Artikel 43 der Verordnung (EU) 2024/1689 — Konformitätsbewertung. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 43 der Verordnung (EU) 2024/1689 legt die Konformitätsbewertungsverfahren fest, denen Anbieter von Hochrisiko-KI-Systemen folgen müssen, bevor ein System auf dem Markt bereitgestellt oder in der Europäischen Union in Betrieb genommen wird.
Für Hochrisiko-KI-Systeme, die unter die in Annex I aufgeführte Unionsharmonisierungsgesetzgebung fallen — wie Produkte, die der Maschinenrichtlinie, der Medizinprodukteverordnung oder den Sicherheitsvorschriften der Zivilluftfahrt unterliegen — gilt das nach dieser sektoralen Gesetzgebung anwendbare Konformitätsbewertungsverfahren, ergänzt durch die Anforderungen des Kapitels 2 des Titels III des KI-Gesetzes. Wenn die sektorale Gesetzgebung keine Beteiligung Dritter vorschreibt, muss der Anbieter das in Annex VI des KI-Gesetzes festgelegte interne Kontrollverfahren befolgen.
Für Hochrisiko-KI-Systeme, die in Annex III aufgeführt sind, sieht Artikel 43 zwei Wege vor. Standardmäßig befolgen Anbieter das interne Kontrollverfahren gemäß Annex VI. Wenn das System jedoch eine Echtzeit- oder nachträgliche ferngestützte biometrische Identifizierung natürlicher Personen beinhaltet (mit Ausnahme derjenigen, die durch Artikel 6(3) ausgeschlossen sind), oder wenn keine harmonisierte Norm existiert, die alle relevanten Anforderungen abdeckt, und keine gemeinsame Spezifikation angenommen wurde, muss die Bewertung von einer benannten Stelle gemäß Annex VII durchgeführt werden.
Jedes Hochrisiko-KI-System, das nach Erhalt einer EU-Konformitätserklärung oder eines Zertifikats einer wesentlichen Änderung unterzogen wird, muss einer neuen Konformitätsbewertung unterzogen werden. Der Artikel bestätigt außerdem, dass benannte Stellen der Kommission und den Behörden der Mitgliedstaaten vor Durchführung der Bewertungen notifiziert werden müssen und dass ausgestellte Zertifikate gültig bleiben, sofern sie nicht widerrufen werden.
Bedeutung in der Praxis
Für die meisten Anbieter von Hochrisiko-KI-Systemen, die in Annex III aufgeführt sind — also in Bereichen wie Personalauswahl, Bildung, Kreditscoring, Verwaltung kritischer Infrastrukturen und Rechtspflege —, bedeutet Artikel 43, dass die interne Selbstbewertung der standardmäßige Konformitätsweg ist. Das Qualitätsmanagementsystem des Anbieters, die technische Dokumentation und die Konformitätsnachweise müssen in Ordnung sein, bevor die Konformitätserklärung unterzeichnet und die CE-Kennzeichnung angebracht wird. Ein externer Prüfer ist nicht erforderlich, es sei denn, das System fällt in eine der Kategorien, die die Beteiligung einer benannten Stelle vorschreiben.
Für Anbieter, deren Systeme unter die sektorale Gesetzgebung gemäß Annex I fallen — beispielsweise ein KI-System, das in ein Medizinprodukt der Klasse IIb oder in sicherheitskritische Luftfahrtausrüstung eingebettet ist — wird die KI-Gesetz-Konformitätsbewertung auf das bereits geltende sektorale Verfahren aufgesattelt. Praktisch bedeutet dies, die bereits nach der Medizinprodukteverordnung benannte Stelle oder die zuständige Luftfahrtbehörde einzubeziehen und sicherzustellen, dass diese Stelle auch für die Bewertung KI-spezifischer Anforderungen zuständig ist.
Der operativ bedeutsamste Auslöser in Artikel 43 ist die Pflicht, die Konformitätsbewertung nach einer wesentlichen Änderung zu wiederholen. Entwicklungsteams und Produktverantwortliche müssen daher ein formelles Änderungsmanagement-Gateway in ihren KI-Entwicklungslebenszyklus integrieren: Jede Aktualisierung, die den beabsichtigten Verwendungszweck, die Leistungsmerkmale oder das Risikoprofil des Systems verändert, muss vor der Bereitstellung anhand der Definition der wesentlichen Änderung bewertet werden.
