Ein Konformitätsbewertungsverfahren ist der Pflichtprozess, mit dem Anbieter von Hochrisiko-KI-Systemen vor der Markteinführung nachweisen, dass ihr System die Anforderungen des EU AI Act erfüllt. Für Unternehmen, die eigene KI-Systeme entwickeln oder anpassen, entscheidet dieses Verfahren darüber, ob und wie ein Produkt überhaupt in der EU vermarktet werden darf. Wer die Hochrisiko-Einstufung übersieht, riskiert Bußgelder und einen Verkaufsstopp.
Was bedeutet Konformitätsbewertungsverfahren?
Das Konformitätsbewertungsverfahren ist in Artikel 43 EU AI Act geregelt und prüft, ob ein Hochrisiko-KI-System die Pflichten aus Kapitel III Abschnitt 2 der Verordnung erfüllt – etwa Risikomanagement, Datenqualität, technische Dokumentation und menschliche Aufsicht. Es gibt zwei Wege: die interne Kontrolle nach Anhang VI, bei der der Anbieter die Konformität in eigener Verantwortung prüft und dokumentiert, oder die Bewertung unter Beteiligung einer externen notifizierten Stelle nach Anhang VII, bei der ein akkreditierter Prüfdienstleister das Qualitätsmanagementsystem und die technische Dokumentation begutachtet. Welcher Weg gilt, hängt vom Einsatzbereich ab: Für die meisten in Anhang III gelisteten Hochrisikobereiche (Nummern 2 bis 8, etwa Bildung, Beschäftigung, Strafverfolgung) reicht die interne Kontrolle. Für bestimmte biometrische Systeme aus Anhang III Nummer 1 ist die notifizierte Stelle vorgeschrieben, sofern keine harmonisierten Normen angewendet werden – liegen solche Normen vor, kann der Anbieter wählen. Nach erfolgreichem Verfahren stellt der Anbieter eine EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an.
Warum ist das Konformitätsbewertungsverfahren für mein Unternehmen wichtig?
Sobald euer Unternehmen ein Hochrisiko-KI-System selbst entwickelt, unter eigenem Namen vermarktet oder wesentlich verändert, werdet ihr rechtlich zum Anbieter im Sinne des EU AI Act – und müsst das Konformitätsbewertungsverfahren durchlaufen, bevor das System in Verkehr gebracht wird. Das betrifft nicht nur große Software-Häuser: Auch ein spezialisiertes KMU, das etwa ein Bewerber-Scoring-Tool für den HR-Bereich anbietet, fällt unter Anhang III und damit in die Hochrisiko-Kategorie. Wer die Bewertung überspringt, riskiert nach Art. 99 EU AI Act empfindliche Bußgelder sowie den Rückruf des Produkts vom Markt. Wichtig für die Praxis: Setzt ihr ein fertiges Hochrisiko-KI-System eines anderen Anbieters lediglich ein, ohne es wesentlich zu verändern, seid ihr in der Regel „Betreiber” und nicht „Anbieter” – dann treffen euch andere, meist schlankere Pflichten. Ob eine konkrete Anpassung als „wesentliche Änderung” gilt und damit ein neues Konformitätsbewertungsverfahren auslöst, sollte im Einzelfall geprüft werden.
Konformitätsbewertungsverfahren in der Praxis
Angenommen, ein KMU entwickelt eine KI-gestützte Software zur Vorauswahl von Bewerbungen. Weil Personalauswahl-Systeme in Anhang III als Hochrisikobereich (Nummern 2 bis 8) gelistet sind, muss das Unternehmen vor dem Verkauf folgende Schritte durchlaufen: Erstens ein Risikomanagementsystem und die technische Dokumentation nach Anhang IV aufbauen. Zweitens die Konformität in eigener Verantwortung intern nach Anhang VI bewerten – für diesen Hochrisikobereich genügt die interne Kontrolle unabhängig davon, ob harmonisierte Normen für die Systemkategorie vorliegen; eine notifizierte Stelle ist hier nicht vorgeschrieben, anders als bei bestimmten biometrischen Systemen aus Anhang III Nummer 1. Drittens die EU-Konformitätserklärung ausstellen und das System registrieren, bevor es CE-gekennzeichnet in den Verkehr gebracht wird. Ändert sich später die Zweckbestimmung wesentlich, etwa durch ein neues Einsatzfeld, muss das Verfahren erneut durchlaufen werden – vorab festgelegtes, dokumentiertes Lernen des Systems zählt laut Verordnung dagegen nicht automatisch als wesentliche Änderung.
Weiterführendes
Mehr zur Einordnung findet ihr im Artikel Was ist der EU AI Act? sowie in unseren Einträgen zu Hochrisiko-KI-System und notifizierte Stelle.
Häufige Fragen
Muss jedes Unternehmen, das KI einsetzt, ein Konformitätsbewertungsverfahren durchführen?
Nein. Das Verfahren betrifft nur Anbieter von Hochrisiko-KI-Systemen im Sinne des EU AI Act, also Unternehmen, die ein solches System entwickeln, unter eigenem Namen vermarkten oder wesentlich verändern. Wer ein fertiges Hochrisiko-System nur unverändert einsetzt, gilt in der Regel als Betreiber und unterliegt anderen, meist geringeren Pflichten. Ob euer Einsatzfall betroffen ist, sollte anhand von Anhang III der Verordnung im Einzelfall geprüft werden.
Was ist der Unterschied zwischen interner Kontrolle und der Prüfung durch eine notifizierte Stelle?
Bei der internen Kontrolle nach Anhang VI bewertet der Anbieter die Konformität in eigener Verantwortung und ohne externe Prüfstelle. Bei Anhang VII begutachtet eine unabhängige, akkreditierte notifizierte Stelle das Qualitätsmanagementsystem und die technische Dokumentation. Welcher Weg zulässig ist, hängt vom Einsatzbereich des Systems und davon ab, ob harmonisierte Normen angewendet werden.
Was passiert, wenn ich mein KI-System nach der Konformitätsbewertung wesentlich verändere?
Eine wesentliche Änderung löst grundsätzlich ein neues Konformitätsbewertungsverfahren aus, weil sich Risiken und Anforderungen verschieben können. Vorab festgelegte, dokumentierte Lernvorgänge des Systems gelten laut EU AI Act dagegen nicht automatisch als wesentliche Änderung. Ob eine konkrete Anpassung darunterfällt, sollte im Zweifel rechtlich geprüft werden.
Brauchen kleine Unternehmen für die Konformitätsbewertung immer eine externe Prüfstelle?
Nicht zwingend. Für die meisten Hochrisikobereiche aus Anhang III Nummer 2 bis 8 reicht die interne Kontrolle nach Anhang VI ohne externe Stelle. Eine notifizierte Stelle ist vor allem bei bestimmten biometrischen Systemen vorgeschrieben oder wenn keine harmonisierten Normen vorliegen. Aktuelle Zuständigkeiten solltet ihr direkt bei der zuständigen Marktüberwachungsbehörde prüfen (Stand: September 2026).