Published on

Art. 8 EU AI Act: Erfüllung der Anforderungen

Authors

Art. 8 eröffnet Abschnitt 2 von Kapitel III und formuliert die allgemeine Pflicht, die den gesamten nachfolgenden Anforderungskatalog trägt: Hochrisiko-KI-Systeme müssen die Vorgaben der Art. 9 bis 15 erfüllen. Die Norm selbst begründet keine neue inhaltliche Anforderung — sie ist die Scharniernorm zwischen der Einstufung nach Art. 6 und den materiellen Pflichten der Folgeartikel, und sie klärt einen praktisch zentralen Sonderfall: was gilt, wenn ein Hochrisiko-KI-System Teil eines Produkts ist, das bereits anderem EU-Produktrecht unterliegt.

Normtext

Art. 8 Abs. 1: Hochrisiko-KI-Systeme müssen die in diesem Abschnitt festgelegten Anforderungen erfüllen; dabei sind ihr Verwendungszweck sowie der allgemein anerkannte Stand der Technik in Bezug auf KI und KI-bezogene Technologien zu berücksichtigen. Das in Art. 9 genannte Risikomanagementsystem wird bei der Gewährleistung der Einhaltung dieser Anforderungen berücksichtigt.

Art. 8 Abs. 2: Enthält ein Produkt ein KI-System, für das sowohl die Anforderungen dieser Verordnung als auch die Anforderungen der in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union gelten, sind die Anbieter dafür verantwortlich, dass ihr Produkt vollständig mit allen anwendbaren Anforderungen dieser Harmonisierungsrechtsvorschriften übereinstimmt. Zur Gewährleistung der Kohärenz, zur Vermeidung von Doppelarbeit und zur Minimierung des Zusatzaufwands können Anbieter die nach dieser Verordnung erforderlichen Prüf- und Meldeverfahren, Informationen und Unterlagen in die bereits nach der jeweiligen Harmonisierungsrechtsvorschrift bestehende Dokumentation und die dort vorgesehenen Verfahren integrieren.

Einordnung

Art. 8 steht systematisch vor der ersten materiellen Einzelpflicht (Risikomanagement, Art. 9) und bündelt zwei Funktionen. Abs. 1 verankert zwei Auslegungsmaßstäbe, die für den gesamten Abschnitt gelten: den Verwendungszweck des Systems (Zweckbindung) und den allgemein anerkannten Stand der Technik (ein dynamischer, kein starrer Maßstab). Zugleich stellt er klar, dass das Risikomanagementsystem nach Art. 9 die zentrale Nachweisstruktur ist, über die Provider die Einhaltung der übrigen Anforderungen — Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Aufzeichnungspflichten (Art. 12), Transparenz gegenüber Deployern (Art. 13), menschliche Aufsicht (Art. 14), Genauigkeit, Robustheit und Cybersicherheit (Art. 15) — organisieren und belegen.

Abs. 2 adressiert einen strukturell anderen Fall: das „Produkt-KI-System", bei dem ein Hochrisiko-KI-System Bestandteil eines Produkts ist, das zugleich unter sektorales Produktrecht nach Anhang I Abschnitt A fällt — etwa Medizinprodukte, In-vitro-Diagnostika oder Maschinen. Hier verschränkt die Norm zwei Rechtsregime, ohne eines dem anderen unterzuordnen: Der Anbieter muss beide vollständig erfüllen, darf die Nachweisführung aber organisatorisch zusammenlegen. Diese Weichenstellung ist der Grund, warum Art. 8 in der Kommentierung eigenständig zu behandeln ist, obwohl er keine der eigentlichen Pflichten enthält.

Erwägungsgründe

Erwägungsgrund 46 erläutert den Hintergrund von Abs. 2: Nach dem im „Blauen Leitfaden" der Kommission (2022) beschriebenen neuen Rechtsrahmen kann auf ein Produkt mehr als ein Harmonisierungsrechtsakt der Union anwendbar sein — als Beispiele nennt der Erwägungsgrund die Medizinprodukte-Verordnung (EU) 2017/745, die IVD-Verordnung (EU) 2017/746 und die (frühere) Maschinenrichtlinie 2006/42/EG. Um unnötigen Verwaltungsaufwand und unnötige Kosten zu vermeiden, sollen Anbieter flexibel entscheiden können, wie sie die Konformität eines Produkts mit allen anwendbaren Anforderungen am besten sicherstellen. Der Erwägungsgrund betont zudem, dass die Hochrisiko-Klassifikation auf Fälle mit erheblichen schädlichen Auswirkungen auf Gesundheit, Sicherheit und Grundrechte beschränkt bleiben und internationale Handelsbeschränkungen minimiert werden sollen.

Erwägungsgrund 64 vertieft die Doppelrelevanz inhaltlich: Die von KI-Systemen ausgehenden Gefahren beträfen andere Aspekte als die bestehende sektorale Harmonisierungsgesetzgebung — etwa weil das Maschinen- oder Medizinprodukterecht die spezifischen Risiken von KI-Systemen nicht abdeckt. Die Anforderungen der KI-Verordnung wirken deshalb ergänzend, nicht ersetzend, und verlangen eine gleichzeitige Anwendung beider Rechtsregime. Die Integrationsoption des Abs. 2 ist als operative Flexibilität zu verstehen, die die Pflicht der Anbieter, sämtliche geltenden Anforderungen zu erfüllen, in keiner Weise mindert.

