nationalen KI-Behörden.

Die Rollenerweiterungsbestimmung ist besonders bedeutsam. Ein Händler, der ein Hochrisiko-KI-System umbenennt, funktionale Modifikationen vornimmt, die die Leistung oder den Verwendungszweck verändern, oder den Einsatzkontext in wesentlicher Weise ändert, wird als Anbieter neu klassifiziert. In diesem Fall erbt er den vollständigen Pflichtenkatalog nach Artikel 16, einschließlich Konformitätsbewertung, Registrierung in der EU-Datenbank, Marktüberwachung nach dem Inverkehrbringen und technischer Dokumentation. Unternehmen sollten vor der Modifizierung eines erworbenen KI-Systems eine rechtliche Kartierungsübung durchführen, um festzustellen, ob die Modifikationsschwelle überschritten wird.

Wesentliche Pflichten

• Konformitätsüberprüfung vor dem Vertrieb: Vor der Bereitstellung eines Hochrisiko-KI-Systems bestätigen, dass die CE-Kennzeichnung, die EU-Konformitätserklärung und zugängliche Gebrauchsanweisungen vollständig vorhanden sind.
• Aussetzung nicht konformer Systeme: Wenn Grund zu der Annahme besteht, dass ein System der Verordnung (EU) 2024/1689 nicht entspricht, den Vertrieb sofort einstellen und den Anbieter, den Importeur und, wenn ein Risiko besteht, die zuständige Marktüberwachungsbehörde benachrichtigen.
• Zusammenarbeit mit Behörden: Auf Anfrage alle vom Händler gehaltenen Informationen und Unterlagen zum Nachweis der Konformität vorlegen und mit von zuständigen Behörden durchgeführten Untersuchungen zusammenarbeiten.
• Zehnjährige Dokumentenaufbewahrung: Alle relevanten Compliance-Unterlagen zehn Jahre ab dem Datum der Bereitstellung des Hochrisiko-KI-Systems auf dem Markt aufbewahren.
• Übernahme von Anbieterpflichten: Wenn ein Händler ein System unter eigenem Namen oder eigener Handelsmarke auf dem Markt in Verkehr bringt, es wesentlich modifiziert oder seinen Verwendungszweck in einen Hochrisiko-Anwendungsfall ändert, muss er alle Anbieterpflichten nach Artikel 16 übernehmen.
• Risikomeldung: Wenn ein vertriebenes System ein Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt, muss der Händler den Anbieter oder Importeur und die zuständigen Marktüberwachungsbehörden unverzüglich informieren und Einzelheiten zur Nichtkonformität und ergriffenen Korrekturmaßnahmen mitteilen.

Verhältnis zu anderen Artikeln

Artikel 24 steht in Titel III, Kapitel 3, das die vollständige Verantwortungskette für Hochrisiko-KI-Systeme regelt. Er steht in engem Zusammenhang mit Artikel 16 (Pflichten der Anbieter), da Artikel 24 die Anbieterpflichten wiederholt als den Compliance-Maßstab verwendet, den Händler überprüfen und unter bestimmten Umständen unmittelbar übernehmen müssen. Artikel 23 (Pflichten der Importeure) ist eine direkte Gegenstückbestimmung: Händler müssen überprüfen, dass Importeure ihre eigenen Vorvertriebsprüfungen erfüllt haben. Artikel 3 liefert die Definitionen von Händler, Anbieter, Importeur und wesentlicher Modifikation, die bestimmen, welche Pflichten gelten.

Artikel 47 (EU-Konformitätserklärung) und Artikel 48 (CE-Kennzeichnung) definieren die Dokumentation und Kennzeichnung, die Händler überprüfen müssen. Die Artikel 72 bis 74 zur Marktüberwachung nach dem Inverkehrbringen und zur Meldung schwerwiegender Vorfälle überschneiden sich mit den Händlerpflichten, wenn nach dem Vertrieb ein Risiko eintritt. Marktüberwachungs- und Durchsetzungspflichten nach den Artikeln 74 bis 83 regeln, wie zuständige Behörden bei der Untersuchung von Nichtkonformitäten mit Händlern interagieren.

Zeitplan für die Compliance

Das EU-KI-Gesetz trat am 1. August 2024 in Kraft (20 Tage nach der Veröffentlichung im Amtsblatt am 12. Juli 2024). Der gestaffelte Anwendungszeitplan ist wie folgt:

• 2. Februar 2025 — Verbote von KI-Praktiken mit unannehmbarem Risiko (Titel II, Artikel 5) wurden anwendbar.
• 2. August 2025 — Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII) und Governance-Bestimmungen wurden anwendbar.
• 2. August 2026 — Artikel-24-Pflichten gelten vollumfänglich für Händler von Hochrisiko-KI-Systemen gemäß Anhang III (eigenständige Hochrisiko-KI-Systeme in Sektoren wie Bildung, Beschäftigung, Strafverfolgung und Zugang zu wesentlichen Dienstleistungen).
• 2. August 2027 — Artikel-24-Pflichten gelten für Händler von Hochrisiko-KI-Systemen, die in Produkte eingebettet sind, die durch die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union geregelt werden (z. B. Maschinen, Medizinprodukte, zivile Luftfahrtgeräte).

Händler, die Systeme gemäß Anhang III auf dem Markt bereitstellen, sollten angesichts der Frist vom 2. August 2026 bereits mit der Compliance-Vorbereitung begonnen haben. Diejenigen, die ausschließlich mit in Anhang-I-Produkte eingebetteten Systemen handeln, haben mehr Zeit, sollten aber ohne Verzug mit der Lieferketten-Due-Diligence und den Dokumentationsprozessen beginnen.