Einführer und Händler sind selbst nicht für die Durchführung der Konformitätsbewertung verantwortlich, müssen jedoch prüfen, ob der Anbieter das Verfahren abgeschlossen hat und ob die Dokumentation verfügbar ist. Betreiber in regulierten Sektoren sollten im Rahmen ihrer Lieferanten-Sorgfaltspflicht eine Bestätigung des anwendbaren Bewertungswegs anfordern.
Wesentliche Pflichten
- Den korrekten Bewertungsweg wählen: Anbieter müssen feststellen, ob ihr Hochrisiko-KI-System unter die sektorale Gesetzgebung gemäß Annex I oder unter Annex III fällt, und das entsprechende Verfahren anwenden (interne Kontrolle gemäß Annex VI oder Bewertung durch eine benannte Stelle gemäß Annex VII, soweit vorgeschrieben).
- Bewertung vor der Marktbereitstellung durchführen: Die Konformitätsbewertung muss abgeschlossen und die EU-Konformitätserklärung unterzeichnet sein, bevor das System auf dem Unionsmarkt bereitgestellt oder in Betrieb genommen wird — nicht nachträglich.
- Benannte Stelle einbeziehen, wo erforderlich: Systeme, die eine Echtzeit-Fernbiometrie zur Identifizierung für Strafverfolgungszwecke beinhalten, oder bei denen keine anwendbare harmonisierte Norm existiert und keine gemeinsame Spezifikation alle Anforderungen abdeckt, erfordern eine Drittbewertung durch eine akkreditierte benannte Stelle.
- KI-Bewertung mit sektoralen Verfahren integrieren: Bei Annex-I-Produkten muss die KI-spezifische Konformitätsbewertung mit der bestehenden sektoralen Konformitätsbewertung abgestimmt und nach Möglichkeit in diese integriert werden, wobei dieselbe benannte Stelle zu verwenden ist, sofern sie zuständig ist.
- Neubewertung nach wesentlicher Änderung: Jede wesentliche Änderung an einem Hochrisiko-KI-System, das die Konformitätsbewertung bereits bestanden hat, löst eine obligatorische neue Bewertung aus, bevor das geänderte System eingesetzt oder vermarktet werden darf.
- Dokumentation für die Nachmarktüberwachung aufbewahren: Anbieter müssen die technische Dokumentation, Qualitätsmanagementsystem-Aufzeichnungen und die Konformitätserklärung zehn Jahre nach der Marktbereitstellung des Systems aufbewahren und den zuständigen nationalen Behörden auf Anfrage zugänglich machen.
Bezug zu anderen Artikeln
Artikel 43 kann nicht isoliert gelesen werden. Er ist der verfahrensrechtliche Ausdruck der materiellen Anforderungen der Artikel 8 bis 15 (Kapitel 2 des Titels III), die die technischen und Governance-Standards festlegen, die Hochrisiko-KI-Systeme erfüllen müssen — einschließlich Risikomanagement, Daten-Governance, Transparenz, menschliche Aufsicht, Genauigkeit und Cybersicherheits-Robustheit. Die Definition, was ein Hochrisiko-KI-System ausmacht — und damit Artikel 43 auslöst — ergibt sich aus Artikel 6 in Verbindung mit Annex I und Annex III.
Das in Artikel 43 genannte interne Kontrollverfahren ist in Annex VI beschrieben, während das Verfahren für benannte Stellen in Annex VII dargelegt ist. Artikel 44 regelt die von benannten Stellen nach einer Bewertung gemäß Annex VII ausgestellten Zertifikate, einschließlich der Bedingungen für Aussetzung und Widerruf. Artikel 45 behandelt die Pflichten benannter Stellen während der Bewertung. Artikel 47 regelt die EU-Konformitätserklärung, die Anbieter nach Abschluss des Verfahrens ausstellen müssen. Artikel 48 knüpft den Abschluss der Konformitätsbewertung an das Recht zur Anbringung der CE-Kennzeichnung gemäß Artikel 49.
Für Anbieter, deren Systeme auch als KI-Modelle mit allgemeinem Verwendungszweck und systemischem Risiko qualifizieren, muss die Wechselwirkung mit den Pflichten aus Titel VIII neben Artikel 43 berücksichtigt werden.
