Article 63 — Ausnahmen von bestimmten Anforderungen für bestimmte Betreiber bei Hochrisiko-KI-Systemen (EU AI Act)

Article 63 der Verordnung (EU) 2024/1689 — Ausnahmen von bestimmten Anforderungen für bestimmte Betreiber bei Hochrisiko-KI-Systemen. Offizieller Text, praktische Interpretation, Hauptpflichten und Konsequenzen für die Compliance.

Zusammenfassung des offiziellen Textes

Article 63 der Verordnung (EU) 2024/1689 (EU AI Act), eingebettet in Titel VI – Maßnahmen zur Unterstützung der Innovation, legt gezielte Ausnahmen von bestimmten Anforderungen aus Kapitel III, Abschnitt 2 fest, die andernfalls vollständig für Anbieter und andere Betreiber von Hochrisiko-KI-Systemen gelten würden.

Die Hauptbegünstigten sind Kleinstunternehmen im Sinne der Empfehlung der Kommission 2003/361/EG (Unternehmen mit weniger als 10 Beschäftigten und einem Jahresumsatz oder einer Bilanzsumme von höchstens 2 Mio. EUR). Für solche Anbieter ermöglicht Article 63 einen vereinfachten Ansatz bei den in Article 17 festgelegten Pflichten zum Qualitätsmanagementsystem, indem Verfahren und Leitlinien auf eine Weise umgesetzt werden dürfen, die der Größe und der operativen Kapazität des Betreibers entspricht, anstatt das umfassende dokumentierte System einzuführen, das größere Anbieter einrichten müssen.

Article 63 befasst sich außerdem mit öffentlichen Stellen als Betreiber, die Hochrisiko-KI-Systeme einsetzen, und erkennt an, dass deren Beschaffungs- und Governance-Strukturen von denen kommerzieller Betreiber erheblich abweichen können. Bestimmte Dokumentations- und Konformitätspflichten können angepasst werden, wenn eine öffentliche Stelle ausschließlich als Deployer handelt und das System bei einem externen Anbieter beschafft wurde, der die primären Anbieterpflichten behält.

Wesentlich ist, dass der Artikel die substanzielle Sicherheitsschwelle aufrechterhält: Die Ausnahmen betreffen verfahrenstechnische Form und Umfang, nicht die grundlegenden Anforderungen an Genauigkeit, Robustheit, Cybersicherheit, Daten-Governance, Transparenz und menschliche Aufsicht. Alle Betreiber müssen unabhängig von ihrer Größe weiterhin sicherstellen, dass Hochrisiko-KI-Systeme die technischen Anforderungen der Articles 9 bis 15 erfüllen und den Marktüberwachungspflichten unterliegen.

Praktische Bedeutung

Article 63 ist ein Verhältnismäßigkeitsinstrument. Seine praktische Wirkung besteht darin, den Verwaltungsaufwand für die kleinsten Marktteilnehmer und für bestimmte Deployer aus dem öffentlichen Sektor zu verringern, ohne die Sicherheitsziele der Verordnung zu beeinträchtigen.

Für Kleinstunternehmen als Anbieter betrifft die wesentlichste Entlastung die Qualitätsmanagementsysteme nach Article 17. Anstatt ein vollständig dokumentiertes QMS mit festgelegten Rollen, Änderungsmanagementverfahren, Post-Market-Monitoring-Plänen und systematischer Versionskontrolle zu unterhalten, kann ein Kleinstunternehmen eine gleichwertige Governance durch einfachere interne Verfahren umsetzen – beispielsweise ein prägnantes Richtliniendokument, eine benannte verantwortliche Person und ein einfaches Vorfallsprotokoll – sofern diese Maßnahmen das Risiko angemessen adressieren. Die technischen Dokumentationspflichten nach Article 11 und die Konformitätsbewertungsverfahren nach Articles 43–44 gelten weiterhin vollumfänglich, ebenso wie die Registrierungspflichten in der EU-Datenbank nach Article 71.

Für öffentliche Stellen als Deployer erkennt Article 63 an, dass beim Beschaffen eines Hochrisiko-KI-Systems durch eine öffentliche Stelle die primären Konformitätspflichten beim Anbieter liegen. Die Deployer-Pflichten nach Article 26 – einschließlich Grundrechtsfolgenabschätzungen, Festlegung der menschlichen Aufsicht und Protokollierung – bleiben bestehen, aber Article 63 stellt klar, dass von solchen Stellen nicht erwartet wird, dass sie technische Anbieterdokumentation reproduzieren, über die sie nicht verfügen.

Praktisches Beispiel: Ein zweiköpfiges Legal-Tech-Startup, das ein KI-System zur Vertragsprüfung auf den Markt bringt (Annex III, Punkt 5(a) – Zugang zu Rechtsberatung), muss eine Konformitätsbewertung durchführen und das System registrieren, kann jedoch seinen Risikomanagementprozess durch ein vereinfachtes internes Verfahren dokumentieren, anstatt ein formal an ISO ausgerichtetes QMS einzuführen. Eine große Gemeinde, die dasselbe System von einem Drittanbieter einsetzt, unterliegt weiterhin den Deployer-Pflichten, muss aber keine technische Anbieterdokumentation erstellen.

Betreiber sollten ihre Berechtigung zur Inanspruchnahme von Ausnahmen – insbesondere ihre Einstufung als Kleinstunternehmen – als Teil ihrer Compliance-Unterlagen dokumentieren, da Marktüberwachungsbehörden entsprechende Nachweise anfordern können.

