Art. 47/48 EU AI Act: Konformitätserklärung und CE-Zeichen

Am Ende jedes Konformitätsverfahrens für Hochrisiko-KI stehen zwei Artikel, die in der betrieblichen Praxis regelmäßig unterschätzt werden: Artikel 47 und Artikel 48 der EU-KI-Verordnung (VO (EU) 2024/1689). Sie regeln die EU-Konformitätserklärung und die CE-Kennzeichnung. Beides klingt nach Formalie — nach einem Dokument und einem Aufkleber. Tatsächlich sind es die beiden Rechtsakte, mit denen ein Anbieter die Verantwortung für sein System förmlich übernimmt. Wer sie ohne belastbare Nachweisbasis vollzieht, unterschreibt eine Aussage, die er im Prüfungsfall nicht halten kann.

Art. 47: Die Erklärung ist keine Zusammenfassung, sondern eine Haftungsübernahme

Nach Art. 47 Abs. 1 erstellt der Anbieter für jedes Hochrisiko-KI-System eine schriftliche, maschinenlesbare, physische oder elektronisch unterzeichnete EU-Konformitätserklärung. Sie ist ab dem Inverkehrbringen oder der Inbetriebnahme zehn Jahre lang für die zuständigen nationalen Behörden bereitzuhalten — dieselbe Aufbewahrungslogik, die auch für die technische Dokumentation gilt.

Der entscheidende Satz steht in Art. 47 Abs. 4: Mit der Ausstellung der Erklärung übernimmt der Anbieter die Verantwortung für die Erfüllung der Anforderungen aus Kapitel III Abschnitt 2 — also für Risikomanagement (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Protokollierung (Art. 12), Transparenz (Art. 13), menschliche Aufsicht (Art. 14) sowie Genauigkeit, Robustheit und Cybersicherheit (Art. 15). Die Erklärung ist damit kein Deckblatt über einem Ordner, sondern eine rechtsverbindliche Zusicherung. Sie ist außerdem fortlaufend aktuell zu halten: Ändert sich das System oder ändern sich die einschlägigen Anforderungen, muss die Erklärung nachgeführt werden.

Der Mindestinhalt ergibt sich aus Anhang V. Dazu gehören insbesondere:

• Name, Typ und eindeutige Kennung des KI-Systems
• Name und Anschrift des Anbieters bzw. seines Bevollmächtigten
• die Erklärung, dass die Konformitätserklärung unter alleiniger Verantwortung des Anbieters ausgestellt wird
• die Aussage, dass das System dieser Verordnung sowie gegebenenfalls weiterem einschlägigen Unionsrecht entspricht
• bei Verarbeitung personenbezogener Daten die Aussage der Konformität mit dem geltenden Datenschutzrecht
• Verweise auf verwendete harmonisierte Normen oder gemeinsame Spezifikationen
• gegebenenfalls Name und Kennnummer der notifizierten Stelle, Beschreibung des Konformitätsbewertungsverfahrens und Kennung der ausgestellten Bescheinigung
• Ort, Datum, Name und Funktion der unterzeichnenden Person

Die Erklärung ist in eine Sprache zu übersetzen, die der Mitgliedstaat verlangt, in dem das System bereitgestellt wird. Für Anbieter, die parallel in Deutschland, im EU27-Rest und darüber hinaus liefern, ist das ein Versionierungsthema — und ein häufiger Fehlerpunkt: Übersetzungen, die inhaltlich vom Original abweichen, sind ein Mangel, kein Formfehler.

Fällt das System zugleich unter anderes Harmonisierungsrecht der Union, das ebenfalls eine EU-Konformitätserklärung verlangt, ist nach Art. 47 Abs. 3 eine einzige Erklärung auszustellen, die alle einschlägigen Rechtsakte abdeckt. Für Medizinprodukte, Maschinen oder Fahrzeugkomponenten mit KI-Anteil heißt das: kein Parallelbetrieb zweier Dokumentenwelten, sondern ein integriertes Dokument mit klarer Zuordnung der Anforderungen.

