2406 lines
121 KiB
Markdown
2406 lines
121 KiB
Markdown
KAPITEL III
|
|
HOCHRISIKO-KI-SYSTEME
|
|
|
|
|
|
ABSCHNITT 1
|
|
|
|
|
|
Einstufung von KI-Systemen als Hochrisiko-KI-Systeme
|
|
|
|
|
|
Artikel 6
|
|
|
|
|
|
Einstufungsvorschriften für Hochrisiko-KI-Systeme
|
|
|
|
|
|
(1) Ungeachtet dessen, ob ein KI-System unabhängig von den unter den Buchstaben a und b genannten Produkten in
|
|
Verkehr gebracht oder in Betrieb genommen wird, gilt es als Hochrisiko-KI-System, wenn die beiden folgenden
|
|
Bedingungen erfüllt sind:
|
|
|
|
|
|
a)das KI-System soll als Sicherheitsbauteil eines unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der
|
|
Union fallenden Produkts verwendet werden oder das KI-System ist selbst ein solches Produkt;
|
|
|
|
|
|
b)das Produkt, dessen Sicherheitsbauteil gemäß Buchstabe a das KI-System ist, oder das KI-System selbst als Produkt muss
|
|
einer Konformitätsbewertung durch Dritte im Hinblick auf das Inverkehrbringen oder die Inbetriebnahme dieses
|
|
Produkts gemäß den in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union unterzogen werden.
|
|
|
|
|
|
(2) Zusätzlich zu den in Absatz 1 genannten Hochrisiko-KI-Systemen gelten die in Anhang III genannten KI-Systeme als
|
|
hochriskant.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 53/
|
|
|
|
|
|
|
|
(3) Abweichend von Absatz 2 gilt ein in Anhang III genanntes KI-System nicht als hochriskant, wenn es kein erhebliches
|
|
Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen birgt, indem es
|
|
unter anderem nicht das Ergebnis der Entscheidungsfindung wesentlich beeinflusst.
|
|
|
|
|
|
Unterabsatz 1 gilt, wenn eine der folgenden Bedingungen erfüllt ist:
|
|
|
|
|
|
a)das KI-System ist dazu bestimmt, eine eng gefasste Verfahrensaufgabe durchzuführen;
|
|
|
|
|
|
b)das KI-System ist dazu bestimmt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit zu verbessern;
|
|
|
|
|
|
c) das KI-System ist dazu bestimmt, Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern zu
|
|
erkennen, und ist nicht dazu gedacht, die zuvor abgeschlossene menschliche Bewertung ohne eine angemessene
|
|
menschliche Überprüfung zu ersetzen oder zu beeinflussen; oder
|
|
|
|
|
|
d)das KI-System ist dazu bestimmt, eine vorbereitende Aufgabe für eine Bewertung durchzuführen, die für die Zwecke der
|
|
in Anhang III aufgeführten Anwendungsfälle relevant ist.
|
|
|
|
|
|
Ungeachtet des Unterabsatzes 1 gilt ein in Anhang III aufgeführtes KI-System immer dann als hochriskant, wenn es ein
|
|
Profiling natürlicher Personen vornimmt.
|
|
|
|
|
|
(4) Ein Anbieter, der der Auffassung ist, dass ein in Anhang III aufgeführtes KI-System nicht hochriskant ist,
|
|
dokumentiert seine Bewertung, bevor dieses System in Verkehr gebracht oder in Betrieb genommen wird. Dieser Anbieter
|
|
unterliegt der Registrierungspflicht gemäß Artikel 49 Absatz 2. Auf Verlangen der zuständigen nationalen Behörden legt
|
|
der Anbieter die Dokumentation der Bewertung vor.
|
|
|
|
|
|
(5) Die Kommission stellt nach Konsultation des Europäischen Gremiums für Künstliche Intelligenz (im Folgenden
|
|
„KI-Gremium“) spätestens bis zum 2. Februar 2026 Leitlinien zur praktischen Umsetzung dieses Artikels gemäß Artikel 96
|
|
und eine umfassende Liste praktischer Beispiele für Anwendungsfälle für KI-Systeme, die hochriskant oder nicht
|
|
hochriskant sind, bereit.
|
|
|
|
|
|
(6) Die Kommission ist befugt, gemäß Artikel 97 delegierte Rechtsakte zu erlassen, um Absatz 3 Unterabsatz 2 des
|
|
vorliegenden Artikels zu ändern, indem neue Bedingungen zu den darin genannten Bedingungen hinzugefügt oder diese
|
|
geändert werden, wenn konkrete und zuverlässige Beweise für das Vorhandensein von KI-Systemen vorliegen, die in den
|
|
Anwendungsbereich von Anhang III fallen, jedoch kein erhebliches Risiko der Beeinträchtigung in Bezug auf die
|
|
Gesundheit, Sicherheit oder Grundrechte natürlicher Personen bergen.
|
|
|
|
|
|
(7) Die Kommission erlässt gemäß Artikel 97 delegierte Rechtsakte, um Absatz 3 Unterabsatz 2 des vorliegenden
|
|
Artikels zu ändern, indem eine der darin festgelegten Bedingungen gestrichen wird, wenn konkrete und zuverlässige
|
|
Beweise dafür vorliegen, dass dies für die Aufrechterhaltung des Schutzniveaus in Bezug auf Gesundheit, Sicherheit und die
|
|
in dieser Verordnung vorgesehenen Grundrechte erforderlich ist.
|
|
|
|
|
|
(8) Eine Änderung der in Absatz 3 Unterabsatz 2 festgelegten Bedingungen, die gemäß den Absätzen 6 und 7 des
|
|
vorliegenden Artikels erlassen wurde, darf das allgemeine Schutzniveau in Bezug auf Gesundheit, Sicherheit und die in
|
|
dieser Verordnung vorgesehenen Grundrechte nicht senken; dabei ist die Kohärenz mit den gemäß Artikel 7 Absatz 1
|
|
erlassenen delegierten Rechtsakten sicherzustellen und die Marktentwicklungen und die technologischen Entwicklungen
|
|
sind zu berücksichtigen.
|
|
|
|
|
|
Artikel 7
|
|
|
|
|
|
Änderungen des Anhangs III
|
|
|
|
|
|
(1) Die Kommission ist befugt, gemäß Artikel 97 delegierte Rechtsakte zur Änderung von Anhang III durch
|
|
Hinzufügung oder Änderung von Anwendungsfällen für Hochrisiko-KI-Systeme zu erlassen, die beide der folgenden
|
|
Bedingungen erfüllen:
|
|
|
|
|
|
a)Die KI-Systeme sollen in einem der in Anhang III aufgeführten Bereiche eingesetzt werden;
|
|
|
|
|
|
b)die KI-Systeme bergen ein Risiko der Schädigung in Bezug auf die Gesundheit und Sicherheit oder haben nachteilige
|
|
Auswirkungen auf die Grundrechte und dieses Risiko gleicht dem Risiko der Schädigung oder den nachteiligen
|
|
Auswirkungen, das bzw. die von den in Anhang III bereits genannten Hochrisiko-KI-Systemen ausgeht bzw. ausgehen,
|
|
oder übersteigt diese.
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
54/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
(2) Bei der Bewertung der Bedingung gemäß Absatz 1 Buchstabe b berücksichtigt die Kommission folgende Kriterien:
|
|
|
|
|
|
a)die Zweckbestimmung des KI-Systems;
|
|
|
|
|
|
b)das Ausmaß, in dem ein KI-System verwendet wird oder voraussichtlich verwendet werden wird;
|
|
|
|
|
|
c) die Art und den Umfang der vom KI-System verarbeiteten und verwendeten Daten, insbesondere die Frage, ob besondere
|
|
Kategorien personenbezogener Daten verarbeitet werden;
|
|
|
|
|
|
d)das Ausmaß, in dem das KI-System autonom handelt, und die Möglichkeit, dass ein Mensch eine Entscheidung oder
|
|
Empfehlungen, die zu einem potenziellen Schaden führen können, außer Kraft setzt;
|
|
|
|
|
|
e) das Ausmaß, in dem durch die Verwendung eines KI-Systems schon die Gesundheit und Sicherheit geschädigt wurden, es
|
|
nachteilige Auswirkungen auf die Grundrechte gab oder z. B. nach Berichten oder dokumentierten Behauptungen, die
|
|
den zuständigen nationalen Behörden übermittelt werden, oder gegebenenfalls anderen Berichten Anlass zu erheblichen
|
|
Bedenken hinsichtlich der Wahrscheinlichkeit eines solchen Schadens oder solcher nachteiligen Auswirkungen besteht;
|
|
|
|
|
|
f) das potenzielle Ausmaß solcher Schäden oder nachteiligen Auswirkungen, insbesondere hinsichtlich ihrer Intensität und
|
|
ihrer Eignung, mehrere Personen zu beeinträchtigen oder eine bestimmte Gruppe von Personen unverhältnismäßig stark
|
|
zu beeinträchtigen;
|
|
|
|
|
|
g)das Ausmaß, in dem Personen, die potenziell geschädigt oder negative Auswirkungen erleiden werden, von dem von
|
|
einem KI-System hervorgebrachten Ergebnis abhängen, weil es insbesondere aus praktischen oder rechtlichen Gründen
|
|
nach vernünftigem Ermessen unmöglich ist, sich diesem Ergebnis zu entziehen;
|
|
|
|
|
|
h)das Ausmaß, in dem ein Machtungleichgewicht besteht oder in dem Personen, die potenziell geschädigt oder negative
|
|
Auswirkungen erleiden werden, gegenüber dem Betreiber eines KI-Systems schutzbedürftig sind, insbesondere aufgrund
|
|
von Status, Autorität, Wissen, wirtschaftlichen oder sozialen Umständen oder Alter;
|
|
|
|
|
|
i) das Ausmaß, in dem das mithilfe eines KI-Systems hervorgebrachte Ergebnis unter Berücksichtigung der verfügbaren
|
|
technischen Lösungen für seine Korrektur oder Rückgängigmachung leicht zu korrigieren oder rückgängig zu machen
|
|
ist, wobei Ergebnisse, die sich auf die Gesundheit, Sicherheit oder Grundrechte von Personen negativ auswirken, nicht als
|
|
leicht korrigierbar oder rückgängig zu machen gelten;
|
|
|
|
|
|
j) das Ausmaß und die Wahrscheinlichkeit, dass der Einsatz des KI-Systems für Einzelpersonen, Gruppen oder die
|
|
Gesellschaft im Allgemeinen, einschließlich möglicher Verbesserungen der Produktsicherheit, nützlich ist;
|
|
|
|
|
|
k)das Ausmaß, in dem bestehendes Unionsrecht Folgendes vorsieht:
|
|
|
|
|
|
i)wirksame Abhilfemaßnahmen in Bezug auf die Risiken, die von einem KI-System ausgehen, mit Ausnahme von
|
|
Schadenersatzansprüchen;
|
|
|
|
|
|
ii)wirksame Maßnahmen zur Vermeidung oder wesentlichen Verringerung dieser Risiken.
|
|
|
|
|
|
(3) Die Kommission ist befugt, gemäß Artikel 97 delegierte Rechtsakte zur Änderung der Liste in Anhang III zu erlassen,
|
|
um Hochrisiko-KI-Systeme zu streichen, die beide der folgenden Bedingungen erfüllen:
|
|
|
|
|
|
a)Das betreffende Hochrisiko-KI-System weist unter Berücksichtigung der in Absatz 2 aufgeführten Kriterien keine
|
|
erheblichen Risiken mehr für die Grundrechte, Gesundheit oder Sicherheit auf;
|
|
|
|
|
|
b)durch die Streichung wird das allgemeine Schutzniveau in Bezug auf Gesundheit, Sicherheit und Grundrechte im
|
|
Rahmen des Unionsrechts nicht gesenkt.
|
|
|
|
|
|
ABSCHNITT 2
|
|
|
|
|
|
Anforderungen an Hochrisiko-KI-Systeme
|
|
|
|
|
|
Artikel 8
|
|
|
|
|
|
Einhaltung der Anforderungen
|
|
|
|
|
|
(1) Hochrisiko-KI-Systeme müssen die in diesem Abschnitt festgelegten Anforderungen erfüllen, wobei ihrer
|
|
Zweckbestimmung sowie dem allgemein anerkannten Stand der Technik in Bezug auf KI und KI-bezogene Technologien
|
|
Rechnung zu tragen ist. Bei der Gewährleistung der Einhaltung dieser Anforderungen wird dem in Artikel 9 genannten
|
|
Risikomanagementsystem Rechnung getragen.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 55/
|
|
|
|
|
|
|
|
(2) Enthält ein Produkt ein KI-System, für das die Anforderungen dieser Verordnung und die Anforderungen der in
|
|
Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union gelten, so sind die Anbieter dafür
|
|
verantwortlich, sicherzustellen, dass ihr Produkt alle geltenden Anforderungen der geltenden Harmonisierungsrechtsvor-
|
|
schriften der Union vollständig erfüllt. Bei der Gewährleistung der Erfüllung der in diesem Abschnitt festgelegten
|
|
Anforderungen durch die in Absatz 1 genannten Hochrisiko-KI-Systeme und im Hinblick auf die Gewährleistung der
|
|
Kohärenz, der Vermeidung von Doppelarbeit und der Minimierung zusätzlicher Belastungen haben die Anbieter die Wahl,
|
|
die erforderlichen Test- und Berichterstattungsverfahren, Informationen und Dokumentationen, die sie im Zusammenhang
|
|
mit ihrem Produkt bereitstellen, gegebenenfalls in Dokumentationen und Verfahren zu integrieren, die bereits bestehen und
|
|
gemäß den in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union vorgeschrieben sind.
|
|
|
|
|
|
Artikel 9
|
|
|
|
|
|
Risikomanagementsystem
|
|
|
|
|
|
(1) Für Hochrisiko-KI-Systeme wird ein Risikomanagementsystem eingerichtet, angewandt, dokumentiert und
|
|
aufrechterhalten.
|
|
|
|
|
|
(2) Das Risikomanagementsystem versteht sich als ein kontinuierlicher iterativer Prozess, der während des gesamten
|
|
Lebenszyklus eines Hochrisiko-KI-Systems geplant und durchgeführt wird und eine regelmäßige systematische Überprüfung
|
|
und Aktualisierung erfordert. Es umfasst folgende Schritte:
|
|
|
|
|
|
a)die Ermittlung und Analyse der bekannten und vernünftigerweise vorhersehbaren Risiken, die vom Hochrisiko-KI-
|
|
System für die Gesundheit, Sicherheit oder Grundrechte ausgehen können, wenn es entsprechend seiner
|
|
Zweckbestimmung verwendet wird;
|
|
|
|
|
|
b)die Abschätzung und Bewertung der Risiken, die entstehen können, wenn das Hochrisiko-KI-System entsprechend seiner
|
|
Zweckbestimmung oder im Rahmen einer vernünftigerweise vorhersehbaren Fehlanwendung verwendet wird;
|
|
|
|
|
|
c) die Bewertung anderer möglicherweise auftretender Risiken auf der Grundlage der Auswertung der Daten aus dem in
|
|
Artikel 72 genannten System zur Beobachtung nach dem Inverkehrbringen;
|
|
|
|
|
|
d)die Ergreifung geeigneter und gezielter Risikomanagementmaßnahmen zur Bewältigung der gemäß Buchstabe a ermittel-
|
|
ten Risiken.
|
|
|
|
|
|
(3) Die in diesem Artikel genannten Risiken betreffen nur solche Risiken, die durch die Entwicklung oder Konzeption des
|
|
Hochrisiko-KI-Systems oder durch die Bereitstellung ausreichender technischer Informationen angemessen gemindert oder
|
|
behoben werden können.
|
|
|
|
|
|
(4) Bei den in Absatz 2 Buchstabe d genannten Risikomanagementmaßnahmen werden die Auswirkungen und
|
|
möglichen Wechselwirkungen, die sich aus der kombinierten Anwendung der Anforderungen dieses Abschnitts ergeben,
|
|
gebührend berücksichtigt, um die Risiken wirksamer zu minimieren und gleichzeitig ein angemessenes Gleichgewicht bei
|
|
der Durchführung der Maßnahmen zur Erfüllung dieser Anforderungen sicherzustellen.
|
|
|
|
|
|
(5) Die in Absatz 2 Buchstabe d genannten Risikomanagementmaßnahmen werden so gestaltet, dass jedes mit einer
|
|
bestimmten Gefahr verbundene relevante Restrisiko sowie das Gesamtrestrisiko der Hochrisiko-KI-Systeme als vertretbar
|
|
beurteilt wird.
|
|
|
|
|
|
Bei der Festlegung der am besten geeigneten Risikomanagementmaßnahmen ist Folgendes sicherzustellen:
|
|
|
|
|
|
a)soweit technisch möglich, Beseitigung oder Verringerung der gemäß Absatz 2 ermittelten und bewerteten Risiken durch
|
|
eine geeignete Konzeption und Entwicklung des Hochrisiko-KI-Systems;
|
|
|
|
|
|
b)gegebenenfalls Anwendung angemessener Minderungs- und Kontrollmaßnahmen zur Bewältigung nicht auszuschlie-
|
|
ßender Risiken;
|
|
|
|
|
|
c) Bereitstellung der gemäß Artikel 13 erforderlichen Informationen und gegebenenfalls entsprechende Schulung der
|
|
Betreiber.
|
|
|
|
|
|
Zur Beseitigung oder Verringerung der Risiken im Zusammenhang mit der Verwendung des Hochrisiko-KI-Systems werden
|
|
die technischen Kenntnisse, die Erfahrungen und der Bildungsstand, die vom Betreiber erwartet werden können, sowie der
|
|
voraussichtliche Kontext, in dem das System eingesetzt werden soll, gebührend berücksichtigt.
