Artikel 31 der Verordnung (EU) 2024/1689 — Anforderungen an notifizierte Stellen. Offizieller Text, praktische Auslegung, wesentliche Verpflichtungen und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 31 der Verordnung (EU) 2024/1689 legt die Bedingungen fest, die eine Konformitätsbewertungsstelle erfüllen muss, bevor ein Mitgliedstaat sie der Europäischen Kommission als kompetente Stelle für die Durchführung von Drittpartei-Konformitätsbewertungen von Hochrisiko-KI-Systemen notifizieren darf.
Der Artikel stellt Anforderungen in mehreren Dimensionen. Erstens muss die Stelle nach nationalem Recht errichtet sein und Rechtspersönlichkeit besitzen. Zweitens muss sie von den von ihr bewerteten KI-Systemen, deren Anbietern und jedem kommerziellen, finanziellen oder sonstigen Druck unabhängig sein, der ihr Urteil beeinträchtigen könnte; weder die Stelle noch ihre Mitarbeiter dürfen Entwickler, Hersteller, Lieferant, Installateur, Käufer, Eigentümer, Nutzer oder Instandhalter der von ihnen bewerteten KI-Systeme sein. Drittens müssen die Stelle und ihre Mitarbeiter über die notwendige fachliche Kompetenz verfügen — einschließlich einschlägiger Erfahrung mit KI-Technologien und Datenpraktiken — und diese Kompetenz durch kontinuierliche Schulung aufrechterhalten. Viertens muss die Stelle finanziell gesund sein und eine angemessene Haftpflichtversicherung abschließen. Fünftens muss die Stelle über dokumentierte Verfahren für den Umgang mit Interessenkonflikten, für die Vertraulichkeit bei der Bewertung erlangter Informationen und für den Schutz der Interessen von Anbietern und Dritten verfügen. Schließlich muss die Stelle an Koordinierungsaktivitäten auf Unionsebene teilnehmen und mit Marktüberwachungsbehörden und notifizierenden Behörden zusammenarbeiten.
Vergibt eine notifizierte Stelle Aufgaben im Unterauftrag oder setzt eine Tochtergesellschaft ein, muss sie sicherstellen, dass diese Einheiten dieselben Anforderungen erfüllen, und behält die volle Haftung für deren Arbeit.
Was dies in der Praxis bedeutet
Artikel 31 richtet sich in erster Linie an Konformitätsbewertungsstellen, die den Status einer notifizierten Stelle anstreben, sowie an die nationalen notifizierenden Behörden, die für deren Bewertung und Benennung verantwortlich sind. Er begründet keine unmittelbaren Verpflichtungen für KI-Anbieter, seine Anforderungen prägen jedoch das Ökosystem, in dem die Anbieter tätig sein müssen.
Für Konformitätsbewertungsstellen bedeutet die Einhaltung von Artikel 31 die Durchführung einer umfassenden internen Bereitschaftsprüfung vor der Beantragung der Notifizierung. Dazu gehören eine strukturelle Überprüfung zur Sicherstellung der Unabhängigkeit von Anbietern und Lieferketten sowie die Einstellung oder Umschulung von Mitarbeitern mit praktischer Expertise in maschinellem Lernen, Daten-Governance und dem spezifischen Anwendungsbereich der zu bewertenden KI-Systeme (zum Beispiel Medizinprodukte, biometrische Systeme oder kritische Infrastruktur). Die Stellen müssen dokumentierte Managementsysteme für Vertraulichkeit, Interessenkonflikte und Qualitätssicherung einrichten und eine angemessene Berufshaftpflichtversicherung abschließen.
Für KI-Anbieter von Hochrisikosystemen, die nach Artikel 43 eine Drittpartei-Konformitätsbewertung benötigen — beispielsweise für Systeme, die in Annex III aufgeführt sind und für die keine harmonisierte Norm alle Anforderungen abdeckt — bedeutet die Auswahl einer notifizierten Stelle die Überprüfung, dass die Stelle ordnungsgemäß in der NANDO-Datenbank aufgeführt ist und dass ihr Notifizierungsumfang den relevanten KI-Anwendungssektor abdeckt. Anbieter sollten auch die Unterauftragsvergaberegelungen der Stelle überprüfen und bestätigen, dass Tochterbewerter selbst konform sind.
