Die CE-Kennzeichnung ist vielen aus der Welt der Maschinen, Spielzeuge und Medizinprodukte vertraut — und mit dem EU AI Act zieht sie nun auch in die Welt der Software ein. Hochrisiko-KI-Systeme müssen vor ihrem Inverkehrbringen eine Konformitätsbewertung durchlaufen und anschliessend eine CE-Kennzeichnung tragen. Für Softwareunternehmen, die bislang nie mit physischen Produkt-Compliance-Regimen in Berührung kamen, ist das eine ungewohnte und oft unterschätzte Anforderung. Dieser Beitrag erklärt, was dahintersteckt und wie der Weg zur CE-Kennzeichnung aussieht.
Was die CE-Kennzeichnung bedeutet
Die CE-Kennzeichnung ist kein Qualitätssiegel im Sinne einer Auszeichnung, sondern eine Konformitätserklärung des Herstellers: Sie bedeutet, dass das Produkt die anwendbaren EU-Anforderungen erfüllt und in Verkehr gebracht werden darf. Der Anbieter bringt sie selbst an und übernimmt damit die Verantwortung für die Konformität. Beim AI Act bezieht sich die CE-Kennzeichnung darauf, dass ein Hochrisiko-System die Anforderungen der Verordnung erfüllt — vom Risikomanagement über die Daten-Governance bis zur technischen Dokumentation und der menschlichen Aufsicht. Sie ist damit der sichtbare Abschluss eines umfangreichen internen Prozesses.
Die zwei Wege der Konformitätsbewertung
Der AI Act sieht für Hochrisiko-Systeme zwei grundsätzliche Wege vor. Der erste ist die interne Kontrolle — eine Selbstbewertung des Anbieters auf Grundlage seiner technischen Dokumentation und seines Qualitätsmanagementsystems. Dieser Weg gilt für die meisten der in Anhang III gelisteten Hochrisiko-Systeme. Der zweite Weg bezieht eine benannte Stelle ein — eine unabhängige, akkreditierte Prüforganisation, die die Konformität von aussen bewertet. Dieser Weg ist insbesondere für bestimmte biometrische Systeme und für Hochrisiko-KI vorgesehen, die in bereits regulierte Produkte eingebettet ist und deren sektorale Vorschriften eine Drittbewertung verlangen.
Die Rolle der benannten Stellen
Benannte Stellen sind das Bindeglied zwischen privatem Anbieter und staatlicher Aufsicht. Sie werden von den Mitgliedstaaten benannt und überwacht und prüfen im Auftrag des Anbieters, ob ein System die Anforderungen erfüllt. Für die betroffenen Hochrisiko-Systeme stellt die benannte Stelle nach erfolgreicher Bewertung eine Bescheinigung aus, die Voraussetzung für die CE-Kennzeichnung ist. Ein praktisches Problem der frühen Phase: Es braucht Zeit, bis genügend benannte Stellen für KI akkreditiert und arbeitsfähig sind. Wer absehbar eine Drittbewertung benötigt, sollte den Markt frühzeitig sondieren, um nicht an Kapazitätsengpässen zu scheitern.
Die technische Dokumentation als Grundlage
Egal welcher Weg: Das Herzstück der Konformitätsbewertung ist die technische Dokumentation nach Anhang IV. Sie beschreibt das System umfassend — Zweck, Architektur, Trainingsdaten und ihre Governance, das Risikomanagement, die getroffenen Massnahmen zur menschlichen Aufsicht, die Genauigkeits- und Robustheitseigenschaften und vieles mehr. Diese Dokumentation entsteht nicht am Ende als Formalität, sondern wächst über den gesamten Entwicklungsprozess. Wer sie erst nachträglich erstellt, merkt schmerzhaft, dass viele der verlangten Nachweise nur entstehen, wenn man sie von Anfang an mitführt — etwa die lückenlose Dokumentation der Datenherkunft.
Die EU-Konformitätserklärung und Registrierung
Nach bestandener Bewertung erstellt der Anbieter die EU-Konformitätserklärung — ein Dokument, in dem er förmlich erklärt, dass das System die Anforderungen erfüllt, und das er für die Behörden bereithält. Erst dann darf die CE-Kennzeichnung angebracht werden. Hinzu kommt die Registrierung des Hochrisiko-Systems in der von der EU geführten Datenbank, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Diese Registrierung macht das System für Aufsicht und Öffentlichkeit auffindbar und ist ein eigenständiger Pflichtschritt, der gern übersehen wird.
Wesentliche Änderungen lösen neue Bewertung aus
Ein Punkt, der gerade bei Software heikel ist: Eine wesentliche Änderung am System kann eine erneute Konformitätsbewertung auslösen. Anders als bei einer Maschine, die einmal gebaut und dann verkauft wird, entwickelt sich Software ständig weiter. Der AI Act zwingt deshalb dazu, zu definieren, was eine wesentliche Änderung ist — eine, die die Konformität berühren könnte — und einen Prozess zu etablieren, der solche Änderungen erkennt und die Bewertung gegebenenfalls auffrischt. Ein gepflegtes Qualitätsmanagementsystem ist hier der Mechanismus, der diese laufende Aufgabe organisiert.
Der Zeitplan und die Vorbereitung
Die Hochrisiko-Pflichten greifen gestaffelt; für die meisten Anhang-III-Systeme ab August 2026. Die Vorbereitung auf die CE-Kennzeichnung ist kein Projekt von Wochen, sondern von Monaten, weil sie das gesamte Entwicklungs- und Qualitätssystem berührt. Wer ein betroffenes System plant oder betreibt, sollte deshalb jetzt mit der Gap-Analyse beginnen: Welche Anforderungen erfüllen wir bereits, wo fehlt Dokumentation, brauchen wir eine benannte Stelle, und wie sieht unser Prozess für wesentliche Änderungen aus?
Was zu tun ist
Klären Sie zuerst, ob Ihr System überhaupt hochrisikobehaftet ist und welcher Bewertungsweg gilt — interne Kontrolle oder benannte Stelle. Bauen Sie die technische Dokumentation nach Anhang IV als lebendes Artefakt auf, etablieren Sie ein Qualitätsmanagementsystem, das die laufende Konformität sichert, und planen Sie Registrierung und Konformitätserklärung als feste Schritte ein. Wo eine benannte Stelle nötig ist, sichern Sie frühzeitig Kapazität. Dies ist eine fachliche Orientierung; die konkrete Einordnung Ihres Systems und die Wahl des Bewertungswegs sollten Sie mit spezialisierter Beratung absichern, weil hier die teuersten Fehleinschätzungen entstehen.
Behandeln Sie die CE-Kennzeichnung als Ergebnis eines Systems, nicht als einzelnen Akt. Sie ist der sichtbare Beweis dafür, dass Risikomanagement, Datenqualität, Dokumentation und Aufsicht zusammenspielen — die Kennzeichnung anzubringen ist trivial, die Substanz dahinter aufzubauen ist die eigentliche Arbeit. Wer diese Reihenfolge verinnerlicht, baut die Konformität in den Entwicklungsprozess ein, statt sie am Ende als Hürde zu erleben, und kann die CE-Kennzeichnung dann als das anbringen, was sie sein soll: die ehrliche Bestätigung eines konformen Systems.