Artikel 44 — Zertifikate (EU-KI-Verordnung)

Artikel 44 der Verordnung (EU) 2024/1689 — Zertifikate. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Konsequenzen für die Compliance.

Zusammenfassung des offiziellen Textes

Artikel 44 der Verordnung (EU) 2024/1689 legt die Regeln für Zertifikate fest, die von notifizierten Stellen im Zusammenhang mit der Konformitätsbewertung von Hochrisiko-KI-Systemen ausgestellt werden. Nach diesem Artikel müssen von notifizierten Stellen ausgestellte Zertifikate in einer der Amtssprachen des EU-Mitgliedstaats, in dem die notifizierte Stelle ansässig ist, oder in einer für diese Stelle akzeptablen Sprache abgefasst werden.

Der Artikel legt eine maximale Gültigkeitsdauer von vier Jahren für jedes ausgestellte Zertifikat fest, mit der Möglichkeit der Erneuerung nach einer neuen Konformitätsbewertung. Notifizierte Stellen sind verpflichtet, Register aller von ihnen ausgestellten Zertifikate zu führen, einschließlich solcher, die verweigert, ausgesetzt oder zurückgezogen wurden. Diese Register müssen den nationalen zuständigen Behörden auf Anfrage zur Verfügung gestellt werden.

Artikel 44 schreibt ferner vor, dass eine notifizierte Stelle, wenn sie ein Zertifikat aussetzt, einschränkt oder zurückzieht, die zuständige Marktüberwachungsbehörde des Mitgliedstaats, in dem der Anbieter ansässig ist, sowie die anderen notifizierten Stellen, die im Rahmen derselben Konformitätsbewertungsverfahren tätig sind, informieren muss. Die Europäische Kommission muss ebenfalls informiert werden, wenn Zertifikate Systeme mit grenzüberschreitenden Auswirkungen betreffen.

Bedeutsam ist, dass der Artikel einen Grundsatz der gegenseitigen Anerkennung verankert: Von notifizierten Stellen in einem Mitgliedstaat ausgestellte Zertifikate gelten in der gesamten Europäischen Union ohne erneute Zertifizierungspflicht, was das Funktionieren des EU-Binnenmarkts für Hochrisiko-KI-Systeme untermauert.

Was dies in der Praxis bedeutet

Artikel 44 ist von zentraler Bedeutung für die praktische Verwaltung der Drittpartei-Konformitätsbewertung für Hochrisiko-KI-Systeme, die unter Anhang III der EU-KI-Verordnung fallen. Er betrifft unmittelbar Anbieter von Hochrisiko-KI-Systemen, die verpflichtet sind, eine Konformitätsbewertung durch eine notifizierte Stelle anstelle einer Selbstbewertung durchzuführen.

Für Anbieter bedeutet die Vierjahreshöchstgrenze, dass der fortlaufende Marktzugang von einer regelmäßigen erneuten Zertifizierung abhängt. Anbieter müssen die Ablaufdaten der Zertifikate verfolgen und Erneuerungsverfahren rechtzeitig einleiten, um Lücken im Konformitätsstatus zu vermeiden, die eine rechtmäßige Marktplatzierung verhindern würden. Ein ausgesetztes oder zurückgezogenes Zertifikat erfordert sofortiges Handeln: Das System darf erst dann wieder in Verkehr gebracht oder in Betrieb genommen werden, wenn die Situation bereinigt ist.

Für notifizierte Stellen legt der Artikel strenge Aufzeichnungs- und Meldepflichten fest. Jede nachteilige Entscheidung — Verweigerung, Einschränkung, Aussetzung oder Rücknahme — muss systematisch den nationalen Behörden und den gleichrangigen notifizierten Stellen mitgeteilt werden, was eine koordinierte Durchsetzung in der gesamten EU gewährleistet.

Konkretes Beispiel: Ein Anbieter eines KI-Systems zur biometrischen Identifikation, das in Deutschland von einer deutschen notifizierten Stelle zertifiziert wurde, kann dieses System rechtmäßig in Frankreich, Spanien und allen anderen EU-Mitgliedstaaten vermarkten, ohne separate nationale Zertifikate einholen zu müssen. Stellt die notifizierte Stelle jedoch im Rahmen der Überwachung fest, dass das System die Anforderungen der Artikel 9–15 nicht mehr erfüllt, und setzt das Zertifikat aus, muss der Anbieter den Vertrieb in der gesamten EU unverzüglich einstellen und nachgelagerte Verwender informieren.

Der Grundsatz der gegenseitigen Anerkennung ist eine praktische Maßnahme zur Handelserleichterung, stellt jedoch erhebliche wirtschaftliche Risiken für den Fall dar, dass ein einziges Zertifikat seine Gültigkeit verliert.

