Artikel 70 — Nationale zuständige Behörde (EU-KI-Gesetz)

Artikel 70 der Verordnung (EU) 2024/1689 — Nationale zuständige Behörde. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Auswirkungen auf die Compliance.

Zusammenfassung des offiziellen Textes

Artikel 70 der Verordnung (EU) 2024/1689 verpflichtet jeden EU-Mitgliedstaat, eine oder mehrere nationale zuständige Behörden zum Zweck der Überwachung der Anwendung und Durchsetzung des KI-Gesetzes zu benennen. Jede benannte Behörde muss der Europäischen Kommission mitgeteilt werden, die diese Information dann öffentlich zugänglich macht.

Der Artikel unterscheidet zwischen zwei funktionalen Rollen, die von denselben oder verschiedenen nationalen Stellen wahrgenommen werden können: die Marktüberwachungsbehörde, die für die Überwachung von KI-Systemen verantwortlich ist, die auf dem Markt bereitgestellt oder in Betrieb genommen werden, und die notifizierende Behörde, die für die Einrichtung und Durchführung des Benennungsverfahrens für Konformitätsbewertungsstellen zuständig ist.

Die Mitgliedstaaten müssen sicherstellen, dass der oder den benannten Behörden ausreichende Befugnisse, Ressourcen, technisches Personal und finanzielle Mittel zur effektiven Wahrnehmung ihrer Aufgaben gewährt werden. Benennt ein Mitgliedstaat mehr als eine zuständige Behörde, muss er deren jeweilige Zuständigkeiten klar abgrenzen und geeignete Koordinierungsmechanismen einrichten.

Artikel 70 verpflichtet die Mitgliedstaaten auch, eine zuständige Behörde zu benennen, die für die Überwachung von KI-Systemen zuständig ist, die von öffentlichen Behörden und Einrichtungen eingesetzt werden. Damit wird der besonderen Sensibilität des KI-Einsatzes in staatlichen Zusammenhängen und der Notwendigkeit einer eigenen, von der kommerziellen Marktüberwachung unabhängigen Aufsicht Rechnung getragen.

Die Mitgliedstaaten müssen der Kommission ihre Benennungen und etwaige spätere Änderungen ohne unangemessene Verzögerung mitteilen.

Was dies in der Praxis bedeutet

Für nationale Regierungen ist Artikel 70 eine organisatorische und institutionelle Verpflichtung: Jeder Mitgliedstaat muss eine konkrete Regierungsentscheidung darüber treffen, welche bestehende Regulierungsbehörde — oder neu geschaffene Institution — Aufsichtsbefugnisse gemäß dem KI-Gesetz erhalten soll.

In der Praxis erweitern viele Mitgliedstaaten entweder das Mandat bestehender Datenschutzbehörden oder digitaler Regulierungsbehörden oder schaffen neue dedizierte KI-Aufsichtsgremien. Länder wie Frankreich (mit den Rollen von CNIL und Arcom), Deutschland (mit der Bundesnetzagentur) und Spanien (mit der AESIA) haben Schritte unternommen, um zuständige Behörden vor den geltenden Fristen zu identifizieren oder zu schaffen.

Für Betreiber — Anbieter, Betreiber, Einführer und Händler von Hochrisiko-KI-Systemen — bestimmt die Benennung der nationalen zuständigen Behörde, welche Stelle Audits, Untersuchungen und Durchsetzungsmaßnahmen gegen sie durchführen wird. Daher ist es unerlässlich, die zuständige Behörde in jedem Mitgliedstaat zu identifizieren, in dem ein KI-System auf dem Markt bereitgestellt oder in Betrieb genommen wird.

Für Betreiber von KI-Systemen in öffentlichen Verwaltungen kann die benannte Aufsichtsbehörde für öffentliche Stellen von der allgemeinen Marktüberwachungsbehörde verschieden sein. Das bedeutet, dass Organisationen des öffentlichen Sektors ermitteln müssen, welche Stelle ihren spezifischen Kontext überwacht.

Konkretes Beispiel: Ein Unternehmen, das einem nationalen Grenzkontrollorgan ein biometrisches Identifikationssystem zur Verfügung stellt, muss mit zwei potenziell verschiedenen nationalen zuständigen Behörden in Kontakt treten — der Marktüberwachungsbehörde (die das Produkt als Hochrisikosystem überwacht) und der für Einsätze durch öffentliche Stellen benannten Behörde (die die Endnutzung überwacht).

Betreiber sollten das öffentliche Register des Europäischen KI-Büros mit den Benennungen nationaler zuständiger Behörden beobachten und direkte Ansprechpunkte mit der zuständigen nationalen Behörde einrichten.

