Artikel 45 — Informationspflichten von notifizierten Stellen (EU-KI-Verordnung)

Artikel 45 der Verordnung (EU) 2024/1689 — Informationspflichten von notifizierten Stellen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Auswirkungen auf die Compliance.

Zusammenfassung des offiziellen Textes

Artikel 45 der Verordnung (EU) 2024/1689 legt spezifische Informationspflichten fest, die notifizierten Stellen während des gesamten Lebenszyklus ihrer Konformitätsbewertungstätigkeiten in Bezug auf in Anhang III und gegebenenfalls Anhang II aufgeführte Hochrisiko-KI-Systeme obliegen.

Gemäß Artikel 45 sind notifizierte Stellen verpflichtet, die notifizierende Behörde — die nationale Stelle, die für ihre Benennung und Aufsicht zuständig ist — über alle durchgeführten Konformitätsbewertungen zu informieren, einschließlich derjenigen, die vor Abschluss abgelehnt oder zurückgezogen wurden. Diese Transparenzpflicht erstreckt sich auf Umstände, die den Umfang, die Bedingungen oder die laufende Gültigkeit der Notifizierung berühren können, wie Änderungen in der Struktur, dem Eigentum, der Kompetenz oder den Ressourcen der Stelle.

Notifizierte Stellen müssen ihrer notifizierenden Behörde darüber hinaus alle von Marktüberwachungsbehörden erhaltenen Auskunftsersuchen mitteilen, was eine koordinierte Aufsicht über nationale Grenzen hinweg ermöglicht. Sie sind ferner verpflichtet, Beschwerden, Einsprüche und andere relevante Informationen über von ihnen bewertete Hochrisiko-KI-Systeme auf Anfrage oder aus eigener Initiative zu melden, sofern die Angelegenheit für regulatorische Maßnahmen von Bedeutung ist.

Artikel 45 sieht ferner vor, dass notifizierte Stellen untereinander und mit der Kommission Informationen zu Fragen im Zusammenhang mit negativen Ergebnissen von Konformitätsbewertungen austauschen und damit einen Mechanismus zur kollektiven Wissensweitergabe schaffen. Dies verhindert, dass Anbieter nach Erhalt einer abgelehnten Bewertung durch eine notifizierte Stelle nachsichtigere Bewerter suchen — eine Praxis, die bisweilen als „Zertifikats-Shopping" bezeichnet wird.

Der Artikel bildet einen Eckpfeiler der Rechenschaftsinfrastruktur für das System der notifizierten Stellen und stellt sicher, dass nationale Behörden und die Kommission eine echte Aufsicht darüber aufrechterhalten, wie Konformitätsbewertungen in der gesamten Union durchgeführt werden.

Was dies in der Praxis bedeutet

Für notifizierte Stellen führt Artikel 45 eine kontinuierliche, proaktive Offenlegungskultur ein, die weit über die bloße Ausstellung oder Ablehnung von Zertifikaten hinausgeht. Im operativen Bereich muss eine notifizierte Stelle interne Verfahren einrichten, um alle wesentlichen Ereignisse gegenüber ihrer nationalen notifizierenden Behörde zu protokollieren und zu melden, selbst wenn diese Ereignisse nicht zu einem formellen Zertifikat führen.

Stellen wir uns ein Szenario vor, in dem ein Anbieter eines Hochrisiko-KI-Systems, das bei der Personalauswahl eingesetzt wird, Dokumentation für eine Konformitätsbewertung einreicht, die notifizierte Stelle jedoch kritische Lücken in der technischen Dokumentation und im Risikomanagementsystem identifiziert. Selbst wenn der Anbieter den Antrag zurückzieht, bevor eine formelle Ablehnung erteilt wird, verlangt Artikel 45, dass die notifizierte Stelle diesen Rückzug meldet. Die notifizierende Behörde und über die Informationsaustauschmechanismen auch andere notifizierte Stellen werden dadurch darauf hingewiesen, dass ein nicht konformes System möglicherweise anderweitig zur Bewertung eingereicht wird.

Wenn eine Marktüberwachungsbehörde — etwa ein nationaler Verbraucherschutzregulator — eine notifizierte Stelle kontaktiert und Informationen über ein zuvor bewertetes System anfordert, das Schaden verursacht hat, muss die notifizierte Stelle ihre notifizierende Behörde über dieses Ersuchen informieren. Dies schafft einen Dokumentationspfad, der eine koordinierte regulatorische Reaktion ermöglicht.

Notifizierte Stellen müssen zudem ihre internen Ressourcen- und Kompetenzvereinbarungen kontinuierlich überprüfen. Sollten sie feststellen, dass ihre personelle Ausstattung oder technische Kapazität bestimmte Kategorien von KI-Systemen nicht mehr abdeckt, müssen sie diese Änderung unverzüglich melden, damit der Umfang ihrer Benennung angepasst werden kann — und damit die Marktintegrität schützen, indem Bewertungen in Bereichen verhindert werden, in denen der Stelle echte Fachkenntnisse fehlen.

Für Anbieter bedeutet dieser Rahmen, dass eine abgelehnte oder zurückgezogene Bewertung kein vertrauliches Ereignis ist. Eine sorgfältige Prüfung vor der Beauftragung einer notifizierten Stelle ist daher ratsam.

