Article 28 — Notifizierende Behörden (EU AI Act)

Article 28 der Verordnung (EU) 2024/1689 — Notifizierende Behörden. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Article 28 der Verordnung (EU) 2024/1689 (EU AI Act) legt den Rahmen für notifizierende Behörden fest — die nationalen Stellen, die für die Benennung, Überwachung und Beaufsichtigung von Konformitätsbewertungsstellen (notifizierten Stellen) zuständig sind, die Hochrisiko-KI-Systeme bewerten.

Gemäß Article 28 muss jeder Mitgliedstaat mindestens eine notifizierende Behörde benennen, die zuständig ist für: die Einrichtung und Durchführung der Verfahren, die für die Bewertung und Benennung von Konformitätsbewertungsstellen erforderlich sind; die Notifizierung dieser Stellen gegenüber der Europäischen Kommission und den anderen Mitgliedstaaten; sowie die laufende Überwachung notifizierter Stellen, um die fortlaufende Einhaltung der in Article 31 festgelegten Anforderungen zu gewährleisten.

Die notifizierende Behörde muss so strukturiert sein, dass Interessenkonflikte mit den von ihr beaufsichtigten Konformitätsbewertungsstellen vermieden werden. Sie muss von diesen Stellen operativ unabhängig sein und über ausreichende fachliche Kompetenz und Ressourcen verfügen, um ihre Aufgaben wirksam erfüllen zu können. Mitgliedstaaten können die Rolle der notifizierenden Behörde einer bestehenden nationalen Stelle übertragen — auch einer Marktüberwachungsbehörde —, sofern die erforderlichen Unabhängigkeitskriterien erfüllt sind.

Article 28 verpflichtet notifizierende Behörden ferner, Informationen über ihre Bewertungs- und Notifizierungsverfahren öffentlich zugänglich zu machen und mit der Kommission und den notifizierenden Behörden anderer Mitgliedstaaten zusammenzuarbeiten, auch über das elektronische Notifizierungswerkzeug der Kommission, das mit der NANDO-Datenbank verknüpft ist. Alle Änderungen einer Notifizierung — einschließlich Aussetzung, Beschränkung oder Rücknahme — müssen über dieses System unverzüglich mitgeteilt werden.

Bedeutung für die Praxis

Article 28 wirkt in erster Linie auf der institutionellen Ebene der Mitgliedstaaten, hat aber praktische Auswirkungen für Anbieter von Hochrisiko-KI-Systemen, die vor dem Inverkehrbringen auf dem EU-Markt einer Konformitätsbewertung durch Dritte bedürfen.

Für die Regierungen der Mitgliedstaaten besteht die unmittelbare Pflicht auf administrativer Ebene: Jeder Mitgliedstaat muss eine notifizierende Behörde formal benennen oder einrichten und diese Benennung der Kommission mitteilen. Mitgliedstaaten, die über eine bestehende Infrastruktur für notifizierte Stellen im Rahmen der sektoralen Harmonisierungsgesetzgebung verfügen (z. B. für Medizinprodukte gemäß Verordnung (EU) 2017/745 oder Maschinen gemäß Richtlinie 2006/42/EG), werden diese Strukturen in der Regel erweitern oder anpassen, um KI-spezifische Anforderungen zu erfassen.

Für Anbieter von Hochrisiko-KI-Systemen ist die notifizierende Behörde der Zugangspunkt zu akkreditierten Konformitätsbewertungsstellen. Wenn das System eines Anbieters in die Kategorien des Annex I fällt, die eine obligatorische Konformitätsbewertung durch Dritte erfordern, muss der Anbieter mit einer notifizierten Stelle zusammenarbeiten, die von einer nationalen notifizierenden Behörde formal benannt wurde und in der NANDO-Datenbank aufgeführt ist. Anbieter sollten sicherstellen, dass jede von ihnen beauftragte Konformitätsbewertungsstelle über eine aktuelle und gültige Notifizierung für die relevante KI-Systemkategorie verfügt.

In der Praxis muss ein Anbieter, der beispielsweise ein biometrisches Kategorisierungssystem oder eine KI-basierte Sicherheitskomponente für Industriemaschinen auf dem EU-Markt in Verkehr bringt:

1. Prüfen, ob sein System eine obligatorische Konformitätsbewertung durch Dritte auslöst.
2. Eine in NANDO unter dem relevanten Anwendungsbereich aufgeführte notifizierte Stelle auswählen.
3. Das von dieser Stelle beaufsichtigte Konformitätsbewertungsverfahren durchlaufen.
4. Sicherstellen, dass die notifizierte Stelle während des gesamten Produktlebenszyklus gültig benannt bleibt.

Die Überwachungsfunktion der notifizierenden Behörde bedeutet, dass von ihr ausgestellte Zertifikate betroffen sein können, wenn eine notifizierte Stelle ihre Benennung verliert — aufgrund festgestellter Nichtkonformität —, was für Anbieter, die diese Zertifikate besitzen, ein nachgelagertes Compliance-Risiko schafft.

