Artikel 39 — Konformitätsbewertungsstellen aus Drittländern (EU-KI-Verordnung)

Artikel 39 der Verordnung (EU) 2024/1689 — Konformitätsbewertungsstellen aus Drittländern. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Zusammenfassung des offiziellen Textes

Artikel 39 der Verordnung (EU) 2024/1689 (EU-KI-Verordnung) regelt die Bedingungen, unter denen in Drittländern — d. h. Ländern außerhalb der Europäischen Union — niedergelassene Konformitätsbewertungsstellen für die Zwecke der Durchführung von Konformitätsbewertungen von Hochrisiko-KI-Systemen gemäß der Verordnung anerkannt und notifiziert werden können.

Der Artikel schafft ein enges, aber wichtiges Eingangstor: Konformitätsbewertungsstellen aus Drittländern können nur notifiziert werden, wenn ein bilaterales oder multilaterales internationales Abkommen zwischen der Union und dem betreffenden Drittland eine solche Anerkennung ausdrücklich vorsieht. Ohne ein qualifizierendes internationales Abkommen kann keine Stelle aus einem Drittland als notifizierte Stelle im Rahmen der EU-KI-Verordnung tätig werden.

Sofern ein gültiges internationales Abkommen besteht, müssen Stellen aus Drittländern, die notifiziert werden möchten, dieselben Anforderungen erfüllen, die für in der EU niedergelassene Konformitätsbewertungsstellen nach Kapitel 4 des Titels III gelten. Das bedeutet, dass sie technische Kompetenz, organisatorische Unparteilichkeit und betriebliche Unabhängigkeit nachweisen müssen, die der von europäischen notifizierten Stellen geforderten gleichwertig ist. Die Notifizierung wird von der zuständigen notifizierenden Behörde eines Mitgliedstaats gemäß dem in den vorangegangenen Artikeln des Kapitels 4 festgelegten Standardnotifizierungsverfahren bearbeitet. Der Artikel stellt damit sicher, dass jede Ausdehnung des Konformitätsbewertungsrahmens über die EU-Grenzen hinaus die Integrität, Gleichwertigkeit und Durchsetzbarkeit des durch die Verordnung geschaffenen Systems wahrt.

Was dies in der Praxis bedeutet

Artikel 39 ist in erster Linie relevant für Anbieter von Hochrisiko-KI-Systemen, die in Rechtsgebieten tätig sind, die von EU-Handels- oder Abkommen über die gegenseitige Anerkennung abgedeckt werden, und für Konformitätsbewertungsstellen in Drittländern, die EU-KI-Verordnungs-Zertifizierungsdienstleistungen anbieten möchten.

Konkret bedeutet der Artikel, dass ein Prüflabor oder eine Zertifizierungsstelle mit Sitz beispielsweise im Vereinigten Königreich, in Japan oder einem anderen Land, mit dem die EU ein einschlägiges internationales Abkommen geschlossen hat, grundsätzlich als notifizierte Stelle für Zwecke der EU-KI-Verordnung benannt werden könnte — vorausgesetzt, das Abkommen deckt ausdrücklich Konformitätsbewertungen nach der KI-Verordnung ab und die Stelle erfüllt alle geltenden Anforderungen. Zum Zeitpunkt des Inkrafttretens der Verordnung waren noch keine spezifisch für die KI-Verordnung geltenden Abkommen über die gegenseitige Anerkennung in Kraft, was bedeutet, dass die Bestimmung prospektiv wirkt: Sie schafft die Rechtsgrundlage für eine künftige Anerkennung, ohne selbst eine bestimmte Stelle aus einem Drittland zu aktivieren.

Für Anbieter von Hochrisiko-KI-Systemen hat dies eine konkrete Auswirkung: Bis qualifizierende internationale Abkommen geschlossen und Stellen förmlich notifiziert sind, können sie sich nicht auf Bewertungen einer Stelle aus einem Drittland stützen, um ihre Konformitätsbewertungspflichten nach den Artikeln 43 und 44 zu erfüllen. Kein Zertifikat und kein Prüfbericht, der von einer Stelle ausgestellt wurde, die nicht ordnungsgemäß über den Weg des Artikels 39 notifiziert wurde, erfüllt die Anforderungen der EU-KI-Verordnung, ungeachtet der technischen Qualität der Bewertung.

Compliance-Teams sollten daher die Entwicklungen bei EU-Handelsabkommen und die NANDO-Datenbank (New Approach Notified and Designated Organisations) auf etwaige künftige Notifizierungen von Stellen aus Drittländern im Rahmen dieser Bestimmung hin überwachen.