Hauptpflichten

• Verhältnismäßige Qualitätsmanagementverfahren einrichten: Kleinstunternehmen als Anbieter müssen interne Verfahren implementieren, die die wesentlichen Inhalte der Pflichten aus Article 17 abdecken – Risikomanagement, Daten-Governance, Dokumentation, Post-Market-Monitoring – und die angemessen auf ihre Größe und das Risikoprofil des KI-Systems zugeschnitten sind, auch wenn dies nicht durch ein formales dokumentiertes QMS erfolgt.
• Vollständige technische Dokumentation führen: Die Ausnahmen nach Article 63 verringern nicht die Anforderungen an die technische Dokumentation gemäß Article 11 und Annex IV. Anbieter müssen weiterhin Dokumentation erstellen, pflegen und verfügbar machen, die die Konformität belegt.
• Anwendbare Konformitätsbewertung abschließen: Alle Anbieter von Hochrisiko-KI-Systemen, einschließlich Kleinstunternehmen, müssen das Konformitätsbewertungsverfahren nach Article 43 abschließen, bevor ein System auf den Markt gebracht oder in Betrieb genommen wird.
• Registrierung in der EU AI Act-Datenbank: Die Registrierungspflichten nach Article 71 gelten unabhängig von der Betreibergröße; Kleinstunternehmen müssen Hochrisiko-KI-Systeme in der öffentlichen EU-Datenbank der Kommission registrieren.
• Menschliche Aufsicht und Sicherheitsanforderungen wahren: Die technischen Anforderungen nach Articles 9–15 (Risikomanagement, Daten-Governance, Transparenz, Genauigkeit, Robustheit, Cybersicherheit und menschliche Aufsicht) sind von den Ausnahmen nicht berührt und müssen von allen Anbietern unabhängig von ihrer Größe vollständig eingehalten werden.
• Berechtigung zur Ausnahme dokumentieren: Betreiber, die Article 63-Ausnahmen in Anspruch nehmen, sollten Aufzeichnungen führen, die ihren Qualifikationsstatus belegen (z. B. Einstufung als Kleinstunternehmen oder Status als öffentliche Stelle als Deployer), um ihren Compliance-Ansatz gegenüber nationalen Marktüberwachungsbehörden zu begründen.

Bezug zu anderen Artikeln

Article 63 wirkt als Verhältnismäßigkeitsmodifikator innerhalb des umfassenderen Compliance-Rahmens für Hochrisiko-KI-Systeme und ist in Verbindung mit mehreren anderen Bestimmungen zu lesen.

Article 17 (Qualitätsmanagementsysteme) ist der Hauptartikel, aus dem die Ausnahmen für Kleinstunternehmen abgeleitet werden; Article 63 bedingt und begrenzt diese Ausnahmen. Articles 9–15 legen den nicht ausnahmsweise geltenden technischen Mindeststandard fest, den Article 63 ausdrücklich aufrechterhält. Article 26 regelt die Deployer-Pflichten und ist für die Ausnahmebestimmungen für öffentliche Stellen relevant. Article 11 und Annex IV definieren die Anforderungen an die technische Dokumentation, die vollständig anwendbar bleiben.

Innerhalb von Titel VI steht Article 63 neben den Articles 57–62 (KI-Regulierungs-Sandboxen) und Articles 64–68 (Unterstützungsmaßnahmen für KMU und Tests) und bildet zusammen einen kohärenten KMU-Unterstützungsrahmen. Article 9 des Titels I (die allgemeine Verhältnismäßigkeitspflicht für alle Anbieter) liefert die regulatorische Begründung für die spezifischen Entlastungsmaßnahmen in Article 63. Article 71 (EU-Datenbank) und Article 43 (Konformitätsbewertung) legen Pflichten fest, die Article 63 nicht ändert.

Zeitplan für die Compliance

Der EU AI Act trat am 1. August 2024 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt.

Der für Article 63 relevante Zeitplan für die schrittweise Anwendung gestaltet sich wie folgt:

• 2. Februar 2025 — Verbote für KI-Praktiken mit inakzeptablem Risiko (Article 5) wurden anwendbar. Article 63 ist in dieser Phase nicht relevant.
• 2. August 2025 — Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Titel III, Kapitel V) und Governance-Bestimmungen wurden anwendbar. Die Ausnahmen nach Article 63 gelten nicht für GPAI-Anbieter.
• 2. August 2026 — Der vollständige Rahmen für Hochrisiko-KI-Systeme nach Titel III, Kapitel III, Abschnitt 2 – einschließlich der Anforderungen, von denen Article 63 Ausnahmen vorsieht – wird auf die in Annex III aufgeführten Systeme anwendbar (eigenständige Hochrisiko-KI-Systeme, einschließlich biometrischer Identifikation, kritischer Infrastruktur, Bildung, Beschäftigung, wesentlicher Dienste, Strafverfolgung, Migration und Justiz). Die Ausnahmen nach Article 63 treten ab diesem Datum für qualifizierende Betreiber in Kraft.
• 2. August 2027 — In Produkte eingebettete Hochrisiko-KI-Systeme, die unter Annex I Harmonisierungsgesetzgebung fallen (Maschinen, Medizinprodukte, Zivilluftfahrt, Kraftfahrzeuge usw.), unterliegen ab dann dem vollständigen Rahmen. Die Ausnahmen nach Article 63 erstrecken sich ab diesem Datum auf qualifizierende Betreiber in diesen Produktsektoren.

Betreiber, die Article 63-Ausnahmen in Anspruch nehmen wollen, sollten interne Eignungsprüfungen und verhältnismäßige Compliance-Planung gut vor dem für ihre Systemkategorie geltenden Datum beginnen.