Konformitätsbewertung nach Art. 43 KI-VO

Worum es in Art. 43 geht

Art. 43 KI-VO regelt, wie Anbieter nachweisen, dass ein Hochrisiko-KI-System die Anforderungen aus Abschnitt 2 des Kapitels III erfüllt. Die Norm unterscheidet dabei streng danach, in welche Kategorie des Anhangs III das System fällt – und ob harmonisierte Normen (Art. 40) oder gemeinsame Spezifikationen (Art. 41) existieren und angewendet wurden. Wer hier die falsche Weiche stellt, riskiert ein ungültiges Konformitätsbewertungsverfahren und damit eine fehlerhafte CE-Kennzeichnung.

Zwei Verfahren, unterschiedliche Auslöser

Für Systeme nach Anhang III Nummer 1 (z. B. biometrische Systeme) gibt Art. 43 Abs. 1 dem Anbieter grundsätzlich die Wahl zwischen zwei Verfahren:

• Interne Kontrolle nach Anhang VI – der Anbieter bewertet selbst, ohne externe Stelle.
• Bewertung durch eine notifizierte Stelle nach Anhang VII – umfasst die Prüfung des Qualitätsmanagementsystems und der technischen Dokumentation.

Diese Wahlfreiheit gilt aber nur, solange harmonisierte Normen oder gemeinsame Spezifikationen vollständig angewendet wurden. Sobald einer der folgenden Fälle vorliegt, schreibt Art. 43 Abs. 1 zwingend das Verfahren nach Anhang VII vor:

• Es gibt weder eine harmonisierte Norm noch eine gemeinsame Spezifikation.
• Die harmonisierte Norm wurde nicht oder nur teilweise angewendet.
• Eine vorliegende gemeinsame Spezifikation wurde nicht angewendet.
• Eine harmonisierte Norm wurde nur mit Einschränkung veröffentlicht – dann gilt Anhang VII zumindest für den eingeschränkten Teil.

Für alle anderen Hochrisiko-Kategorien (Anhang III Nummern 2 bis 8) sieht Art. 43 Abs. 2 durchgängig die interne Kontrolle nach Anhang VI vor – ohne Beteiligung einer notifizierten Stelle. Das ist praktisch relevant: Die meisten Anwendungsfälle im HR-, Kredit- oder Bildungsbereich fallen in diese Nummern und benötigen damit keine externe Stelle, sondern eine belastbare interne Bewertung.

Sonderfall: Produkte mit bestehenden Harmonisierungsrechtsakten

Fällt ein Hochrisiko-KI-System zugleich unter einen in Anhang I Abschnitt A gelisteten Rechtsakt (etwa Maschinen- oder Medizinprodukterecht), gilt nach Art. 43 Abs. 3 das dortige Konformitätsbewertungsverfahren – die Anforderungen aus Abschnitt 2 der KI-VO werden in diese Bewertung integriert. Notifizierte Stellen, die bereits nach dem jeweiligen Rechtsakt notifiziert sind, dürfen die KI-VO-Anforderungen mitprüfen, sofern sie auch die Kriterien aus Art. 31 Abs. 4, 5, 10 und 11 erfüllen. Wichtig für Hersteller: Wer nach dem Produktrecht auf eine Bewertung durch Dritte verzichten darf, weil er harmonisierte Normen vollständig angewendet hat, darf dies nur, wenn diese Normen (oder gemeinsame Spezifikationen nach Art. 41) auch alle Anforderungen aus Abschnitt 2 der KI-VO abdecken.

Wesentliche Änderung: Die Bewertung ist kein Einmalakt

Art. 43 Abs. 4 verpflichtet zu einer erneuten Konformitätsbewertung, wenn ein bereits bewertetes System eine wesentliche Änderung erfährt – unabhängig davon, ob es weiterhin in Verkehr gebracht oder nur weitergenutzt wird. Für kontinuierlich lernende Systeme gilt eine Ausnahme: Änderungen, die der Anbieter bereits bei der ursprünglichen Bewertung vorab festgelegt und in der technischen Dokumentation nach Anhang IV Nummer 2 Buchstabe f dokumentiert hat, gelten nicht als wesentliche Änderung. Das bedeutet in der Praxis: Wer lernende Systeme betreibt, muss die erwarteten Lernpfade und Leistungsänderungen bereits im Rahmen der Erstbewertung antizipieren und dokumentieren – sonst löst jede spätere Anpassung eine neue Bewertungspflicht aus.

Typische Lücken in der Praxis

In der Beratungspraxis zeigen sich wiederkehrende Schwachstellen:

• Fehlende Zuordnung zur richtigen Anhang-III-Nummer. Ohne klare Kategorisierung lässt sich nicht bestimmen, ob Anhang VI oder Anhang VII gilt.
• Unklare Normenlage. Anbieter gehen von der Anwendbarkeit harmonisierter Normen aus, ohne zu prüfen, ob diese tatsächlich veröffentlicht und vollständig – nicht nur mit Einschränkung – anwendbar sind.
• Fehlende Vorab-Dokumentation bei lernenden Systemen. Ohne die in Anhang IV Nummer 2 Buchstabe f geforderten Angaben verliert der Anbieter den Ausnahmetatbestand des Art. 43 Abs. 4 und riskiert bei jedem Modell-Update eine neue, vollständige Bewertung.
• Fehlende Trigger für Re-Bewertungen. Es existiert häufig kein internes Verfahren, das Produktänderungen automatisch auf den Tatbestand der „wesentlichen Änderung“ prüft.

Die Hochrisiko-Pflichten aus Anhang III greifen erst ab dem 2. Dezember 2027 — der Digital Omnibus hat sie vom 2. August 2026 verschoben. Trotzdem lohnt sich jetzt ein Blick auf das passende Konformitätsbewertungsverfahren – Verfahren nach Anhang VII mit notifizierter Stelle benötigen deutlich mehr Vorlaufzeit als die interne Kontrolle nach Anhang VI.

Nächster Schritt

Ob Ihr System unter Anhang III fällt, welche Nummer einschlägig ist und welches Konformitätsbewertungsverfahren daraus folgt, lässt sich mit unserem kostenlosen Risiko-Check unter /einstufung in wenigen Minuten klären.