Artikel 30 — Notifizierungsverfahren (EU-KI-Verordnung)

Artikel 30 der Verordnung (EU) 2024/1689 — Notifizierungsverfahren. Offizieller Text, praktische Auslegung, wesentliche Verpflichtungen und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 30 der Verordnung (EU) 2024/1689 (EU-KI-Verordnung) legt das förmliche Verfahren fest, mit dem die Mitgliedstaaten die Europäische Kommission und einander über Konformitätsbewertungsstellen unterrichten, die sie als notifizierte Stellen benannt haben und die befugt sind, Drittpartei-Konformitätsbewertungen von Hochrisiko-KI-Systemen durchzuführen.

Die notifizierende Behörde jedes Mitgliedstaats übermittelt die Notifizierung auf elektronischem Weg über das NANDO-Informationssystem (New Approach Notified and Designated Organisations) der Kommission. Die Notifizierung muss die Identifikationsangaben der Konformitätsbewertungsstelle, ihren benannten Tätigkeitsbereich (unter Angabe der abgedeckten KI-Systemkategorien und Aufgaben) sowie Nachweise darüber enthalten, dass die Stelle alle in Artikel 31 festgelegten Anforderungen erfüllt.

Nach der Einreichung der Notifizierung folgt eine zweiwöchige Wartefrist. In diesem Zeitraum können entweder die Kommission oder ein anderer Mitgliedstaat Einwände erheben. Werden keine Einwände erhoben, kann die notifizierte Stelle ihre Konformitätsbewertungstätigkeiten aufnehmen. Wird ein Einwand erhoben, konsultiert die Kommission die betreffenden Parteien und stellt fest, ob die Notifizierung gerechtfertigt ist, und weist den notifizierenden Mitgliedstaat entsprechend an.

Stellt eine notifizierende Behörde fest, dass eine notifizierte Stelle die Anforderungen nicht mehr erfüllt oder ihren Verpflichtungen nicht nachkommt, muss sie die Benennung einschränken, aussetzen oder zurückziehen und die Kommission und die anderen Mitgliedstaaten unverzüglich unterrichten. Die Kommission stellt sicher, dass das NANDO-System öffentlich zugänglich bleibt und auf dem neuesten Stand gehalten wird, um Transparenz über die Gesamtheit der im EU-Binnenmarkt tätigen zugelassenen notifizierten Stellen zu gewährleisten.

Was dies in der Praxis bedeutet

Artikel 30 ist für zwei Gruppen von Akteuren unmittelbar relevant: für Konformitätsbewertungsstellen, die als notifizierte Stellen tätig werden möchten, und für Anbieter von Hochrisiko-KI-Systemen, die eine geeignet notifizierte Stelle für die vorgeschriebene Drittpartei-Konformitätsbewertung identifizieren und beauftragen müssen.

Für Konformitätsbewertungsstellen ist das Notifizierungsverfahren der Zugang zur Tätigkeit als notifizierte Stelle im Rahmen der EU-KI-Verordnung. Sobald eine nationale notifizierende Behörde eine Stelle anhand der Kriterien des Artikels 31 — die Unabhängigkeit, fachliche Kompetenz, Unparteilichkeit und Haftungsdeckung umfassen — bewertet und genehmigt hat, reicht sie die förmliche Notifizierung über NANDO ein. Die Stelle darf erst dann mit der Ausstellung von Konformitätsbescheinigungen gemäß der KI-Verordnung beginnen, wenn das zweiwöchige Einwandsfenster ohne Beanstandung abgelaufen oder ein erhobener Einwand zu ihren Gunsten gelöst wurde.

Für KI-System-Anbieter, die einer obligatorischen Drittpartei-Konformitätsbewertung unterliegen (hauptsächlich solche, die Hochrisiko-KI-Systeme nach Annex III auf den EU-Markt bringen, bei denen eine notifizierte Stelle erforderlich ist, oder solche, die dem Produktsicherheitsrecht gemäß Annex I unterliegen), bietet Artikel 30 den Mechanismus zur Überprüfung, welche Stellen rechtmäßig zugelassen sind. Anbieter müssen für ihre Konformitätsbewertungen ausschließlich ordnungsgemäß notifizierte Stellen auswählen, die über NANDO identifizierbar sind. Das Beauftragen einer Stelle, bevor ihre Notifizierung wirksam ist, oder einer Stelle, deren Notifizierung ausgesetzt wurde, würde das daraus resultierende Zertifikat ungültig machen und das System nicht konform machen.

Wird die Benennung einer notifizierten Stelle eingeschränkt oder zurückgezogen, müssen Anbieter, die von dieser Stelle ausgestellte Bescheinigungen besitzen, Abhilfemaßnahmen ergreifen, die möglicherweise die Beauftragung einer alternativen notifizierten Stelle zur erneuten Bestätigung der Konformität umfassen, bevor das System weiterhin auf dem Markt angeboten werden darf.