Auslegung

Doppelter Maßstab in Abs. 1. Die Zweckbindung bedeutet, dass sich die Anforderungen der Art. 9–15 nicht abstrakt, sondern immer bezogen auf die vom Provider festgelegte Zweckbestimmung des konkreten Systems konkretisieren. Der Verweis auf den Stand der Technik öffnet den Maßstab für technologische Entwicklung: Was als angemessene Risikomanagement- oder Robustheitsmaßnahme gilt, verschiebt sich mit dem Stand von Wissenschaft und Technik — die Norm schreibt keine statische Ausstattungsliste fest, sondern einen beweglichen Sorgfaltsmaßstab.

Die Verweisung auf Art. 9. Dass Abs. 1 das Risikomanagementsystem ausdrücklich als Bezugspunkt der Einhaltung nennt, ist mehr als eine bloße Querverweisung. Sie ordnet die Struktur des gesamten Abschnitts: Die einzelnen Anforderungen der Art. 10–15 werden durch die im Risikomanagementsystem identifizierten und bewerteten Risiken erst dimensioniert. Wer Art. 8 isoliert liest, unterschätzt diese verklammernde Funktion.

Das Produkt-KI-System in Abs. 2: Parallelanwendung statt Vorrang. Anhang I Abschnitt A listet die Harmonisierungsrechtsvorschriften der Union, die nach dem New-Legislative-Framework-Modell auf Produkte mit CE-Kennzeichnung angewendet werden — neben der in Erwägungsgrund 46 genannten Maschinenrichtlinie 2006/42/EG ist hierbei zunehmend die sie ablösende Maschinenverordnung (EU) 2023/1230 relevant. Abs. 2 ordnet keinen Vorrang eines Regimes an, sondern eine kumulative Geltung: Beide Rechtsakte sind vollständig zu erfüllen. Das unterscheidet die Norm von reinen Kollisionsregeln, die im Konfliktfall ein Recht verdrängen.

Integrationsoption versus Erfüllungspflicht. Das den Anbietern eingeräumte „Wahlrecht", Prüf- und Meldeverfahren sowie Dokumentation in bestehende Verfahren zu integrieren, ist ausschließlich organisatorischer Natur. Es erlaubt, eine gemeinsame Konformitätsakte zu führen — es reduziert aber nicht den materiellen Prüfungsumfang. Eine integrierte Dokumentation, die die Tatbestandsmerkmale der KI-Verordnung nicht vollständig abbildet, genügt Abs. 2 nicht, selbst wenn sie nach dem sektoralen Recht ausreichend wäre.

Abgrenzung zu Standalone-Systemen. Für Hochrisiko-KI-Systeme, die nicht Bestandteil eines Anhang-I-Produkts sind — etwa die meisten Anhang-III-Anwendungen wie Systeme im Bereich Personalauswahl, Bildung oder Strafverfolgung —, bleibt Abs. 2 ohne praktische Bedeutung. Hier gilt allein Abs. 1: Der Provider erfüllt die Anforderungen der KI-Verordnung eigenständig, ohne Integrationsmöglichkeit in ein paralleles Konformitätsbewertungsverfahren.

Praxis-Konsequenzen

Für Anbieter, deren Hochrisiko-KI-System Teil eines Anhang-I-Produkts ist, folgt aus Art. 8 die Notwendigkeit, die Konformitätsbewertung von Anfang an als ein gemeinsames Verfahren zu konzipieren — nicht als zwei parallele, unabhängige Prüfstränge. Das betrifft insbesondere technische Dokumentation, Testprotokolle und Risikoanalysen: Wo sektorales Recht bereits vergleichbare Nachweise verlangt, lässt sich Mehrfacharbeit vermeiden, sofern die Dokumentation inhaltlich beide Anforderungskataloge abdeckt. Für reine Standalone-Hochrisiko-Systeme ohne Anhang-I-Bezug entfällt diese Option; hier ist die Konformitätsbewertung nach der KI-Verordnung eigenständig zu führen.

Der in Art. 113 vorgesehene Anwendungsstichtag für Abschnitt 2 — und damit für Art. 8 — ist der 2. August 2026. Auf dieser Site wird als praktisch maßgeblicher Vollzugstermin zusätzlich der Forcing Event vom 02.12.2027 (Digital Omnibus) verfolgt; die Einzelheiten der dadurch angepassten Übergangsfristen sind Gegenstand einer gesonderten Vertiefung zum Digital Omnibus. Unabhängig vom exakten Stichtag gilt: Wer die Integration mit bestehendem Produktrecht erst kurz vor Anwendbarkeit angeht, unterschätzt den Abstimmungsaufwand zwischen den beteiligten Konformitätsbewertungsstellen.

Verweise

Eine systematische Operationalisierung der KI-Verordnung als Trust-Infrastructure: aegira.ai.

Discuss on Twitter • View on GitHub