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
56/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
(6) Hochrisiko-KI-Systeme müssen getestet werden, um die am besten geeigneten gezielten Risikomanagement-
|
|
maßnahmen zu ermitteln. Durch das Testen wird sichergestellt, dass Hochrisiko-KI-Systeme stets im Einklang mit ihrer
|
|
Zweckbestimmung funktionieren und die Anforderungen dieses Abschnitts erfüllen.
|
|
|
|
|
|
(7) Die Testverfahren können einen Test unter Realbedingungen gemäß Artikel 60 umfassen.
|
|
|
|
|
|
(8) Das Testen von Hochrisiko-KI-Systemen erfolgt zu jedem geeigneten Zeitpunkt während des gesamten
|
|
Entwicklungsprozesses und in jedem Fall vor ihrem Inverkehrbringen oder ihrer Inbetriebnahme. Das Testen erfolgt
|
|
anhand vorab festgelegter Metriken und Wahrscheinlichkeitsschwellenwerte, die für die Zweckbestimmung des
|
|
Hochrisiko-KI-Systems geeignet sind.
|
|
|
|
|
|
(9) Bei der Umsetzung des in den Absätzen 1 bis 7 vorgesehenen Risikomanagementsystems berücksichtigen die
|
|
Anbieter, ob angesichts seiner Zweckbestimmung das Hochrisiko-KI-System wahrscheinlich nachteilige Auswirkungen auf
|
|
Personen unter 18 Jahren oder gegebenenfalls andere schutzbedürftige Gruppen haben wird.
|
|
|
|
|
|
(10) Bei Anbietern von Hochrisiko-KI-Systemen, die den Anforderungen an interne Risikomanagementprozesse gemäß
|
|
anderen einschlägigen Bestimmungen des Unionsrechts unterliegen, können die in den Absätzen 1 bis 9 enthaltenen
|
|
Aspekte Bestandteil der nach diesem Recht festgelegten Risikomanagementverfahren sein oder mit diesen Verfahren
|
|
kombiniert werden.
|
|
|
|
|
|
Artikel 10
|
|
|
|
|
|
Daten und Daten-Governance
|
|
|
|
|
|
(1) Hochrisiko-KI-Systeme, in denen Techniken eingesetzt werden, bei denen KI-Modelle mit Daten trainiert werden,
|
|
müssen mit Trainings-, Validierungs- und Testdatensätzen entwickelt werden, die den in den Absätzen 2 bis 5 genannten
|
|
Qualitätskriterien entsprechen, wenn solche Datensätze verwendet werden.
|
|
|
|
|
|
(2) Für Trainings-, Validierungs- und Testdatensätze gelten Daten-Governance- und Datenverwaltungsverfahren, die für
|
|
die Zweckbestimmung des Hochrisiko-KI-Systems geeignet sind. Diese Verfahren betreffen insbesondere
|
|
|
|
|
|
a)die einschlägigen konzeptionellen Entscheidungen,
|
|
|
|
|
|
b)die Datenerhebungsverfahren und die Herkunft der Daten und im Falle personenbezogener Daten den ursprünglichen
|
|
Zweck der Datenerhebung,
|
|
|
|
|
|
c) relevante Datenaufbereitungsvorgänge wie Annotation, Kennzeichnung, Bereinigung, Aktualisierung, Anreicherung und
|
|
Aggregierung,
|
|
|
|
|
|
d)die Aufstellung von Annahmen, insbesondere in Bezug auf die Informationen, die mit den Daten erfasst und dargestellt
|
|
werden sollen,
|
|
|
|
|
|
e) eine Bewertung der Verfügbarkeit, Menge und Eignung der benötigten Datensätze,
|
|
|
|
|
|
f) eine Untersuchung im Hinblick auf mögliche Verzerrungen (Bias), die die Gesundheit und Sicherheit von Personen
|
|
beeinträchtigen, sich negativ auf die Grundrechte auswirken oder zu einer nach den Rechtsvorschriften der Union
|
|
verbotenen Diskriminierung führen könnten, insbesondere wenn die Datenausgaben die Eingaben für künftige
|
|
Operationen beeinflussen,
|
|
|
|
|
|
g)geeignete Maßnahmen zur Erkennung, Verhinderung und Abschwächung möglicher gemäß Buchstabe f ermittelter
|
|
Verzerrungen,
|
|
|
|
|
|
h)die Ermittlung relevanter Datenlücken oder Mängel, die der Einhaltung dieser Verordnung entgegenstehen, und wie diese
|
|
Lücken und Mängel behoben werden können.
|
|
|
|
|
|
(3) Die Trainings-, Validierungs- und Testdatensätze müssen im Hinblick auf die Zweckbestimmung relevant,
|
|
hinreichend repräsentativ und so weit wie möglich fehlerfrei und vollständig sein. Sie müssen die geeigneten statistischen
|
|
Merkmale, gegebenenfalls auch bezüglich der Personen oder Personengruppen, für die das Hochrisiko-KI-System
|
|
bestimmungsgemäß verwendet werden soll, haben. Diese Merkmale der Datensätze können auf der Ebene einzelner
|
|
Datensätze oder auf der Ebene einer Kombination davon erfüllt werden.
|
|
|
|
|
|
(4) Die Datensätze müssen, soweit dies für die Zweckbestimmung erforderlich ist, die entsprechenden Merkmale oder
|
|
Elemente berücksichtigen, die für die besonderen geografischen, kontextuellen, verhaltensbezogenen oder funktionalen
|
|
Rahmenbedingungen, unter denen das Hochrisiko-KI-System bestimmungsgemäß verwendet werden soll, typisch sind.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 57/
|
|
|
|
|
|
|
|
(5) Soweit dies für die Erkennung und Korrektur von Verzerrungen im Zusammenhang mit Hochrisiko-KI-Systemen im
|
|
Einklang mit Absatz 2 Buchstaben f und g dieses Artikels unbedingt erforderlich ist, dürfen die Anbieter solcher Systeme
|
|
ausnahmsweise besondere Kategorien personenbezogener Daten verarbeiten, wobei sie angemessene Vorkehrungen für den
|
|
Schutz der Grundrechte und Grundfreiheiten natürlicher Personen treffen müssen. Zusätzlich zu den Bestimmungen der
|
|
Verordnungen (EU) 2016/679 und (EU) 2018/1725 und der Richtlinie (EU) 2016/680 müssen alle folgenden Bedingungen
|
|
erfüllt sein, damit eine solche Verarbeitung stattfinden kann:
|
|
|
|
|
|
a)Die Erkennung und Korrektur von Verzerrungen kann durch die Verarbeitung anderer Daten, einschließlich
|
|
synthetischer oder anonymisierter Daten, nicht effektiv durchgeführt werden;
|
|
|
|
|
|
b)die besonderen Kategorien personenbezogener Daten unterliegen technischen Beschränkungen einer Weiterverwendung
|
|
der personenbezogenen Daten und modernsten Sicherheits- und Datenschutzmaßnahmen, einschließlich Pseudonymi-
|
|
sierung;
|
|
|
|
|
|
c) die besonderen Kategorien personenbezogener Daten unterliegen Maßnahmen, mit denen sichergestellt wird, dass die
|
|
verarbeiteten personenbezogenen Daten gesichert, geschützt und Gegenstand angemessener Sicherheitsvorkehrungen
|
|
sind, wozu auch strenge Kontrollen des Zugriffs und seine Dokumentation gehören, um Missbrauch zu verhindern und
|
|
sicherzustellen, dass nur befugte Personen Zugang zu diesen personenbezogenen Daten mit angemessenen
|
|
Vertraulichkeitspflichten haben;
|
|
|
|
|
|
d)die besonderen Kategorien personenbezogener Daten werden nicht an Dritte übermittelt oder übertragen, noch haben
|
|
diese Dritten anderweitigen Zugang zu diesen Daten;
|
|
|
|
|
|
e) die besonderen Kategorien personenbezogener Daten werden gelöscht, sobald die Verzerrung korrigiert wurde oder das
|
|
Ende der Speicherfrist für die personenbezogenen Daten erreicht ist, je nachdem, was zuerst eintritt;
|
|
|
|
|
|
f) die Aufzeichnungen über Verarbeitungstätigkeiten gemäß den Verordnungen (EU) 2016/679 und (EU) 2018/1725 und
|
|
der Richtlinie (EU) 2016/680 enthalten die Gründe, warum die Verarbeitung besonderer Kategorien personenbezogener
|
|
Daten für die Erkennung und Korrektur von Verzerrungen unbedingt erforderlich war und warum dieses Ziel mit der
|
|
Verarbeitung anderer Daten nicht erreicht werden konnte.
|
|
|
|
|
|
(6) Bei der Entwicklung von Hochrisiko-KI-Systemen, in denen keine Techniken eingesetzt werden, bei denen KI-Modelle
|
|
trainiert werden, gelten die Absätze 2 bis 5 nur für Testdatensätze.
|
|
|
|
|
|
Artikel 11
|
|
Technische Dokumentation
|
|
|
|
|
|
(1) Die technische Dokumentation eines Hochrisiko-KI-Systems wird erstellt, bevor dieses System in Verkehr gebracht
|
|
oder in Betrieb genommen wird, und ist auf dem neuesten Stand zu halten.
|
|
|
|
|
|
Die technische Dokumentation wird so erstellt, dass aus ihr der Nachweis hervorgeht, wie das Hochrisiko-KI-System die
|
|
Anforderungen dieses Abschnitts erfüllt, und dass den zuständigen nationalen Behörden und den notifizierten Stellen die
|
|
Informationen in klarer und verständlicher Form zur Verfügung stehen, die erforderlich sind, um zu beurteilen, ob das
|
|
KI-System diese Anforderungen erfüllt. Sie enthält zumindest die in Anhang IV genannten Angaben. KMU, einschließlich
|
|
Start-up-Unternehmen, können die in Anhang IV aufgeführten Elemente der technischen Dokumentation in vereinfachter
|
|
Weise bereitstellen. Zu diesem Zweck erstellt die Kommission ein vereinfachtes Formular für die technische
|
|
Dokumentation, das auf die Bedürfnisse von kleinen Unternehmen und Kleinstunternehmen zugeschnitten ist. Entscheidet
|
|
sich ein KMU, einschließlich Start-up-Unternehmen, für eine vereinfachte Bereitstellung der in Anhang IV vorgeschriebenen
|
|
Angaben, so verwendet es das in diesem Absatz genannte Formular. Die notifizierten Stellen akzeptieren das Formular für
|
|
die Zwecke der Konformitätsbewertung.
|
|
|
|
|
|
(2) Wird ein Hochrisiko-KI-System, das mit einem Produkt verbunden ist, das unter die in Anhang I Abschnitt A auf-
|
|
geführten Harmonisierungsrechtsvorschriften der Union fällt, in Verkehr gebracht oder in Betrieb genommen, so wird eine
|
|
einzige technische Dokumentation erstellt, die alle in Absatz 1 genannten Informationen sowie die nach diesen Rechtsakten
|
|
erforderlichen Informationen enthält.
|
|
|
|
|
|
(3) Die Kommission ist befugt, wenn dies nötig ist, gemäß Artikel 97 delegierte Rechtsakte zur Änderung des
|
|
Anhangs IV zu erlassen, damit die technische Dokumentation in Anbetracht des technischen Fortschritts stets alle
|
|
Informationen enthält, die erforderlich sind, um zu beurteilen, ob das System die Anforderungen dieses Abschnitts erfüllt.
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
58/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
Artikel 12
|
|
|
|
|
|
Aufzeichnungspflichten
|
|
|
|
|
|
(1) Die Technik der Hochrisiko-KI-Systeme muss die automatische Aufzeichnung von Ereignissen (im Folgenden
|
|
„Protokollierung“) während des Lebenszyklus des Systems ermöglichen.
|
|
|
|
|
|
(2) Zur Gewährleistung, dass das Funktionieren des Hochrisiko-KI-Systems in einem der Zweckbestimmung des Systems
|
|
angemessenen Maße rückverfolgbar ist, ermöglichen die Protokollierungsfunktionen die Aufzeichnung von Ereignissen, die
|
|
für Folgendes relevant sind:
|
|
|
|
|
|
a)die Ermittlung von Situationen, die dazu führen können, dass das Hochrisiko-KI-System ein Risiko im Sinne des
|
|
Artikels 79 Absatz 1 birgt oder dass es zu einer wesentlichen Änderung kommt,
|
|
|
|
|
|
b)die Erleichterung der Beobachtung nach dem Inverkehrbringen gemäß Artikel 72 und
|
|
|
|
|
|
c) die Überwachung des Betriebs der Hochrisiko-KI-Systeme gemäß Artikel 26 Absatz 5.
|
|
|
|
|
|
(3) Die Protokollierungsfunktionen der in Anhang III Nummer 1 Buchstabe a genannten Hochrisiko-KI-Systeme müssen
|
|
zumindest Folgendes umfassen:
|
|
|
|
|
|
a)Aufzeichnung jedes Zeitraums der Verwendung des Systems (Datum und Uhrzeit des Beginns und des Endes jeder
|
|
Verwendung);
|
|
|
|
|
|
b)die Referenzdatenbank, mit der das System die Eingabedaten abgleicht;
|
|
|
|
|
|
c) die Eingabedaten, mit denen die Abfrage zu einer Übereinstimmung geführt hat;
|
|
|
|
|
|
d)die Identität der gemäß Artikel 14 Absatz 5 an der Überprüfung der Ergebnisse beteiligten natürlichen Personen.
|
|
|
|
|
|
Artikel 13
|
|
|
|
|
|
Transparenz und Bereitstellung von Informationen für die Betreiber
|
|
|
|
|
|
(1) Hochrisiko-KI-Systeme werden so konzipiert und entwickelt, dass ihr Betrieb hinreichend transparent ist, damit die
|
|
Betreiber die Ausgaben eines Systems angemessen interpretieren und verwenden können. Die Transparenz wird auf eine
|
|
geeignete Art und in einem angemessenen Maß gewährleistet, damit die Anbieter und Betreiber ihre in Abschnitt 3
|
|
festgelegten einschlägigen Pflichten erfüllen können.
|
|
|
|
|
|
(2) Hochrisiko-KI-Systeme werden mit Betriebsanleitungen in einem geeigneten digitalen Format bereitgestellt oder auf
|
|
andere Weise mit Betriebsanleitungen versehen, die präzise, vollständige, korrekte und eindeutige Informationen in einer für
|
|
die Betreiber relevanten, barrierefrei zugänglichen und verständlichen Form enthalten.
|
|
|
|
|
|
(3) Die Betriebsanleitungen enthalten mindestens folgende Informationen:
|
|
|
|
|
|
a)den Namen und die Kontaktangaben des Anbieters sowie gegebenenfalls seines Bevollmächtigten;
|
|
|
|
|
|
b)die Merkmale, Fähigkeiten und Leistungsgrenzen des Hochrisiko-KI-Systems, einschließlich
|
|
|
|
|
|
i)seiner Zweckbestimmung,
|
|
|
|
|
|
ii)des Maßes an Genauigkeit — einschließlich diesbezüglicher Metriken —, Robustheit und Cybersicherheit gemäß
|
|
Artikel 15, für das das Hochrisiko-KI-System getestet und validiert wurde und das zu erwarten ist, sowie aller
|
|
bekannten und vorhersehbaren Umstände, die sich auf das erwartete Maß an Genauigkeit, Robustheit und
|
|
Cybersicherheit auswirken können;
|
|
|
|
|
|
iii)aller bekannten oder vorhersehbaren Umstände bezüglich der Verwendung des Hochrisiko-KI-Systems im Einklang
|
|
mit seiner Zweckbestimmung oder einer vernünftigerweise vorhersehbaren Fehlanwendung, die zu den in Artikel 9
|
|
Absatz 2 genannten Risiken für die Gesundheit und Sicherheit oder die Grundrechte führen können,
|
|
|
|
|
|
iv)gegebenenfalls der technischen Fähigkeiten und Merkmale des Hochrisiko-KI-Systems, um Informationen
|
|
bereitzustellen, die zur Erläuterung seiner Ausgaben relevant sind;
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 59/
|
|
|
|
|
|
|
|
v)gegebenenfalls seiner Leistung in Bezug auf bestimmte Personen oder Personengruppen, auf die das System
|
|
bestimmungsgemäß angewandt werden soll;
|
|
|
|
|
|
vi)gegebenenfalls der Spezifikationen für die Eingabedaten oder sonstiger relevanter Informationen über die
|
|
verwendeten Trainings-, Validierungs- und Testdatensätze, unter Berücksichtigung der Zweckbestimmung des
|
|
Hochrisiko-KI-Systems;
|
|
|
|
|
|
vii)gegebenenfalls Informationen, die es den Betreibern ermöglichen, die Ausgabe des Hochrisiko-KI-Systems zu
|
|
interpretieren und es angemessen zu nutzen;
|
|
|
|
|
|
c) etwaige Änderungen des Hochrisiko-KI-Systems und seiner Leistung, die der Anbieter zum Zeitpunkt der ersten
|
|
Konformitätsbewertung vorab bestimmt hat;
|
|
|
|
|
|
d)die in Artikel 14 genannten Maßnahmen zur Gewährleistung der menschlichen Aufsicht, einschließlich der technischen
|
|
Maßnahmen, die getroffen wurden, um den Betreibern die Interpretation der Ausgaben von Hochrisiko-KI-Systemen zu
|
|
erleichtern;
|
|
|
|
|
|
e) die erforderlichen Rechen- und Hardware-Ressourcen, die erwartete Lebensdauer des Hochrisiko-KI-Systems und alle
|
|
erforderlichen Wartungs- und Pflegemaßnahmen einschließlich deren Häufigkeit zur Gewährleistung des ordnungsge-
|
|
mäßen Funktionierens dieses KI-Systems, auch in Bezug auf Software-Updates;
|
|
|
|
|
|
f) gegebenenfalls eine Beschreibung der in das Hochrisiko-KI-System integrierten Mechanismen, die es den Betreibern
|
|
ermöglicht, die Protokolle im Einklang mit Artikel 12 ordnungsgemäß zu erfassen, zu speichern und auszuwerten.
|
|
|
|
|
|
Artikel 14
|
|
Menschliche Aufsicht
|
|
|
|
|
|
(1) Hochrisiko-KI-Systeme werden so konzipiert und entwickelt, dass sie während der Dauer ihrer Verwendung — auch
|
|
mit geeigneten Instrumenten einer Mensch-Maschine-Schnittstelle — von natürlichen Personen wirksam beaufsichtigt
|
|
werden können.
|
|
|
|
|
|
(2) Die menschliche Aufsicht dient der Verhinderung oder Minimierung der Risiken für Gesundheit, Sicherheit oder
|
|
Grundrechte, die entstehen können, wenn ein Hochrisiko-KI-System im Einklang mit seiner Zweckbestimmung oder im
|
|
Rahmen einer vernünftigerweise vorhersehbaren Fehlanwendung verwendet wird, insbesondere wenn solche Risiken trotz
|
|
der Einhaltung anderer Anforderungen dieses Abschnitts fortbestehen.
|
|
|
|
|
|
(3) Die Aufsichtsmaßnahmen müssen den Risiken, dem Grad der Autonomie und dem Kontext der Nutzung des
|
|
Hochrisiko-KI-Systems angemessen sein und werden durch eine oder beide der folgenden Arten von Vorkehrungen
|
|
gewährleistet:
|
|
|
|
|
|
a)Vorkehrungen, die vor dem Inverkehrbringen oder der Inbetriebnahme vom Anbieter bestimmt und, sofern technisch
|
|
machbar, in das Hochrisiko-KI-System eingebaut werden;
|
|
|
|
|
|
b)Vorkehrungen, die vor dem Inverkehrbringen oder der Inbetriebnahme des Hochrisiko-KI-Systems vom Anbieter
|
|
bestimmt werden und dazu geeignet sind, vom Betreiber umgesetzt zu werden.
|
|
|
|
|
|
(4) Für die Zwecke der Durchführung der Absätze 1, 2 und 3 wird das Hochrisiko-KI-System dem Betreiber so zur
|
|
Verfügung gestellt, dass die natürlichen Personen, denen die menschliche Aufsicht übertragen wurde, angemessen und
|
|
verhältnismäßig in der Lage sind,
|
|
|
|
|
|
a)die einschlägigen Fähigkeiten und Grenzen des Hochrisiko-KI-Systems angemessen zu verstehen und seinen Betrieb
|
|
ordnungsgemäß zu überwachen, einschließlich in Bezug auf das Erkennen und Beheben von Anomalien, Fehlfunktionen
|
|
und unerwarteter Leistung;
|
|
|
|
|
|
b)sich einer möglichen Neigung zu einem automatischen oder übermäßigen Vertrauen in die von einem Hochrisiko-
|
|
KI-System hervorgebrachte Ausgabe („Automatisierungsbias“) bewusst zu bleiben, insbesondere wenn Hochrisiko-
|
|
KI-Systeme Informationen oder Empfehlungen ausgeben, auf deren Grundlage natürliche Personen Entscheidungen
|
|
treffen;
|
|
|
|
|
|
c) die Ausgabe des Hochrisiko-KI-Systems richtig zu interpretieren, wobei beispielsweise die vorhandenen Interpreta-
|
|
tionsinstrumente und -methoden zu berücksichtigen sind;
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
60/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
d)in einer bestimmten Situation zu beschließen, das Hochrisiko-KI-System nicht zu verwenden oder die Ausgabe des
|
|
Hochrisiko-KI-Systems außer Acht zu lassen, außer Kraft zu setzen oder rückgängig zu machen;
|
|
|
|
|
|
e) in den Betrieb des Hochrisiko-KI-Systems einzugreifen oder den Systembetrieb mit einer „Stopptaste“ oder einem
|
|
ähnlichen Verfahren zu unterbrechen, was dem System ermöglicht, in einem sicheren Zustand zum Stillstand zu
|
|
kommen.