Wesentliche Verpflichtungen

• Notifizierende Behörden müssen Notifizierungen benannter Konformitätsbewertungsstellen über das elektronische NANDO-Notifizierungssystem bei der Kommission einreichen, einschließlich vollständiger Identifikationsdaten, des Benennungsumfangs und unterstützender Akkreditierungsnachweise.
• Notifizierte Stellen dürfen Konformitätsbewertungstätigkeiten gemäß der EU-KI-Verordnung erst aufnehmen, wenn die zweiwöchige Wartefrist nach der förmlichen Notifizierung ohne Einwand abgelaufen ist oder ein etwaiger Einwand von der Kommission zu ihren Gunsten gelöst wurde.
• Notifizierende Behörden müssen die notifizierten Stellen in ihrer Zuständigkeit kontinuierlich überwachen und die Notifizierung unverzüglich einschränken, aussetzen oder zurückziehen, wenn die Stelle die Anforderungen des Artikels 31 nicht mehr erfüllt oder ihren Verpflichtungen nicht nachkommt, und die Kommission sowie die anderen Mitgliedstaaten unverzüglich benachrichtigen.
• Die Kommission muss das NANDO-System als maßgebliches Register aller im Rahmen der EU-KI-Verordnung tätigen notifizierten Stellen pflegen und öffentlich zugänglich halten, um die Transparenz in den Mitgliedstaaten zu gewährleisten.
• Anbieter von Hochrisiko-KI-Systemen müssen überprüfen, dass jede von ihnen beauftragte Konformitätsbewertungsstelle gültig über NANDO notifiziert ist und dass die Notifizierung der Stelle die betreffende KI-Systemkategorie und die erforderlichen Aufgaben abdeckt.
• Mitgliedstaaten und die Kommission können innerhalb der zweiwöchigen Frist nach einer Notifizierungseinreichung Einwände erheben, was ein obligatorisches Konsultationsverfahren auslöst, bevor die Notifizierung rechtliche Wirkung entfalten kann.

Bezug zu anderen Artikeln

Artikel 30 steht im Mittelpunkt einer Gruppe von Bestimmungen, die den Rahmen für notifizierte Stellen in Titel III, Kapitel 4 regeln.

Er setzt Artikel 28 voraus, der die Rolle der notifizierenden Behörden auf Ebene der Mitgliedstaaten begründet und definiert, sowie Artikel 29, der die allgemeinen Anforderungen festlegt, die diese Behörden selbst erfüllen müssen (Unabhängigkeit, Kompetenz, Fehlen von Interessenkonflikten), bevor sie Stellen legitimerweise notifizieren können.

Der Inhalt dessen, was eine Stelle nachweisen muss, um die Notifizierung zu erhalten und zu behalten, wird durch Artikel 31 (Anforderungen an notifizierte Stellen) und Artikel 33 (Tochtergesellschaften und Unterauftragsvergabe notifizierter Stellen) geregelt. Das operative Verhalten notifizierter Stellen nach der Zulassung wird in den Artikeln 33 bis 39 behandelt.

Artikel 30 ist auch mit Artikel 43 (Konformitätsbewertungsverfahren) verknüpft, da die Rechtsgültigkeit jedes Konformitätsbewertungszertifikats davon abhängt, dass die ausstellende Stelle eine aktuelle, wirksame Notifizierung gemäß Artikel 30 besitzt. Schließlich besteht eine Verbindung zu Artikel 74 (Marktüberwachung), da zuständige Behörden überprüfen müssen, ob die Zertifikate, die der CE-Kennzeichnung zugrunde liegen, von ordnungsgemäß notifizierten Stellen ausgestellt wurden.

Zeitplan für die Einhaltung

Die EU-KI-Verordnung trat am 1. August 2024 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt der EU.

Artikel 30 fällt unter die Bestimmungen, die für Hochrisiko-KI-Systeme gelten und dem gestaffelten Anwendungsplan der Verordnung folgen:

• 1. August 2024 — Inkrafttreten. Die Mitgliedstaaten beginnen mit den Vorbereitungsarbeiten zur Einrichtung oder Benennung notifizierender Behörden.
• 2. August 2025 — Allgemeine Verpflichtungen, einschließlich der meisten Governance- und Notified-Body-Rahmenbestimmungen, begannen zu gelten. Die Mitgliedstaaten mussten über betriebsbereite notifizierende Behörden verfügen, und Konformitätsbewertungsstellen konnten mit dem Benennungs- und Notifizierungsverfahren beginnen.
• 2. August 2026 — Hochrisiko-KI-Systeme nach Annex III (eigenständige Hochrisiko-Anwendungen) müssen vollständig konform sein, was bedeutet, dass Anbieter, die eine Drittpartei-Konformitätsbewertung benötigen, eine gültig notifizierte Stelle beauftragt haben müssen.
• 2. August 2027 — Hochrisiko-KI-Systeme, die in Produkte eingebettet sind, die dem Sicherheitsrecht gemäß Annex I unterliegen (z. B. Maschinen, Medizinprodukte, Spielzeug), müssen konform sein, wobei die KI-Verordnungsanforderungen mit den bestehenden Zeitplänen für die Konformitätsbewertung der Produktsicherheit in Einklang gebracht werden.

Anbieter, die Hochrisiko-KI-Systeme auf dem EU-Markt anbieten möchten, sollten den Notifizierungsstatus ihrer gewählten Konformitätsbewertungsstelle über NANDO rechtzeitig vor diesen Fristen überprüfen, da das Notifizierungsverfahren selbst eine Bewertung durch die nationale Behörde, ein zweiwöchiges Einwandsfenster und eine mögliche Überprüfung durch die Kommission umfasst — ein Verfahren, das insgesamt mehrere Monate in Anspruch nehmen kann.