Nationale notifizierende Behörden müssen Bewertungsrahmen aufbauen, die Bewerber streng anhand jedes Kriteriums des Artikels 31 prüfen, und müssen Überwachungsverfahren einrichten, um die fortlaufende Einhaltung nach der Notifizierung zu überprüfen, da die anhaltende Erfüllung dieser Anforderungen eine Voraussetzung für die Aufrechterhaltung des Notifizierungsstatus ist.
Wesentliche Verpflichtungen
- Unabhängigkeit und Unparteilichkeit: Die notifizierte Stelle, ihre Geschäftsleitung und die für Konformitätsbewertungsaufgaben zuständigen Mitarbeiter dürfen nicht Entwickler, Hersteller, Lieferant oder Nutzer der von ihnen bewerteten KI-Systeme sein und müssen frei von jedwedem Einfluss sein — kommerziell, finanziell oder anderweitig —, der ihre Objektivität beeinträchtigen könnte.
- Fachliche Kompetenz: Die Stelle muss ausreichende Kenntnisse und Erfahrungen in KI-Technologien, Daten und Daten-Governance, Cybersicherheit und dem spezifischen Anwendungsbereich der Systeme nachweisen, für die sie notifiziert ist, und muss sicherstellen, dass die Mitarbeiter kontinuierliche Schulungen erhalten, um mit den technologischen Entwicklungen Schritt zu halten.
- Rechtspersönlichkeit und finanzielle Stabilität: Die Stelle muss eine nach nationalem Recht rechtmäßig gegründete Einheit sein und muss ihre finanzielle Gesundheit nachweisen sowie eine angemessene Haftpflichtversicherung für ihre Bewertungstätigkeiten halten.
- Dokumentierte Managementsysteme: Die Stelle muss dokumentierte Verfahren für den Umgang mit Interessenkonflikten, den Schutz der Vertraulichkeit kommerziell sensibler Informationen und die Bearbeitung von Beschwerden und Rechtsbehelfen von Anbietern betreiben.
- Unterauftragsvergabe und Regelungen für Tochtergesellschaften: Werden Aufgaben im Unterauftrag vergeben oder an eine Tochtergesellschaft delegiert, muss die notifizierte Stelle überprüfen, dass der Unterauftragnehmer oder die Tochtergesellschaft alle Anforderungen des Artikels 31 erfüllt, den Anbieter vor der Unterauftragsvergabe informieren und behält die volle rechtliche Verantwortung für die Ergebnisse.
- Zusammenarbeit und Teilnahme: Die notifizierte Stelle muss mit nationalen Marktüberwachungsbehörden und notifizierenden Behörden zusammenarbeiten und an unionsweiten Koordinierungsgruppen teilnehmen, die für notifizierte Stellen im Rahmen der KI-Verordnung eingerichtet wurden.
Bezug zu anderen Artikeln
Artikel 31 ist Teil von Titel III, Kapitel 4, das den gesamten Rahmen für notifizierende Behörden und notifizierte Stellen regelt. Er ist zusammen mit Artikel 28, der die Verpflichtungen der notifizierenden Behörden definiert, Artikel 29, der die Anforderungen an Notifizierungsanträge und das Kommissionsnotifizierungsverfahren festlegt, und Artikel 30, der die Einrichtung und Aufgaben der notifizierenden Behörden auf nationaler Ebene behandelt, zu lesen.
Nachgelagert verbindet sich Artikel 31 direkt mit Artikel 33, der die operativen Verpflichtungen notifizierter Stellen nach ihrer Benennung festlegt — einschließlich ihrer Pflicht zur Durchführung von Bewertungen gemäß den Artikeln 43 und 44 — und mit Artikel 44, der die von notifizierten Stellen ausgestellten Bescheinigungen und die Bedingungen für deren Aussetzung oder Rücknahme regelt. Artikel 43 legt genau fest, wann eine Drittpartei-Konformitätsbewertung durch eine notifizierte Stelle obligatorisch ist und wann sich ein Anbieter auf eine interne Kontrolle stützen darf. Artikel 49 über die EU-Konformitätserklärung und Artikel 50 über die CE-Kennzeichnung sind die nachgelagerten Outputs, die von einer gültigen Bescheinigung einer notifizierten Stelle abhängen, soweit eine solche erforderlich ist.
