Artikel 36 — Änderungen von Notifizierungen (EU-KI-Verordnung)

Artikel 36 der Verordnung (EU) 2024/1689 — Änderungen von Notifizierungen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Auswirkungen.

Zusammenfassung des offiziellen Textes

Artikel 36 der Verordnung (EU) 2024/1689 (EU-KI-Verordnung) legt die Pflichten fest, die gelten, wenn sich die Situation einer notifizierten Stelle nach der Erteilung der anfänglichen Notifizierung ändert. Er ist in Titel III, Kapitel 4 eingebettet, das den Rahmen für notifizierende Behörden und notifizierte Stellen regelt, die an der Konformitätsbewertung von KI-Hochrisikosystemen beteiligt sind.

Der Artikel verpflichtet notifizierte Stellen, ihre jeweilige notifizierende Behörde unverzüglich über jede Änderung zu informieren, die für ihren notifizierten Status relevant ist. Solche Änderungen umfassen Änderungen der Rechtsform oder der Eigentumsverhältnisse, Änderungen der Organisationsstruktur oder des für Konformitätsbewertungstätigkeiten verantwortlichen Schlüsselpersonals, Änderungen des technischen Geltungsbereichs, für den die Stelle notifiziert wurde, sowie alle Umstände, die die Fähigkeit der Stelle beeinträchtigen könnten, die in Artikel 33 festgelegten Anforderungen weiterhin zu erfüllen.

Nach Erhalt der Mitteilung über solche Änderungen muss die notifizierende Behörde prüfen, ob die notifizierte Stelle die anwendbaren Anforderungen weiterhin erfüllt. Ergibt die Prüfung eine Nichtkonformität, ist die notifizierende Behörde befugt, die Notifizierung entsprechend der Schwere des festgestellten Mangels einzuschränken, auszusetzen oder zurückzuziehen. Die notifizierende Behörde muss auch die Kommission und die anderen Mitgliedstaaten über die etablierten Notifizierungskanäle auf dem Laufenden halten und so sicherstellen, dass aktuelle Informationen unionsweit zugänglich sind. Dieser kontinuierliche Überwachungsmechanismus soll gewährleisten, dass nur fähige und konforme Stellen während ihrer gesamten Benennungsdauer Konformitätsbewertungsaufgaben wahrnehmen.

Was dies in der Praxis bedeutet

Artikel 36 schafft eine lebendige, fortlaufende Compliance-Pflicht für notifizierte Stellen — die Meldepflicht endet nicht in dem Moment, in dem eine Stelle ihre Benennung erhält. Jede Organisation mit dem Status einer notifizierten Stelle gemäß der EU-KI-Verordnung muss interne Prozesse aufrechterhalten, die wesentliche Änderungen ihrer Umstände erkennen und eskalieren können, und muss unverzüglich auf der Grundlage dieser Prozesse handeln.

In der Praxis sollte eine notifizierte Stelle interne Auslöser einrichten, die meldepflichtige Änderungen automatisch kennzeichnen: zum Beispiel eine Fusion oder Übernahme, die die Eigentumsverhältnisse berührt, das Ausscheiden eines leitenden Gutachters mit wichtigen technischen Qualifikationen, die Aufnahme oder Entfernung von KI-Systemkategorien aus dem operativen Bereich der Stelle oder das Entstehen eines Interessenkonflikts mit einem Konformitätsbewertungskunden.

Compliance-Teams bei notifizierten Stellen sollten diese Auslöserereignisse kartieren und klare interne Verantwortlichkeiten für die Meldung an die notifizierende Behörde zuweisen. Die Meldung sollte rechtzeitig — nicht rückwirkend — erfolgen, was bedeutet, dass Stellen nicht bis zum jährlichen Überprüfungszyklus warten können, um eine Änderung offenzulegen, die Monate zuvor eingetreten ist.

Für notifizierende Behörden — in der Regel nationale Marktüberwachungs- oder Akkreditierungsstellen — verlangt Artikel 36, dass sie über einen strukturierten Einnahmeprozess für Änderungsmeldungen und ein dokumentiertes Bewertungsverfahren zur Beurteilung der fortlaufenden Konformität verfügen. Versäumt eine notifizierte Stelle, eine wesentliche Änderung selbst zu melden, behält die notifizierende Behörde das Recht, auf der Grundlage von Informationen aus anderen Quellen, einschließlich der Kommission oder gleichgestellter Mitgliedstaaten, zu ermitteln und zu handeln.

Anbieter von KI-Hochrisikosystemen, die für ihre Konformitätsbewertung auf eine bestimmte notifizierte Stelle angewiesen sind, sollten die NANDO-Datenbank auf etwaige Einschränkungen oder Aussetzungen überwachen, die ihre gewählte Stelle betreffen, da solche Änderungen ihren Zertifizierungsweg unterbrechen oder ungültig machen könnten.