|
|
|
|
|
|
(5) Bei den in Anhang III Nummer 1 Buchstabe a genannten Hochrisiko-KI-Systemen müssen die in Absatz 3 des
|
|
vorliegenden Artikels genannten Vorkehrungen so gestaltet sein, dass außerdem der Betreiber keine Maßnahmen oder
|
|
Entscheidungen allein aufgrund des vom System hervorgebrachten Identifizierungsergebnisses trifft, solange diese
|
|
Identifizierung nicht von mindestens zwei natürlichen Personen, die die notwendige Kompetenz, Ausbildung und Befugnis
|
|
besitzen, getrennt überprüft und bestätigt wurde.
|
|
|
|
|
|
Die Anforderung einer getrennten Überprüfung durch mindestens zwei natürliche Personen gilt nicht für Hochrisiko-
|
|
KI-Systeme, die für Zwecke in den Bereichen Strafverfolgung, Migration, Grenzkontrolle oder Asyl verwendet werden, wenn
|
|
die Anwendung dieser Anforderung nach Unionsrecht oder nationalem Recht unverhältnismäßig wäre.
|
|
|
|
|
|
Artikel 15
|
|
|
|
|
|
Genauigkeit, Robustheit und Cybersicherheit
|
|
|
|
|
|
(1) Hochrisiko-KI-Systeme werden so konzipiert und entwickelt, dass sie ein angemessenes Maß an Genauigkeit,
|
|
Robustheit und Cybersicherheit erreichen und in dieser Hinsicht während ihres gesamten Lebenszyklus beständig
|
|
funktionieren.
|
|
|
|
|
|
(2) Um die technischen Aspekte der Art und Weise der Messung des angemessenen Maßes an Genauigkeit und
|
|
Robustheit gemäß Absatz 1 und anderer einschlägiger Leistungsmetriken anzugehen, fördert die Kommission in
|
|
Zusammenarbeit mit einschlägigen Interessenträgern und Organisationen wie Metrologie- und Benchmarking-Behörden
|
|
gegebenenfalls die Entwicklung von Benchmarks und Messmethoden.
|
|
|
|
|
|
(3) Die Maße an Genauigkeit und die relevanten Genauigkeitsmetriken von Hochrisiko-KI-Systemen werden in den ihnen
|
|
beigefügten Betriebsanleitungen angegeben.
|
|
|
|
|
|
(4) Hochrisiko-KI-Systeme müssen so widerstandsfähig wie möglich gegenüber Fehlern, Störungen oder Unstimmig-
|
|
keiten sein, die innerhalb des Systems oder der Umgebung, in der das System betrieben wird, insbesondere wegen seiner
|
|
Interaktion mit natürlichen Personen oder anderen Systemen, auftreten können. In diesem Zusammenhang sind technische
|
|
und organisatorische Maßnahmen zu ergreifen.
|
|
|
|
|
|
Die Robustheit von Hochrisiko-KI-Systemen kann durch technische Redundanz erreicht werden, was auch Sicherungs- oder
|
|
Störungssicherheitspläne umfassen kann.
|
|
|
|
|
|
Hochrisiko-KI-Systeme, die nach dem Inverkehrbringen oder der Inbetriebnahme weiterhin dazulernen, sind so zu
|
|
entwickeln, dass das Risiko möglicherweise verzerrter Ausgaben, die künftige Vorgänge beeinflussen („Rückkopplungs-
|
|
schleifen“), beseitigt oder so gering wie möglich gehalten wird und sichergestellt wird, dass auf solche Rück-
|
|
kopplungsschleifen angemessen mit geeigneten Risikominderungsmaßnahmen eingegangen wird.
|
|
|
|
|
|
(5) Hochrisiko-KI-Systeme müssen widerstandsfähig gegen Versuche unbefugter Dritter sein, ihre Verwendung,
|
|
Ausgaben oder Leistung durch Ausnutzung von Systemschwachstellen zu verändern.
|
|
|
|
|
|
Die technischen Lösungen zur Gewährleistung der Cybersicherheit von Hochrisiko-KI-Systemen müssen den jeweiligen
|
|
Umständen und Risiken angemessen sein.
|
|
|
|
|
|
Die technischen Lösungen für den Umgang mit KI-spezifischen Schwachstellen umfassen gegebenenfalls Maßnahmen, um
|
|
Angriffe, mit denen versucht wird, eine Manipulation des Trainingsdatensatzes („data poisoning“) oder vortrainierter
|
|
Komponenten, die beim Training verwendet werden („model poisoning“), vorzunehmen, Eingabedaten, die das KI-Modell zu
|
|
Fehlern verleiten sollen („adversarial examples“ oder „model evasions“), Angriffe auf vertrauliche Daten oder Modellmängel
|
|
zu verhüten, zu erkennen, darauf zu reagieren, sie zu beseitigen und zu kontrollieren.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 61/
|
|
|
|
|
|
|
|
ABSCHNITT 3
|
|
|
|
|
|
Pflichten der Anbieter und Betreiber von Hochrisiko-KI-Systemen und anderer Beteiligter
|
|
|
|
|
|
Artikel 16
|
|
|
|
|
|
Pflichten der Anbieter von Hochrisiko-KI-Systemen
|
|
|
|
|
|
Anbieter von Hochrisiko-KI-Systemen müssen
|
|
|
|
|
|
a)sicherstellen, dass ihre Hochrisiko-KI-Systeme die in Abschnitt 2 festgelegten Anforderungen erfüllen;
|
|
|
|
|
|
b)auf dem Hochrisiko-KI-System oder, falls dies nicht möglich ist, auf seiner Verpackung oder in der beigefügten
|
|
Dokumentation ihren Namen, ihren eingetragenen Handelsnamen bzw. ihre eingetragene Handelsmarke und ihre
|
|
Kontaktanschrift angeben;
|
|
|
|
|
|
c) über ein Qualitätsmanagementsystem verfügen, das Artikel 17 entspricht;
|
|
|
|
|
|
d)die in Artikel 18 genannte Dokumentation aufbewahren;
|
|
|
|
|
|
e) die von ihren Hochrisiko-KI-Systemen automatisch erzeugten Protokolle gemäß Artikel 19 aufbewahren, wenn diese
|
|
ihrer Kontrolle unterliegen;
|
|
|
|
|
|
f) sicherstellen, dass das Hochrisiko-KI-System dem betreffenden Konformitätsbewertungsverfahren gemäß Artikel 43
|
|
unterzogen wird, bevor es in Verkehr gebracht oder in Betrieb genommen wird;
|
|
|
|
|
|
g)eine EU-Konformitätserklärung gemäß Artikel 47 ausstellen;
|
|
|
|
|
|
h)die CE-Kennzeichnung an das Hochrisiko-KI-System oder, falls dies nicht möglich ist, auf seiner Verpackung oder in der
|
|
beigefügten Dokumentation anbringen, um Konformität mit dieser Verordnung gemäß Artikel 48 anzuzeigen;
|
|
|
|
|
|
i) den in Artikel 49 Absatz 1 genannten Registrierungspflichten nachkommen;
|
|
|
|
|
|
j) die erforderlichen Korrekturmaßnahmen ergreifen und die gemäß Artikel 20 erforderlichen Informationen bereitstellen;
|
|
|
|
|
|
k)auf begründete Anfrage einer zuständigen nationalen Behörde nachweisen, dass das Hochrisiko-KI-System die
|
|
Anforderungen in Abschnitt 2 erfüllt;
|
|
|
|
|
|
l) sicherstellen, dass das Hochrisiko-KI-System die Barrierefreiheitsanforderungen gemäß den Richtlinien (EU) 2016/
|
|
und (EU) 2019/882 erfüllt.
|
|
|
|
|
|
Artikel 17
|
|
|
|
|
|
Qualitätsmanagementsystem
|
|
|
|
|
|
(1) Anbieter von Hochrisiko-KI-Systemen richten ein Qualitätsmanagementsystem ein, das die Einhaltung dieser
|
|
Verordnung gewährleistet. Dieses System wird systematisch und ordnungsgemäß in Form schriftlicher Regeln, Verfahren
|
|
und Anweisungen dokumentiert und umfasst mindestens folgende Aspekte:
|
|
|
|
|
|
a) ein Konzept zur Einhaltung der Regulierungsvorschriften, was die Einhaltung der Konformitätsbewertungsverfahren
|
|
und der Verfahren für das Management von Änderungen an dem Hochrisiko-KI-System miteinschließt;
|
|
|
|
|
|
b) Techniken, Verfahren und systematische Maßnahmen für den Entwurf, die Entwurfskontrolle und die Entwurfsprüfung
|
|
des Hochrisiko-KI-Systems;
|
|
|
|
|
|
c) Techniken, Verfahren und systematische Maßnahmen für die Entwicklung, Qualitätskontrolle und Qualitätssicherung
|
|
des Hochrisiko-KI-Systems;
|
|
|
|
|
|
d) Untersuchungs-, Test- und Validierungsverfahren, die vor, während und nach der Entwicklung des Hochrisiko-
|
|
KI-Systems durchzuführen sind, und die Häufigkeit der Durchführung;
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
62/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
e) die technischen Spezifikationen und Normen, die anzuwenden sind und, falls die einschlägigen harmonisierten Normen
|
|
nicht vollständig angewandt werden oder sie nicht alle relevanten Anforderungen gemäß Abschnitt 2 abdecken, die
|
|
Mittel, mit denen gewährleistet werden soll, dass das Hochrisiko-KI-System diese Anforderungen erfüllt;
|
|
|
|
|
|
f) Systeme und Verfahren für das Datenmanagement, einschließlich Datengewinnung, Datenerhebung, Datenanalyse,
|
|
Datenkennzeichnung, Datenspeicherung, Datenfilterung, Datenauswertung, Datenaggregation, Vorratsdatenspeiche-
|
|
rung und sonstiger Vorgänge in Bezug auf die Daten, die im Vorfeld und für die Zwecke des Inverkehrbringens oder der
|
|
Inbetriebnahme von Hochrisiko-KI-Systemen durchgeführt werden;
|
|
|
|
|
|
g) das in Artikel 9 genannte Risikomanagementsystem;
|
|
|
|
|
|
h) die Einrichtung, Anwendung und Aufrechterhaltung eines Systems zur Beobachtung nach dem Inverkehrbringen gemäß
|
|
Artikel 72;
|
|
|
|
|
|
i) Verfahren zur Meldung eines schwerwiegenden Vorfalls gemäß Artikel 73;
|
|
|
|
|
|
j) die Handhabung der Kommunikation mit zuständigen nationalen Behörden, anderen einschlägigen Behörden, auch
|
|
Behörden, die den Zugang zu Daten gewähren oder erleichtern, notifizierten Stellen, anderen Akteuren, Kunden oder
|
|
sonstigen interessierten Kreisen;
|
|
|
|
|
|
k) Systeme und Verfahren für die Aufzeichnung sämtlicher einschlägigen Dokumentation und Informationen;
|
|
|
|
|
|
l) Ressourcenmanagement, einschließlich Maßnahmen im Hinblick auf die Versorgungssicherheit;
|
|
|
|
|
|
m)einen Rechenschaftsrahmen, der die Verantwortlichkeiten der Leitung und des sonstigen Personals in Bezug auf alle in
|
|
diesem Absatz aufgeführten Aspekte regelt.
|
|
|
|
|
|
(2) Die Umsetzung der in Absatz 1 genannten Aspekte erfolgt in einem angemessenen Verhältnis zur Größe der
|
|
Organisation des Anbieters. Die Anbieter müssen in jedem Fall den Grad der Strenge und das Schutzniveau einhalten, die
|
|
erforderlich sind, um die Übereinstimmung ihrer Hochrisiko-KI-Systeme mit dieser Verordnung sicherzustellen.
|
|
|
|
|
|
(3) Anbieter von Hochrisiko-KI-Systemen, die Pflichten in Bezug auf Qualitätsmanagementsysteme oder eine
|
|
gleichwertige Funktion gemäß den sektorspezifischen Rechtsvorschriften der Union unterliegen, können die in Absatz 1
|
|
aufgeführten Aspekte als Bestandteil der nach den genannten Rechtsvorschriften festgelegten Qualitätsmanagementsysteme
|
|
einbeziehen.
|
|
|
|
|
|
(4) Bei Anbietern, die Finanzinstitute sind und gemäß den Rechtsvorschriften der Union über Finanzdienstleistungen
|
|
Anforderungen in Bezug auf ihre Regelungen oder Verfahren der internen Unternehmensführung unterliegen, gilt die
|
|
Pflicht zur Einrichtung eines Qualitätsmanagementsystems — mit Ausnahme des Absatzes 1 Buchstaben g, h und i des
|
|
vorliegenden Artikels — als erfüllt, wenn die Vorschriften über Regelungen oder Verfahren der internen Unternehmens-
|
|
führung gemäß dem einschlägigen Unionsrecht über Finanzdienstleistungen eingehalten werden. Zu diesem Zweck werden
|
|
die in Artikel 40 genannten harmonisierten Normen berücksichtigt.
|
|
|
|
|
|
Artikel 18
|
|
|
|
|
|
Aufbewahrung der Dokumentation
|
|
|
|
|
|
(1) Der Anbieter hält für einen Zeitraum von zehn Jahren ab dem Inverkehrbringen oder der Inbetriebnahme des
|
|
Hochrisiko-KI-Systems folgende Unterlagen für die zuständigen nationalen Behörden bereit:
|
|
|
|
|
|
a)die in Artikel 11 genannte technische Dokumentation;
|
|
|
|
|
|
b)die Dokumentation zu dem in Artikel 17 genannten Qualitätsmanagementsystem;
|
|
|
|
|
|
c) die Dokumentation über etwaige von notifizierten Stellen genehmigte Änderungen;
|
|
|
|
|
|
d)gegebenenfalls die von den notifizierten Stellen ausgestellten Entscheidungen und sonstigen Dokumente;
|
|
|
|
|
|
e) die in Artikel 47 genannte EU-Konformitätserklärung.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 63/
|
|
|
|
|
|
|
|
(2) Jeder Mitgliedstaat legt die Bedingungen fest, unter denen die in Absatz 1 genannte Dokumentation für die
|
|
zuständigen nationalen Behörden für den in dem genannten Absatz angegebenen Zeitraum bereitgehalten wird, für den Fall,
|
|
dass ein Anbieter oder sein in demselben Hoheitsgebiet niedergelassener Bevollmächtigter vor Ende dieses Zeitraums in
|
|
Konkurs geht oder seine Tätigkeit aufgibt.
|
|
|
|
|
|
(3) Anbieter, die Finanzinstitute sind und gemäß dem Unionsrecht über Finanzdienstleistungen Anforderungen in Bezug
|
|
auf ihre Regelungen oder Verfahren der internen Unternehmensführung unterliegen, pflegen die technische Dokumentation
|
|
als Teil der gemäß dem Unionsrecht über Finanzdienstleistungen aufzubewahrenden Dokumentation.
|
|
|
|
|
|
Artikel 19
|
|
Automatisch erzeugte Protokolle
|
|
|
|
|
|
(1) Anbieter von Hochrisiko-KI-Systemen bewahren die von ihren Hochrisiko-KI-Systemen automatisch erzeugten
|
|
Protokolle gemäß Artikel 12 Absatz 1 auf, soweit diese Protokolle ihrer Kontrolle unterliegen. Unbeschadet des geltenden
|
|
Unionsrechts oder nationalen Rechts werden die Protokolle für einen der Zweckbestimmung des Hochrisiko-KI-Systems
|
|
angemessenen Zeitraum von mindestens sechs Monaten aufbewahrt, sofern in den geltenden Rechtsvorschriften der Union,
|
|
insbesondere im Unionsrecht zum Schutz personenbezogener Daten, oder im geltenden nationalen Recht nichts anderes
|
|
vorgesehen ist.
|
|
|
|
|
|
(2) Anbieter, die Finanzinstitute sind und gemäß den Rechtsvorschriften der Union über Finanzdienstleistungen
|
|
Anforderungen in Bezug auf ihre Regelungen oder Verfahren der internen Unternehmensführung, unterliegen, bewahren
|
|
die von ihren Hochrisiko-KI-Systemen automatisch erzeugten Protokolle als Teil der gemäß dem einschlägigen Unionsrecht
|
|
über Finanzdienstleistungen aufzubewahrenden Dokumentation auf.
|
|
|
|
|
|
Artikel 20
|
|
|
|
|
|
Korrekturmaßnahmen und Informationspflicht
|
|
|
|
|
|
(1) Anbieter von Hochrisiko-KI-Systemen, die der Auffassung sind oder Grund zu der Annahme haben, dass ein von
|
|
ihnen in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System nicht dieser Verordnung entspricht,
|
|
ergreifen unverzüglich die erforderlichen Korrekturmaßnahmen, um die Konformität dieses Systems herzustellen oder es
|
|
gegebenenfalls zurückzunehmen, zu deaktivieren oder zurückzurufen. Sie informieren die Händler des betreffenden
|
|
Hochrisiko-KI-Systems und gegebenenfalls die Betreiber, den Bevollmächtigten und die Einführer darüber.
|
|
|
|
|
|
(2) Birgt das Hochrisiko-KI-System ein Risiko im Sinne des Artikels 79 Absatz 1 und wird sich der Anbieter des Systems
|
|
dieses Risikos bewusst, so führt er unverzüglich gegebenenfalls gemeinsam mit dem meldenden Betreiber eine
|
|
Untersuchung der Ursachen durch und informiert er die Marktüberwachungsbehörden, in deren Zuständigkeit das
|
|
betroffene Hochrisiko-KI-System fällt, und gegebenenfalls die notifizierte Stelle, die eine Bescheinigung für dieses
|
|
Hochrisiko-KI-System gemäß Artikel 44 ausgestellt hat, insbesondere über die Art der Nichtkonformität und über bereits
|
|
ergriffene relevante Korrekturmaßnahmen.
|
|
|
|
|
|
Artikel 21
|
|
|
|
|
|
Zusammenarbeit mit den zuständigen Behörden
|
|
|
|
|
|
(1) Anbieter von Hochrisiko-KI-Systemen übermitteln einer zuständigen Behörde auf deren begründete Anfrage
|
|
sämtliche Informationen und Dokumentation, die erforderlich sind, um die Konformität des Hochrisiko-KI-Systems mit den
|
|
in Abschnitt 2 festgelegten Anforderungen nachzuweisen, und zwar in einer Sprache, die für die Behörde leicht verständlich
|
|
ist und bei der es sich um eine der von dem betreffenden Mitgliedstaat angegebenen Amtssprachen der Institutionen der
|
|
Union handelt.
|
|
|
|
|
|
(2) Auf begründete Anfrage einer zuständigen Behörde gewähren die Anbieter der anfragenden zuständigen Behörde
|
|
gegebenenfalls auch Zugang zu den automatisch erzeugten Protokollen des Hochrisiko-KI-Systems gemäß Artikel 12
|
|
Absatz 1, soweit diese Protokolle ihrer Kontrolle unterliegen.
|
|
|
|
|
|
(3) Alle Informationen, die eine zuständige Behörde aufgrund dieses Artikels erhält, werden im Einklang mit den in
|
|
Artikel 78 festgelegten Vertraulichkeitspflichten behandelt.
