Artikel 40 — Harmonisierte Normen und Normungsleistungen (EU-KI-Gesetz)

Artikel 40 der Verordnung (EU) 2024/1689 — Harmonisierte Normen und Normungsleistungen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Auswirkungen auf die Compliance.

Zusammenfassung des offiziellen Textes

Artikel 40 der Verordnung (EU) 2024/1689 legt die Rolle harmonisierter Normen beim Nachweis der Konformität mit den für Hochrisiko-KI-Systeme geltenden Anforderungen des EU-KI-Gesetzes fest. Wenn Anbieter von Hochrisiko-KI-Systemen harmonisierte Normen — oder einschlägige Teile davon — anwenden, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, wird vermutet, dass diese Systeme die Anforderungen von Titel III, Kapitel 3 erfüllen, soweit diese Anforderungen durch die geltenden harmonisierten Normen abgedeckt sind.

Der Artikel ermächtigt die Europäische Kommission, den europäischen Normungsorganisationen (CEN, CENELEC und ETSI) gemäß der Verordnung (EU) Nr. 1025/2012 über die europäische Normung Normungsaufträge zu erteilen. Diese Aufträge weisen die ENOs an, harmonisierte Normen zu entwickeln, die die inhaltlichen Anforderungen des Gesetzes operationalisieren.

Artikel 40 befasst sich auch mit Situationen, in denen harmonisierte Normen noch nicht existieren oder ihre Fundstellen nicht veröffentlicht wurden. In solchen Fällen kann die Kommission gemeinsame Spezifikationen gemäß Artikel 41 annehmen, um sicherzustellen, dass Anbieter auch in Ermangelung formeller harmonisierter Normen einen definierten technischen Weg zum Nachweis der Konformität haben.

Die Bestimmung zieht eine klare Unterscheidung zwischen der freiwilligen Anwendung von Normen und der verpflichtenden Einhaltung der zugrundeliegenden rechtlichen Anforderungen. Die Anwendung einer harmonisierten Norm ist nicht obligatorisch, begründet jedoch eine widerlegbare Konformitätsvermutung, was die Beweislast für Anbieter bei den nach den Artikeln 43 und 44 durchgeführten Konformitätsbewertungsverfahren verringert.

Was dies in der Praxis bedeutet

Für Anbieter von Hochrisiko-KI-Systemen ist Artikel 40 ein zentrales Compliance-Instrument. Anstatt eine vollständig eigenständige technische Argumentation dafür zu entwickeln, wie jede rechtliche Anforderung erfüllt wird, können Anbieter ihre Systeme an veröffentlichten harmonisierten Normen ausrichten und von der Konformitätsvermutung profitieren. Dies vereinfacht den Konformitätsbewertungsprozess erheblich, insbesondere für Systeme, die einer Drittpartei-Bewertung durch benannte Stellen unterliegen.

In der Praxis würde ein Anbieter, der ein KI-basiertes Medizinprodukt entwickelt, das unter Anhang I des Gesetzes fällt, das Amtsblatt konsultieren, um festzustellen, welche harmonisierten Normen für die einschlägigen Anforderungen veröffentlicht wurden — beispielsweise Normen für Risikomanagement, Datenqualität oder Cybersicherheit. Die Implementierung dieser Normen im Rahmen des Systemdesigns und des Qualitätsmanagementprozesses ermöglicht es dem Anbieter, die Konformität mit den entsprechenden Artikeln des Gesetzes geltend zu machen, ohne dass die benannte Stelle die Konformität unabhängig von Grundprinzipien aus überprüfen muss.

Für Anbieter, die harmonisierte Normen nicht anwenden möchten — oder wo noch keine anwendbare Norm existiert — liegt die Last bei ihnen, durch technische Unterlagen und Konformitätsbewertungsnachweise zu dokumentieren, wie ein gleichwertiges Schutzniveau erreicht wird. Dies ist ein gangbarer, aber anspruchsvollerer Weg, der eine enge Zusammenarbeit mit der benannten Stelle und potenziell umfangreichere Tests und Dokumentation erfordert.

Einführer und Betreiber sollten überprüfen, dass die Anbieter, deren Systeme sie in Verkehr bringen oder in Betrieb nehmen, die einschlägigen Normen korrekt identifiziert und angewandt haben, da dies die Gültigkeit der EU-Konformitätserklärung und der CE-Kennzeichnung beeinflusst.

Die praktischen Auswirkungen von Artikel 40 werden progressiv zunehmen, wenn die Normungspipeline reift. In der frühen Phase der Anwendung des Gesetzes werden nur begrenzte harmonisierte Normen verfügbar sein, was eine größere Abhängigkeit von gemeinsamen Spezifikationen und eigenständigen technischen Bewertungen mit sich bringt.