Wesentliche Pflichten

• Abgelehnte und zurückgezogene Bewertungen melden: Notifizierte Stellen müssen die notifizierende Behörde über jede Konformitätsbewertung informieren, die vom Anbieter vor Abschluss abgelehnt oder zurückgezogen wurde, einschließlich der Gründe, soweit feststellbar.
• Umfangsbeeinflussende Umstände offenlegen: Jede Änderung des Rechtsstatus, des Eigentums, des leitenden Personals, der Organisationsstruktur oder der technischen Kompetenz der Stelle, die ihre Notifizierung berühren könnte, ist der notifizierenden Behörde unverzüglich mitzuteilen.
• Informationen mit anderen notifizierten Stellen teilen: Notifizierte Stellen sind verpflichtet, Informationen über negative Bewertungsergebnisse und verwandte Angelegenheiten mit anderen notifizierten Stellen und der Kommission auszutauschen und so Zertifikats-Shopping in der gesamten Union zu verhindern.
• Regulatorische Kontakte melden: Der Eingang von Auskunftsersuchen von Marktüberwachungsbehörden, nationalen Behörden oder sonstigen Regulierungsbehörden ist der notifizierenden Behörde offenzulegen, um eine koordinierte Aufsicht zu ermöglichen.
• Beschwerden und Einsprüche mitteilen: Wesentliche Beschwerden, Einsprüche gegen Bewertungsentscheidungen und Marktüberwachungsinformationen zu bewerteten KI-Systemen sind auf Anfrage oder proaktiv zu melden, sofern dies gerechtfertigt ist.
• Prüfungsbereitschaft aufrechterhalten: Notifizierte Stellen müssen der notifizierenden Behörde alle relevanten Unterlagen, Aufzeichnungen und Nachweise über ihre Bewertungstätigkeiten zur Unterstützung der laufenden Überwachung ihrer Benennung zugänglich machen.

Verhältnis zu anderen Artikeln

Artikel 45 funktioniert innerhalb eines dichten Netzes von Bestimmungen, die das System der notifizierten Stellen gemäß Titel III, Kapitel 5 regeln. Er ist untrennbar mit Artikel 33 verbunden, der die allgemeinen Pflichten und Anforderungen festlegt, die notifizierte Stellen erfüllen müssen, um ihre Benennung zu erlangen und aufrechtzuerhalten, sowie mit Artikel 34, der die Regeln für Tochtergesellschaften und Unterauftragnehmer festlegt, die die organisatorische Transparenz betreffen.

Das in Artikeln 35 und 36 geregelte Notifizierungs- und Benennungsverfahren bildet den institutionellen Kontext für Artikel 45: Die notifizierende Behörde, die Informationen gemäß Artikel 45 erhält, ist dieselbe Stelle, die gemäß Artikel 35 eine Notifizierung aussetzen oder zurückziehen kann, wenn die offengelegten Informationen Nichtkonformität aufdecken.

Artikel 44 (Konformitätszertifikate) und Artikel 46 (Ausnahmeregelung von Konformitätsbewertungsverfahren) sollten zusammen mit Artikel 45 gelesen werden, da sie die Ergebnisse des Konformitätsbewertungsverfahrens festlegen, dessen Integrität die Informationspflichten des Artikels 45 schützen sollen.

Auf Marktüberwachungsebene stützen sich Artikel 74 bis 76 implizit auf die durch Artikel 45 geschaffenen Informationsflüsse, um wirksam zu funktionieren, ebenso wie die Koordinierungsmechanismen des Europäischen Gremiums für Künstliche Intelligenz (EAIB), das gemäß Artikel 65 eingerichtet wurde.

Zeitplan für die Compliance

Die EU-KI-Verordnung trat am 1. August 2024 in Kraft, zwanzig Tage nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union (OJ L 2024/1689, 12. Juli 2024). Artikel 45 fällt unter die Bestimmungen, die für Hochrisiko-KI-Systeme gemäß Titel III gelten.

Der schrittweise Anwendungsplan ist wie folgt:

• 1. August 2024 — Inkrafttreten; vorbereitende Pflichten beginnen für Mitgliedstaaten und die Kommission.
• 2. Februar 2025 — Verbotene KI-Praktiken (Titel II, Artikel 5) wurden anwendbar.
• 2. August 2025 — Verpflichtungen für GPAI-Modelle (Titel VIII) und Governance-Bestimmungen wurden anwendbar; die Benennungsverfahren für notifizierte Stellen sollten zu diesem Zeitpunkt operativ weit fortgeschritten sein.
• 2. August 2026 — Artikel 45 wird zusammen mit dem vollständigen Satz von Verpflichtungen aus Titel III, Kapitel 5 bezüglich notifizierter Stellen und Konformitätsbewertungen für in Anhang III aufgeführte Hochrisiko-KI-Systeme vollständig anwendbar. Notifizierte Stellen müssen ab diesem Datum ihre Informationspflichten vollständig erfüllen.
• 2. August 2027 — Verlängerte Frist für bestimmte Hochrisiko-KI-Systeme, die unter bestehende Harmonisierungsrechtsvorschriften der Union in Anhang II, Abschnitt 1 fallen, wodurch Herstellern in diesen regulierten Sektoren zusätzliche Zeit zur Anpassung der Konformitätsbewertungsverfahren eingeräumt wird.

Organisationen, die eine Benennung als notifizierte Stelle anstreben, sollten ihre Informationsmanagement- und Offenlegungsverfahren rechtzeitig vor der Frist im August 2026 eingerichtet haben, um sicherzustellen, dass sie ab dem ersten Tag der vollständigen Anwendung die Compliance nachweisen können.