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
64/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
Artikel 22
|
|
|
|
|
|
Bevollmächtigte der Anbieter von Hochrisiko-KI-Systemen
|
|
|
|
|
|
(1) Anbieter, die in Drittländern niedergelassen sind, benennen vor der Bereitstellung ihrer Hochrisiko-KI-Systeme auf
|
|
dem Unionsmarkt schriftlich einen in der Union niedergelassenen Bevollmächtigten.
|
|
|
|
|
|
(2) Der Anbieter muss seinem Bevollmächtigten ermöglichen, die Aufgaben wahrzunehmen, die im vom Anbieter
|
|
erhaltenen Auftrag festgelegt sind.
|
|
|
|
|
|
(3) Der Bevollmächtigte nimmt die Aufgaben wahr, die in seinem vom Anbieter erhaltenen Auftrag festgelegt sind. Er
|
|
stellt den Marktüberwachungsbehörden auf Anfrage eine Kopie des Auftrags in einer von der zuständigen Behörde
|
|
angegebenen Amtssprache der Institutionen der Union bereit. Für die Zwecke dieser Verordnung ermächtigt der Auftrag
|
|
den Bevollmächtigten zumindest zur Wahrnehmung folgender Aufgaben:
|
|
|
|
|
|
a)Überprüfung, ob die in Artikel 47 genannte EU-Konformitätserklärung und die technische Dokumentation gemäß
|
|
Artikel 11 erstellt wurden und ob der Anbieter ein angemessenes Konformitätsbewertungsverfahren durchgeführt hat;
|
|
|
|
|
|
b)Bereithaltung — für einen Zeitraum von zehn Jahren ab dem Inverkehrbringen oder der Inbetriebnahme des
|
|
Hochrisiko-KI-Systems — der Kontaktdaten des Anbieters, der den Bevollmächtigten benannt hat, eines Exemplars der in
|
|
Artikel 47 genannten EU-Konformitätserklärung, der technischen Dokumentation und gegebenenfalls der von der
|
|
notifizierten Stelle ausgestellten Bescheinigung für die zuständigen Behörden und die in Artikel 74 Absatz 10 genannten
|
|
nationalen Behörden oder Stellen;
|
|
|
|
|
|
c) Übermittlung sämtlicher — auch der unter Buchstabe b dieses Unterabsatzes genannten — Informationen und
|
|
Dokumentation, die erforderlich sind, um die Konformität eines Hochrisiko-KI-Systems mit den in Abschnitt 2
|
|
festgelegten Anforderungen nachzuweisen, an eine zuständige Behörde auf deren begründete Anfrage, einschließlich der
|
|
Gewährung des Zugangs zu den vom Hochrisiko-KI-System automatisch erzeugten Protokollen gemäß Artikel 12
|
|
Absatz 1, soweit diese Protokolle der Kontrolle des Anbieters unterliegen;
|
|
|
|
|
|
d)Zusammenarbeit mit den zuständigen Behörden auf deren begründete Anfrage bei allen Maßnahmen, die Letztere im
|
|
Zusammenhang mit dem Hochrisiko-KI-System ergreifen, um insbesondere die von dem Hochrisiko-KI-System
|
|
ausgehenden Risiken zu verringern und abzumildern;
|
|
|
|
|
|
e) gegebenenfalls die Einhaltung der Registrierungspflichten gemäß Artikel 49 Absatz 1 oder, falls die Registrierung vom
|
|
Anbieter selbst vorgenommen wird, Sicherstellung der Richtigkeit der in Anhang VIII Abschnitt A Nummer 3
|
|
aufgeführten Informationen.
|
|
|
|
|
|
Mit dem Auftrag wird der Bevollmächtigte ermächtigt, neben oder anstelle des Anbieters als Ansprechpartner für die
|
|
zuständigen Behörden in allen Fragen zu dienen, die die Gewährleistung der Einhaltung dieser Verordnung betreffen.
|
|
|
|
|
|
(4) Der Bevollmächtigte beendet den Auftrag, wenn er der Auffassung ist oder Grund zu der Annahme hat, dass der
|
|
Anbieter gegen seine Pflichten gemäß dieser Verordnung verstößt. In diesem Fall informiert er unverzüglich die betreffende
|
|
Marktüberwachungsbehörde und gegebenenfalls die betreffende notifizierte Stelle über die Beendigung des Auftrags und
|
|
deren Gründe.
|
|
|
|
|
|
Artikel 23
|
|
|
|
|
|
Pflichten der Einführer
|
|
|
|
|
|
(1) Bevor sie ein Hochrisiko-KI-System in Verkehr bringen, stellen die Einführer sicher, dass das System dieser
|
|
Verordnung entspricht, indem sie überprüfen, ob
|
|
|
|
|
|
a)der Anbieter des Hochrisiko-KI-Systems das entsprechende Konformitätsbewertungsverfahren gemäß Artikel 43
|
|
durchgeführt hat;
|
|
|
|
|
|
b)der Anbieter die technische Dokumentation gemäß Artikel 11 und Anhang IV erstellt hat;
|
|
|
|
|
|
c) das System mit der erforderlichen CE-Kennzeichnung versehen ist und ihm die in Artikel 47 genannte EU-Konfor-
|
|
mitätserklärung und Betriebsanleitungen beigefügt sind;
|
|
|
|
|
|
d)der Anbieter einen Bevollmächtigten gemäß Artikel 22 Absatz 1 benannt hat.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 65/
|
|
|
|
|
|
|
|
(2) Hat ein Einführer hinreichenden Grund zu der Annahme, dass ein Hochrisiko-KI-System nicht dieser Verordnung
|
|
entspricht oder gefälscht ist oder diesem eine gefälschte Dokumentation beigefügt ist, so bringt er das System erst in
|
|
Verkehr, nachdem dessen Konformität hergestellt wurde. Birgt das Hochrisiko-KI-System ein Risiko im Sinne des Artikels 79
|
|
Absatz 1, so informiert der Einführer den Anbieter des Systems, die Bevollmächtigten und die Marktüberwachungs-
|
|
behörden darüber.
|
|
|
|
|
|
(3) Die Einführer geben ihren Namen, ihren eingetragenen Handelsnamen oder ihre eingetragene Handelsmarke und die
|
|
Anschrift, unter der sie in Bezug auf das Hochrisiko-KI-System kontaktiert werden können, auf der Verpackung oder
|
|
gegebenenfalls in der beigefügten Dokumentation an.
|
|
|
|
|
|
(4) Solange sich ein Hochrisiko-KI-System in ihrer Verantwortung befindet, gewährleisten Einführer, dass — soweit
|
|
zutreffend — die Lagerungs- oder Transportbedingungen seine Konformität mit den in Abschnitt 2 festgelegten
|
|
Anforderungen nicht beeinträchtigen.
|
|
|
|
|
|
(5) Die Einführer halten für einen Zeitraum von zehn Jahren ab dem Inverkehrbringen oder der Inbetriebnahme des
|
|
Hochrisiko-KI-Systems ein Exemplar der von der notifizierten Stelle ausgestellten Bescheinigung sowie gegebenenfalls die
|
|
Betriebsanleitungen und die in Artikel 47 genannte EU-Konformitätserklärung bereit.
|
|
|
|
|
|
(6) Die Einführer übermitteln den betreffenden nationalen Behörden auf deren begründete Anfrage sämtliche — auch die
|
|
in Absatz 5 genannten — Informationen und Dokumentation, die erforderlich sind, um die Konformität des
|
|
Hochrisiko-KI-Systems mit den in Abschnitt 2 festgelegten Anforderungen nachzuweisen, und zwar in einer Sprache,
|
|
die für jene leicht verständlich ist. Zu diesem Zweck stellen sie auch sicher, dass diesen Behörden die technische
|
|
Dokumentation zur Verfügung gestellt werden kann.
|
|
|
|
|
|
(7) Die Einführer arbeiten mit den betreffenden nationalen Behörden bei allen Maßnahmen zusammen, die diese
|
|
Behörden im Zusammenhang mit einem von den Einführern in Verkehr gebrachten Hochrisiko-KI-System ergreifen, um
|
|
insbesondere die von diesem System ausgehenden Risiken zu verringern und abzumildern.
|
|
|
|
|
|
Artikel 24
|
|
|
|
|
|
Pflichten der Händler
|
|
|
|
|
|
(1) Bevor Händler ein Hochrisiko-KI-System auf dem Markt bereitstellen, überprüfen sie, ob es mit der erforderlichen
|
|
CE-Kennzeichnung versehen ist, ob ihm eine Kopie der in Artikel 47 genannten EU-Konformitätserklärung und
|
|
Betriebsanleitungen beigefügt sind und ob der Anbieter und gegebenenfalls der Einführer dieses Systems ihre in Artikel 16
|
|
Buchstaben b und c sowie Artikel 23 Absatz 3 festgelegten jeweiligen Pflichten erfüllt haben.
|
|
|
|
|
|
(2) Ist ein Händler der Auffassung oder hat er aufgrund von Informationen, die ihm zur Verfügung stehen, Grund zu der
|
|
Annahme, dass ein Hochrisiko-KI-System nicht den Anforderungen in Abschnitt 2 entspricht, so stellt er das
|
|
Hochrisiko-KI-System erst auf dem Markt bereit, nachdem die Konformität des Systems mit den Anforderungen hergestellt
|
|
wurde. Birgt das Hochrisiko-IT-System zudem ein Risiko im Sinne des Artikels 79 Absatz 1, so informiert der Händler den
|
|
Anbieter bzw. den Einführer des Systems darüber.
|
|
|
|
|
|
(3) Solange sich ein Hochrisiko-KI-System in ihrer Verantwortung befindet, gewährleisten Händler, dass — soweit
|
|
zutreffend — die Lagerungs- oder Transportbedingungen die Konformität des Systems mit den in Abschnitt 2 festgelegten
|
|
Anforderungen nicht beeinträchtigen.
|
|
|
|
|
|
(4) Ein Händler, der aufgrund von Informationen, die ihm zur Verfügung stehen, der Auffassung ist oder Grund zu der
|
|
Annahme hat, dass ein von ihm auf dem Markt bereitgestelltes Hochrisiko-KI-System nicht den Anforderungen in
|
|
Abschnitt 2 entspricht, ergreift die erforderlichen Korrekturmaßnahmen, um die Konformität dieses Systems mit diesen
|
|
Anforderungen herzustellen, es zurückzunehmen oder zurückzurufen, oder er stellt sicher, dass der Anbieter, der Einführer
|
|
oder gegebenenfalls jeder relevante Akteur diese Korrekturmaßnahmen ergreift. Birgt das Hochrisiko-KI-System ein Risiko
|
|
im Sinne des Artikels 79 Absatz 1, so informiert der Händler unverzüglich den Anbieter bzw. den Einführer des Systems
|
|
sowie die für das betroffene Hochrisiko-KI-System zuständigen Behörden und macht dabei ausführliche Angaben,
|
|
insbesondere zur Nichtkonformität und zu bereits ergriffenen Korrekturmaßnahmen.
|
|
|
|
|
|
(5) Auf begründete Anfrage einer betreffenden zuständigen Behörde übermitteln die Händler eines Hochrisiko-KI-
|
|
Systems dieser Behörde sämtliche Informationen und Dokumentation in Bezug auf ihre Maßnahmen gemäß den
|
|
Absätzen 1 bis 4, die erforderlich sind, um die Konformität dieses Systems mit den in Abschnitt 2 festgelegten
|
|
Anforderungen nachzuweisen.
|
|
|
|
|
|
(6) Die Händler arbeiten mit den betreffenden zuständigen Behörden bei allen Maßnahmen zusammen, die diese
|
|
Behörden im Zusammenhang mit einem von den Händlern auf dem Markt bereitgestellten Hochrisiko-KI-System ergreifen,
|
|
um insbesondere das von diesem System ausgehende Risiko zu verringern oder abzumildern.
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
66/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
Artikel 25
|
|
|
|
|
|
Verantwortlichkeiten entlang der KI-Wertschöpfungskette
|
|
|
|
|
|
(1) In den folgenden Fällen gelten Händler, Einführer, Betreiber oder sonstige Dritte als Anbieter eines Hochrisiko-
|
|
KI-Systems für die Zwecke dieser Verordnung und unterliegen den Anbieterpflichten gemäß Artikel 16:
|
|
|
|
|
|
a)wenn sie ein bereits in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System mit ihrem Namen oder
|
|
ihrer Handelsmarke versehen, unbeschadet vertraglicher Vereinbarungen, die eine andere Aufteilung der Pflichten
|
|
vorsehen;
|
|
|
|
|
|
b)wenn sie eine wesentliche Veränderung eines Hochrisiko-KI-Systems, das bereits in Verkehr gebracht oder in Betrieb
|
|
genommen wurde, so vornehmen, dass es weiterhin ein Hochrisiko-KI-System gemäß Artikel 6 bleibt;
|
|
|
|
|
|
c) wenn sie die Zweckbestimmung eines KI-Systems, einschließlich eines KI-Systems mit allgemeinem Verwendungszweck,
|
|
das nicht als hochriskant eingestuft wurde und bereits in Verkehr gebracht oder in Betrieb genommen wurde, so
|
|
verändern, dass das betreffende KI-System zu einem Hochrisiko-KI-System im Sinne von Artikel 6 wird.
|
|
|
|
|
|
(2) Unter den in Absatz 1 genannten Umständen gilt der Anbieter, der das KI-System ursprünglich in Verkehr gebracht
|
|
oder in Betrieb genommen hatte, nicht mehr als Anbieter dieses spezifischen KI-Systems für die Zwecke dieser Verordnung.
|
|
Dieser Erstanbieter arbeitet eng mit neuen Anbietern zusammen, stellt die erforderlichen Informationen zur Verfügung und
|
|
sorgt für den vernünftigerweise zu erwartenden technischen Zugang und sonstige Unterstützung, die für die Erfüllung der
|
|
in dieser Verordnung festgelegten Pflichten, insbesondere in Bezug auf die Konformitätsbewertung von Hochrisiko-
|
|
KI-Systemen, erforderlich sind. Dieser Absatz gilt nicht in Fällen, in denen der Erstanbieter eindeutig festgelegt hat, dass sein
|
|
KI-System nicht in ein Hochrisiko-KI-System umgewandelt werden darf und daher nicht der Pflicht zur Übergabe der
|
|
Dokumentation unterliegt.
|
|
|
|
|
|
(3) Im Falle von Hochrisiko-KI-Systemen, bei denen es sich um Sicherheitsbauteile von Produkten handelt, die unter die
|
|
in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union fallen, gilt der Produkthersteller als
|
|
Anbieter des Hochrisiko-KI-Systems und unterliegt in den beiden nachfolgenden Fällen den Pflichten nach Artikel 16:
|
|
|
|
|
|
a)Das Hochrisiko-KI-System wird zusammen mit dem Produkt unter dem Namen oder der Handelsmarke des
|
|
Produktherstellers in Verkehr gebracht;
|
|
|
|
|
|
b)das Hochrisiko-KI-System wird unter dem Namen oder der Handelsmarke des Produktherstellers in Betrieb genommen,
|
|
nachdem das Produkt in Verkehr gebracht wurde.
|
|
|
|
|
|
(4) Der Anbieter eines Hochrisiko-KI-Systems und der Dritte, der ein KI-System, Instrumente, Dienste, Komponenten
|
|
oder Verfahren bereitstellt, die in einem Hochrisiko-KI-System verwendet oder integriert werden, legen in einer schriftlichen
|
|
Vereinbarung die Informationen, die Fähigkeiten, den technischen Zugang und die sonstige Unterstützung nach dem
|
|
allgemein anerkannten Stand der Technik fest, die erforderlich sind, damit der Anbieter des Hochrisiko-KI-Systems die in
|
|
dieser Verordnung festgelegten Pflichten vollständig erfüllen kann. Dieser Absatz gilt nicht für Dritte, die Instrumente,
|
|
Dienste, Verfahren oder Komponenten, bei denen es sich nicht um KI-Modelle mit allgemeinem Verwendungszweck
|
|
handelt, im Rahmen einer freien und quelloffenen Lizenz öffentlich zugänglich machen.
|
|
|
|
|
|
Das Büro für Künstliche Intelligenz kann freiwillige Musterbedingungen für Verträge zwischen Anbietern von
|
|
Hochrisiko-KI-Systemen und Dritten, die Instrumente, Dienste, Komponenten oder Verfahren bereitstellen, die für
|
|
Hochrisiko-KI-Systeme verwendet oder in diese integriert werden, ausarbeiten und empfehlen. Bei der Ausarbeitung dieser
|
|
freiwilligen Musterbedingungen berücksichtigt das Büro für Künstliche Intelligenz mögliche vertragliche Anforderungen, die
|
|
in bestimmten Sektoren oder Geschäftsfällen gelten. Die freiwilligen Musterbedingungen werden veröffentlicht und sind
|
|
kostenlos in einem leicht nutzbaren elektronischen Format verfügbar.
|
|
|
|
|
|
(5) Die Absätze 2 und 3 berühren nicht die Notwendigkeit, Rechte des geistigen Eigentums, vertrauliche
|
|
Geschäftsinformationen und Geschäftsgeheimnisse im Einklang mit dem Unionsrecht und dem nationalen Recht zu
|
|
achten und zu schützen.
|
|
|
|
|
|
Artikel 26
|
|
|
|
|
|
Pflichten der Betreiber von Hochrisiko-KI-Systemen
|
|
|
|
|
|
(1) Die Betreiber von Hochrisiko-KI-Systemen treffen geeignete technische und organisatorische Maßnahmen, um
|
|
sicherzustellen, dass sie solche Systeme entsprechend der den Systemen beigefügten Betriebsanleitungen und gemäß den
|
|
Absätzen 3 und 6 verwenden.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 67/
|
|
|
|
|
|
|
|
(2) Die Betreiber übertragen natürlichen Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis
|
|
verfügen, die menschliche Aufsicht und lassen ihnen die erforderliche Unterstützung zukommen.
|
|
|
|
|
|
(3) Die Pflichten nach den Absätzen 1 und 2 lassen sonstige Pflichten der Betreiber nach Unionsrecht oder nationalem
|
|
Recht sowie die Freiheit der Betreiber bei der Organisation ihrer eigenen Ressourcen und Tätigkeiten zur Wahrnehmung der
|
|
vom Anbieter angegebenen Maßnahmen der menschlichen Aufsicht unberührt.
|
|
|
|
|
|
(4) Unbeschadet der Absätze 1 und 2 und soweit die Eingabedaten ihrer Kontrolle unterliegen, sorgen die Betreiber dafür,
|
|
dass die Eingabedaten der Zweckbestimmung des Hochrisiko-KI-Systems entsprechen und ausreichend repräsentativ sind.
|
|
|
|
|
|
(5) Die Betreiber überwachen den Betrieb des Hochrisiko-KI-Systems anhand der Betriebsanleitung und informieren
|
|
gegebenenfalls die Anbieter gemäß Artikel 72. Haben Betreiber Grund zu der Annahme, dass die Verwendung gemäß der
|
|
Betriebsanleitung dazu führen kann, dass dieses Hochrisiko-KI-System ein Risiko im Sinne des Artikels 79 Absatz 1 birgt, so
|
|
informieren sie unverzüglich den Anbieter oder Händler und die zuständige Marktüberwachungsbehörde und setzen die
|
|
Verwendung dieses Systems aus. Haben die Betreiber einen schwerwiegenden Vorfall festgestellt, informieren sie auch
|
|
unverzüglich zuerst den Anbieter und dann den Einführer oder Händler und die zuständigen Marktüberwachungsbehörden
|
|
über diesen Vorfall. Kann der Betreiber den Anbieter nicht erreichen, so gilt Artikel 73 entsprechend. Diese Pflicht gilt nicht
|
|
für sensible operative Daten von Betreibern von KI-Systemen, die Strafverfolgungsbehörden sind.
|
|
|
|
|
|
Bei Betreibern, die Finanzinstitute sind und gemäß den Rechtsvorschriften der Union über Finanzdienstleistungen
|
|
Anforderungen in Bezug auf ihre Regelungen oder Verfahren der internen Unternehmensführung, unterliegen, gilt die in
|
|
Unterabsatz 1 festgelegte Überwachungspflicht als erfüllt, wenn die Vorschriften über Regelungen, Verfahren oder
|
|
Mechanismen der internen Unternehmensführung gemäß einschlägigem Recht über Finanzdienstleistungen eingehalten
|
|
werden.
|
|
|
|
|
|
(6) Betreiber von Hochrisiko-KI-Systemen bewahren die von ihrem Hochrisiko-KI-System automatisch erzeugten
|
|
Protokolle, soweit diese Protokolle ihrer Kontrolle unterliegen, für einen der Zweckbestimmung des Hochrisiko-KI-Systems
|
|
angemessenen Zeitraum von mindestens sechs Monaten auf, sofern im geltenden Unionsrecht, insbesondere im
|
|
Unionsrecht über den Schutz personenbezogener Daten, oder im geltenden nationalen Recht nichts anderes bestimmt ist.
