Artikel 32 — Konformitätsvermutung für notifizierte Stellen (EU-KI-Verordnung)

Artikel 32 der Verordnung (EU) 2024/1689 — Konformitätsvermutung für notifizierte Stellen. Offizieller Text, praktische Auslegung, wesentliche Verpflichtungen und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 32 der Verordnung (EU) 2024/1689 begründet eine Konformitätsvermutung für notifizierte Stellen, die harmonisierte Normen anwenden, die nach dem Recht der Europäischen Union angenommen wurden. Konkret wird eine Konformitätsbewertungsstelle, die die Konformität mit den in den harmonisierten Normen — oder in einschlägigen Teilen dieser Normen — festgelegten Kriterien nachweist, deren Referenzen im Amtsblatt der Europäischen Union veröffentlicht wurden, vermutet, die Anforderungen des Artikels 31 insoweit zu erfüllen, als die anwendbaren harmonisierten Normen diese Anforderungen abdecken.

Artikel 31 legt die materiellen Kriterien fest, die eine Konformitätsbewertungsstelle erfüllen muss, bevor die notifizierende Behörde eines Mitgliedstaats sie der Europäischen Kommission notifizieren kann: Unabhängigkeit, fachliche Kompetenz, Unparteilichkeit, finanzielle Solidität, Haftungsdeckung, Vertraulichkeitsverpflichtungen und angemessene interne Governance-Strukturen. Artikel 32 schafft einen vereinfachten Nachweisweg, mit dem eine Stelle die Einhaltung dieser Kriterien durch Verweis auf veröffentlichte harmonisierte Normen nachweisen kann, anstatt für jedes Kriterium von Grund auf eine Einzelfallbewertung zu erfordern.

Die Vermutung ist widerlegbar und bedingt: Sie gilt nur insoweit, als die betreffenden harmonisierten Normen die einschlägigen Anforderungen des Artikels 31 tatsächlich abdecken. Wo Lücken bestehen — sei es, weil keine Norm veröffentlicht wurde oder weil eine Norm eine bestimmte Anforderung nicht adressiert — muss die Konformität durch andere Nachweise belegt werden. Der Artikel fungiert somit als Konformitätsabkürzung innerhalb eines umfassenderen Rahmens materieller Rechenschaftspflicht, der die Integrität des Systems der notifizierten Stellen wahrt und gleichzeitig den Verwaltungsaufwand für gut geführte Bewertungsstellen reduziert.

Was dies in der Praxis bedeutet

Artikel 32 ist in erster Linie für Konformitätsbewertungsstellen relevant, die den Notifizierungsstatus im Rahmen der EU-KI-Verordnung anstreben, sowie für die nationalen notifizierenden Behörden, die ihre Anträge bewerten.

Für eine Konformitätsbewertungsstelle, die als notifizierte Stelle für Hochrisiko-KI-Systeme tätig werden möchte, ist der praktische Weg gemäß Artikel 32 im Grundsatz unkompliziert: die harmonisierten Normen identifizieren, deren Referenzen die Kommission im Amtsblatt veröffentlicht hat, die Konformität mit diesen Normen nachweisen — in der Regel durch Akkreditierung durch eine nationale Akkreditierungsstelle, die gemäß der Verordnung (EG) Nr. 765/2008 tätig ist — und von der Vermutung profitieren, wenn die notifizierende Behörde den Antrag gemäß Artikel 28 und den folgenden Bestimmungen prüft.

In der Praxis ist die relevanteste harmonisierte Norm für Konformitätsbewertungsstellen im KI-Bereich wahrscheinlich ISO/IEC 17065 (für Produktzertifizierungsstellen) oder ISO/IEC 17020 (für Inspektionsstellen), zusammen mit KI-spezifischen harmonisierten Normen, die die Kommission entwickelt und gemäß Artikel 40 referenziert. Bis zur Veröffentlichung KI-spezifischer harmonisierter Normen müssen Stellen auf bestehende Normen zurückgreifen und darlegen, wie diese den Anforderungen des Artikels 31 entsprechen.

Für notifizierende Behörden — die nach Artikel 28 benannten nationalen Stellen — vereinfacht Artikel 32 den Bewertungsaufwand. Legt eine Konformitätsbewertungsstelle gültige Akkreditierungszertifikate gegenüber veröffentlichten harmonisierten Normen vor, kann die Behörde die abgedeckten Anforderungen als erfüllt betrachten, ohne jedes Kriterium unabhängig zu überprüfen. Dies schließt Aufsichtspflichten nicht aus: Notifizierende Behörden behalten Überwachungspflichten gemäß Artikel 33 und müssen handeln, wenn eine notifizierte Stelle in der Folge die Einhaltung nicht mehr aufrechterhält.

Für Anbieter von Hochrisiko-KI-Systemen ist Artikel 32 mittelbar relevant: Er untermauert das Vertrauen, dass die ihre Systeme bewertenden notifizierten Stellen gegen strenge, öffentlich bekannte Normen überprüft wurden.