Wesentliche Pflichten

• Konformitätsbewertungsstellen aus Drittländern können nur notifiziert werden, wenn ein internationales Abkommen zwischen der Europäischen Union und dem betreffenden Drittland eine solche Notifizierung ausdrücklich vorsieht — kein Abkommen, keine Anerkennung.
• Stellen, die eine Notifizierung nach Artikel 39 anstreben, müssen den vollständigen Satz der für in der EU niedergelassene Konformitätsbewertungsstellen nach Kapitel 4 des Titels III geltenden Anforderungen erfüllen, einschließlich der Kriterien für technische Kompetenz, Unparteilichkeit und Unabhängigkeit.
• Die Notifizierung von Stellen aus Drittländern muss dem im Rahmen der Verordnung geltenden Standardnotifizierungsverfahren folgen, das über eine notifizierende Behörde eines Mitgliedstaats abgewickelt wird.
• Anbieter von Hochrisiko-KI-Systemen müssen sicherstellen, dass jede Konformitätsbewertungsstelle, mit der sie zusammenarbeiten, ordnungsgemäß notifiziert ist — ob EU-ansässig oder aus einem Drittland — bevor sie sich auf die Bewertung dieser Stelle zum Nachweis der Konformität stützen.
• Die Mitgliedstaaten und die Kommission müssen sicherstellen, dass jedes internationale Abkommen, das der Notifizierung von Stellen aus Drittländern zugrunde liegt, die Gleichwertigkeit und Durchsetzbarkeit des Rahmens für die Konformitätsbewertung gemäß der EU-KI-Verordnung aufrechterhält.

Verhältnis zu anderen Artikeln

Artikel 39 ist in Titel III, Kapitel 4 (Notifizierende Behörden und notifizierte Stellen) angesiedelt und muss im Zusammenhang mit den umgebenden Artikeln dieses Kapitels gelesen werden. Die Artikel 33 und 34 legen die allgemeinen Anforderungen und Pflichten fest, die für notifizierte Stellen gelten; Artikel 35 regelt das Notifizierungsverfahren selbst; und die Artikel 36 und 37 befassen sich mit Änderungen von Notifizierungen und der Anfechtung der Kompetenz notifizierter Stellen. Da Artikel 39 dieselben Anforderungen vollumfänglich auf Stellen aus Drittländern anwendet, kann er nicht isoliert von ihnen ausgelegt werden.

Über Kapitel 4 hinaus knüpft Artikel 39 an Artikel 43 an, der die für Hochrisiko-KI-Systeme geltenden Konformitätsbewertungsverfahren spezifiziert, sowie an Artikel 44, der die von notifizierten Stellen ausgestellten Zertifikate regelt. Jede nach Artikel 39 notifizierte Stelle aus einem Drittland muss Zertifikate ausstellen, die Artikel 44 in vollem Umfang entsprechen. Der Artikel berührt auch den breiteren Rahmen des internationalen Handelsrechts der EU und die Abkommensschließungskompetenz der Union im Rahmen des Vertrags über die Arbeitsweise der Europäischen Union.

Zeitplan für die Compliance

Die EU-KI-Verordnung trat am 1. August 2024 in Kraft, zwanzig Tage nach ihrer Veröffentlichung im Amtsblatt. Die Verordnung gilt in gestaffelten Phasen:

• 2. Februar 2025 — Verbote von KI-Praktiken mit unannehmbarem Risiko (Titel II) wurden anwendbar.
• 2. August 2025 — Bestimmungen über KI-Modelle für allgemeine Zwecke (Titel VIII) und Governance-Strukturen wurden anwendbar.
• 2. August 2026 — Der Großteil der Pflichten für Hochrisiko-KI-Systeme, die in Anhang III aufgeführt sind, einschließlich der Konformitätsbewertungsanforderungen nach Titel III, wird anwendbar. Dies ist das primäre Anwendbarkeitsdatum für Artikel 39 in der Praxis, da er den Rahmen der notifizierten Stellen regelt, der diesen Bewertungen zugrunde liegt.
• 2. August 2027 — Verlängerte Frist für Hochrisiko-KI-Systeme, die von Anhang I erfasst werden (Sicherheitskomponentensysteme, die unter bestehenden Harmonisierungsrechtsvorschriften der Union reguliert sind), um die Anforderungen zu erfüllen.

Artikel 39 ist seit August 2024 rechtlich in Kraft, seine operative Relevanz konkretisiert sich jedoch ab August 2026, wenn Anbieter von Hochrisiko-KI-Systemen Konformitätsbewertungen durch ordnungsgemäß notifizierte Stellen abgeschlossen haben müssen. Organisationen sollten damit beginnen, geeignete notifizierte Stellen zu identifizieren — und etwaige qualifizierende internationale Abkommen zu überwachen, die Stellen aus Drittländern nach Artikel 39 aktivieren könnten — rechtzeitig vor diesem Datum.