Artikel 35 — Kennnummern und Verzeichnisse notifizierter Stellen (EU-KI-Gesetz)

Artikel 35 der Verordnung (EU) 2024/1689 — Kennnummern und Verzeichnisse notifizierter Stellen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 35 der Verordnung (EU) 2024/1689 (EU-KI-Gesetz) legt den Verwaltungs- und Transparenzrahmen für die Identifizierung und öffentliche Auflistung notifizierter Stellen fest, die im Rahmen der Verordnung tätig sind. Der Artikel richtet sich vorrangig an die Europäische Kommission und die Notifizierungsbehörden der Mitgliedstaaten.

Gemäß Artikel 35 ist die Kommission verpflichtet, jeder notifizierten Stelle eine Kennnummer zuzuteilen. Entscheidend ist, dass eine Stelle, die unter mehr als einem Unionsrechtsakt notifiziert ist, eine einzige Kennnummer erhält, um die Kohärenz über die Rechtsinstrumente hinweg sicherzustellen. Die Kommission ist ferner verpflichtet, eine öffentlich zugängliche Liste aller notifizierten Stellen zu veröffentlichen und aktuell zu halten, einschließlich ihrer Kennnummern und der Tätigkeitsbereiche, für die sie notifiziert wurden.

Die Mitgliedstaaten tragen eine komplementäre Pflicht: Sie müssen die Kommission über alle Änderungen des Status einer notifizierten Stelle unterrichten — einschließlich der Erteilung neuer Notifizierungen sowie Einschränkungen, Aussetzungen oder Rücknahmen bestehender Notifizierungen. Die Kommission ist dann verpflichtet, diese Änderungen unverzüglich in der öffentlichen Liste zu berücksichtigen.

Der Artikel ist Teil von Kapitel 4 des Titels III, der die Gesamtarchitektur der Notifizierung regelt: Wer Konformitätsbewertungen für Hochrisiko-KI-Systeme durchführen darf, unter welchen Bedingungen und mit welcher Aufsicht. Artikel 35 befasst sich konkret mit der Identifizierungs- und Sichtbarkeitsebene dieser Architektur und stellt sicher, dass der Markt — einschließlich der Anbieter, die eine Bewertung suchen, nachgelagerter Betreiber und nationaler Behörden — zuverlässig erkennen kann, welche Stellen für welchen Bereich zugelassen sind und ob diese Zulassung noch gültig ist.

Was dies in der Praxis bedeutet

Artikel 35 hat unmittelbare operative Auswirkungen auf drei Akteursgruppen: Anbieter von Hochrisiko-KI-Systemen, die notifizierten Stellen selbst und die nationalen Notifizierungsbehörden.

Für Anbieter, die eine Konformitätsbewertung durch Dritte gemäß Annex VI oder auf dem Weg des vollständigen Qualitätsmanagementsystems anstreben, bietet Artikel 35 den primären Verifizierungsmechanismus. Bevor ein Anbieter eine notifizierte Stelle beauftragt, sollte er die NANDO-Datenbank der Kommission konsultieren, um sicherzustellen, dass die Stelle eine gültige Notifizierung im Rahmen des EU-KI-Gesetzes besitzt, die die jeweilige Produktkategorie oder den betreffenden KI-Systemtyp abdeckt. Die Beauftragung einer Stelle, deren Notifizierung abgelaufen, ausgesetzt oder für den Anwendungsbereich des KI-Gesetzes nie formell erweitert wurde, schafft eine Compliance-Lücke, die ein Konformitätsbewertungszertifikat ungültig machen könnte.

Für notifizierte Stellen begründet Artikel 35 eine mittelbare Pflicht zur Zusammenarbeit mit ihrer nationalen Notifizierungsbehörde, um sicherzustellen, dass jede Änderung ihres Tätigkeitsbereichs oder Zulassungsstatus unverzüglich weitergeleitet wird. Eine Stelle, die ihren Bewertungsbereich erweitert — beispielsweise durch Hinzufügen einer neuen Hochrisikokategorie wie biometrische Kategoriensysteme — darf unter diesem erweiterten Bereich erst dann tätig werden, wenn die Notifizierung aktualisiert und in der Kommissionsliste entsprechend vermerkt wurde.

Für nationale Notifizierungsbehörden ist die Pflicht verfahrenstechnischer, aber folgenreicher Natur: Statusänderungen einer Stelle müssen unverzüglich an die Kommission kommuniziert werden. Verzögerungen schaffen ein Zeitfenster, in dem die öffentliche Liste ungenau ist und möglicherweise Anbieter irreführt oder Marktüberwachungsmaßnahmen anderer Mitgliedstaaten untergräbt.

Konkret sollte ein Rechts- oder Compliance-Team, das sich auf eine Konformitätsbewertung vorbereitet, eine Checkliste erstellen, die die Kennnummer der ausgewählten notifizierten Stelle in NANDO abgleicht, überprüft, ob der Notifizierungsbereich mit der Risikoeinstufung des Systems übereinstimmt, und sicherstellt, dass keine Einschränkungen oder Aussetzungen für diesen Eintrag vorliegen.