|
|
|
|
|
|
Betreiber, die Finanzinstitute sind und gemäß den Rechtsvorschriften der Union über Finanzdienstleistungen
|
|
Anforderungen in Bezug auf ihre Regelungen oder Verfahren der internen Unternehmensführung unterliegen, bewahren
|
|
die Protokolle als Teil der gemäß einschlägigem Unionsecht über Finanzdienstleistungen aufzubewahrenden Dokumenta-
|
|
tion auf.
|
|
|
|
|
|
(7) Vor der Inbetriebnahme oder Verwendung eines Hochrisiko-KI-Systems am Arbeitsplatz informieren Betreiber, die
|
|
Arbeitgeber sind, die Arbeitnehmervertreter und die betroffenen Arbeitnehmer darüber, dass sie der Verwendung des
|
|
Hochrisiko-KI-Systems unterliegen werden. Diese Informationen werden gegebenenfalls im Einklang mit den Vorschriften
|
|
und Gepflogenheiten auf Unionsebene und nationaler Ebene in Bezug auf die Unterrichtung der Arbeitnehmer und ihrer
|
|
Vertreter bereitgestellt.
|
|
|
|
|
|
(8) Betreiber von Hochrisiko-KI-Systemen, bei denen es sich um Organe, Einrichtungen oder sonstige Stellen der Union
|
|
handelt, müssen den Registrierungspflichten gemäß Artikel 49 nachkommen. Stellen diese Betreiber fest, dass das
|
|
Hochrisiko-KI-System, dessen Verwendung sie planen, nicht in der in Artikel 71 genannten EU-Datenbank registriert
|
|
wurde, sehen sie von der Verwendung dieses Systems ab und informieren den Anbieter oder den Händler.
|
|
|
|
|
|
(9) Die Betreiber von Hochrisiko-KI-Systemen verwenden gegebenenfalls die gemäß Artikel 13 der vorliegenden
|
|
Verordnung bereitgestellten Informationen, um ihrer Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung
|
|
gemäß Artikel 35 der Verordnung (EU) 2016/679 oder Artikel 27 der Richtlinie (EU) 2016/680 nachzukommen.
|
|
|
|
|
|
(10) Unbeschadet der Richtlinie (EU) 2016/680 beantragt der Betreiber eines Hochrisiko-KI-Systems zur nachträglichen
|
|
biometrischen Fernfernidentifizierung im Rahmen von Ermittlungen zur gezielten Suche einer Person, die der Begehung
|
|
einer Straftat verdächtigt wird oder aufgrund einer solchen verurteilt wurde, vorab oder unverzüglich, spätestens jedoch
|
|
binnen 48 Stunden bei einer Justizbehörde oder einer Verwaltungsbehörde, deren Entscheidung bindend ist und einer
|
|
justiziellen Überprüfung unterliegt, die Genehmigung für die Nutzung dieses Systems, es sei denn, es wird zur erstmaligen
|
|
Identifizierung eines potenziellen Verdächtigen auf der Grundlage objektiver und nachprüfbarer Tatsachen, die in
|
|
unmittelbarem Zusammenhang mit der Straftat stehen, verwendet. Jede Verwendung ist auf das für die Ermittlung einer
|
|
bestimmten Straftat unbedingt erforderliche Maß zu beschränken.
|
|
|
|
|
|
Wird die gemäß Unterabsatz 1 beantragte Genehmigung abgelehnt, so wird die Verwendung des mit dieser beantragten
|
|
Genehmigung verbundenen Systems zur nachträglichen biometrischen Fernidentifizierung mit sofortiger Wirkung
|
|
eingestellt und werden die personenbezogenen Daten, die im Zusammenhang mit der Verwendung des Hochrisiko-KI-
|
|
Systems stehen, für die die Genehmigung beantragt wurde, gelöscht.
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
68/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
In keinem Fall darf ein solches Hochrisiko-KI-System zur nachträglichen biometrischen Fernidentifizierung zu
|
|
Strafverfolgungszwecken in nicht zielgerichteter Weise und ohne jeglichen Zusammenhang mit einer Straftat, einem
|
|
Strafverfahren, einer tatsächlichen und bestehenden oder tatsächlichen und vorhersehbaren Gefahr einer Straftat oder der
|
|
Suche nach einer bestimmten vermissten Person verwendet werden. Es muss sichergestellt werden, dass die
|
|
Strafverfolgungsbehörden keine ausschließlich auf der Grundlage der Ausgabe solcher Systeme zur nachträglichen
|
|
biometrischen Fernidentifizierung beruhende Entscheidung, aus der sich eine nachteilige Rechtsfolge für eine Person ergibt,
|
|
treffen.
|
|
|
|
|
|
Dieser Absatz gilt unbeschadet des Artikels 9 der Verordnung (EU) 2016/679 und des Artikels 10 der Richtlinie (EU)
|
|
2016/680 für die Verarbeitung biometrischer Daten.
|
|
|
|
|
|
Unabhängig vom Zweck oder Betreiber wird jede Verwendung solcher Hochrisiko-KI-Systeme in der einschlägigen
|
|
Polizeiakte dokumentiert und der zuständigen Marktüberwachungsbehörde und der nationalen Datenschutzbehörde auf
|
|
Anfrage zur Verfügung gestellt, wovon die Offenlegung sensibler operativer Daten im Zusammenhang mit der
|
|
Strafverfolgung ausgenommen ist. Dieser Unterabsatz berührt nicht die den Aufsichtsbehörden durch die Richtlinie (EU)
|
|
2016/680 übertragenen Befugnisse.
|
|
|
|
|
|
Die Betreiber legen den zuständigen Marktüberwachungsbehörden und den nationalen Datenschutzbehörden Jahresberichte
|
|
über ihre Verwendung von Systemen zur nachträglichen biometrischen Fernidentifizierung vor, wovon die Offenlegung
|
|
sensibler operativer Daten im Zusammenhang mit der Strafverfolgung ausgenommen ist. Die Berichte können eine
|
|
Zusammenfassung sein, damit sie mehr als einen Einsatz abdecken.
|
|
|
|
|
|
Die Mitgliedstaaten können im Einklang mit dem Unionsrecht strengere Rechtsvorschriften für die Verwendung von
|
|
Systemen zur nachträglichen biometrischen Fernidentifizierung erlassen.
|
|
|
|
|
|
(11) Unbeschadet des Artikels 50 der vorliegenden Verordnung informieren die Betreiber der in Anhang III aufgeführten
|
|
Hochrisiko-KI-Systeme, die natürliche Personen betreffende Entscheidungen treffen oder bei solchen Entscheidungen
|
|
Unterstützung leisten, die natürlichen Personen darüber, dass sie der Verwendung des Hochrisiko-KI-Systems unterliegen.
|
|
Für Hochrisiko-KI-Systeme, die zu Strafverfolgungszwecken verwendet werden, gilt Artikel 13 der Richtlinie (EU)
|
|
2016/680.
|
|
|
|
|
|
(12) Die Betreiber arbeiten mit den zuständigen Behörden bei allen Maßnahmen zusammen, die diese Behörden im
|
|
Zusammenhang mit dem Hochrisiko-KI-System zur Umsetzung dieser Verordnung ergreifen.
|
|
|
|
|
|
Artikel 27
|
|
|
|
|
|
Grundrechte-Folgenabschätzung für Hochrisiko-KI-Systeme
|
|
|
|
|
|
(1) Vor der Inbetriebnahme eines Hochrisiko-KI-Systems gemäß Artikel 6 Absatz 2 — mit Ausnahme von
|
|
Hochrisiko-KI-Systemen, die in dem in Anhang III Nummer 2 aufgeführten Bereich verwendet werden sollen — führen
|
|
Betreiber, bei denen es sich um Einrichtungen des öffentlichen Rechts oder private Einrichtungen, die öffentliche Dienste
|
|
erbringen, handelt, und Betreiber von Hochrisiko-KI-Systemen gemäß Anhang III Nummer 5 Buchstaben b und c eine
|
|
Abschätzung der Auswirkungen, die die Verwendung eines solchen Systems auf die Grundrechte haben kann, durch. Zu
|
|
diesem Zweck führen die Betreiber eine Abschätzung durch, die Folgendes umfasst:
|
|
|
|
|
|
a)eine Beschreibung der Verfahren des Betreibers, bei denen das Hochrisiko-KI-System im Einklang mit seiner
|
|
Zweckbestimmung verwendet wird;
|
|
|
|
|
|
b)eine Beschreibung des Zeitraums und der Häufigkeit, innerhalb dessen bzw. mit der jedes Hochrisiko-KI-System
|
|
verwendet werden soll;
|
|
|
|
|
|
c) die Kategorien der natürlichen Personen und Personengruppen, die von seiner Verwendung im spezifischen Kontext
|
|
betroffen sein könnten;
|
|
|
|
|
|
d)die spezifischen Schadensrisiken, die sich auf die gemäß Buchstabe c dieses Absatzes ermittelten Kategorien natürlicher
|
|
Personen oder Personengruppen auswirken könnten, unter Berücksichtigung der vom Anbieter gemäß Artikel 13
|
|
bereitgestellten Informationen;
|
|
|
|
|
|
e) eine Beschreibung der Umsetzung von Maßnahmen der menschlichen Aufsicht entsprechend den Betriebsanleitungen;
|
|
|
|
|
|
f) die Maßnahmen, die im Falle des Eintretens dieser Risiken zu ergreifen sind, einschließlich der Regelungen für die interne
|
|
Unternehmensführung und Beschwerdemechanismen.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 69/
|
|
|
|
|
|
|
|
(2) Die in Absatz 1 festgelegte Pflicht gilt für die erste Verwendung eines Hochrisiko-KI-Systems. Der Betreiber kann sich
|
|
in ähnlichen Fällen auf zuvor durchgeführte Grundrechte-Folgenabschätzungen oder bereits vorhandene Folgenab-
|
|
schätzungen, die vom Anbieter durchgeführt wurden, stützen. Gelangt der Betreiber während der Verwendung des
|
|
Hochrisiko-KI-Systems zur Auffassung, dass sich eines der in Absatz 1 aufgeführten Elemente geändert hat oder nicht mehr
|
|
auf dem neuesten Stand ist, so unternimmt der Betreiber die erforderlichen Schritte, um die Informationen zu aktualisieren.
|
|
|
|
|
|
(3) Sobald die Abschätzung gemäß Absatz 1 des vorliegenden Artikels durchgeführt wurde, teilt der Betreiber der
|
|
Marktüberwachungsbehörde ihre Ergebnisse mit, indem er das ausgefüllte, in Absatz 5 des vorliegenden Artikels genannte
|
|
Muster als Teil der Mitteilung übermittelt. In dem in Artikel 46 Absatz 1 genannten Fall können die Betreiber von der
|
|
Mitteilungspflicht befreit werden.
|
|
|
|
|
|
(4) Wird eine der in diesem Artikel festgelegten Pflichten bereits infolge einer gemäß Artikel 35 der Verordnung (EU)
|
|
2016/679 oder Artikel 27 der Richtlinie (EU) 2016/680 durchgeführten Datenschutz-Folgenabschätzung erfüllt, so ergänzt
|
|
die Grundrechte-Folgenabschätzung gemäß Absatz 1 des vorliegenden Artikels diese Datenschutz-Folgenabschätzung.
|
|
|
|
|
|
(5) Das Büro für Künstliche Intelligenz arbeitet ein Muster für einen Fragebogen — auch mithilfe eines automatisierten
|
|
Instruments — aus, um die Betreiber in die Lage zu versetzen, ihren Pflichten gemäß diesem Artikel in vereinfachter Weise
|
|
nachzukommen.
|
|
|
|
|
|
ABSCHNITT 4
|
|
Notifizierende Behörden und notifizierte Stellen
|
|
|
|
|
|
Artikel 28
|
|
|
|
|
|
Notifizierende Behörden
|
|
|
|
|
|
(1) Jeder Mitgliedstaat sorgt für die Benennung oder Schaffung mindestens einer notifizierenden Behörde, die für die
|
|
Einrichtung und Durchführung der erforderlichen Verfahren zur Bewertung, Benennung und Notifizierung von
|
|
Konformitätsbewertungsstellen und für deren Überwachung zuständig ist. Diese Verfahren werden in Zusammenarbeit
|
|
zwischen den notifizierenden Behörden aller Mitgliedstaaten entwickelt.
|
|
|
|
|
|
(2) Die Mitgliedstaaten können entscheiden, dass die Bewertung und Überwachung nach Absatz 1 von einer nationalen
|
|
Akkreditierungsstelle im Sinne und gemäß der Verordnung (EG) Nr. 765/2008 durchzuführen ist.
|
|
|
|
|
|
(3) Notifizierende Behörden werden so eingerichtet, organisiert und geführt, dass jegliche Interessenkonflikte mit
|
|
Konformitätsbewertungsstellen vermieden werden und die Objektivität und die Unparteilichkeit ihrer Tätigkeiten
|
|
gewährleistet sind.
|
|
|
|
|
|
(4) Notifizierende Behörden werden so organisiert, dass Entscheidungen über die Notifizierung von Konformitäts-
|
|
bewertungsstellen von kompetenten Personen getroffen werden, die nicht mit den Personen identisch sind, die die
|
|
Bewertung dieser Stellen durchgeführt haben.
|
|
|
|
|
|
(5) Notifizierende Behörden dürfen weder Tätigkeiten, die Konformitätsbewertungsstellen durchführen, noch
|
|
Beratungsleistungen auf einer gewerblichen oder wettbewerblichen Basis anbieten oder erbringen.
|
|
|
|
|
|
(6) Notifizierende Behörden gewährleisten gemäß Artikel 78 die Vertraulichkeit der von ihnen erlangten Informationen.
|
|
|
|
|
|
(7) Notifizierende Behörden verfügen über eine angemessene Anzahl kompetenter Mitarbeiter, sodass sie ihre Aufgaben
|
|
ordnungsgemäß wahrnehmen können. Die kompetenten Mitarbeiter verfügen — wo erforderlich — über das für ihre
|
|
Funktion erforderliche Fachwissen in Bereichen wie Informationstechnologie sowie KI und Recht, einschließlich der
|
|
Überwachung der Grundrechte.
|
|
|
|
|
|
Artikel 29
|
|
|
|
|
|
Antrag einer Konformitätsbewertungsstelle auf Notifizierung
|
|
|
|
|
|
(1) Konformitätsbewertungsstellen beantragen ihre Notifizierung bei der notifizierenden Behörde des Mitgliedstaats, in
|
|
dem sie niedergelassen sind.
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
70/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
(2) Dem Antrag auf Notifizierung legen sie eine Beschreibung der Konformitätsbewertungstätigkeiten, des bzw. der
|
|
Konformitätsbewertungsmodule und der Art der KI-Systeme, für die diese Konformitätsbewertungsstelle Kompetenz
|
|
beansprucht, sowie, falls vorhanden, eine Akkreditierungsurkunde bei, die von einer nationalen Akkreditierungsstelle
|
|
ausgestellt wurde und in der bescheinigt wird, dass die Konformitätsbewertungsstelle die Anforderungen des Artikels 31
|
|
erfüllt.
|
|
|
|
|
|
Sonstige gültige Dokumente in Bezug auf bestehende Benennungen der antragstellenden notifizierten Stelle im Rahmen
|
|
anderer Harmonisierungsrechtsvorschriften der Union sind ebenfalls beizufügen.
|
|
|
|
|
|
(3) Kann die betreffende Konformitätsbewertungsstelle keine Akkreditierungsurkunde vorweisen, so legt sie der
|
|
notifizierenden Behörde als Nachweis alle Unterlagen vor, die erforderlich sind, um zu überprüfen, festzustellen und
|
|
regelmäßig zu überwachen, ob sie die Anforderungen des Artikels 31 erfüllt.
|
|
|
|
|
|
(4) Bei notifizierten Stellen, die im Rahmen anderer Harmonisierungsrechtsvorschriften der Union benannt wurden,
|
|
können alle Unterlagen und Bescheinigungen im Zusammenhang mit solchen Benennungen zur Unterstützung ihres
|
|
Benennungsverfahrens nach dieser Verordnung verwendet werden. Die notifizierte Stelle aktualisiert die in den Absätzen 2
|
|
und 3 des vorliegenden Artikels genannte Dokumentation immer dann, wenn sich relevante Änderungen ergeben, damit die
|
|
für notifizierte Stellen zuständige Behörde überwachen und überprüfen kann, ob die Anforderungen des Artikels 31
|
|
kontinuierlich erfüllt sind.
|
|
|
|
|
|
Artikel 30
|
|
|
|
|
|
Notifizierungsverfahren
|
|
|
|
|
|
(1) Die notifizierenden Behörden dürfen nur Konformitätsbewertungsstellen notifizieren, die die Anforderungen des
|
|
Artikels 31 erfüllen.
|
|
|
|
|
|
(2) Die notifizierenden Behörden unterrichten die Kommission und die übrigen Mitgliedstaaten mithilfe des
|
|
elektronischen Notifizierungsinstruments, das von der Kommission entwickelt und verwaltet wird, über jede Konformit-
|
|
ätsbewertungsstelle gemäß Absatz 1.
|
|
|
|
|
|
(3) Die Notifizierung gemäß Absatz 2 des vorliegenden Artikels enthält vollständige Angaben zu den Konformitäts-
|
|
bewertungstätigkeiten, dem betreffenden Konformitätsbewertungsmodul oder den betreffenden Konformitätsbewertungs-
|
|
modulen, den betreffenden Arten der KI-Systeme und der einschlägigen Bestätigung der Kompetenz. Beruht eine
|
|
Notifizierung nicht auf einer Akkreditierungsurkunde gemäß Artikel 29 Absatz 2, so legt die notifizierende Behörde der
|
|
Kommission und den anderen Mitgliedstaaten die Unterlagen vor, die die Kompetenz der Konformitätsbewertungsstelle und
|
|
die Vereinbarungen nachweisen, die getroffen wurden, um sicherzustellen, dass die Stelle regelmäßig überwacht wird und
|
|
weiterhin die Anforderungen des Artikels 31 erfüllt.
|
|
|
|
|
|
(4) Die betreffende Konformitätsbewertungsstelle darf die Tätigkeiten einer notifizierten Stelle nur dann wahrnehmen,
|
|
wenn weder die Kommission noch die anderen Mitgliedstaaten innerhalb von zwei Wochen nach einer Notifizierung durch
|
|
eine notifizierende Behörde, falls eine Akkreditierungsurkunde gemäß Artikel 29 Absatz 2 vorgelegt wird, oder innerhalb
|
|
von zwei Monaten nach einer Notifizierung durch eine notifizierende Behörde, falls als Nachweis Unterlagen gemäß
|
|
Artikel 29 Absatz 3 vorgelegt werden, Einwände erhoben haben.
|
|
|
|
|
|
(5) Werden Einwände erhoben, konsultiert die Kommission unverzüglich die betreffenden Mitgliedstaaten und die
|
|
Konformitätsbewertungsstelle. Im Hinblick darauf entscheidet die Kommission, ob die Genehmigung gerechtfertigt ist. Die
|
|
Kommission richtet ihren Beschluss an die betroffenen Mitgliedstaaten und an die zuständige Konformitätsbewertungsstelle.
|
|
|
|
|
|
Artikel 31
|
|
Anforderungen an notifizierte Stellen
|
|
|
|
|
|
(1) Eine notifizierte Stelle wird nach dem nationalen Recht eines Mitgliedstaats gegründet und muss mit
|
|
Rechtspersönlichkeit ausgestattet sein.
|
|
|
|
|
|
(2) Die notifizierten Stellen müssen die zur Wahrnehmung ihrer Aufgaben erforderlichen Anforderungen an die
|
|
Organisation, das Qualitätsmanagement, die Ressourcenausstattung und die Verfahren sowie angemessene Cybersicher-
|
|
heitsanforderungen erfüllen.