Zeitplan für die Einhaltung
Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft. Die EU-KI-Verordnung gilt in Phasen:
- 2. Februar 2025: Verbote für KI-Praktiken mit unannehmbarem Risiko (Titel II) begannen zu gelten.
- 2. August 2025: Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII) und Governance-Verpflichtungen für Mitgliedstaaten wurden anwendbar.
- 2. August 2026: Die Hauptverpflichtungen für Hochrisiko-KI-Systeme nach Annex III — einschließlich der Konformitätsbewertungsanforderungen gemäß Artikel 43 und damit der operativen Anforderungen für notifizierte Stellen gemäß Artikel 31 — werden vollständig anwendbar.
- 2. August 2027: Verlängerte Frist für bestimmte Hochrisiko-KI-Systeme, die auch Sicherheitskomponenten von Produkten sind, die bereits dem in Annex I aufgeführten Unionsharmonisierungsrecht unterliegen (wie Medizinprodukte und Maschinen).
In der Praxis müssen Konformitätsbewertungsstellen, die zum 2. August 2026 betriebsbereit sein wollen, ihren Antragsprozess deutlich vor diesem Datum begonnen haben, angesichts der Zeit, die für die nationale Bewertung und die förmliche Notifizierung an die Kommission erforderlich ist. Von den Mitgliedstaaten wurde daher erwartet, dass sie ihre notifizierenden Behördenrahmen und Bewertungsverfahren spätestens Mitte 2025 eingerichtet haben.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Eine notifizierte Stelle ist eine Konformitätsbewertungsorganisation, die von einem Mitgliedstaat benannt wird, um Drittpartei-Konformitätsbewertungen von Hochrisiko-KI-Systemen durchzuführen, sofern dies nach Artikel 43 erforderlich ist. Um notifiziert zu werden, muss die Stelle eine strenge Reihe rechtlicher, organisatorischer und technischer Anforderungen erfüllen, die in Artikel 31 festgelegt sind, darunter Unabhängigkeit, Unparteilichkeit, fachliche Kompetenz und finanzielle Stabilität.
Die Mitgliedstaaten sind für die Benennung notifizierter Stellen durch ihre nationale notifizierende Behörde verantwortlich. Die notifizierende Behörde bewertet Bewerberorganisationen anhand der Anforderungen des Artikels 31 und notifiziert nach erfolgreicher Prüfung die Europäische Kommission und die anderen Mitgliedstaaten förmlich über die NANDO-Datenbank. Die Kommission kann innerhalb von zwei Wochen nach der Notifizierung Einwände erheben.
Ja, jedoch nur unter strengen Bedingungen. Artikel 31 gestattet notifizierten Stellen, bestimmte Konformitätsbewertungstätigkeiten unterzuvergeben oder eine Tochtergesellschaft einzusetzen, sofern der Unterauftragnehmer oder die Tochtergesellschaft ebenfalls die Anforderungen des Artikels 31 erfüllt, die notifizierte Stelle den Anbieter im Voraus informiert und die volle Verantwortung für die durchgeführten Arbeiten behält.
Erfüllt eine notifizierte Stelle die Anforderungen des Artikels 31 nicht oder nicht mehr, muss die notifizierende Behörde die Notifizierung je nach Schwere des Verstoßes einschränken, aussetzen oder zurückziehen. Bereits ausgestellte Bescheinigungen bleiben für einen Übergangszeitraum gültig, sofern die notifizierende Behörde nicht feststellt, dass sie zurückgezogen werden müssen, und eine andere notifizierte Stelle die betroffenen Akten übernimmt.
Artikel 31 gilt ab dem 2. August 2026, dem Datum, an dem die Vorschriften für Hochrisiko-KI-Systeme gemäß Annex III vollständig anwendbar werden. Die Mitgliedstaaten sollten Konformitätsbewertungsstellen jedoch weit vor diesem Datum benennen und notifizieren, um sicherzustellen, dass das Ökosystem funktionsfähig ist, wenn Anbieter von Hochrisiko-KI-Systemen eine Drittpartei-Bewertung benötigen.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.