Wesentliche Verpflichtungen

• Eine Konformitätsbewertungsstelle, die von der Vermutung des Artikels 32 profitieren möchte, muss die tatsächliche Konformität mit den veröffentlichten harmonisierten Normen nachweisen, nicht nur behaupten — die Akkreditierung durch eine nationale Akkreditierungsstelle ist der Standardweg, dies zu belegen.
• Die Vermutung gilt nur insoweit, als harmonisierte Normen die spezifischen Anforderungen des Artikels 31 abdecken; Stellen müssen die Einhaltung von Anforderungen, die durch verfügbare Normen nicht abgedeckt sind, separat nachweisen.
• Notifizierende Behörden müssen die Vermutung bei der Prüfung von Notifizierungsanträgen anerkennen, behalten jedoch das Recht und die Pflicht, sie zu widerlegen, wenn Belege auf eine Nichtkonformität mit den zugrunde liegenden Anforderungen des Artikels 31 hinweisen.
• Notifizierte Stellen müssen die kontinuierliche Konformität mit den anwendbaren harmonisierten Normen während des gesamten Notifizierungszeitraums aufrechterhalten, nicht nur zum Zeitpunkt der Erstbewertung.
• Wurden von der Kommission keine Referenzen zu einschlägigen harmonisierten Normen im Amtsblatt veröffentlicht, müssen Konformitätsbewertungsstellen die Einhaltung der Anforderungen des Artikels 31 durch alternative, überprüfbare Nachweise belegen.
• Die Kommission muss Referenzen zu einschlägigen harmonisierten Normen im Amtsblatt der Europäischen Union veröffentlichen, damit der Vermutungsmechanismus des Artikels 32 operativ verfügbar ist.

Bezug zu anderen Artikeln

Artikel 32 kann nicht isoliert vom umgebenden Rahmen von Kapitel 4 gelesen werden. Sein unmittelbarer Bezugspunkt ist Artikel 31, der die materiellen Anforderungen an notifizierte Stellen aufzählt; Artikel 32 befasst sich ausschließlich mit dem Nachweismechanismus zur Erfüllung dieser Anforderungen und hat keinen eigenständigen materiellen Inhalt.

Artikel 28 begründet die notifizierenden Behörden, die für die Bewertung und Notifizierung von Konformitätsbewertungsstellen zuständig sind, und diese Behörden sind die Hauptakteure, die die Vermutung des Artikels 32 bei den durch die Artikel 29 und 30 geregelten Notifizierungsverfahren anwenden oder ablehnen.

Artikel 33 regelt die operativen Verpflichtungen notifizierter Stellen nach ihrer Benennung, einschließlich der Kooperationspflichten mit notifizierenden Behörden, die relevant sind, wenn die Vermutung im Laufe der Zeit aufrechterhalten werden muss. Artikel 40 — der den Rahmen harmonisierter Normen für die KI-Verordnung insgesamt begründet — ist der Mechanismus, durch den die Kommission die Normen entwickelt und referenziert, auf die sich Artikel 32 stützt.

Über Kapitel 4 hinaus ist Artikel 43 relevant, da er die Konformitätsbewertungsverfahren festlegt, die notifizierte Stellen für Hochrisiko-KI-Systeme durchführen müssen; die Kompetenz und Governance dieser Stellen, die durch die Artikel 31 und 32 validiert werden, bestimmt unmittelbar die Glaubwürdigkeit dieser Bewertungen.

Zeitplan für die Einhaltung

Die EU-KI-Verordnung trat am 1. August 2024 in Kraft, zwanzig Tage nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union am 12. Juli 2024. Artikel 32, der sich in Titel III, Kapitel 4 befindet, gehört zu den Bestimmungen, die die Infrastruktur für die Aufsicht über Hochrisiko-KI-Systeme regeln, und fällt nicht in die frühen Anwendungstranchen.

Die verbotenen KI-Praktiken gemäß Artikel 5 wurden am 2. Februar 2025 anwendbar. Die Verpflichtungen für KI-Modelle mit allgemeinem Verwendungszweck gemäß Titel VIII wurden am 2. August 2025 anwendbar. Die Verpflichtungen, die am unmittelbarsten mit Artikel 32 zusammenhängen — das vollständige Konformitätsbewertungsregime für Hochrisiko-KI-Systeme einschließlich des Rahmens für notifizierte Stellen — werden ab dem 2. August 2026 für Hochrisiko-Systeme nach Annex III schrittweise anwendbar, mit einer weiteren Verlängerung bis zum 2. August 2027 für bestimmte Hochrisiko-KI-Systeme, die bereits dem in Annex I aufgeführten bestehenden Unionsharmonisierungsrecht unterliegen.

Konformitätsbewertungsstellen, die als notifizierte Stellen im Rahmen der KI-Verordnung tätig sein wollen, sollten daher ihre Akkreditierungs- und Notifizierungsprozesse weit vor August 2026 eingeleitet haben, da das Notifizierungsverfahren gemäß den Artikeln 28 bis 30 eine Bewertung durch die nationale Behörde, die Kommissionsnotifizierung und eine Wartefrist umfasst, bevor eine Stelle rechtmäßig Konformitätsbewertungen durchführen darf. Nationale notifizierende Behörden sollten sicherstellen, dass ihre Bewertungsrahmen die veröffentlichten harmonisierten Normen widerspiegeln, sobald diese verfügbar werden, damit der Vermutungsmechanismus des Artikels 32 funktionsfähig ist, wenn das Hochrisikoregime in vollem Umfang gilt.