Eine notifizierte Stelle ist eine unabhängige, akkreditierte Prüfstelle, die im Rahmen des Konformitätsbewertungsverfahrens nach EU AI Act bestimmte Hochrisiko-KI-Systeme extern begutachtet. Für die meisten KMU ist vor allem relevant, wann eine solche Stelle überhaupt eingebunden werden muss und wann die interne Kontrolle im eigenen Unternehmen ausreicht.
Was bedeutet notifizierte Stelle?
Notifizierte Stellen sind in Artikel 43 EU AI Act geregelt. Es handelt sich um Konformitätsbewertungsstellen, die nach der Verordnung und anderer einschlägiger EU-Harmonisierungsvorschriften notifiziert wurden und Prüf-, Zertifizierungs- und Inspektionstätigkeiten als unabhängige Dritte durchführen. Für Hochrisiko-KI-Systeme aus Anhang III Nummer 1, also bestimmte biometrische Systeme, kann der Anbieter zwischen interner Kontrolle nach Anhang VI und einer externen Bewertung durch eine notifizierte Stelle nach Anhang VII wählen; Letztere begutachtet dabei das Qualitätsmanagementsystem und die technische Dokumentation. Die externe Bewertung wird zwingend, wenn keine harmonisierten Normen existieren, diese nur teilweise angewendet wurden oder gemeinsame Spezifikationen nicht vorlagen beziehungsweise nicht angewendet wurden. Für die übrigen Hochrisikobereiche aus Anhang III Nummer 2 bis 8, etwa Bildung, Beschäftigung oder kritische Infrastruktur, ist dagegen ausschließlich die interne Kontrolle vorgesehen, eine notifizierte Stelle ist dort nicht Teil des Verfahrens. Bei Systemen für Strafverfolgung, Migration oder Asylbehörden übernimmt an ihrer Stelle die zuständige Marktüberwachungsbehörde die entsprechende Funktion. Alle notifizierten Stellen in der EU sind in der öffentlichen NANDO-Datenbank der Europäischen Kommission verzeichnet.
Warum ist die notifizierte Stelle für mein Unternehmen wichtig?
Für die meisten KMU, die Hochrisiko-KI-Systeme außerhalb der Biometrie anbieten, ändert die notifizierte Stelle zunächst wenig, weil hier ohnehin die interne Kontrolle ausreicht und kein externer Prüfaufwand entsteht. Relevant wird sie, sobald euer Unternehmen ein biometrisches System entwickelt oder wesentlich verändert: Dann kann die Einbindung einer externen Stelle je nach Normenlage verpflichtend werden, was zusätzliche Kosten, Vorlaufzeit und Dokumentationsaufwand bedeutet, die frühzeitig eingeplant werden sollten. Wer die richtige Einordnung übersieht und ein eigentlich prüfpflichtiges System ohne notifizierte Stelle in Verkehr bringt, riskiert ein ungültiges Konformitätsbewertungsverfahren und damit verbundene Bußgelder. Für Unternehmen, die Hochrisiko-KI-Systeme nur einkaufen, ist die Angabe der notifizierten Stelle auf der CE-Kennzeichnung ein zusätzlicher Anhaltspunkt dafür, dass bei einem biometrischen System eine externe Prüfung stattgefunden hat.
Notifizierte Stelle in der Praxis
Ein Unternehmen entwickelt ein biometrisches Zutrittskontrollsystem für Firmengelände, das unter Anhang III Nummer 1 fällt. Weil zum Zeitpunkt der Entwicklung noch keine vollständig anwendbaren harmonisierten Normen für diese Systemkategorie vorliegen, ist die Einbindung einer notifizierten Stelle verpflichtend. Das Unternehmen sucht über die NANDO-Datenbank eine für diesen Bereich akkreditierte Stelle, reicht Qualitätsmanagementsystem und technische Dokumentation zur Begutachtung ein und erhält nach erfolgreicher Prüfung die Grundlage für die spätere CE-Kennzeichnung samt Identifizierungsnummer der Stelle. Ein anderes Unternehmen, das stattdessen ein KI-System zur Vorauswahl von Bewerbungen entwickelt, das unter Anhang III Nummer 2 bis 8 fällt, durchläuft dagegen ausschließlich die interne Kontrolle und muss keine notifizierte Stelle einbinden.
Weiterführendes
Mehr zum vorgelagerten Verfahren findet ihr unter Konformitätsbewertungsverfahren, zur Einstufung unter Hochrisiko-KI-System und zur abschließenden Dokumentation unter EU-Konformitätserklärung.
Häufige Fragen
Braucht mein KMU für die Konformitätsbewertung immer eine notifizierte Stelle?
Nein. Für die meisten Hochrisikobereiche aus Anhang III Nummer 2 bis 8, etwa Bildung, Beschäftigung oder Strafverfolgung, reicht die interne Kontrolle nach Anhang VI ohne externe Stelle. Eine notifizierte Stelle ist vor allem bei bestimmten biometrischen Systemen aus Anhang III Nummer 1 vorgeschrieben, und auch dort nur unter bestimmten Voraussetzungen.
Wie finde ich eine zuständige notifizierte Stelle?
Alle notifizierten Stellen in der EU sind in der NANDO-Datenbank der Europäischen Kommission gelistet. Welche Stelle für euer System zuständig ist, hängt vom Einsatzbereich und dem Mitgliedstaat ab, in dem sie akkreditiert wurde.
Ist eine notifizierte Stelle dasselbe wie eine Aufsichtsbehörde?
Nein. Eine notifizierte Stelle ist eine unabhängige, akkreditierte private oder öffentliche Prüfstelle, die im Auftrag des Anbieters die Konformität eines Systems bewertet. Eine Aufsichtsbehörde wie eine Marktüberwachungsbehörde überwacht dagegen hoheitlich die Einhaltung der Vorschriften und kann auch nachträglich einschreiten.
Was passiert, wenn für mein biometrisches System keine harmonisierten Normen vorliegen?
Dann wird die Beteiligung einer notifizierten Stelle für Systeme aus Anhang III Nummer 1 zwingend. Liegen dagegen vollständig angewendete harmonisierte Normen oder gemeinsame Spezifikationen vor, kann der Anbieter grundsätzlich zwischen interner Kontrolle und externer Bewertung wählen.