Französische Hersteller, Importeure und Händler von Hochrisiko-KI-Systemen müssen sich auf neue Konformitätspflichten einstellen. Die Fristen am 2. Dezember 2027 und am 2. August 2028 betreffen zwei unterschiedliche Kategorien von Systemen.
Die europäische KI-Verordnung, der sogenannte AI Act, sieht für Systeme mit hohem Risiko ein Verfahren zur CE-Kennzeichnung vor. Für französische Unternehmen, die KI-Lösungen entwickeln, vertreiben oder integrieren, etwa in robotergestützten Anlagen, besteht der erste Schritt darin, die regulatorische Kategorie des Systems zu bestimmen. Von dieser Einstufung hängen das Bewertungsverfahren, die zu erstellenden Unterlagen und die Verantwortlichkeiten der einzelnen Akteure ab.
Zwei EU-Fristen je nach Kategorie des KI-Systems
Der Zeitplan, den der Jurist Thiébaut Devergranne in seiner Analyse vom 18. August 2026 vorstellt, unterscheidet gemäß der EU-Verordnung 2026/1744 zwei Kategorien von Hochrisikosystemen.
- 2. Dezember 2027: Ab diesem Tag gelten die Anforderungen für Hochrisikosysteme nach Anhang III, unter anderem in den Bereichen Personalauswahl, Bildung, Biometrie und bestimmte grundlegende Dienste.
- 2. August 2028: Diese Frist gilt für Hochrisiko-KI-Systeme, die in regulierte Produkte nach Anhang I eingebaut sind, darunter bestimmte Industrieanlagen und Medizinprodukte.
Persona AI lehrt Humanoiden Schweißen: Werften sollen mehr Schiffe bauen, nicht Löhne sparen
Die Artikel 40, 42 und 43 des AI Act, die die Verfahren der Konformitätsbewertung regeln, gelten bereits seit dem 2. August 2026. Die Kennzeichnungspflicht selbst ergibt sich allerdings aus Artikel 16 und richtet sich nach den Fristen der jeweiligen Kategorie.
Die spezifische CE-Kennzeichnung nach dem AI Act betrifft Hochrisiko-KI-Systeme. Sie gilt nicht pauschal für jede KI-Software oder jeden Roboter, der in der Europäischen Union verkauft wird.
Roboter mit KI: Wann die Maschinenverordnung greift
Für Hersteller und Integratoren von Robotern in Frankreich kommt es entscheidend darauf an, zwischen dem KI-System und dem physischen Produkt zu unterscheiden.
Ein Roboter mit einer KI-Funktion, die im Rahmen der für Maschinen geltenden Vorschriften als hochriskant eingestuft werden könnte, muss anhand der entsprechenden sektoralen Regeln geprüft werden.
Die Maschinenverordnung nimmt im europäischen Zeitplan eine Sonderstellung ein. Laut der Analyse von Thiébaut Devergranne sollen die KI-bezogenen Anforderungen spätestens bis zum 2. August 2028 per delegierten Rechtsakten in ihren Anhang III aufgenommen werden.
Dieses Zusammenspiel betrifft vor allem Hersteller intelligenter Maschinen sowie Unternehmen, die KI-Funktionen in Anlagen für den europäischen Markt einbauen. Die bereits für eine Maschine geltende CE-Kennzeichnung und die Anforderungen an ihre künstliche Intelligenz müssen gemeinsam betrachtet werden.
Konformitätsbewertung: Selbstbewertung oder notifizierte Stelle
Artikel 43 des AI Act legt mehrere Wege der Konformitätsbewertung fest. Ob eine externe Stelle hinzugezogen werden muss, hängt unter anderem von der Einstufung und den für das System geltenden Vorschriften ab.
Bei den meisten eigenständigen Systemen nach Anhang III, Nummern 2 bis 8, führt der Anbieter eine interne Kontrolle nach Anhang VI durch. Dabei werden das Qualitätsmanagementsystem, die technische Dokumentation und die Übereinstimmung zwischen den angegebenen Verfahren und dem tatsächlichen Betrieb des Systems geprüft.
Für biometrische Systeme nach Anhang III, Nummer 1, gelten besondere Regeln. Eine interne Kontrolle ist möglich, wenn die einschlägigen harmonisierten Normen angewendet werden. In den übrigen in Artikel 43 vorgesehenen Fällen ist eine Bewertung durch eine notifizierte Stelle erforderlich.
Bei Systemen, die in regulierte Produkte eingebaut sind, bleibt das für das Produkt geltende sektorale Verfahren maßgeblich. Die Anforderungen des AI Act können so in ein Konformitätsverfahren einfließen, das die europäischen Vorschriften ohnehin vorsehen.
Technische Dokumentation: Risiken, Daten und menschliche Aufsicht
Betroffene französische Hersteller müssen eine Dokumentation erstellen, mit der sie nachweisen können, dass ihre Systeme die europäischen Anforderungen erfüllen.
Zu den in den Artikeln 9 bis 17 genannten Pflichten gehören unter anderem:
- Ein dokumentiertes Risikomanagement über den gesamten Lebenszyklus des Systems.
- Eine Data Governance für die Daten, die für Training, Validierung und Tests genutzt werden.
- Eine technische Dokumentation, die Funktionsweise und Merkmale des Systems beschreibt.
- Eine Protokollierung, die die Rückverfolgbarkeit von Ereignissen ermöglicht.
- Informationen für gewerbliche Nutzer und Betreiber.