Wesentliche Pflichten

• Mitgliedstaaten müssen eine notifizierende Behörde benennen: Jeder Mitgliedstaat ist verpflichtet, mindestens eine nationale Stelle als notifizierende Behörde für KI-Konformitätsbewertungsstellen formal zu benennen und diese Benennung der Europäischen Kommission mitzuteilen.
• Unabhängigkeitsanforderung: Die notifizierende Behörde muss so organisiert sein, dass sie von den von ihr benannten und überwachten Konformitätsbewertungsstellen operativ unabhängig ist und jegliche Interessenkonflikte vermeidet.
• Kompetenz und Ressourcen: Notifizierende Behörden müssen über ausreichende fachliche Kompetenz, Personal und Ressourcen verfügen, um Bewertung, Benennung und laufende Überwachung notifizierter Stellen anhand der Kriterien in Article 31 durchführen zu können.
• Transparente Verfahren: Notifizierende Behörden müssen ihre Bewertungs- und Notifizierungsverfahren öffentlich zugänglich machen und das elektronische Notifizierungswerkzeug der Kommission (verknüpft mit der NANDO-Datenbank) für alle Notifizierungen, Aktualisierungen, Aussetzungen und Rücknahmen nutzen.
• Laufende Überwachung: Notifizierende Behörden sind für die kontinuierliche Aufsicht über notifizierte Stellen verantwortlich, um sicherzustellen, dass diese die erforderliche Kompetenz und Konformität aufrechterhalten; sie müssen Beschwerden nachgehen und bei festgestellten Mängeln Abhilfemaßnahmen ergreifen.
• Grenzüberschreitende Zusammenarbeit: Notifizierende Behörden müssen untereinander und mit der Kommission zusammenarbeiten und Informationen über die Kompetenz und das Verhalten notifizierter Stellen austauschen, um einheitliche Standards im Binnenmarkt aufrechtzuerhalten.

Verhältnis zu anderen Artikeln

Article 28 ist das strukturelle Fundament von Kapitel 4 (Titel III) und muss zusammen mit den unmittelbar folgenden Artikeln gelesen werden. Article 29 legt die detaillierten Anforderungen fest, die notifizierende Behörden selbst erfüllen müssen — einschließlich Unabhängigkeit, Unparteilichkeit und Abwesenheit von Interessenkonflikten. Article 30 regelt das Antragsverfahren, durch das Konformitätsbewertungsstellen eine Notifizierung beantragen, und legt fest, welche Informationen bei der notifizierenden Behörde eingereicht und von ihr bewertet werden müssen. Article 31 legt die materiellen Anforderungen fest, die notifizierte Stellen für eine Benennung oder deren Aufrechterhaltung erfüllen müssen.

Im weiteren Sinne steht Article 28 im Zusammenhang mit Article 43, der festlegt, welche Hochrisiko-KI-Systeme in Annex I einer obligatorischen Konformitätsbewertung durch Dritte unterliegen — wodurch notifizierte Stellen und damit notifizierende Behörden operativ relevant werden. Der Artikel hängt auch mit Article 74 und dem allgemeinen Rahmen der Marktüberwachung zusammen: Notifizierende Behörden und Marktüberwachungsbehörden können dieselbe Stelle sein, und ihre Zusammenarbeit ist für eine wirksame Durchsetzung unerlässlich. Die in Article 28 genannte NANDO-Datenbankinfrastruktur bildet die Grundlage für die Transparenzpflichten, die sich durch die gesamten Kapitel zur Konformitätsbewertung ziehen.

Zeitplan für die Compliance

Der EU AI Act trat am 1. August 2024 in Kraft und löste einen abgestuften Anwendungszeitplan mit unterschiedlichen Fristen für verschiedene Pflichten aus.

Article 28 als Teil des institutionellen und Governance-Rahmens für notifizierte Stellen fällt unter die Bestimmungen, die für in Annex I aufgeführte Hochrisiko-KI-Systeme (Systeme, die unter Unionsharmonisierungsrechtsvorschriften fallen) gelten. Die Konformitätsbewertungsinfrastruktur — einschließlich der formalen Benennung notifizierender Behörden — muss rechtzeitig betriebsbereit sein, um die Anwendung der Hochrisikopflichten zu unterstützen.

Wesentliche Referenzdaten:

• 1. August 2024 — Verordnung tritt in Kraft; Mitgliedstaaten beginnen mit den Vorbereitungsarbeiten für die Behördenbenennung.
• 2. Februar 2025 — Verbotene KI-Praktiken gemäß Article 5 werden anwendbar; keine unmittelbaren Auswirkungen auf Article 28, markiert jedoch den Beginn der gestuften Durchsetzung.
• 2. August 2025 — GPAI-Modellpflichten (Titel VIII) und Governance-Bestimmungen werden anwendbar; Leitlinien der Kommission zu Verfahren für notifizierte Stellen werden erwartet.
• 2. August 2026 — In Annex III aufgeführte Hochrisiko-KI-Systeme (eigenständige Hochrisikosysteme, z. B. in den Bereichen Beschäftigung, Bildung, Strafverfolgung) unterliegen vollständigen Pflichten; notifizierende Behörden müssen bis spätestens zu diesem Datum voll betriebsbereit sein.
• 2. August 2027 — In Annex I aufgeführte Hochrisiko-KI-Systeme, die als Sicherheitskomponenten von Produkten bereits unter unionsrechtliche Harmonisierungsrechtsvorschriften fallen, unterliegen vollständig den Konformitätsbewertungsanforderungen des AI Act; bis zu diesem Datum muss die Infrastruktur für notifizierende Behörden und notifizierte Stellen gemäß Article 28 für bestehende Produktkategorien vollständig funktionsfähig sein.

Anbieter und nationale Behörden sollten das Zeitfenster von 2024 bis 2026 nutzen, um die zuständige notifizierende Behörde im jeweiligen Mitgliedstaat zu identifizieren und zu bestätigen, dass für ihre Produktkategorie angemessen abgedeckte notifizierte Stellen verfügbar sind.