|
|
|
|
|
|
(3) Die Organisationsstruktur, die Zuweisung der Zuständigkeiten, die Berichtslinien und die Funktionsweise der
|
|
notifizierten Stellen müssen das Vertrauen in ihre Leistung und in die Ergebnisse der von ihnen durchgeführten
|
|
Konformitätsbewertungstätigkeiten gewährleisten.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 71/
|
|
|
|
|
|
|
|
(4) Die notifizierten Stellen müssen von dem Anbieter eines Hochrisiko-KI-Systems, zu dem sie Konformitäts-
|
|
bewertungstätigkeiten durchführen, unabhängig sein. Außerdem müssen die notifizierten Stellen von allen anderen
|
|
Akteuren, die ein wirtschaftliches Interesse an den bewerteten Hochrisiko-KI-Systemen haben, und von allen
|
|
Wettbewerbern des Anbieters unabhängig sein. Dies schließt die Verwendung von bewerteten Hochrisiko-KI-Systemen,
|
|
die für die Tätigkeit der Konformitätsbewertungsstelle nötig sind, oder die Verwendung solcher Hochrisiko-KI-Systeme zum
|
|
persönlichen Gebrauch nicht aus.
|
|
|
|
|
|
(5) Weder die Konformitätsbewertungsstelle, ihre oberste Leitungsebene noch die für die Erfüllung ihrer Konformit-
|
|
ätsbewertungsaufgaben zuständigen Mitarbeiter dürfen direkt an Entwurf, Entwicklung, Vermarktung oder Verwendung
|
|
von Hochrisiko-KI-Systemen beteiligt sein oder die an diesen Tätigkeiten beteiligten Parteien vertreten. Sie dürfen sich nicht
|
|
mit Tätigkeiten befassen, die ihre Unabhängigkeit bei der Beurteilung oder ihre Integrität im Zusammenhang mit den
|
|
Konformitätsbewertungstätigkeiten, für die sie notifiziert sind, beeinträchtigen könnten. Dies gilt besonders für
|
|
Beratungsdienstleistungen.
|
|
|
|
|
|
(6) Notifizierte Stellen werden so organisiert und geführt, dass bei der Ausübung ihrer Tätigkeit Unabhängigkeit,
|
|
Objektivität und Unparteilichkeit gewahrt sind. Von den notifizierten Stellen werden eine Struktur und Verfahren
|
|
dokumentiert und umgesetzt, die ihre Unparteilichkeit gewährleisten und sicherstellen, dass die Grundsätze der
|
|
Unparteilichkeit in ihrer gesamten Organisation, von allen Mitarbeitern und bei allen Bewertungstätigkeiten gefördert und
|
|
angewandt werden.
|
|
|
|
|
|
(7) Die notifizierten Stellen gewährleisten durch dokumentierte Verfahren, dass ihre Mitarbeiter, Ausschüsse,
|
|
Zweigstellen, Unterauftragnehmer sowie alle zugeordneten Stellen oder Mitarbeiter externer Einrichtungen die Vertrau-
|
|
lichkeit der Informationen, die bei der Durchführung der Konformitätsbewertungstätigkeiten in ihren Besitz gelangen, im
|
|
Einklang mit Artikel 78 wahren, außer wenn ihre Offenlegung gesetzlich vorgeschrieben ist. Informationen, von denen
|
|
Mitarbeiter der notifizierten Stellen bei der Durchführung ihrer Aufgaben gemäß dieser Verordnung Kenntnis erlangen,
|
|
unterliegen der beruflichen Schweigepflicht, außer gegenüber den notifizierenden Behörden des Mitgliedstaats, in dem sie
|
|
ihre Tätigkeiten ausüben.
|
|
|
|
|
|
(8) Die notifizierten Stellen verfügen über Verfahren zur Durchführung ihrer Tätigkeiten unter gebührender
|
|
Berücksichtigung der Größe eines Betreibers, des Sektors, in dem er tätig ist, seiner Struktur sowie der Komplexität des
|
|
betreffenden KI-Systems.
|
|
|
|
|
|
(9) Die notifizierten Stellen schließen eine angemessene Haftpflichtversicherung für ihre Konformitätsbewertungstätig-
|
|
keiten ab, es sei denn, diese Haftpflicht wird aufgrund nationalen Rechts von dem Mitgliedstaat, in dem sie niedergelassen
|
|
sind, gedeckt oder dieser Mitgliedstaat ist selbst unmittelbar für die Konformitätsbewertung zuständig.
|
|
|
|
|
|
(10) Die notifizierten Stellen müssen in der Lage sein, ihre Aufgaben gemäß dieser Verordnung mit höchster beruflicher
|
|
Integrität und der erforderlichen Fachkompetenz in dem betreffenden Bereich auszuführen, gleichgültig, ob diese Aufgaben
|
|
von den notifizierten Stellen selbst oder in ihrem Auftrag und in ihrer Verantwortung durchgeführt werden.
|
|
|
|
|
|
(11) Die notifizierten Stellen müssen über ausreichende interne Kompetenzen verfügen, um die von externen Stellen in
|
|
ihrem Namen wahrgenommen Aufgaben wirksam beurteilen zu können. Die notifizierten Stellen müssen ständig über
|
|
ausreichendes administratives, technisches, juristisches und wissenschaftliches Personal verfügen, das Erfahrungen und
|
|
Kenntnisse in Bezug auf einschlägige Arten der KI-Systeme, Daten und Datenverarbeitung sowie die in Abschnitt 2
|
|
festgelegten Anforderungen besitzt.
|
|
|
|
|
|
(12) Die notifizierten Stellen wirken an den in Artikel 38 genannten Koordinierungstätigkeiten mit. Sie wirken außerdem
|
|
unmittelbar oder mittelbar an der Arbeit der europäischen Normungsorganisationen mit oder stellen sicher, dass sie stets
|
|
über den Stand der einschlägigen Normen unterrichtet sind.
|
|
|
|
|
|
Artikel 32
|
|
|
|
|
|
Vermutung der Konformität mit den Anforderungen an notifizierte Stellen
|
|
|
|
|
|
Weist eine Konformitätsbewertungsstelle nach, dass sie die Kriterien der einschlägigen harmonisierten Normen, deren
|
|
Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, oder Teile dieser Normen erfüllt, so wird davon
|
|
ausgegangen, dass sie die Anforderungen des Artikels 31, soweit diese von den geltenden harmonisierten Normen erfasst
|
|
werden, erfüllt.
|
|
|
|
# DE ABl. L vom 12.7.
|
|
|
|
72/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
Artikel 33
|
|
|
|
|
|
Zweigstellen notifizierter Stellen und Vergabe von Unteraufträgen
|
|
|
|
|
|
(1) Vergibt eine notifizierte Stelle bestimmte mit der Konformitätsbewertung verbundene Aufgaben an Unterauf-
|
|
tragnehmer oder überträgt sie diese einer Zweigstelle, so stellt sie sicher, dass der Unterauftragnehmer oder die Zweigstelle
|
|
die Anforderungen des Artikels 31 erfüllt, und informiert die notifizierende Behörde darüber.
|
|
|
|
|
|
(2) Die notifizierten Stellen tragen die volle Verantwortung für Arbeiten, die von jedweden Unterauftragnehmern oder
|
|
Zweigstellen ausgeführt werden.
|
|
|
|
|
|
(3) Tätigkeiten dürfen nur mit Zustimmung des Anbieters an einen Unterauftragnehmer vergeben oder einer Zweigstelle
|
|
übertragen werden. Die notifizierten Stellen veröffentlichen ein Verzeichnis ihrer Zweigstellen.
|
|
|
|
|
|
(4) Die einschlägigen Unterlagen über die Bewertung der Qualifikation des Unterauftragnehmers oder der Zweigstelle
|
|
und die von ihnen gemäß dieser Verordnung ausgeführten Arbeiten werden für einen Zeitraum von fünf Jahren ab dem
|
|
Datum der Beendigung der Unterauftragsvergabe für die notifizierende Behörde bereitgehalten.
|
|
|
|
|
|
Artikel 34
|
|
|
|
|
|
Operative Pflichten der notifizierten Stellen
|
|
|
|
|
|
(1) Die notifizierten Stellen überprüfen die Konformität von Hochrisiko-KI-Systemen nach den in Artikel 43 festgelegten
|
|
Konformitätsbewertungsverfahren.
|
|
|
|
|
|
(2) Die notifizierten Stellen vermeiden bei der Durchführung ihrer Tätigkeiten unnötige Belastungen für die Anbieter
|
|
und berücksichtigen gebührend die Größe des Anbieters, den Sektor, in dem er tätig ist, seine Struktur sowie die
|
|
Komplexität des betreffenden Hochrisiko-KI-Systems, um insbesondere den Verwaltungsaufwand und die Befolgungskosten
|
|
für Kleinstunternehmen und kleine Unternehmen im Sinne der Empfehlung 2003/361/EG zu minimieren. Die notifizierte
|
|
Stelle muss jedoch den Grad der Strenge und das Schutzniveau einhalten, die für die Konformität des Hochrisiko-KI-Systems
|
|
mit den Anforderungen dieser Verordnung erforderlich sind.
|
|
|
|
|
|
(3) Die notifizierten Stellen machen der in Artikel 28 genannten notifizierenden Behörde sämtliche einschlägige
|
|
Dokumentation, einschließlich der Dokumentation des Anbieters, zugänglich bzw. übermitteln diese auf Anfrage, damit
|
|
diese Behörde ihre Bewertungs-, Benennungs-, Notifizierungs- und Überwachungstätigkeiten durchführen kann und die
|
|
Bewertung gemäß diesem Abschnitt erleichtert wird.
|
|
|
|
|
|
Artikel 35
|
|
|
|
|
|
Identifizierungsnummern und Verzeichnisse notifizierter Stellen
|
|
|
|
|
|
(1) Die Kommission weist jeder notifizierten Stelle eine einzige Identifizierungsnummer zu, selbst wenn eine Stelle nach
|
|
mehr als einem Rechtsakt der Union notifiziert wurde.
|
|
|
|
|
|
(2) Die Kommission veröffentlicht das Verzeichnis der nach dieser Verordnung notifizierten Stellen samt ihren
|
|
Identifizierungsnummern und den Tätigkeiten, für die sie notifiziert wurden. Die Kommission stellt sicher, dass das
|
|
Verzeichnis auf dem neuesten Stand gehalten wird.
|
|
|
|
|
|
Artikel 36
|
|
|
|
|
|
Änderungen der Notifizierungen
|
|
|
|
|
|
(1) Die notifizierende Behörde unterrichtet die Kommission und die anderen Mitgliedstaaten mithilfe des in Artikel 30
|
|
Absatz 2 genannten elektronischen Notifizierungsinstruments über alle relevanten Änderungen der Notifizierung einer
|
|
notifizierten Stelle.
|
|
|
|
|
|
(2) Für Erweiterungen des Anwendungsbereichs der Notifizierung gelten die in den Artikeln 29 und 30 festgelegten
|
|
Verfahren.
|
|
|
|
|
|
Für andere Änderungen der Notifizierung als Erweiterungen ihres Anwendungsbereichs gelten die in den Absätzen 3 bis 9
|
|
dargelegten Verfahren.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 73/144
|
|
|
|
|
|
|
|
(3) Beschließt eine notifizierte Stelle die Einstellung ihrer Konformitätsbewertungstätigkeiten, so informiert sie die
|
|
betreffende notifizierende Behörde und die betreffenden Anbieter so bald wie möglich und im Falle einer geplanten
|
|
Einstellung ihrer Tätigkeiten mindestens ein Jahr vor deren Einstellung darüber. Die Bescheinigungen der notifizierten Stelle
|
|
können für einen Zeitraum von neun Monaten nach Einstellung der Tätigkeiten der notifizierten Stelle gültig bleiben, sofern
|
|
eine andere notifizierte Stelle schriftlich bestätigt hat, dass sie die Verantwortung für die von diesen Bescheinigungen
|
|
abgedeckten Hochrisiko-KI-Systeme übernimmt. Die letztgenannte notifizierte Stelle führt vor Ablauf dieser Frist von neun
|
|
Monaten eine vollständige Bewertung der betroffenen Hochrisiko-KI-Systeme durch, bevor sie für diese neue
|
|
Bescheinigungen ausstellt. Stellt die notifizierte Stelle ihre Tätigkeit ein, so widerruft die notifizierende Behörde die
|
|
Benennung.
|
|
|
|
|
|
(4) Hat eine notifizierende Behörde hinreichenden Grund zu der Annahme, dass eine notifizierte Stelle die in Artikel 31
|
|
festgelegten Anforderungen nicht mehr erfüllt oder dass sie ihren Pflichten nicht nachkommt, so untersucht die
|
|
notifizierende Behörde den Sachverhalt unverzüglich und mit äußerster Sorgfalt. In diesem Zusammenhang teilt sie der
|
|
betreffenden notifizierten Stelle die erhobenen Einwände mit und gibt ihr die Möglichkeit, dazu Stellung zu nehmen.
|
|
Kommt die notifizierende Behörde zu dem Schluss, dass die notifizierte Stelle die in Artikel 31 festgelegten Anforderungen
|
|
nicht mehr erfüllt oder dass sie ihren Pflichten nicht nachkommt, schränkt sie die Benennung gegebenenfalls ein, setzt sie
|
|
aus oder widerruft sie, je nach Schwere der Nichterfüllung dieser Anforderungen oder Pflichtverletzung. Sie informiert die
|
|
Kommission und die anderen Mitgliedstaaten unverzüglich darüber.
|
|
|
|
|
|
(5) Wird die Benennung einer notifizierten Stelle ausgesetzt, eingeschränkt oder vollständig oder teilweise widerrufen, so
|
|
informiert die notifizierte Stelle die betreffenden Anbieter innerhalb von zehn Tagen darüber.
|
|
|
|
|
|
(6) Wird eine Benennung eingeschränkt, ausgesetzt oder widerrufen, so ergreift die notifizierende Behörde geeignete
|
|
Maßnahmen, um sicherzustellen, dass die Akten der betreffenden notifizierten Stelle für die notifizierenden Behörden in
|
|
anderen Mitgliedstaaten und die Marktüberwachungsbehörden bereitgehalten und ihnen auf deren Anfrage zur Verfügung
|
|
gestellt werden.
|
|
|
|
|
|
(7) Wird eine Benennung eingeschränkt, ausgesetzt oder widerrufen, so geht die notifizierende Behörde wie folgt vor:
|
|
|
|
|
|
a)Sie bewertet die Auswirkungen auf die von der notifizierten Stelle ausgestellten Bescheinigungen;
|
|
|
|
|
|
b)sie legt der Kommission und den anderen Mitgliedstaaten innerhalb von drei Monaten nach Notifizierung der
|
|
Änderungen der Benennung einen Bericht über ihre diesbezüglichen Ergebnisse vor;
|
|
|
|
|
|
c) sie weist die notifizierte Stelle zur Gewährleistung der fortlaufenden Konformität der im Verkehr befindlichen
|
|
Hochrisiko-KI-Systeme an, sämtliche nicht ordnungsgemäß ausgestellten Bescheinigungen innerhalb einer von der
|
|
Behörde festgelegten angemessenen Frist auszusetzen oder zu widerrufen;
|
|
|
|
|
|
d)sie informiert die Kommission und die Mitgliedstaaten über Bescheinigungen, deren Aussetzung oder Widerruf sie
|
|
angewiesen hat;
|
|
|
|
|
|
e) sie stellt den zuständigen nationalen Behörden des Mitgliedstaats, in dem der Anbieter seine eingetragene Niederlassung
|
|
hat, alle relevanten Informationen über Bescheinigungen, deren Aussetzung oder Widerruf sie angewiesen hat, zur
|
|
Verfügung; diese Behörde ergreift erforderlichenfalls geeignete Maßnahmen, um ein mögliches Risiko für Gesundheit,
|
|
Sicherheit oder Grundrechte zu verhindern.
|
|
|
|
|
|
(8) Abgesehen von den Fällen, in denen Bescheinigungen nicht ordnungsgemäß ausgestellt wurden und in denen eine
|
|
Benennung ausgesetzt oder eingeschränkt wurde, bleiben die Bescheinigungen unter einem der folgenden Umstände gültig:
|
|
|
|
|
|
a)Die notifizierende Behörde hat innerhalb eines Monats nach der Aussetzung oder Einschränkung bestätigt, dass im
|
|
Zusammenhang mit den von der Aussetzung oder Einschränkung betroffenen Bescheinigungen kein Risiko für
|
|
Gesundheit, Sicherheit oder Grundrechte besteht, und die notifizierende Behörde hat einen Zeitplan für Maßnahmen zur
|
|
Aufhebung der Aussetzung oder Einschränkung genannt oder
|
|
|
|
|
|
b)die notifizierende Behörde hat bestätigt, dass keine von der Aussetzung betroffenen Bescheinigungen während der Dauer
|
|
der Aussetzung oder Einschränkung ausgestellt, geändert oder erneut ausgestellt werden, und gibt an, ob die notifizierte
|
|
Stelle in der Lage ist, bestehende ausgestellte Bescheinigungen während der Dauer der Aussetzung oder Einschränkung
|
|
weiterhin zu überwachen und die Verantwortung dafür zu übernehmen; falls die notifizierende Behörde feststellt, dass
|
|
die notifizierte Stelle nicht in der Lage ist, bestehende ausgestellte Bescheinigungen weiterzuführen, so bestätigt der
|
|
Anbieter des von der Bescheinigung abgedeckten Systems den zuständigen nationalen Behörden des Mitgliedstaats, in
|
|
dem er seine eingetragene Niederlassung hat, innerhalb von drei Monaten nach der Aussetzung oder Einschränkung
|
|
schriftlich, dass eine andere qualifizierte notifizierte Stelle vorübergehend die Aufgaben der notifizierten Stelle zur
|
|
Überwachung der Bescheinigung übernimmt und dass sie während der Dauer der Aussetzung oder Einschränkung für
|
|
die Bescheinigung verantwortlich bleibt.
|
|
|
|
# DE ABl. L vom 12.7.2024
|
|
|
|
74/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
(9) Abgesehen von den Fällen, in denen Bescheinigungen nicht ordnungsgemäß ausgestellt wurden und in denen eine
|
|
Benennung widerrufen wurde, bleiben die Bescheinigungen unter folgenden Umständen für eine Dauer von neun Monaten
|
|
gültig:
|
|
|
|
|
|
a)Die zuständige nationale Behörde des Mitgliedstaats, in dem der Anbieter des von der Bescheinigung abgedeckten
|
|
Hochrisiko-KI-Systems seine eingetragene Niederlassung hat, hat bestätigt, dass im Zusammenhang mit den betreffenden
|
|
Hochrisiko-KI-Systemen kein Risiko für Gesundheit, Sicherheit oder Grundrechte besteht, und
|
|
|
|
|
|
b)eine andere notifizierte Stelle hat schriftlich bestätigt, dass sie die unmittelbare Verantwortung für diese KI-Systeme
|
|
übernehmen und deren Bewertung innerhalb von 12 Monaten ab dem Widerruf der Benennung abgeschlossen haben
|
|
wird.
|
|
|
|
|
|
Unter den in Unterabsatz 1 genannten Umständen kann die zuständige nationale Behörde des Mitgliedstaats, in dem der
|
|
Anbieter des von der Bescheinigung abgedeckten Systems seine Niederlassung hat, die vorläufige Gültigkeit der
|
|
Bescheinigungen um zusätzliche Zeiträume von je drei Monaten, jedoch nicht um insgesamt mehr als 12 Monate,
|
|
verlängern.
|
|
|
|
|
|
Die zuständige nationale Behörde oder die notifizierte Stelle, die die Aufgaben der von der Benennungsänderung
|
|
betroffenen notifizierten Stelle übernimmt, informiert unverzüglich die Kommission, die anderen Mitgliedstaaten und die
|
|
anderen notifizierten Stellen darüber.