Art. 48: CE-Kennzeichnung — sichtbar, dauerhaft, gegebenenfalls digital

Art. 48 unterstellt die CE-Kennzeichnung den allgemeinen Grundsätzen des Art. 30 der Verordnung (EG) Nr. 765/2008. Sie darf nur angebracht werden, wenn das Verfahren abgeschlossen ist, und sie steht ausschließlich dem Anbieter zu.

Für physisch verkörperte Hochrisiko-KI-Systeme gilt: sichtbar, lesbar und dauerhaft. Ist das aufgrund der Beschaffenheit des Systems nicht möglich oder nicht gerechtfertigt, wird die Kennzeichnung auf der Verpackung oder in den Begleitunterlagen angebracht. Für digital bereitgestellte Systeme lässt Art. 48 eine digitale CE-Kennzeichnung zu — allerdings nur, wenn sie über die Schnittstelle, über die das System zugänglich ist, oder über einen leicht zugänglichen maschinenlesbaren Code beziehungsweise andere elektronische Mittel unkompliziert erreichbar ist. Ein CE-Zeichen im Footer einer Marketingseite erfüllt das nicht.

War eine notifizierte Stelle am Konformitätsbewertungsverfahren nach Art. 43 beteiligt, folgt der CE-Kennzeichnung deren Kennnummer. Diese Nummer ist auch in Werbematerial anzugeben, das auf die Konformität des Systems Bezug nimmt. Anbringen darf die Nummer die notifizierte Stelle selbst oder — auf deren Anweisung — der Anbieter oder sein Bevollmächtigter.

Weiterführend zu den Anhang-III-Kategorien und der Frage, welche Systeme überhaupt in diesen Pflichtenkreis fallen: hochrisiko-ki.com.

Was Betreiber daraus ableiten sollten

Art. 47 und 48 adressieren den Anbieter (Provider). Für Betreiber (Deployer) sind sie trotzdem relevant — aus zwei Gründen.

Erstens sind Konformitätserklärung und CE-Kennzeichnung die prüfbarsten Beschaffungsartefakte, die es im Anwendungsbereich der Verordnung gibt. Wer ein Hochrisiko-KI-System einkauft, kann die Erklärung anfordern, gegen Anhang V abgleichen und prüfen, ob die genannten Normen, Verfahren und Bescheinigungen zum tatsächlichen Einsatzzweck passen. Das ersetzt keine eigene Sorgfaltsprüfung, ist aber der schnellste Einstieg in eine Lieferantenbewertung.

Zweitens verschiebt Art. 25 die Rollen: Wer ein System unter eigenem Namen bereitstellt, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es zum Hochrisiko-System wird, gilt selbst als Anbieter — und schuldet dann Konformitätserklärung und CE-Kennzeichnung. Fine-Tuning, Re-Branding oder ein neuer Einsatzkontext können also aus einem Einkaufsvorgang eine eigene Herstellerpflicht machen.

Die Nachweisbasis entscheidet, nicht das Dokument

Beide Artikel sind formal schnell erfüllt — ein Dokument und eine Kennzeichnung lassen sich an einem Tag erstellen. Belastbar sind sie nur, wenn dahinter eine durchgängige Evidenzkette steht: Welche Version des Systems wurde bewertet? Welche Trainings- und Testdaten lagen zugrunde? Welche Normfassung wurde herangezogen? Wer hat wann auf welcher Grundlage freigegeben? Genau diese Fragen stellt eine Marktüberwachungsbehörde — nicht die Frage, ob ein PDF existiert.

Mit dem Forcing Event am 02.12.2027 wird dieser Nachweis zur Routineanforderung im Markt. Wer die Erklärung als Ergebnis eines laufenden Managementsystems begreift — etwa nach ISO/IEC 42001 mit definierter AIMS-Reife — kann sie bei jeder Systemänderung reproduzierbar aktualisieren. Wer sie als Einzeldokument pflegt, verliert nach der zweiten Modellversion den Anschluss an die Realität des Systems.

Evidence-based AI Trust heißt hier konkret: Die Konformitätserklärung sollte kein Text sein, den jemand schreibt, sondern ein Auszug aus dem, was ohnehin nachweisbar dokumentiert ist.

Mehr zur AEGIRA Trust-Platform: aegira.ai