- Maßnahmen zur menschlichen Aufsicht, die den Risiken angemessen sind.
- Anforderungen an Genauigkeit, Robustheit und Cybersicherheit.
- Ein Qualitätsmanagementsystem, das Entwicklung und Änderungen regelt.
Für KMU und bestimmte mittelgroße Unternehmen gelten bei der technischen Dokumentation und dem Qualitätsmanagementsystem Verhältnismäßigkeitsregeln.
Für Roboterhersteller muss diese Dokumentation zudem die Weiterentwicklung des KI-Systems nachvollziehbar machen, insbesondere wenn ein Update sein Verhalten oder seine Leistung verändert.
EU-Konformitätserklärung und Registrierung vor dem Inverkehrbringen
Nach Abschluss der Konformitätsbewertung stellt der Anbieter gemäß Artikel 47 eine EU-Konformitätserklärung aus.
Diese Erklärung nennt das System, seinen Anbieter, die geltenden Vorschriften und die angewendeten Normen. Der Anbieter haftet für ihren Inhalt und muss sie aktualisieren, wenn relevante Änderungen eintreten.
Laut Artikel 18 des AI Act müssen die Erklärung und die technische Dokumentation zehn Jahre nach dem Inverkehrbringen oder der Inbetriebnahme aufbewahrt werden.
Artikel 48 regelt anschließend das Anbringen der CE-Kennzeichnung. Sie muss sichtbar, lesbar und dauerhaft sein. Bei Systemen, die ausschließlich digital bereitgestellt werden, ist eine zugängliche digitale Kennzeichnung zulässig.
Systeme, die unter Artikel 49 fallen, müssen außerdem vor dem Inverkehrbringen oder der Inbetriebnahme in der dafür vorgesehenen EU-Datenbank registriert werden. Bestimmte sensible Kategorien, etwa aus den Bereichen Biometrie und Strafverfolgung, werden in einem nicht öffentlichen Teil dieser Datenbank geführt.
Haftung: Wann ein Händler zum Anbieter wird
Artikel 25 des AI Act verdient bei französischen Händlern, Importeuren und Integratoren besondere Aufmerksamkeit.
Wer ein Hochrisiko-KI-System unter eigenem Namen oder eigener Marke vertreibt, kann im Sinne der Verordnung als dessen Anbieter gelten. Er übernimmt dann die entsprechenden Pflichten.
Diese Neueinstufung greift auch, wenn ein Akteur ein Hochrisikosystem wesentlich verändert oder die Zweckbestimmung eines ursprünglich nicht als hochriskant eingestuften Systems so ändert, dass es in diese Kategorie fällt.
Für Roboterhändler bedeutet das: Die Anpassung eines Geräts oder die Integration einer neuen KI-Software muss im Hinblick auf die regulatorische Zweckbestimmung geprüft werden.
Die Verantwortung hängt nicht allein davon ab, wer das System ursprünglich hergestellt hat. Ein französisches Unternehmen, das ein System wesentlich verändert, muss unter Umständen dessen erneute Konformitätsbewertung übernehmen.
Verträge mit Herstellern und Lieferanten sollten daher unter anderem die zulässigen Verwendungen, technische Änderungen und den Zugang zu den für die Konformität nötigen Unterlagen regeln.
Wesentliche Änderungen und erneute Konformitätsbewertung
Artikel 43 sieht vor, dass eine wesentliche Änderung eines Hochrisiko-KI-Systems ein neues Konformitätsbewertungsverfahren nach sich zieht.
Diese Regel betrifft Systeme, die sich nach dem Inverkehrbringen weiterentwickeln können, insbesondere solche mit Machine-Learning-Modellen.
Ausgenommen sind Änderungen, die der Anbieter vorab festgelegt, in der ursprünglichen technischen Dokumentation beschrieben und hinsichtlich ihrer Auswirkungen auf die Konformität analysiert hat.
Roboterhersteller können daher geplante Weiterentwicklungen ihrer KI-Systeme, die Modalitäten des erneuten Trainings und die betroffenen Betriebsparameter bereits in ihre ursprüngliche Dokumentation aufnehmen.
Für Systeme, die nach Anhang VII von einer notifizierten Stelle bewertet werden, legt Artikel 44 eine maximale Gültigkeit der Bescheinigungen fest: vier Jahre für Systeme nach Anhang III und fünf Jahre für Systeme nach Anhang I. Eine Verlängerung ist nach einer erneuten Bewertung möglich.
Vorbereitung: Einstufung und Verträge rechtzeitig klären
Thiébaut Devergranne empfiehlt Organisationen, zunächst ihre KI-Systeme zu erfassen und deren Einstufung bis Ende 2026 zu dokumentieren.
Für jedes Hochrisikosystem muss das Unternehmen das anwendbare Bewertungsverfahren, die einschlägigen Normen und die zu erstellenden technischen Unterlagen bestimmen.
Zur Vorbereitung im Jahr 2027 gehören unter anderem die Erstellung der technischen Dokumentation, die Organisation der EU-Konformitätserklärung, die rechtzeitige Planung der Registrierung in der EU-Datenbank und die Überarbeitung der Verträge mit Lieferanten und Kunden.
Französische Händler und Integratoren können zudem mit einem internen Register, das Systemversionen, Einstufungen und vorgenommene Änderungen festhält, die Pflichten für jedes vertriebene oder in Betrieb genommene Gerät im Blick behalten.