Artikel 33 der Verordnung (EU) 2024/1689 — Tochtergesellschaften notifizierter Stellen und Unterauftragsvergabe. Offizieller Text, praktische Auslegung, wesentliche Verpflichtungen und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 33 der Verordnung (EU) 2024/1689 regelt die Bedingungen, unter denen notifizierte Stellen Konformitätsbewertungstätigkeiten an Tochtergesellschaften oder externe Unterauftragnehmer delegieren dürfen. Der Artikel legt fest, dass eine notifizierte Stelle, die bestimmte Konformitätsbewertungsaufgaben im Unterauftrag vergeben oder eine Tochtergesellschaft mit der Durchführung solcher Aufgaben beauftragen möchte, zunächst die Zustimmung des Auftraggebers zu dieser Regelung einholen muss.
Bei Unterauftragsvergabe oder Tochtergesellschaftsregelungen ist die notifizierte Stelle verpflichtet, sicherzustellen, dass der Unterauftragnehmer oder die Tochtergesellschaft dieselben Anforderungen erfüllt, die für notifizierte Stellen in Bezug auf die spezifischen delegierten Aufgaben gelten. Diese Verpflichtung spiegelt die Qualifikations-, Unparteilichkeits- und Betriebsanforderungen wider, die an anderer Stelle in Kapitel 4 von Titel III festgelegt sind.
Entscheidend ist, dass Artikel 33 der notifizierten Stelle eine eindeutige Verantwortung auferlegt: Sie muss die volle Verantwortung für die von Unterauftragnehmern und Tochtergesellschaften durchgeführten Arbeiten übernehmen, unabhängig davon, wo diese Einheiten niedergelassen sind — ob innerhalb der EU oder in einem Drittland. Die notifizierte Stelle ist auch verpflichtet, ihrer notifizierenden Behörde alle einschlägigen Unterlagen über die Bewertung der Qualifikationen des Unterauftragnehmers oder der Tochtergesellschaft und die von diesen Einheiten im Rahmen der Delegation durchgeführten Arbeiten zur Verfügung zu halten.
Dieser Artikel stellt sicher, dass die Delegation von Konformitätsbewertungsaufgaben nicht dazu genutzt werden kann, die strengen Anforderungen zu umgehen, die die notifizierten Stellen selbst erfüllen müssen, und dass die Rechenschaftspflicht auf der Ebene der von der notifizierenden Behörde förmlich benannten Stelle konzentriert bleibt.
Was dies in der Praxis bedeutet
Artikel 33 betrifft unmittelbar notifizierte Stellen, die im Rahmen der EU-KI-Verordnung tätig sind, ihre Muttergesellschaften, Tochtergesellschaften und alle Drittdienstleister, die sie mit der Durchführung von Teilen der Konformitätsbewertungsarbeit für Hochrisiko-KI-Systeme beauftragen.
Für eine notifizierte Stelle, die ihre Tätigkeiten ausweiten oder spezialisiertes Fachwissen nutzen möchte, bietet die Unterauftragsvergabe und der Einsatz von Tochtergesellschaften operative Flexibilität — diese Flexibilität ist jedoch mit strengen Rechenschaftsanforderungen verbunden. Vor der Beauftragung eines Unterauftragnehmers muss die notifizierte Stelle überprüfen, ob der Unterauftragnehmer die einschlägigen Qualifikationsanforderungen erfüllt, die für notifizierte Stellen für diese spezifischen Aufgaben gelten. Ein allgemeiner Lieferantenvertrag ist unzureichend; eine substantielle Compliance-Bewertung der Kompetenz und Unabhängigkeit des Unterauftragnehmers muss durchgeführt und dokumentiert werden.
Der Auftraggeber der Konformitätsbewertung — in der Regel der Anbieter des Hochrisiko-KI-Systems — muss jeder Unterauftragsvergabergelung ausdrücklich zustimmen. In der Praxis bedeutet dies, dass Vertragsvereinbarungen für Konformitätsbewertungsdienstleistungen die Unterauftragsvergabe von vornherein ansprechen sollten, mit Angabe, ob die Zustimmung im Allgemeinen erteilt wird oder von Fall zu Fall eingeholt werden muss.