|
|
|
|
|
|
Artikel 37
|
|
|
|
|
|
Anfechtungen der Kompetenz notifizierter Stellen
|
|
|
|
|
|
(1) Die Kommission untersucht erforderlichenfalls alle Fälle, in denen begründete Zweifel an der Kompetenz einer
|
|
notifizierten Stelle oder daran bestehen, dass eine notifizierte Stelle die in Artikel 31 festgelegten Anforderungen und ihre
|
|
geltenden Pflichten weiterhin erfüllt.
|
|
|
|
|
|
(2) Die notifizierende Behörde stellt der Kommission auf Anfrage alle Informationen über die Notifizierung oder die
|
|
Aufrechterhaltung der Kompetenz der betreffenden notifizierten Stelle zur Verfügung.
|
|
|
|
|
|
(3) Die Kommission stellt sicher, dass alle im Verlauf ihrer Untersuchungen gemäß diesem Artikel erlangten sensiblen
|
|
Informationen gemäß Artikel 78 vertraulich behandelt werden.
|
|
|
|
|
|
(4) Stellt die Kommission fest, dass eine notifizierte Stelle die Anforderungen für ihre Notifizierung nicht oder nicht
|
|
mehr erfüllt, so informiert sie den notifizierenden Mitgliedstaat entsprechend und fordert ihn auf, die erforderlichen
|
|
Abhilfemaßnahmen zu treffen, einschließlich einer Aussetzung oder eines Widerrufs der Notifizierung, sofern dies nötig ist.
|
|
Versäumt es ein Mitgliedstaat, die erforderlichen Abhilfemaßnahmen zu ergreifen, kann die Kommission die Benennung im
|
|
Wege eines Durchführungsrechtsakts aussetzen, einschränken oder widerrufen. Dieser Durchführungsrechtsakt wird gemäß
|
|
dem in Artikel 98 Absatz 2 genannten Prüfverfahren erlassen.
|
|
|
|
|
|
Artikel 38
|
|
|
|
|
|
Koordinierung der notifizierten Stellen
|
|
|
|
|
|
(1) Die Kommission sorgt dafür, dass in Bezug auf Hochrisiko-KI-Systeme eine zweckmäßige Koordinierung und
|
|
Zusammenarbeit zwischen den an den Konformitätsbewertungsverfahren im Rahmen dieser Verordnung beteiligten
|
|
notifizierten Stellen in Form einer sektoralen Gruppe notifizierter Stellen eingerichtet und ordnungsgemäß weitergeführt
|
|
wird.
|
|
|
|
|
|
(2) Jede notifizierende Behörde sorgt dafür, dass sich die von ihr notifizierten Stellen direkt oder über benannte Vertreter
|
|
an der Arbeit der in Absatz 1 genannten Gruppe beteiligen.
|
|
|
|
|
|
(3) Die Kommission sorgt für den Austausch von Wissen und bewährten Verfahren zwischen den notifizierenden
|
|
Behörden.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 75/144
|
|
|
|
|
|
|
|
Artikel 39
|
|
|
|
|
|
Konformitätsbewertungsstellen in Drittländern
|
|
|
|
|
|
Konformitätsbewertungsstellen, die nach dem Recht eines Drittlands errichtet wurden, mit dem die Union ein Abkommen
|
|
geschlossen hat, können ermächtigt werden, die Tätigkeiten notifizierter Stellen gemäß dieser Verordnung durchzuführen,
|
|
sofern sie die Anforderungen gemäß Artikel 31 erfüllen oder das gleiche Maß an Konformität gewährleisten.
|
|
|
|
|
|
ABSCHNITT 5
|
|
|
|
|
|
Normen, Konformitätsbewertung, Bescheinigungen, Registrierung
|
|
|
|
|
|
Artikel 40
|
|
|
|
|
|
Harmonisierte Normen und Normungsdokumente
|
|
|
|
|
|
(1) Bei Hochrisiko-KI-Systemen oder KI-Modellen mit allgemeinem Verwendungszweck, die mit harmonisierten Normen
|
|
oder Teilen davon, deren Fundstellen gemäß der Verordnung (EU) Nr. 1025/2012 im Amtsblatt der Europäischen Union
|
|
veröffentlicht wurden, übereinstimmen, wird eine Konformität mit den Anforderungen gemäß Abschnitt 2 des vorliegenden
|
|
Kapitels oder gegebenenfalls mit den Pflichten gemäß Kapitel V Abschnitte 2 und 3 der vorliegenden Verordnung vermutet,
|
|
soweit diese Anforderungen oder Verpflichtungen von den Normen abgedeckt sind.
|
|
|
|
|
|
(2) Gemäß Artikel 10 der Verordnung (EU) Nr. 1025/2012 erteilt die Kommission unverzüglich Normungsaufträge, die
|
|
alle Anforderungen gemäß Abschnitt 2 des vorliegenden Kapitels abdecken und gegebenenfalls Normungsaufträge, die
|
|
Pflichten gemäß Kapitel V Abschnitte 2 und 3 der vorliegenden Verordnung abdecken. In dem Normungsauftrag werden
|
|
auch Dokumente zu den Berichterstattungs- und Dokumentationsverfahren im Hinblick auf die Verbesserung der
|
|
Ressourcenleistung von KI-Systemen z. B. durch die Verringerung des Energie- und sonstigen Ressourcenverbrauchs des
|
|
Hochrisiko-KI-Systems während seines gesamten Lebenszyklus und zu der energieeffizienten Entwicklung von KI-Modellen
|
|
mit allgemeinem Verwendungszweck verlangt. Bei der Ausarbeitung des Normungsauftrags konsultiert die Kommission das
|
|
KI-Gremium und die einschlägigen Interessenträger, darunter das Beratungsforum.
|
|
|
|
|
|
Bei der Erteilung eines Normungsauftrags an die europäischen Normungsorganisationen gibt die Kommission an, dass die
|
|
Normen klar und — u. a. mit den Normen, die in den verschiedenen Sektoren für Produkte entwickelt wurden, die unter die
|
|
in Anhang I aufgeführten geltenden Harmonisierungsrechtsvorschriften der Union fallen — konsistent sein müssen und
|
|
sicherstellen sollen, dass die in der Union in Verkehr gebrachten oder in Betrieb genommenen Hochrisiko-KI-Systeme oder
|
|
KI-Modelle mit allgemeinem Verwendungszweck die in dieser Verordnung festgelegten einschlägigen Anforderungen oder
|
|
Pflichten erfüllen.
|
|
|
|
|
|
Die Kommission fordert die europäischen Normungsorganisationen auf, Nachweise dafür vorzulegen, dass sie sich nach
|
|
besten Kräften bemühen, die in den Unterabsätzen 1 und 2 dieses Absatzes genannten Ziele im Einklang mit Artikel 24 der
|
|
Verordnung (EU) Nr. 1025/2012 zu erreichen.
|
|
|
|
|
|
(3) Die am Normungsprozess Beteiligten bemühen sich, Investitionen und Innovationen im Bereich der KI, u. a. durch
|
|
Erhöhung der Rechtssicherheit, sowie der Wettbewerbsfähigkeit und des Wachstums des Unionsmarktes zu fördern und zur
|
|
Stärkung der weltweiten Zusammenarbeit bei der Normung und zur Berücksichtigung bestehender internationaler Normen
|
|
im Bereich der KI, die mit den Werten, Grundrechten und Interessen der Union im Einklang stehen, beizutragen und die
|
|
Multi-Stakeholder-Governance zu verbessern, indem eine ausgewogene Vertretung der Interessen und eine wirksame
|
|
Beteiligung aller relevanten Interessenträger gemäß den Artikeln 5, 6 und 7 der Verordnung (EU) Nr. 1025/2012
|
|
sichergestellt werden.
|
|
|
|
|
|
Artikel 41
|
|
|
|
|
|
Gemeinsame Spezifikationen
|
|
|
|
|
|
(1) Die Kommission kann Durchführungsrechtsakte zur Festlegung gemeinsamer Spezifikationen für die Anforderungen
|
|
gemäß Abschnitt 2 dieses Kapitels oder gegebenenfalls die Pflichten gemäß Kapitel V Abschnitte 2 und 3 erlassen, wenn die
|
|
folgenden Bedingungen erfüllt sind:
|
|
|
|
|
|
a)Die Kommission hat gemäß Artikel 10 Absatz 1 der Verordnung (EU) Nr. 1025/2012 eine oder mehrere europäische
|
|
Normungsorganisationen damit beauftragt, eine harmonisierte Norm für die in Abschnitt 2 dieses Kapitels festgelegten
|
|
Anforderungen oder gegebenenfalls für die in Kapitel V Abschnitte 2 und 3 festgelegten Pflichten zu erarbeiten, und
|
|
|
|
|
|
i)der Auftrag wurde von keiner der europäischen Normungsorganisationen angenommen oder
|
|
|
|
# DE ABl. L vom 12.7.2024
|
|
|
|
76/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
ii)die harmonisierten Normen, die Gegenstand dieses Auftrags sind, werden nicht innerhalb der gemäß Artikel 10
|
|
Absatz 1 der Verordnung (EU) Nr. 1025/2012 festgelegten Frist erarbeitet oder
|
|
|
|
|
|
iii)die einschlägigen harmonisierten Normen tragen den Bedenken im Bereich der Grundrechte nicht ausreichend
|
|
Rechnung oder
|
|
|
|
|
|
iv)die harmonisierten Normen entsprechen nicht dem Auftrag und
|
|
|
|
|
|
b)im Amtsblatt der Europäischen Union sind keine Fundstellen zu harmonisierten Normen gemäß der Verordnung
|
|
(EU) Nr. 1025/2012 veröffentlicht, die den in Abschnitt 2 dieses Kapitels aufgeführten Anforderungen oder
|
|
gegebenenfalls den in Kapitel V Abschnitte 2 und 3 aufgeführten Pflichten genügen, und es ist nicht zu erwarten, dass
|
|
eine solche Fundstelle innerhalb eines angemessenen Zeitraums veröffentlicht wird.
|
|
|
|
|
|
Bei der Verfassung der gemeinsamen Spezifikationen konsultiert die Kommission das in Artikel 67 genannte
|
|
Beratungsforum.
|
|
|
|
|
|
Die in Unterabsatz 1 des vorliegenden Absatzes genannten Durchführungsrechtsakte werden gemäß dem in Artikel 98
|
|
Absatz 2 genannten Prüfverfahren erlassen.
|
|
|
|
|
|
(2) Vor der Ausarbeitung eines Entwurfs eines Durchführungsrechtsakts informiert die Kommission den in Artikel 22
|
|
der Verordnung (EU) Nr. 1025/2012 genannten Ausschuss darüber, dass sie die in Absatz 1 des vorliegenden Artikels
|
|
festgelegten Bedingungen als erfüllt erachtet.
|
|
|
|
|
|
(3) Bei Hochrisiko-KI-Systemen oder KI-Modellen mit allgemeinem Verwendungszweck, die mit den in Absatz 1
|
|
genannten gemeinsamen Spezifikationen oder Teilen dieser Spezifikationen übereinstimmen, wird eine Konformität mit den
|
|
Anforderungen in Abschnitt 2 dieses Kapitels oder gegebenenfalls die Einhaltung der in Kapitel V Abschnitte 2 und 3
|
|
genannten Pflichten vermutet, soweit diese Anforderungen oder diese Pflichten von den gemeinsamen Spezifikationen
|
|
abgedeckt sind.
|
|
|
|
|
|
(4) Wird eine harmonisierte Norm von einer europäischen Normungsorganisation angenommen und der Kommission
|
|
zur Veröffentlichung ihrer Fundstelle im Amtsblatt der Europäischen Union vorgeschlagen, so bewertet die Kommission die
|
|
harmonisierte Norm gemäß der Verordnung (EU) Nr. 1025/2012. Wird die Fundstelle zu einer harmonisierten Norm im
|
|
Amtsblatt der Europäischen Union veröffentlicht, so werden die in Absatz 1 genannten Durchführungsrechtsakte, die dieselben
|
|
Anforderungen gemäß Abschnitt 2 dieses Kapitels oder gegebenenfalls dieselben Pflichten gemäß Kapitel V Abschnitte 2
|
|
und 3 erfassen, von der Kommission ganz oder teilweise aufgehoben.
|
|
|
|
|
|
(5) Wenn Anbieter von Hochrisiko-KI-Systemen oder KI-Modellen mit allgemeinem Verwendungszweck die in Absatz 1
|
|
genannten gemeinsamen Spezifikationen nicht befolgen, müssen sie hinreichend nachweisen, dass sie technische Lösungen
|
|
verwenden, die die in Abschnitt 2 dieses Kapitels aufgeführten Anforderungen oder gegebenenfalls die Pflichten gemäß
|
|
Kapitel V Abschnitte 2 und 3 zumindest in gleichem Maße erfüllen;
|
|
|
|
|
|
(6) Ist ein Mitgliedstaat der Auffassung, dass eine gemeinsame Spezifikation den Anforderungen gemäß Abschnitt 2
|
|
nicht vollständig entspricht oder gegebenenfalls die Pflichten gemäß Kapitel V Abschnitte 2 und 3 nicht vollständig erfüllt,
|
|
so setzt er die Kommission im Rahmen einer ausführlichen Erläuterung davon in Kenntnis. Die Kommission bewertet die
|
|
betreffende Information und ändert gegebenenfalls den Durchführungsrechtsakt, durch den die betreffende gemeinsame
|
|
Spezifikation festgelegt wurde.
|
|
|
|
|
|
Artikel 42
|
|
|
|
|
|
Vermutung der Konformität mit bestimmten Anforderungen
|
|
|
|
|
|
(1) Für Hochrisiko-KI-Systeme, die mit Daten, in denen sich die besonderen geografischen, verhaltensbezogenen,
|
|
kontextuellen oder funktionalen Rahmenbedingungen niederschlagen, unter denen sie verwendet werden sollen, trainiert
|
|
und getestet wurden, gilt die Vermutung, dass sie die in Artikel 10 Absatz 4 festgelegten einschlägigen Anforderungen
|
|
erfüllen.
|
|
|
|
|
|
(2) Für Hochrisiko-KI-Systeme, die im Rahmen eines der Cybersicherheitszertifizierungssysteme gemäß der Verordnung
|
|
(EU) 2019/881, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, zertifiziert wurden oder für
|
|
die eine solche Konformitätserklärung erstellt wurde, gilt die Vermutung, dass sie die in Artikel 15 der vorliegenden
|
|
Verordnung festgelegten Cybersicherheitsanforderungen erfüllen, sofern diese Anforderungen von der Cybersicherheits-
|
|
zertifizierung oder der Konformitätserklärung oder Teilen davon abdeckt sind.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 77/144
|
|
|
|
|
|
|
|
Artikel 43
|
|
|
|
|
|
Konformitätsbewertung
|
|
|
|
|
|
(1) Hat ein Anbieter zum Nachweis, dass ein in Anhang III Nummer 1 aufgeführtes Hochrisiko-KI-System die in
|
|
Abschnitt 2 festgelegten Anforderungen erfüllt, harmonisierte Normen gemäß Artikel 40 oder gegebenenfalls gemeinsame
|
|
Spezifikationen gemäß Artikel 41 angewandt, so entscheidet er sich für eines der folgenden Konformitätsbewertungs-
|
|
verfahren auf der Grundlage
|
|
|
|
|
|
a)der internen Kontrolle gemäß Anhang VI oder
|
|
|
|
|
|
b)der Bewertung des Qualitätsmanagementsystems und der Bewertung der technischen Dokumentation unter Beteiligung
|
|
einer notifizierten Stelle gemäß Anhang VII.
|
|
|
|
|
|
Zum Nachweis, dass sein Hochrisiko-KI-System die in Abschnitt 2 festgelegten Anforderungen erfüllt, befolgt der Anbieter
|
|
das Konformitätsbewertungsverfahren gemäß Anhang VII, wenn
|
|
|
|
|
|
a)es harmonisierte Normen gemäß Artikel 40 nicht gibt und keine gemeinsamen Spezifikationen gemäß Artikel 41
|
|
vorliegen,
|
|
|
|
|
|
b)der Anbieter die harmonisierte Norm nicht oder nur teilweise angewandt hat;
|
|
|
|
|
|
c) die unter Buchstabe a genannten gemeinsamen Spezifikationen zwar vorliegen, der Anbieter sie jedoch nicht angewandt
|
|
hat;
|
|
|
|
|
|
d)eine oder mehrere der unter Buchstabe a genannten harmonisierten Normen mit einer Einschränkung und nur für den
|
|
eingeschränkten Teil der Norm veröffentlicht wurden.
|
|
|
|
|
|
Für die Zwecke des Konformitätsbewertungsverfahrens gemäß Anhang VII kann der Anbieter eine der notifizierten Stellen
|
|
auswählen. Soll das Hochrisiko-KI-System jedoch von Strafverfolgungs-, Einwanderungs- oder Asylbehörden oder von
|
|
Organen, Einrichtungen oder sonstigen Stellen der Union in Betrieb genommen werden, so übernimmt die in Artikel 74
|
|
Absatz 8 bzw. 9 genannte Marktüberwachungsbehörde die Funktion der notifizierten Stelle.
|
|
|
|
|
|
(2) Bei den in Anhang III Nummern 2 bis 8 aufgeführten Hochrisiko-KI-Systemen befolgen die Anbieter das
|
|
Konformitätsbewertungsverfahren auf der Grundlage einer internen Kontrolle gemäß Anhang VI, das keine Beteiligung
|
|
einer notifizierten Stelle vorsieht.
|
|
|
|
|
|
(3) Bei den Hochrisiko-KI-Systemen, die unter die in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsakte der
|
|
Union fallen, befolgt der Anbieter die einschlägigen Konformitätsbewertungsverfahren, die nach diesen Rechtsakten
|
|
erforderlich sind. Die in Abschnitt 2 dieses Kapitels festgelegten Anforderungen gelten für diese Hochrisiko-KI-Systeme und
|
|
werden in diese Bewertung einbezogen. Anhang VII Nummern 4.3, 4.4 und 4.5 sowie Nummer 4.6 Absatz 5 finden
|
|
ebenfalls Anwendung.
|
|
|
|
|
|
Für die Zwecke dieser Bewertung sind die notifizierten Stellen, die gemäß diesen Rechtsakten notifiziert wurden, berechtigt,
|
|
die Konformität der Hochrisiko-KI-Systeme mit den in Abschnitt 2 festgelegten Anforderungen zu kontrollieren, sofern im
|
|
Rahmen des gemäß diesen Rechtsakten durchgeführten Notifizierungsverfahrens geprüft wurde, dass diese notifizierten
|
|
Stellen die in Artikel 31 Absätze 4, 5, 10 und 11 festgelegten Anforderungen erfüllen.
|
|
|
|
|
|
Wenn ein in Anhang I Abschnitt A aufgeführter Rechtsakte es dem Hersteller des Produkts ermöglicht, auf eine
|
|
Konformitätsbewertung durch Dritte zu verzichten, sofern dieser Hersteller alle harmonisierten Normen, die alle
|
|
einschlägigen Anforderungen abdecken, angewandt hat, so darf dieser Hersteller nur dann von dieser Möglichkeit Gebrauch
|
|
machen, wenn er auch harmonisierte Normen oder gegebenenfalls gemeinsame Spezifikationen gemäß Artikel 41, die alle
|
|
in Abschnitt 2 dieses Kapitels festgelegten Anforderungen abdecken, angewandt hat.
|
|
|
|
|
|
(4) Hochrisiko-KI-Systeme, die bereits Gegenstand eines Konformitätsbewertungsverfahren gewesen sind, werden im
|
|
Falle einer wesentlichen Änderung einem neuen Konformitätsbewertungsverfahren unterzogen, unabhängig davon, ob das
|
|
geänderte System noch weiter in Verkehr gebracht oder vom derzeitigen Betreiber weitergenutzt werden soll.
