Der AI Act formuliert die Anforderungen an Hochrisiko-Systeme bewusst allgemein: angemessenes Risikomanagement, geeignete Datenqualität, ausreichende Genauigkeit und Robustheit. Wie das konkret aussieht, sollen harmonisierte Normen festlegen. Sie sind das Bindeglied zwischen Gesetzestext und technischer Umsetzung.
Wer sie erarbeitet
Die Kommission hat die europäischen Normungsorganisationen CEN und CENELEC beauftragt, Normen zu den Anforderungen des AI Act zu erarbeiten. Die Arbeit läuft in einem gemeinsamen technischen Komitee, in dem Industrie, Wissenschaft und Zivilgesellschaft vertreten sind. Erst wenn eine Norm fertig ist und ihre Fundstelle im Amtsblatt der EU veröffentlicht wurde, entfaltet sie ihre rechtliche Wirkung.
Die Konformitätsvermutung
Nach Art. 40 AI Act wird vermutet, dass ein Hochrisiko-System die Anforderungen erfüllt, soweit es den einschlägigen harmonisierten Normen entspricht. Das erleichtert die Konformitätsbewertung erheblich: Statt selbst zu begründen, warum eine Lösung angemessen ist, verweist der Anbieter auf die Norm. Die Normen sind freiwillig; wer einen anderen Weg wählt, muss die Erfüllung der Anforderungen selbst nachweisen.
Gemeinsame Spezifikationen als Rückfallebene
Liegen keine geeigneten harmonisierten Normen vor, kann die Kommission nach Art. 41 gemeinsame Spezifikationen erlassen, die ebenfalls eine Konformitätsvermutung begründen. Sie sind als Rückfallebene gedacht, nicht als Regelfall.
Warum die Normung den Zeitplan beeinflusst
Ohne fertige Normen fehlt Unternehmen die praktische Anleitung, wie sie die Hochrisiko-Anforderungen erfüllen sollen. Die Verzögerung bei der Normung war ein wesentlicher Grund, warum der Digital-Omnibus die Pflichten für Hochrisiko-Systeme nach Anhang III auf Dezember 2027 und für Systeme nach Anhang I auf August 2028 verschoben hat.
Was das für Unternehmen heisst
Wer Hochrisiko-Systeme entwickelt, sollte die Normungsentwürfe verfolgen und die eigene Entwicklung an ihnen ausrichten, statt auf die Veröffentlichung zu warten. Viele Inhalte sind absehbar, etwa zu Risikomanagement, Datenqualität, Protokollierung und Qualitätsmanagement. Ergänzend bietet ISO/IEC 42001 einen Rahmen für das Managementsystem. Den Gesamtzusammenhang beschreibt der Beitrag zu den Hochrisiko-Pflichten.