Wie läuft die Konformitätsbewertung nach EU AI Act?

Zwei Wege zur Konformität

Anhang VI – Interne Kontrolle: Du dokumentierst selbst, dass dein System die Anforderungen erfüllt. Gilt für die meisten Hochrisiko-Systeme (Personalwesen, Bildung, Kreditscoring).

Anhang VII – Externe Bewertung: Eine Notified Body (z. B. TÜV-Süd) prüft dein System. Bei Biometrie-Systemen hängt die Beteiligung einer notifizierten Stelle von den Voraussetzungen des Art. 43 ab; bei Produkt-Komponenten gelten die einschlägigen sektoralen Verfahren.

Was musst du nachweisen (Anhang VI)

• Risk-Management-System (Art. 9) – kontinuierliche Risiko-Identifikation und Minderung.

• Daten-Governance (Art. 10) – Trainings-Daten, Validierungs-Daten, Test-Daten relevant, repräsentativ, fehlerfrei.

• Technische Dokumentation (Art. 11, Anhang IV) – Systemarchitektur, Algorithmen, Trainings-Methodik.

• Aufzeichnungspflicht (Art. 12) – Logs für Audit, mindestens 6 Monate.

• Transparenz für Anwender (Art. 13) – Klarstellung was das System tut und seine Grenzen.

• Menschliche Aufsicht (Art. 14) – Möglichkeit für Menschen einzugreifen.

• Genauigkeit, Robustheit, Cybersecurity (Art. 15).

CE-Kennzeichnung

Nach erfolgreicher Konformitätsbewertung erstellst du die EU-Konformitätserklärung und bringst die CE-Kennzeichnung an (Art. 47-48). Erst dann darfst du das System auf den EU-Markt bringen.

Re-Konformitätsbewertung

Bei wesentlichen Änderungen am System (neue Trainingsdaten, neues Modell, neue Use Cases) musst du die Konformitätsbewertung wiederholen. Was „wesentlich“ ist, definiert Art. 43 Abs. 4 – größer als Bug-Fix, kleiner als Komplett-Redesign.