Wesentliche Pflichten

• Benennung durch den Mitgliedstaat: Jeder EU-Mitgliedstaat muss mindestens eine nationale zuständige Behörde benennen, die für die Überwachung der Anwendung des EU-KI-Gesetzes zuständig ist, und die Europäische Kommission über seine Benennung unterrichten.
• Abdeckung der Doppelfunktion: Die Mitgliedstaaten müssen sicherstellen, dass sowohl die Marktüberwachungsfunktion (für kommerziell bereitgestellte KI-Systeme) als auch die Funktion der notifizierenden Behörde (für die Akkreditierung von Konformitätsbewertungsstellen) abgedeckt ist, entweder durch eine Stelle oder durch mehrere koordinierte Stellen.
• Aufsicht über den öffentlichen Sektor: Eine zuständige Behörde muss eigens zur Überwachung von KI-Systemen benannt werden, die von öffentlichen Behörden und Stellen eingesetzt werden, wobei den besonderen Rechenschaftspflichten beim staatlichen KI-Einsatz Rechnung getragen wird.
• Angemessene Ausstattung: Den benannten Behörden müssen ausreichendes technisches Fachwissen, personelle Ressourcen und finanzielle Mittel zur effektiven Wahrnehmung ihrer Aufsichts- und Durchsetzungsaufgaben zur Verfügung gestellt werden.
• Koordinierung bei mehreren Behörden: Werden mehr als eine nationale Behörde benannt, müssen die Mitgliedstaaten die Zuständigkeiten klar abgrenzen und formelle Koordinierungsmechanismen einrichten, um Lücken oder Konflikte in der Aufsicht zu vermeiden.
• Mitteilung und Transparenz: Die Mitgliedstaaten müssen der Kommission ihre Benennungen ohne unangemessene Verzögerung mitteilen, und die Kommission muss diese Information öffentlich zugänglich machen.

Verhältnis zu anderen Artikeln

Artikel 70 ist das institutionelle Fundament der gesamten Durchsetzungs- und Marktüberwachungsarchitektur des Titels IX. Er muss im Zusammenhang mit Artikel 74 (Marktüberwachung und Kontrolle von KI-Systemen im Unionsmarkt) gelesen werden, der die materiellen Befugnisse und Verfahren festlegt, die nationale zuständige Behörden ausüben. Die Artikel 75 und 76 regeln die grenzüberschreitende Zusammenarbeit und den Informationsaustausch zwischen nationalen Behörden, der direkt von den gemäß Artikel 70 vorgenommenen Benennungen abhängt.

Artikel 77 regelt die Befugnisse der Behörden, auf Daten und Dokumentation von Betreibern zuzugreifen — Befugnisse, die der gemäß Artikel 70 benannten Behörde zufließen. Artikel 80 sieht die zentrale Anlaufstelle vor, die nationale zuständige Behörden für die grenzüberschreitende Koordinierung mit dem gemäß Artikel 64 eingerichteten Europäischen KI-Büro einrichten müssen.

Auf Unionsebene agieren das Europäische KI-Gremium (Artikel 65) und das Europäische KI-Büro neben den nationalen zuständigen Behörden, was Artikel 70 zu einem kritischen Knotenpunkt in der mehrschichtigen Governance-Struktur der Verordnung macht.

Zeitplan zur Compliance

Das EU-KI-Gesetz trat am 1. August 2024 nach Veröffentlichung im Amtsblatt in Kraft. Seine Pflichten gelten gestaffelt:

• Februar 2025: Verbote zu KI-Praktiken mit unannehmbaren Risiken (Titel II) wurden anwendbar.
• August 2025: Pflichten in Bezug auf GPAI-Modelle (Titel VIII), Governance-Strukturen einschließlich des Europäischen KI-Büros sowie — entscheidend für Artikel 70 — Pflichten zur Benennung nationaler zuständiger Behörden wurden anwendbar. Die Mitgliedstaaten hätten ihre Benennungen bis zu diesem Datum der Kommission mitteilen sollen.
• Dezember 2026: Pflichten für Hochrisiko-KI-Systeme gemäß Anhang I (Produktsicherheitsgesetzgebung) finden Anwendung.
• August 2027: Vollständige Anwendung der Pflichten für Hochrisiko-KI-Systeme, die in Anhang III aufgeführt sind, womit die schrittweise Einführung abgeschlossen wird.

Für Betreiber wird die praktische Bedeutung von Artikel 70 ab August 2025 dringlich, da benannte nationale zuständige Behörden aktive Aufsichts- und Durchsetzungsbefugnisse erlangen. Die Kartierung, welche nationale Behörde Ihre KI-Systeme in jedem relevanten Mitgliedstaat überwacht, sollte als Compliance-Maßnahme behandelt werden, die bis zum dritten Quartal 2025 abgeschlossen sein muss.