Für KI-System-Anbieter, die einer Drittpartei-Konformitätsbewertung unterzogen werden, gewährt Artikel 33 ein Recht auf Transparenz: Sie müssen wissen, wer die Bewertung durchführt, und haben die Möglichkeit, Einwände zu erheben. Anbieter sollten Klauseln zur Offenlegung der Unterauftragsvergabe in ihre Vereinbarungen mit notifizierten Stellen aufnehmen und überprüfen, dass etwaige eingesetzte Unterauftragnehmer geeignet qualifiziert sind.
Für notifizierte Stellen mit internationalen Konzernstrukturen ist Artikel 33 besonders relevant: Arbeiten, die eine Nicht-EU-Tochtergesellschaft im Auftrag der notifizierten Stelle ausführt, fallen in den Anwendungsbereich, und die in der EU ansässige notifizierte Stelle bleibt für die Qualität und Konformität dieser Arbeiten verantwortlich.
Wesentliche Verpflichtungen
- Vorherige Zustimmung des Auftraggebers: Die notifizierte Stelle muss die ausdrückliche Zustimmung des Auftraggebers der Konformitätsbewertung einholen, bevor sie Aufgaben im Unterauftrag vergibt oder eine Tochtergesellschaft mit der Durchführung von Konformitätsbewertungstätigkeiten beauftragt.
- Äquivalenz der Anforderungen: Unterauftragnehmer und Tochtergesellschaften müssen dieselben Anforderungen erfüllen, die für die notifizierte Stelle selbst für die spezifischen delegierten Konformitätsbewertungsaufgaben gelten, einschließlich Kompetenz, Unparteilichkeit und Betriebsstandards.
- Volle beibehaltene Verantwortung: Die notifizierte Stelle behält die vollständige rechtliche und regulatorische Verantwortung für alle von Unterauftragnehmern und Tochtergesellschaften durchgeführten Arbeiten; diese Rechenschaftspflicht kann nicht übertragen, delegiert oder vertraglich abgegeben werden.
- Benachrichtigung der notifizierenden Behörde: Die notifizierte Stelle muss ihre notifizierende Behörde über Unterauftragsvergaberegelungen und Tätigkeiten von Tochtergesellschaften informieren und alle einschlägigen Unterlagen über die Qualifikationen der Unterauftragnehmer und die von ihnen durchgeführten Arbeiten zur Verfügung stellen.
- Dokumentation und Aufzeichnungspflicht: Die notifizierte Stelle muss umfassende Aufzeichnungen über die Qualifikationsbewertungen von Unterauftragnehmern und die Ergebnisse delegierter Konformitätsbewertungsaufgaben führen, die der notifizierenden Behörde auf Anfrage zur Verfügung stehen.
- Geografischer Geltungsbereich: Die Verpflichtungen gelten unabhängig davon, ob der Unterauftragnehmer oder die Tochtergesellschaft in der Europäischen Union oder in einem Drittland niedergelassen ist.
Bezug zu anderen Artikeln
Artikel 33 ist in enger Verbindung mit dem umfassenderen Rahmen für notifizierte Stellen zu lesen, der in Kapitel 4 von Titel III begründet wird. Artikel 28 (Notifizierte Stellen) legt die materiellen Anforderungen fest — einschließlich Kompetenz, Unabhängigkeit und Unparteilichkeit —, die Unterauftragnehmer und Tochtergesellschaften gemäß Artikel 33 erfüllen müssen. Artikel 29 (Unabhängigkeit notifizierter Stellen) ist ebenso relevant, da Unterauftragsvergaberegelungen die Unparteilichkeit des Konformitätsbewertungsverfahrens nicht beeinträchtigen dürfen. Die Artikel 30 und 31 regeln das Notifizierungs- und Benennungsverfahren für notifizierte Stellen und geben vor, welche Standards eine Stelle erfüllen muss, um Konformitätsbewertungsaufgaben durchführen zu dürfen.