Zeitplan für die Einhaltung
Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft, zwanzig Tage nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union am 12. Juli 2024.
Artikel 43 gilt nicht sofort für alle Hochrisiko-KI-Systeme. Der durch Artikel 113 festgelegte gestufte Anwendungsplan sieht vor:
- 2. Februar 2025 — Verbote für KI-Praktiken mit unannehmbarem Risiko (Titel II) wurden anwendbar. Artikel 43 war noch nicht in Kraft.
- 2. August 2025 — Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII) wurden anwendbar. Die Konformitätsbewertungspflichten gemäß Artikel 43 waren für die meisten Hochrisikosysteme noch nicht in Kraft.
- 2. August 2026 — Artikel 43 wird vollständig anwendbar für Anbieter von Hochrisiko-KI-Systemen, die in Annex III aufgeführt sind (eigenständige Hochrisiko-KI-Systeme in Bereichen wie Biometrie, Beschäftigung, Bildung und kritische Infrastrukturen).
- 2. August 2027 — Die Frist, bis zu der die Pflichten, einschließlich der Konformitätsbewertung, für Hochrisiko-KI-Systeme gelten, die in Annex I-Produkten eingebettet sind, die bereits der Unionsharmonisierungsgesetzgebung unterliegen und vor August 2026 auf dem Markt bereitgestellt wurden.
Anbieter sollten die Frist August 2026 als maßgebliches Compliance-Datum für die interne Planung betrachten und sicherstellen, dass Qualitätsmanagementsysteme, technische Dokumentation und Bewertungsverfahren rechtzeitig im Voraus betriebsbereit sind.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Eine Konformitätsbewertung ist das Verfahren, mit dem ein Anbieter eines Hochrisiko-KI-Systems nachweist, dass das System die in Kapitel 2 des Titels III des EU-KI-Gesetzes festgelegten Anforderungen erfüllt. Je nach Art des Hochrisiko-KI-Systems kann dieses Verfahren intern vom Anbieter (interne Kontrollverfahren) durchgeführt werden oder muss eine dritte benannte Stelle einbeziehen.
Hochrisiko-KI-Systeme, die in Annex I aufgeführt sind — der KI-Komponenten in Produkten abdeckt, die bereits der Unionsharmonisierungsgesetzgebung unterliegen (wie Maschinen, Medizinprodukte oder Ausrüstungen der Zivilluftfahrt) — erfordern im Allgemeinen eine Konformitätsbewertung durch Dritte, sofern die anwendbare sektorale Gesetzgebung dies vorschreibt. KI-Systeme, die in Annex III aufgeführt sind, einschließlich biometrischer Identifizierungssysteme zum Einsatz durch Strafverfolgungsbehörden, erfordern ebenfalls eine Beteiligung Dritter gemäß Artikel 43(1).
Ja. Wenn ein Hochrisiko-KI-System eine Sicherheitskomponente eines Produkts ist, das bereits unter die in Annex I aufgeführte Unionsharmonisierungsgesetzgebung fällt, kann die Konformitätsbewertung für das KI-System in das bestehende, nach dieser sektoralen Gesetzgebung erforderliche Konformitätsbewertungsverfahren integriert werden, sofern die beteiligte benannte Stelle für beides zuständig ist.
Wenn ein Hochrisiko-KI-System, das bereits ein Zertifikat oder eine Konformitätserklärung erhalten hat, einer wesentlichen Änderung — wie in Artikel 6 definiert — unterzogen wird, muss der Anbieter eine neue Konformitätsbewertung durchführen. Dadurch wird sichergestellt, dass Änderungen, die die Sicherheit, die Leistung oder den Verwendungszweck betreffen, bewertet werden, bevor das geänderte System auf dem Markt bereitgestellt oder in Betrieb genommen wird.
Artikel 43 wird für Anbieter von Hochrisiko-KI-Systemen, die in Annex III aufgeführt sind, am 2. August 2026 anwendbar, und für Anbieter von Hochrisiko-KI-Systemen, die unter die sektorale Gesetzgebung gemäß Annex I fallen, spätestens am 2. August 2027, entsprechend dem gestaffelten Anwendungsplan der Artikel 113 und 114 der Verordnung (EU) 2024/1689.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.