Wesentliche Pflichten

• Die Europäische Kommission muss jeder notifizierten Stelle eine einzige Kennnummer zuteilen, die für alle Unionsrechtsakte gilt, unter denen die Stelle tätig ist.
• Die Kommission muss eine öffentlich zugängliche, aktuelle Liste aller notifizierten Stellen veröffentlichen und pflegen, einschließlich ihrer Kennnummern und des notifizierten Umfangs.
• Die Mitgliedstaaten und ihre Notifizierungsbehörden müssen die Kommission unverzüglich über jede Erteilung, Einschränkung, Aussetzung oder Rücknahme einer Notifizierung unterrichten.
• Die Kommission muss die öffentliche Liste unverzüglich nach der Unterrichtung durch die Mitgliedstaaten aktualisieren, um Statusänderungen notifizierter Stellen widerzuspiegeln.
• Notifizierte Stellen dürfen nicht über ihren notifizierten Bereich hinaus tätig werden; jede Bereichserweiterung erfordert eine formelle Aktualisierung der Notifizierung, bevor die Stelle Bewertungen unter diesem erweiterten Bereich durchführen darf.
• Anbieter müssen vor der Beauftragung einer notifizierten Stelle überprüfen, dass deren aktueller Eintrag in der Datenbank der Kommission die betreffende Tätigkeit abdeckt und die Zulassung in Kraft ist.

Bezug zu anderen Artikeln

Artikel 35 kann nicht isoliert gelesen werden; er ist Teil eines kohärenten Rahmens innerhalb von Kapitel 4 des Titels III.

Artikel 28 legt die Anforderungen fest, die die Notifizierungsbehörden — die nationalen Stellen, die für die Einrichtung und Durchführung von Notifizierungsverfahren zuständig sind — selbst erfüllen müssen, und bildet damit die institutionelle Grundlage, auf der die in Artikel 35 geregelten Notifizierungsabläufe beruhen. Artikel 29 legt die detaillierten Anforderungen fest, die eine Konformitätsbewertungsstelle vor ihrer Notifizierung erfüllen muss, während Artikel 30 das Notifizierungsverfahren selbst regelt, einschließlich der formellen Mitteilung an die Kommission, die eine Aufnahme in das Verzeichnis gemäß Artikel 35 auslöst. Artikel 31 betrifft die Konformitätsvermutung für notifizierte Stellen, die gemäß relevanten harmonisierten Normen zertifiziert sind.

Operativ verbindet sich Artikel 35 mit den Artikeln 43 und 44, die die Konformitätsbewertungsverfahren für Hochrisiko-KI-Systeme und die daraus resultierenden Zertifikate regeln — Dokumente, deren Gültigkeit untrennbar mit dem Status der ausstellenden Stelle als ordnungsgemäß in der Verordnung gemäß Artikel 35 gelisteter Stelle verbunden ist. Artikel 74 (Marktüberwachung) stützt sich ebenfalls auf genaue Verzeichnisse gemäß Artikel 35, da Behörden, die grenzübergreifende Überwachung koordinieren, ermitteln müssen, welche Stelle ein bestimmtes Zertifikat ausgestellt hat und ob diese Stelle noch zugelassen ist.

Zeitplan für die Compliance

Das EU-KI-Gesetz ist am 1. August 2024, zwanzig Tage nach der Veröffentlichung im Amtsblatt, in Kraft getreten. Die Anwendung erfolgt stufenweise:

• 2. Februar 2025 — Verbote bezüglich KI-Praktiken mit unannehmbaren Risiken (Titel II) wurden anwendbar.
• 2. August 2025 — Bestimmungen zu KI-Modellen für allgemeine Zwecke (Titel VIII) und Governance-Pflichten wurden anwendbar.
• 2. August 2026 — Der Großteil des Titels III, einschließlich des Rahmens für notifizierte Stellen gemäß Kapitel 4, wird für Hochrisiko-KI-Systeme, die in Annex III aufgeführt sind, vollständig anwendbar, mit Ausnahme der im Folgenden genannten verlängerten Frist.
• 2. August 2027 — Verlängerte Frist für Hochrisiko-KI-Systeme, die unter bestehende Harmonisierungsrechtsvorschriften der Union gemäß Annex I fallen (z. B. Maschinen, Medizinprodukte), womit diesen Sektoren zusätzliche Zeit eingeräumt wird, die Konformitätsbewertungsanforderungen des KI-Gesetzes in bestehende Zertifizierungsabläufe zu integrieren.

Artikel 35 selbst wird als Teil der Infrastruktur für notifizierte Stellen parallel zur Anwendung der Konformitätsbewertungsanforderungen des Kapitels 4 operativ relevant. Mitgliedstaaten und Kommission sollten sicherstellen, dass Notifizierungsverfahren, Kennnummernvergabe und öffentliche Datenbank vor dem August-2026-Termin vollständig betriebsbereit sind, damit Anbieter von Hochrisiko-KI-Systemen ab dem Zeitpunkt des Inkrafttretens der verbindlichen Konformitätsbewertungspflichten konforme notifizierte Stellen beauftragen können.