Wesentliche Pflichten

• Notifizierte Stellen müssen ihre notifizierende Behörde unverzüglich über jede Änderung der Umstände informieren, die ihre Erfüllung der Anforderungen des Artikels 33 beeinträchtigen könnte, einschließlich Änderungen des Rechtsstatus, der Eigentumsverhältnisse, der Organisationsstruktur, des technischen Geltungsbereichs oder des Schlüsselpersonals.
• Notifizierende Behörden müssen die notifizierte Stelle nach Eingang einer Änderungsmeldung neu bewerten und feststellen, ob die Stelle alle anwendbaren Anforderungen weiterhin erfüllt.
• Notifizierende Behörden müssen die Notifizierung einschränken, aussetzen oder zurückziehen, wenn die Neubewertung ergibt, dass die Stelle die Bedingungen, unter denen sie benannt wurde, nicht mehr erfüllt, wobei verhältnismäßige Maßnahmen entsprechend der Schwere der Nichtkonformität anzuwenden sind.
• Notifizierende Behörden müssen der Europäischen Kommission und den anderen Mitgliedstaaten etwaige Änderungen der Notifizierung einer Stelle — einschließlich Einschränkungen, Aussetzungen und Rücknahmen — ohne unangemessene Verzögerung mitteilen.
• Die Notifizierungsdatenbank der Kommission (NANDO) muss aktuell gehalten werden, um den tatsächlichen und gültigen Umfang der Benennung jeder notifizierten Stelle widerzuspiegeln und so Transparenz und Rechtssicherheit im gesamten Binnenmarkt zu gewährleisten.
• Notifizierte Stellen müssen interne Governance-Regelungen aufrechterhalten, die ausreichen, um meldepflichtige Änderungen kontinuierlich zu erkennen und zu eskalieren, anstatt die Notifizierung als einmaliges Ereignis zu behandeln.

Bezug zu anderen Artikeln

Artikel 36 kann nicht isoliert gelesen werden; er bildet Teil eines kohärenten Rahmens, der in Kapitel 4 des Titels III aufgestellt wird. Die grundlegenden Anforderungen, die eine notifizierte Stelle weiterhin erfüllen muss, sind in Artikel 33 (Anforderungen an notifizierte Stellen) festgelegt, der den Maßstab definiert, an dem jede Änderung gemessen wird. Das anfängliche Notifizierungsverfahren — dessen Change-Management-Pendant Artikel 36 darstellt — ist durch Artikel 34 (Notifizierungsverfahren) und Artikel 35 (Kennnummern und Listen der notifizierten Stellen) geregelt.

Artikel 36 steht auch in Verbindung mit Artikel 37 (Anfechtung der Kompetenz notifizierter Stellen), der den Mechanismus bereitstellt, durch den die Kommission oder Mitgliedstaaten Bedenken hinsichtlich der Kompetenz oder Konformität einer Stelle äußern können — ein Verfahren, das genau dann ausgelöst werden kann, wenn eine gemäß Artikel 36 offengelegte Änderung Zweifel aufwirft. Darüber hinaus unterstützt er die Marktüberwachungs- und Durchsetzungsarchitektur der Artikel 74 bis 83, da eine notifizierte Stelle, die außerhalb ihres gültigen Notifizierungsbereichs tätig ist, die Integrität der von ihr ausgestellten Konformitätsbewertungen untergraben könnte.

Zeitplan für die Einhaltung

Die EU-KI-Verordnung ist am 1. August 2024 in Kraft getreten, zwanzig Tage nach der Veröffentlichung im Amtsblatt der Europäischen Union. Artikel 36 fällt als Teil des institutionellen und Governance-Rahmens für die Konformitätsbewertung unter die Bestimmungen, die ab dem 2. August 2026 gelten — dem allgemeinen Geltungsdatum für den Großteil der Pflichten der Verordnung, einschließlich jener zur Regulierung von KI-Hochrisikosystemen in Anhang III.

Die Pflichten notifizierter Stellen und notifizierender Behörden gemäß Kapitel 4 sind daher ab diesem Datum aktiv, was bedeutet, dass jede Stelle, die ab August 2026 als notifizierte Stelle gemäß der EU-KI-Verordnung benannt wird, sofort den Änderungsmeldepflichten des Artikels 36 unterliegt. Stellen, die gemäß früherer sektorspezifischer Rechtsvorschriften notifiziert wurden und auf eine Benennung gemäß der EU-KI-Verordnung übergehen, sollten die Einhaltung von Artikel 36 weit im Voraus der Frist im August 2026 in ihre Übergangsplanung integrieren.

Für KI-Hochrisikosysteme, die unter Anhang I (Produktsicherheitsrecht) fallen, ist die einschlägige Konformitätsbewertungsinfrastruktur — einschließlich der Pflichten nach Artikel 36 — auf das gestaffelte Geltungsdatum im August 2027 ausgerichtet, das für diese Produktkategorien gilt. Anbieter, die für die Zertifizierung von Anhang-I-Systemen auf notifizierte Stellen angewiesen sind, sollten die fortlaufende Gültigkeit der Benennung ihrer notifizierten Stelle mit Annäherung an diese Frist überprüfen.