Artikel 42 — Konformitätsvermutung hinsichtlich bestimmter Anforderungen (EU-KI-Verordnung)

Artikel 42 der Verordnung (EU) 2024/1689 — Konformitätsvermutung hinsichtlich bestimmter Anforderungen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Konsequenzen.

Zusammenfassung des offiziellen Textes

Artikel 42 der Verordnung (EU) 2024/1689 (das EU-KI-Gesetz) etabliert einen Mechanismus, der als Konformitätsvermutung bekannt ist. Im Rahmen dieses Mechanismus gilt ein Hochrisiko-KI-System, das gemäß harmonisierten Normen — oder Teilen davon — entwickelt und getestet wurde, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, als konform mit den in Kapitel 2 des Titels III der Verordnung festgelegten Anforderungen, soweit diese harmonisierten Normen diese Anforderungen abdecken.

Dieselbe Vermutung gilt, wenn ein Anbieter die Konformität mit gemeinsamen Spezifikationen nachweist, die von der Europäischen Kommission gemäß Artikel 41 der Verordnung angenommen wurden, wiederum soweit diese gemeinsamen Spezifikationen die anwendbaren Anforderungen abdecken.

Die Vermutung ist bedingt und verhältnismäßig: Sie gilt nur hinsichtlich der Anforderungen, die die harmonisierte Norm oder gemeinsame Spezifikation tatsächlich abdeckt. Wenn eine Norm oder Spezifikation nur einen Teil einer Anforderung abdeckt, gilt die Konformitätsvermutung ausschließlich für diesen Teil. Anbieter bleiben verantwortlich dafür, die Konformität mit Anforderungen, die nicht von der Norm oder Spezifikation abgedeckt werden, durch andere geeignete Mittel nachzuweisen.

Dieser Artikel spiegelt den breiteren europäischen Ansatz zur Produktregulierung wider und orientiert sich an ähnlichen Vermutungsmechanismen in bestehenden Harmonisierungsrechtsvorschriften der Union (beispielsweise der Maschinenrichtlinie und der Funkanlagenrichtlinie) und integriert das KI-Gesetz in den etablierten Neuen Rechtsrahmen.

Was dies in der Praxis bedeutet

Für Anbieter von Hochrisiko-KI-Systemen schafft Artikel 42 einen praktischen Compliance-Weg, der sowohl die Kosten als auch die Komplexität des Konformitatsnachweises reduziert. Anstatt von Grund auf maßgeschneiderte technische Argumente für jede anwendbare Anforderung zu konstruieren, kann ein Anbieter seine Entwicklungs- und Testprozesse an veröffentlichten harmonisierten Normen ausrichten und sich auf die daraus resultierende Vermutung stützen, um Marktüberwachungsbehörden und notifizierte Stellen zu befriedigen.

Konkret würde ein Unternehmen, das ein KI-gestütztes Medizinprodukt entwickelt, das gemäß Anhang III als hochriskant eingestuft ist, die harmonisierten Normen prüfen, die von der Europäischen Kommission nach Normungsmandaten an Stellen wie CEN-CENELEC veröffentlicht wurden. Wenn diese Normen im Amtsblatt veröffentlicht wurden, dokumentiert das Unternehmen seine Konformität mit ihnen — beispielsweise in Bezug auf Anforderungen an Data Governance, Transparenz oder Robustheit — und erfasst dies in seiner technischen Dokumentation, wie von Artikel 11 und Anhang IV gefordert.

Wenn harmonisierte Normen noch nicht verfügbar sind — was angesichts der Neuartigkeit des Gesetzes eine reale Einschränkung bleibt — können Anbieter stattdessen die von der Kommission gemäß Artikel 41 angenommenen gemeinsamen Spezifikationen als gleichwertigen Weg zur Vermutung nutzen.

Wichtig ist, dass die Vermutung die Verpflichtung zur Durchführung einer Konformitätsbewertung gemäß Artikel 43 nicht aufhebt. Sie vereinfacht die Beweisgrundlage für diese Bewertung. Interne Compliance-Teams, Rechtsberater und notifizierte Stellen sollten Artikel 42 als strukturierte Abkürzung innerhalb der breiteren Konformitätsbewertungsarchitektur betrachten, nicht als Befreiung davon. Anbieter sollten die Überwachung neu veröffentlichter harmonisierter Normen aktuell halten, da sich die Konformitätswege während des stufenweisen Einführungszeitraums erheblich weiterentwickeln werden.