Artikel 43 (Konformitätsbewertungsverfahren für Hochrisiko-KI-Systeme) definiert den Umfang der Konformitätsbewertungstätigkeiten, die notifizierte Stellen durchführen sollen, und damit die Tätigkeiten, auf die die Unterauftragsvergaberegeln des Artikels 33 anwendbar sind. Artikel 74 (Marktüberwachung) ist ebenfalls relevant, da Marktüberwachungsbehörden prüfen können, ob notifizierte Stellen und ihre Unterauftragnehmer die Verpflichtungen des Artikels 33 bei der Untersuchung von Compliance-Verstößen eingehalten haben.
Zeitplan für die Einhaltung
Die EU-KI-Verordnung (Verordnung 2024/1689) trat am 1. August 2024 in Kraft. Artikel 33 ist als Teil des Rahmens für notifizierte Stellen und ihre operativen Anforderungen dem allgemeinen gestaffelten Anwendungsplan unterworfen:
- 1. August 2024: Inkrafttreten. Die Verordnung wird verbindliches EU-Recht.
- 2. Februar 2025: Verbote für KI-Praktiken mit unannehmbarem Risiko gelten (Titel II).
- 2. August 2025: Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII) und Governance-Bestimmungen beginnen zu gelten.
- 2. Dezember 2026: Der Konformitätsbewertungsrahmen — einschließlich der Regeln für notifizierte Stellen gemäß Titel III, Kapitel 4, und damit Artikel 33 — gilt für Hochrisiko-KI-Systeme nach Annex I (sicherheitskritische Systemkomponenten, die durch Unionsharmonisierungsrecht geregelt werden).
- 2. August 2027: Vollständige Anwendung der Konformitätsbewertungspflichten für Hochrisiko-KI-Systeme nach Annex III, einschließlich der operativen Anforderungen gemäß Artikel 33 für Unterauftragsvergabe und den Einsatz von Tochtergesellschaften.
Notifizierte Stellen, die eine Benennung im Rahmen der EU-KI-Verordnung anstreben, sollten die Einhaltung des Artikels 33 als Teil ihrer anfänglichen Benennungsbereitschaft behandeln und sicherstellen, dass Unterauftragsvergaberichtlinien, Governance-Rahmen für Tochtergesellschaften und Kundenvertragsvorlagen die Anforderungen des Artikels weit vor den einschlägigen Anwendungsdaten widerspiegeln.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Ja, jedoch nur unter strengen Bedingungen. Die notifizierte Stelle muss die Zustimmung des Auftraggebers der Konformitätsbewertung einholen, sicherstellen, dass der Unterauftragnehmer dieselben Anforderungen wie notifizierte Stellen für die spezifischen Aufgaben erfüllt, und die volle Verantwortung für die durchgeführten Arbeiten behalten. Die notifizierte Stelle muss auch ihre notifizierende Behörde über die Unterauftragsvergabe informieren.
Tochtergesellschaften, die im Auftrag einer notifizierten Stelle Konformitätsbewertungstätigkeiten durchführen, müssen dieselben Anforderungen einhalten, die für die notifizierte Stelle selbst gelten. Die notifizierte Stelle muss ihre notifizierende Behörde über die Tätigkeiten der Tochtergesellschaft informieren und die volle Verantwortung für die von Tochtergesellschaften durchgeführten Arbeiten übernehmen.
Die notifizierte Stelle behält die volle rechtliche Verantwortung für die von Unterauftragnehmern und Tochtergesellschaften durchgeführten Arbeiten, unabhängig von deren Standort innerhalb oder außerhalb der Union. Die notifizierte Stelle kann ihre Rechenschaftspflicht durch Unterauftragsvergabe oder Tochtergesellschaftsregelungen weder übertragen noch verwässern.
Ja. Artikel 33 verlangt, dass die Zustimmung des Auftraggebers der Konformitätsbewertung eingeholt wird, bevor die Unterauftragsvergabe erfolgt. Dies gewährleistet Transparenz und ermöglicht es dem Auftraggeber zu beurteilen, ob der vorgeschlagene Unterauftragnehmer für die betreffenden Aufgaben geeignet ist.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.