Wesentliche Pflichten

• Anwendbare harmonisierte Normen identifizieren: Anbieter von Hochrisiko-KI-Systemen müssen das Amtsblatt der Europäischen Union auf veröffentlichte Fundstellen harmonisierter Normen überwachen, die für ihr System und die Anforderungen gemäß Titel III, Kapitel 3 relevant sind.
• Normen anwenden, um die Konformitätsvermutung auszulösen: Wenn ein Anbieter sich auf die Konformitätsvermutung stützen möchte, muss die harmonisierte Norm für die von ihr abgedeckten Anforderungen vollständig angewendet werden; eine teilweise Anwendung erstreckt die Vermutung nicht auf nicht abgedeckte Elemente.
• Anwendung von Normen in der technischen Dokumentation belegen: Die gemäß Artikel 11 und Anhang IV erforderliche technische Dokumentation muss klar angeben, welche harmonisierten Normen angewandt wurden und wie sie den entsprechenden rechtlichen Anforderungen entsprechen.
• Lücken adressieren, wo Normen nicht existieren: Wenn keine harmonisierte Norm eine spezifische Anforderung abdeckt, müssen Anbieter die Konformität durch alternative Mittel nachweisen, einschließlich gemeinsamer Spezifikationen gemäß Artikel 41 oder unabhängiger technischer Nachweise, und diesen Ansatz in ihrer Konformitätsbewertungsakte dokumentieren.
• Über aktualisierte oder zurückgezogene Normen informiert bleiben: Wenn eine harmonisierte Norm überarbeitet oder ihre Fundstelle aus dem Amtsblatt gestrichen wird, müssen Anbieter prüfen, ob ihre bestehende Compliance-Dokumentation weiterhin gültig ist, und ihre Systeme und technischen Unterlagen entsprechend aktualisieren.
• An Normungsprozessen mitwirken: Anbieter, insbesondere in Sektoren mit sich rasch entwickelnden KI-Anwendungen, sollten sich mit einschlägigen Normungsorganisationen und Branchenarbeitsgruppen engagieren, um sicherzustellen, dass neu entstehende Normen die reale technische Praxis widerspiegeln und sinnvolle Compliance-Wege unterstützen.

Verhältnis zu anderen Artikeln

Artikel 40 fungiert als Verfahrensbrücke zwischen den inhaltlichen Anforderungen von Titel III, Kapitel 3 (Artikel 9–15 und 17) und den Konformitätsbewertungsverfahren in Kapitel 5. Er sollte im Zusammenhang mit Artikel 41 gelesen werden, der gemeinsame Spezifikationen der Kommission als Alternative vorsieht, wenn harmonisierte Normen fehlen oder unzureichend sind. Artikel 43 regelt die Konformitätsbewertungsverfahren, in denen die durch Artikel 40 begründete Vermutung herangezogen wird, und Artikel 44 deckt die Rolle benannter Stellen bei Drittpartei-Bewertungen ab.

Der Artikel knüpft auch an Artikel 11 und Anhang IV zur technischen Dokumentation an, da Nachweise über die Normanwendung in der technischen Akte erscheinen müssen, sowie an Artikel 17 über Qualitätsmanagementsysteme, die Prozesse zur Identifizierung und Anwendung einschlägiger Normen umfassen müssen. Artikel 48, der die EU-Konformitätserklärung abdeckt, ist das nachgelagerte Instrument, durch das der Anbieter die nach Artikel 40 begründete Konformitätsvermutung formell geltend macht. Für Anbieter von KI-Allzweckmodellen wird die Normung separat unter Titel VIII behandelt; Artikel 40 gilt spezifisch für Hochrisiko-KI-Systeme unter Titel III.

Zeitplan für die Compliance

Artikel 40 trat am 1. August 2024 in Kraft, dem Tag, an dem das EU-KI-Gesetz im Amtsblatt der Europäischen Union veröffentlicht wurde und verbindliches Recht wurde. Seine praktische Anwendung ist jedoch an die schrittweise Einführung der Pflichten gebunden:

• August 2024: Das Gesetz tritt in Kraft; Normungsaufträge an CEN, CENELEC und ETSI beginnen oder werden beschleunigt.
• Februar 2025: Verbotene KI-Praktiken gemäß Artikel 5 werden anwendbar; Artikel 40 ist zu diesem Zeitpunkt nicht direkt betroffen.
• August 2025: Pflichten für KI-Allzweckmodelle gemäß Titel VIII werden anwendbar; Artikel 40 bleibt spezifisch für Hochrisiko-KI-Systeme und regelt keine GPAI-Normen.
• Dezember 2026: Hochrisiko-KI-Systeme, die in Anhang III aufgeführt sind (mit Ausnahme jener, die durch Produktgesetzgebung gemäß Anhang I abgedeckt sind), müssen die Anforderungen von Titel III erfüllen. Anbieter sollten bis zu diesem Datum einschlägige harmonisierte Normen identifiziert und angewandt haben; wo veröffentlichte Normen verfügbar sind, müssen darauf gestützte Konformitätsbewertungen abgeschlossen sein.
• August 2027: Hochrisiko-KI-Systeme, die in Produkte eingebettet sind, die durch sektorale Gesetzgebung gemäß Anhang I (Medizinprodukte, Maschinen, Luftfahrt usw.) geregelt werden, müssen die Anforderungen erfüllen. Eine vollständige harmonisierte Normabdeckung wird bis zu diesem Datum voraussichtlich weiter entwickelt sein, obwohl Anbieter keine vollständige Abdeckung voraussetzen sollten und für Lücken planen müssen.

Anbietern wird dringend empfohlen, die Normungsaufträge der Kommission und die Arbeitsprogramme des CEN-CENELEC JTC 21 (des gemeinsamen technischen Komitees für KI-Normung) zu verfolgen, um vorauszusehen, welche Normen wann verfügbar sein werden, damit Compliance-Zeitpläne entsprechend geplant werden können.