Wesentliche Pflichten

• Veröffentlichte harmonisierte Normen überwachen: Anbieter müssen das Amtsblatt der Europäischen Union aktiv auf Fundstellen harmonisierter Normen überwachen, die die Anforderungen von Kapitel 2, Titel III abdecken, und ihre technische Dokumentation entsprechend aktualisieren, wenn neue oder überarbeitete Normen veröffentlicht werden.
• Entwicklung und Test an anwendbaren Normen ausrichten: Um die Vermutung geltend zu machen, muss das KI-System gemäß der einschlägigen harmonisierten Norm oder gemeinsamen Spezifikation entwickelt und getestet worden sein. Eine teilweise Ausrichtung löst nur eine teilweise Vermutung aus.
• Konformität mit Normen in der technischen Dokumentation dokumentieren: Nachweise der Konformität mit der harmonisierten Norm oder gemeinsamen Spezifikation müssen in der gemäß Artikel 11 und Anhang IV erforderlichen technischen Dokumentation mit ausreichender Detaillierung aufgezeichnet werden, um eine Rekonstruktion und Überprüfung zu ermöglichen.
• Lücken identifizieren und adressieren, die nicht durch Normen abgedeckt sind: Wenn eine harmonisierte Norm oder gemeinsame Spezifikation eine Anforderung des Kapitels 2 nicht vollständig abdeckt, müssen Anbieter die Konformität mit dem nicht abgedeckten Teil durch alternative technische oder prozedurale Mittel nachweisen, die dokumentiert und gegenüber Marktüberwachungsbehörden vertretbar sind.
• Auf Widerlegung vorbereitet sein: Die Vermutung ist nicht absolut. Anbieter müssen ausreichende zugrunde liegende Nachweise aufbewahren — Testergebnisse, Data-Governance-Unterlagen, Protokolle zur menschlichen Aufsicht — um die Konformität zu belegen, wenn die Vermutung von einer notifizierten Stelle oder nationalen Behörde angefochten wird.
• Gemeinsame Spezifikationen gemäß Artikel 41 als Fallback in Betracht ziehen: Wenn keine harmonisierte Norm veröffentlicht oder mandatiert wurde, sollten Anbieter beurteilen, ob von der Europäischen Kommission gemäß Artikel 41 herausgegebene gemeinsame Spezifikationen verfügbar sind und diese anwenden, um eine gleichwertige Rechtsstellung gemäß Artikel 42 zu sichern."

Beziehung zu anderen Artikeln

Artikel 42 steht an der Schnittstelle zwischen der Normierungs- und Konformitätsbewertungsarchitektur des Gesetzes und kann nicht isoliert gelesen werden.

Er hängt direkt von Artikel 41 (gemeinsame Spezifikationen) ab, der den Ausweichweg zur Vermutung dort bietet, wo harmonisierte Normen fehlen oder unvollständig sind. Die durch Artikel 42 aktivierte Vermutung fließt direkt in Artikel 43 (Konformitätsbewertungsverfahren) ein, der den verfahrenstechnischen Weg — interne Kontrolle oder Einbeziehung Dritter — bestimmt, dem ein Anbieter folgen muss.

Die Anforderungen, für die die Konformität vermutet wird, sind in den Artikeln 9 bis 15 (Kapitel 2, Titel III) festgelegt und umfassen Risikomanagement, Data Governance, technische Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Artikel 11 und Anhang IV regeln die technische Dokumentation, in der die Normkonformität erfasst werden muss.

Artikel 40 (harmonisierte Normen) ist das vorgelagerte Gegenstück: Er beschreibt, wie Normungsmantate ausgestellt werden und wie harmonisierte Normen ihren Status gemäß der Verordnung erlangen. Artikel 42 ist daher die nachgelagerte Rechtswirkung von Artikel 40.

Zeitplan für die Compliance

Das EU-KI-Gesetz trat am 1. August 2024 in Kraft (zwanzig Tage nach der Veröffentlichung im Amtsblatt am 12. Juli 2024). Die Anwendung seiner Bestimmungen ist gestaffelt:

• 2. Februar 2025 — Verbote inakzeptabler KI-Risikopraktiken (Artikel 5) wurden anwendbar.
• 2. August 2025 — Regeln für KI-Modelle für allgemeine Zwecke (Titel VIII) und Governance-Pflichten wurden anwendbar.
• 2. August 2026 — Pflichten für Hochrisiko-KI-Systeme, die in Anhang III aufgeführt sind und keine Sicherheitskomponenten von Produkten sind, die bereits unter die Harmonisierungsrechtsvorschriften der Union fallen, werden anwendbar. Artikel 42 ist ab diesem Datum für die Mehrheit der Anbieter von Hochrisikoystemen unmittelbar relevant.
• 2. August 2027 — Hochrisiko-KI-Systeme, die Sicherheitskomponenten von Produkten sind, die unter bestehende Harmonisierungsrechtsvorschriften der Union fallen (die „sektorale" Kategorie gemäß Anhang II), müssen die Anforderungen erfüllen.

Für Artikel 42 insbesondere wird der praktische Zeitplan auch durch die Normierungsmandate der Europäischen Kommission an CEN-CENELEC und ETSI bestimmt. Harmonisierte Normen unter dem KI-Gesetz sind Mitte 2026 noch nicht vollständig veröffentlicht; Anbieter sollten das Amtsblatt und das Normierungsarbeitsprogramm der Kommission sorgfältig verfolgen. Bis harmonisierte Normen für eine bestimmte Anforderung verfügbar sind, ist die Stützung auf gemeinsame Spezifikationen gemäß Artikel 41 der primäre alternative Weg.