|
|
|
|
|
|
Bei Hochrisiko-KI-Systemen, die nach dem Inverkehrbringen oder der Inbetriebnahme weiterhin dazulernen, gelten
|
|
Änderungen des Hochrisiko-KI-Systems und seiner Leistung, die vom Anbieter zum Zeitpunkt der ursprünglichen
|
|
Konformitätsbewertung vorab festgelegt wurden und in den Informationen der technischen Dokumentation gemäß
|
|
Anhang IV Nummer 2 Buchstabe f enthalten sind, nicht als wesentliche Veränderung;
|
|
|
|
|
|
(5) Die Kommission ist befugt, gemäß Artikel 97 delegierte Rechtsakte zu erlassen, um die Anhänge VI und VII zu
|
|
ändern, indem sie sie angesichts des technischen Fortschritts aktualisiert.
|
|
|
|
# DE ABl. L vom 12.7.2024
|
|
|
|
78/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
(6) Die Kommission ist befugt, gemäß Artikel 97 delegierte Rechtsakte zur Änderung der Absätze 1 und 2 des
|
|
vorliegenden Artikels zu erlassen, um die in Anhang III Nummern 2 bis 8 genannten Hochrisiko-KI-Systeme dem
|
|
Konformitätsbewertungsverfahren gemäß Anhang VII oder Teilen davon zu unterwerfen. Die Kommission erlässt solche
|
|
delegierten Rechtsakte unter Berücksichtigung der Wirksamkeit des Konformitätsbewertungsverfahrens auf der Grundlage
|
|
einer internen Kontrolle gemäß Anhang VI hinsichtlich der Vermeidung oder Minimierung der von solchen Systemen
|
|
ausgehenden Risiken für die Gesundheit und Sicherheit und den Schutz der Grundrechte sowie hinsichtlich der
|
|
Verfügbarkeit angemessener Kapazitäten und Ressourcen in den notifizierten Stellen.
|
|
|
|
|
|
Artikel 44
|
|
|
|
|
|
Bescheinigungen
|
|
|
|
|
|
(1) Die von notifizierten Stellen gemäß Anhang VII ausgestellten Bescheinigungen werden in einer Sprache ausgefertigt,
|
|
die für die einschlägigen Behörden des Mitgliedstaats, in dem die notifizierte Stelle niedergelassen ist, leicht verständlich ist.
|
|
|
|
|
|
(2) Die Bescheinigungen sind für die darin genannte Dauer gültig, die maximal fünf Jahre für unter Anhang I fallende
|
|
KI-Systeme und maximal vier Jahre für unter Anhang III fallende KI-Systeme beträgt. Auf Antrag des Anbieters kann die
|
|
Gültigkeit einer Bescheinigung auf der Grundlage einer Neubewertung gemäß den geltenden Konformitätsbewertungsver-
|
|
fahren um weitere Zeiträume von jeweils höchstens fünf Jahren für unter Anhang I fallende KI-Systeme und höchstens vier
|
|
Jahre für unter Anhang III fallende KI-Systeme verlängert werden. Eine Ergänzung zu einer Bescheinigung bleibt gültig,
|
|
sofern die Bescheinigung, zu der sie gehört, gültig ist.
|
|
|
|
|
|
(3) Stellt eine notifizierte Stelle fest, dass ein KI-System die in Abschnitt 2 festgelegten Anforderungen nicht mehr erfüllt,
|
|
so setzt sie die ausgestellte Bescheinigung aus, widerruft sie oder schränkt sie ein, jeweils unter Berücksichtigung des
|
|
Grundsatzes der Verhältnismäßigkeit, sofern die Einhaltung der Anforderungen nicht durch geeignete Korrekturmaßnah-
|
|
men des Anbieters des Systems innerhalb einer von der notifizierten Stelle gesetzten angemessenen Frist wiederhergestellt
|
|
wird. Die notifizierte Stelle begründet ihre Entscheidung.
|
|
|
|
|
|
Es muss ein Einspruchsverfahren gegen die Entscheidungen der notifizierten Stellen, auch solche über ausgestellte
|
|
Konformitätsbescheinigungen, vorgesehen sein.
|
|
|
|
|
|
Artikel 45
|
|
|
|
|
|
Informationspflichten der notifizierten Stellen
|
|
|
|
|
|
(1) Die notifizierten Stellen informieren die notifizierende Behörde über
|
|
|
|
|
|
a)alle Unionsbescheinigungen über die Bewertung der technischen Dokumentation, etwaige Ergänzungen dieser
|
|
Bescheinigungen und alle Genehmigungen von Qualitätsmanagementsystemen, die gemäß den Anforderungen des
|
|
Anhangs VII erteilt wurden;
|
|
|
|
|
|
b)alle Verweigerungen, Einschränkungen, Aussetzungen oder Rücknahmen von Unionsbescheinigungen über die
|
|
Bewertung der technischen Dokumentation oder Genehmigungen von Qualitätsmanagementsystemen, die gemäß den
|
|
Anforderungen des Anhangs VII erteilt wurden;
|
|
|
|
|
|
c) alle Umstände, die Folgen für den Anwendungsbereich oder die Bedingungen der Notifizierung haben;
|
|
|
|
|
|
d)alle Auskunftsersuchen über Konformitätsbewertungstätigkeiten, die sie von den Marktüberwachungsbehörden erhalten
|
|
haben;
|
|
|
|
|
|
e) auf Anfrage die Konformitätsbewertungstätigkeiten, denen sie im Anwendungsbereich ihrer Notifizierung nachgegangen
|
|
sind, und sonstige Tätigkeiten, einschließlich grenzüberschreitender Tätigkeiten und Vergabe von Unteraufträgen, die sie
|
|
durchgeführt haben.
|
|
|
|
|
|
(2) Jede notifizierte Stelle informiert die anderen notifizierten Stellen über
|
|
|
|
|
|
a)die Genehmigungen von Qualitätsmanagementsystemen, die sie verweigert, ausgesetzt oder zurückgenommen hat, und
|
|
auf Anfrage die Genehmigungen von Qualitätsmanagementsystemen, die sie erteilt hat;
|
|
|
|
|
|
b)die Bescheinigungen der Union über die Bewertung der technischen Dokumentation und deren etwaige Ergänzungen, die
|
|
sie verweigert, ausgesetzt oder zurückgenommen oder anderweitig eingeschränkt hat, und auf Anfrage die
|
|
Bescheinigungen und/oder deren Ergänzungen, die sie ausgestellt hat.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 79/144
|
|
|
|
|
|
|
|
(3) Jede notifizierte Stelle übermittelt den anderen notifizierten Stellen, die ähnlichen Konformitätsbewertungstätigkeiten
|
|
für die gleichen Arten der KI-Systeme nachgehen, einschlägige Informationen über negative und auf Anfrage über positive
|
|
Konformitätsbewertungsergebnisse.
|
|
|
|
|
|
(4) Notifizierende Behörden gewährleisten gemäß Artikel 78 die Vertraulichkeit der von ihnen erlangten Informationen.
|
|
|
|
|
|
Artikel 46
|
|
|
|
|
|
Ausnahme vom Konformitätsbewertungsverfahren
|
|
|
|
|
|
(1) Abweichend von Artikel 43 und auf ein hinreichend begründetes Ersuchen kann eine Marktüberwachungsbehörde
|
|
das Inverkehrbringen oder die Inbetriebnahme bestimmter Hochrisiko-KI-Systeme im Hoheitsgebiet des betreffenden
|
|
Mitgliedstaats aus außergewöhnlichen Gründen der öffentlichen Sicherheit, des Schutzes des Lebens und der Gesundheit
|
|
von Personen, des Umweltschutzes oder des Schutzes wichtiger Industrie- und Infrastrukturanlagen genehmigen. Diese
|
|
Genehmigung wird auf die Dauer der erforderlichen Konformitätsbewertungsverfahren befristet, wobei den außer-
|
|
gewöhnlichen Gründen für die Ausnahme Rechnung getragen wird. Der Abschluss dieser Verfahren erfolgt unverzüglich.
|
|
|
|
|
|
(2) In hinreichend begründeten dringenden Fällen aus außergewöhnlichen Gründen der öffentlichen Sicherheit oder in
|
|
Fällen einer konkreten, erheblichen und unmittelbaren Gefahr für das Leben oder die körperliche Unversehrtheit natürlicher
|
|
Personen können Strafverfolgungsbehörden oder Katastrophenschutzbehörden ein bestimmtes Hochrisiko-KI-System ohne
|
|
die in Absatz 1 genannte Genehmigung in Betrieb nehmen, sofern diese Genehmigung während der Verwendung oder im
|
|
Anschluss daran unverzüglich beantragt wird. Falls die Genehmigung gemäß Absatz 1 abgelehnt wird, wird Verwendung
|
|
des Hochrisiko-KI-Systems mit sofortiger Wirkung eingestellt und sämtliche Ergebnisse und Ausgaben dieser Verwendung
|
|
werden unverzüglich verworfen.
|
|
|
|
|
|
(3) Die in Absatz 1 genannte Genehmigung wird nur erteilt, wenn die Marktüberwachungsbehörde zu dem Schluss
|
|
gelangt, dass das Hochrisiko-KI-System die Anforderungen des Abschnitts 2 erfüllt. Die Marktüberwachungsbehörde
|
|
informiert die Kommission und die anderen Mitgliedstaaten über alle von ihr gemäß den Absätzen 1 und 2 erteilten
|
|
Genehmigungen. Diese Pflicht erstreckt sich nicht auf sensible operative Daten zu den Tätigkeiten von Strafverfolgungs-
|
|
behörden.
|
|
|
|
|
|
(4) Erhebt weder ein Mitgliedstaat noch die Kommission innerhalb von 15 Kalendertagen nach Erhalt der in Absatz 3
|
|
genannten Mitteilung Einwände gegen die von einer Marktüberwachungsbehörde eines Mitgliedstaats gemäß Absatz 1
|
|
erteilte Genehmigung, so gilt diese Genehmigung als gerechtfertigt.
|
|
|
|
|
|
(5) Erhebt innerhalb von 15 Kalendertagen nach Erhalt der in Absatz 3 genannten Mitteilung ein Mitgliedstaat Einwände
|
|
gegen eine von einer Marktüberwachungsbehörde eines anderen Mitgliedstaats erteilte Genehmigung oder ist die
|
|
Kommission der Auffassung, dass die Genehmigung mit dem Unionsrecht unvereinbar ist oder dass die Schlussfolgerung
|
|
der Mitgliedstaaten in Bezug auf die Konformität des in Absatz 3 genannten Systems unbegründet ist, so nimmt die
|
|
Kommission unverzüglich Konsultationen mit dem betreffenden Mitgliedstaat auf. Die betroffenen Akteure werden
|
|
konsultiert und erhalten Gelegenheit, dazu Stellung zu nehmen. In Anbetracht dessen entscheidet die Kommission, ob die
|
|
Genehmigung gerechtfertigt ist. Die Kommission richtet ihren Beschluss an den betroffenen Mitgliedstaat und an die
|
|
betroffenen Akteure.
|
|
|
|
|
|
(6) Wird die Genehmigung von der Kommission als ungerechtfertigt erachtet, so muss sie von der Marktüber-
|
|
wachungsbehörde des betreffenden Mitgliedstaats zurückgenommen werden.
|
|
|
|
|
|
(7) Für Hochrisiko-KI-Systeme im Zusammenhang mit Produkten, die unter die in Anhang I Abschnitt A aufgeführten
|
|
Harmonisierungsrechtsvorschriften der Union fallen, gelten nur die in diesen Harmonisierungsrechtsvorschriften der Union
|
|
festgelegten Ausnahmen von den Konformitätsbewertungsverfahren.
|
|
|
|
|
|
Artikel 47
|
|
EU-Konformitätserklärung
|
|
|
|
|
|
(1) Der Anbieter stellt für jedes Hochrisiko-KI-System eine schriftliche maschinenlesbare, physische oder elektronisch
|
|
unterzeichnete EU-Konformitätserklärung aus und hält sie für einen Zeitraum von 10 Jahren ab dem Inverkehrbringen oder
|
|
der Inbetriebnahme des Hochrisiko-KI-Systems für die zuständigen nationalen Behörden bereit. Aus der EU-Konformit-
|
|
ätserklärung geht hervor, für welches Hochrisiko-KI-System sie ausgestellt wurde. Eine Kopie der EU-Konformitätserklärung
|
|
wird den zuständigen nationalen Behörden auf Anfrage übermittelt.
|
|
|
|
# DE ABl. L vom 12.7.2024
|
|
|
|
80/144 ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj)
|
|
|
|
|
|
|
|
(2) Die EU-Konformitätserklärung muss feststellen, dass das betreffende Hochrisiko-KI-System die in Abschnitt 2
|
|
festgelegten Anforderungen erfüllt. Die EU-Konformitätserklärung enthält die in Anhang V festgelegten Informationen und
|
|
wird in eine Sprache übersetzt, die für die zuständigen nationalen Behörden der Mitgliedstaaten, in denen das
|
|
Hochrisiko-KI-System in Verkehr gebracht oder bereitgestellt wird, leicht verständlich ist.
|
|
|
|
|
|
(3) Unterliegen Hochrisiko-KI-Systeme anderen Harmonisierungsrechtsvorschriften der Union, die ebenfalls eine
|
|
EU-Konformitätserklärung vorschreiben, so wird eine einzige EU-Konformitätserklärung ausgestellt, die sich auf alle für das
|
|
Hochrisiko-KI-System geltenden Rechtsvorschriften der Union bezieht. Die Erklärung enthält alle erforderlichen
|
|
Informationen zur Feststellung der Harmonisierungsrechtsvorschriften der Union, auf die sich die Erklärung bezieht.
|
|
|
|
|
|
(4) Mit der Ausstellung der EU-Konformitätserklärung übernimmt der Anbieter die Verantwortung für die Erfüllung der
|
|
in Abschnitt 2 festgelegten Anforderungen. Der Anbieter hält die EU-Konformitätserklärung gegebenenfalls auf dem
|
|
neuesten Stand.
|
|
|
|
|
|
(5) Der Kommission ist befugt, gemäß Artikel 97 delegierte Rechtsakte zur Aktualisierung des in Anhang V festgelegten
|
|
Inhalts der EU-Konformitätserklärung zu erlassen, um den genannten Anhang durch die Einführung von Elementen zu
|
|
ändern, die angesichts des technischen Fortschritts erforderlich werden.
|
|
|
|
|
|
Artikel 48
|
|
|
|
|
|
CE-Kennzeichnung
|
|
|
|
|
|
(1) Für die CE-Kennzeichnung gelten die in Artikel 30 der Verordnung (EG) Nr. 765/2008 festgelegten allgemeinen
|
|
Grundsätze.
|
|
|
|
|
|
(2) Bei digital bereitgestellten Hochrisiko-KI-Systemen wird eine digitale CE-Kennzeichnung nur dann verwendet, wenn
|
|
sie über die Schnittstelle, von der aus auf dieses System zugegriffen wird, oder über einen leicht zugänglichen
|
|
maschinenlesbaren Code oder andere elektronische Mittel leicht zugänglich ist.
|
|
|
|
|
|
(3) Die CE-Kennzeichnung wird gut sichtbar, leserlich und dauerhaft an Hochrisiko-KI-Systemen angebracht. Falls die
|
|
Art des Hochrisiko-KI-Systems dies nicht zulässt oder nicht rechtfertigt, wird sie auf der Verpackung bzw. der beigefügten
|
|
Dokumentation angebracht.
|
|
|
|
|
|
(4) Gegebenenfalls wird der CE-Kennzeichnung die Identifizierungsnummer der für die in Artikel 43 festgelegten
|
|
Konformitätsbewertungsverfahren zuständigen notifizierten Stelle hinzugefügt. Die Identifizierungsnummer der notifi-
|
|
zierten Stelle ist entweder von der Stelle selbst oder nach ihren Anweisungen durch den Anbieter oder den
|
|
Bevollmächtigten des Anbieters anzubringen. Diese Identifizierungsnummer wird auch auf jeglichem Werbematerial
|
|
angegeben, in dem darauf hingewiesen wird, dass das Hochrisiko-KI-System die Anforderungen für die CE-Kennzeichnung
|
|
erfüllt.
|
|
|
|
|
|
(5) Falls Hochrisiko-KI-Systeme ferner unter andere Rechtsvorschriften der Union fallen, in denen die CE-Kennzeichnung
|
|
auch vorgesehen ist, bedeutet die CE-Kennzeichnung, dass das Hochrisiko-KI-System auch die Anforderungen dieser
|
|
anderen Rechtsvorschriften erfüllt.
|
|
|
|
|
|
Artikel 49
|
|
|
|
|
|
Registrierung
|
|
|
|
|
|
(1) Vor dem Inverkehrbringen oder der Inbetriebnahme eines in Anhang III aufgeführten Hochrisiko-KI-Systems — mit
|
|
Ausnahme der in Anhang III Nummer 2 genannten Hochrisiko-KI-Systeme — registriert der Anbieter oder gegebenenfalls
|
|
sein Bevollmächtigter sich und sein System in der in Artikel 71 genannten EU-Datenbank.
|
|
|
|
|
|
(2) Vor dem Inverkehrbringen oder der Inbetriebnahme eines Hochrisiko-KI-Systems, bei dem der Anbieter zu dem
|
|
Schluss gelangt ist, dass es nicht hochriskant gemäß Artikel 6 Absatz 3 ist, registriert dieser Anbieter oder gegebenenfalls
|
|
sein Bevollmächtigter sich und dieses System in der in Artikel 71 genannten EU-Datenbank.
|
|
|
|
|
|
(3) Vor der Inbetriebnahme oder Verwendung eines in Anhang III aufgeführten Hochrisiko-KI-Systems — mit Ausnahme
|
|
der in Anhang III Nummer 2 aufgeführten Hochrisiko-KI-Systeme — registrieren sich Betreiber, bei denen es sich um
|
|
Behörden oder Organe, Einrichtungen oder sonstige Stellen der Union oder in ihrem Namen handelnde Personen handelt,
|
|
in der in Artikel 71 genannten EU-Datenbank, wählen das System aus und registrieren es dort.
|
|
|
|
# ABl. L vom 12.7.2024 DE
|
|
|
|
ELI: [http://data.europa.eu/eli/reg/2024/1689/oj](http://data.europa.eu/eli/reg/2024/1689/oj) 81/144
|
|
|
|
(4) Bei den in Anhang III Nummern 1, 6 und 7 genannten Hochrisiko-KI-Systemen erfolgt in den Bereichen
|
|
Strafverfolgung, Migration, Asyl und Grenzkontrolle die Registrierung gemäß den Absätzen 1, 2 und 3 des vorliegenden
|
|
Artikels in einem sicheren nicht öffentlichen Teil der in Artikel 71 genannten EU-Datenbank und enthält, soweit zutreffend,
|
|
lediglich die Informationen gemäß
|
|
|
|
|
|
a)Anhang VIII Abschnitt A Nummern 1 bis 10 mit Ausnahme der Nummern 6, 8 und 9,
|
|
|
|
|
|
b)Anhang VIII Abschnitt B Nummern 1 bis 5 sowie Nummern 8 und 9,
|
|
|
|
|
|
c) Anhang VIII Abschnitt C Nummern 1 bis 3,
|
|
|
|
|
|
d)Anhang IX Nummern 1, 2, 3 und Nummer 5.
|
|
|
|
|
|
Nur die Kommission und die in Artikel 74 Absatz 8 genannten nationalen Behörden haben Zugang zu den jeweiligen
|
|
beschränkten Teilen der EU-Datenbank gemäß Unterabsatz 1 dieses Absatzes.
|
|
|
|
|
|
(5) Die in Anhang III Nummer 2 genannten Hochrisiko-KI-Systeme werden auf nationaler Ebene registriert.
|