Wesentliche Pflichten

• Zertifikate müssen eine festgelegte Gültigkeitsdauer von höchstens vier Jahren haben; die Erneuerung erfordert eine neue Konformitätsbewertung, die die fortlaufende Einhaltung der geltenden Anforderungen nachweist.
• Notifizierte Stellen müssen vollständige Register aller ausgestellten, verweigerten, ausgesetzten, eingeschränkten oder zurückgezogenen Zertifikate führen und diese Register den nationalen zuständigen Behörden auf Anfrage zugänglich machen.
• Nachteilige Zertifikatsentscheidungen müssen unverzüglich mitgeteilt werden an die zuständige nationale Marktüberwachungsbehörde, andere notifizierte Stellen, die im Rahmen derselben Verfahren tätig sind, und gegebenenfalls an die Europäische Kommission.
• Anbieter müssen Marktaktivitäten einstellen, wenn ein Zertifikat ausgesetzt oder zurückgezogen wird, bis die Konformität wiederhergestellt und ein gültiges Zertifikat erlangt wurde.
• Gegenseitige Anerkennung gilt in der gesamten EU: Ein von einer ordnungsgemäß benannten notifizierten Stelle in einem Mitgliedstaat ausgestelltes Zertifikat gilt in allen Mitgliedstaaten ohne erneute Zertifizierungspflicht.
• Zertifikate müssen abgefasst werden in der Sprache des Mitgliedstaats der ausstellenden notifizierten Stelle oder in einer anderen einvernehmlich vereinbarten Amtssprache der EU, um die Zugänglichkeit für nationale Behörden zu gewährleisten.

Bezug zu anderen Artikeln

Artikel 44 ist Teil von Titel III, Kapitel 5 (Normen, Konformitätsbewertung, Zertifikate und Registrierung) und muss in engem Zusammenhang mit den umgebenden Bestimmungen gelesen werden. Artikel 43 definiert die anwendbaren Konformitätsbewertungsverfahren — einschließlich der Bedingungen, unter denen die Einbeziehung einer Drittpartei in Form einer notifizierten Stelle obligatorisch und nicht optional ist — und legt den vorgelagerten Prozess fest, den Artikel 44 hinsichtlich der Zertifikatsverwaltung regelt.

Artikel 31–39 definieren die Anforderungen, die notifizierte Stellen selbst erfüllen müssen, um benannt zu werden, sowie die Pflichten, die sie als akkreditierte Konformitätsbewertungsstellen tragen. Die Integrität des Zertifikatsregimes nach Artikel 44 hängt vollständig von der Kompetenz dieser Stellen ab.

Artikel 9–15 legen die materiellen Anforderungen an Hochrisiko-KI-Systeme fest — Risikomanagement, Daten-Governance, Transparenz, menschliche Aufsicht, Genauigkeit und Robustheit —, anhand derer Zertifikate bewertet werden. Ein Zertifikat nach Artikel 44 ist im Wesentlichen die Bestätigung einer notifizierten Stelle, dass diese Vorschriften erfüllt sind.

Artikel 45 regelt die Beschwerdeverfahren, die Anbietern zur Verfügung stehen, wenn eine notifizierte Stelle ein Zertifikat verweigert, aussetzt oder zurückzieht, und bildet das verfahrensrechtliche Gegenstück zu den materiellen Regeln des Artikels 44. Artikel 51 regelt die Registrierungspflichten im Anschluss an die Zertifizierung und verbindet Zertifikate mit der EU-Datenbank für Hochrisiko-KI-Systeme.

Zeitplan für die Compliance

Artikel 44 wurde mit dem Inkrafttreten der Verordnung (EU) 2024/1689 am 2. August 2024 Teil des EU-Rechts. Seine praktische Anwendung richtet sich jedoch nach dem stufenweisen Umsetzungsplan:

• 2. Februar 2025 — Bestimmungen über verbotene KI-Praktiken (Titel II) begannen zu gelten. Artikel 44 war noch nicht in Kraft.
• 2. August 2025 — Regeln für KI-Modelle mit allgemeinem Verwendungszweck (Titel VIII) und Governance-Pflichten begannen zu gelten.
• 2. Dezember 2026 — Artikel 44 tritt für die Mehrheit der in Anhang III aufgeführten Hochrisiko-KI-Systeme vollständig in Kraft, einschließlich jener in Bereichen wie Bildung, Beschäftigung, wesentliche Dienstleistungen, Strafverfolgung und Grenzmanagement. Anbieter, die solche Systeme in Verkehr bringen oder in Betrieb nehmen, müssen ein gültiges Zertifikat vorweisen, sofern eine Konformitätsbewertung durch Dritte erforderlich ist.
• 2. August 2027 — Verlängerte Frist für Hochrisiko-KI-Systeme, die unter bestehende EU-Produktsicherheitsgesetzgebung fallen (Anhang-I-Systeme), wodurch diese Sektoren zusätzliche Zeit erhalten, um bestehende Beziehungen zu notifizierten Stellen und Konformitätsrahmen an das neue Zertifikatsregime der KI-Verordnung anzupassen.

Anbieter, die davon ausgehen, ein Zertifikat nach Artikel 44 zu benötigen, sollten deutlich vor dem Dezember-2026-Termin mit notifizierten Stellen in Kontakt treten, angesichts der erwarteten Nachfrage nach Bewertungskapazitäten und der Zeit, die für eine gründliche Konformitätsbewertung nach Artikel 9–15 erforderlich ist.