Importeur nach dem AI Act: Prüfpflichten für KI aus Drittländern

Importeurrolle präzise abgrenzen

Prüfen Sie Niederlassung des Anbieters, Name oder Marke am System, Vertrags- und Vertriebsweg sowie die erstmalige Bereitstellung auf dem Unionsmarkt. Importeur, Händler, Betreiber und Bevollmächtigter sind unterschiedliche Rollen. Ein österreichischer SaaS-Kunde ist nicht allein wegen eines Drittlandsanbieters automatisch Importeur.

Digitale Vertriebswege dürfen dennoch nicht pauschal ausgeschlossen werden, denn Inverkehrbringen knüpft an erstmalige Bereitstellung und nicht nur an physischen Warenimport an. Zeichnen Sie den tatsächlichen Marktweg je Produkt und Gesellschaft auf. Legal bestätigt die Rolle vor Bestellung, Vertrieb oder Integration in ein eigenes Angebot. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Importeur nach Art. 3 Nr. 6 von Händler, Betreiber, Bevollmächtigtem und direktem SaaS-Kunden abgrenzen.

Quellen: [1] [2] [3]

Vorabkontrollen nach Artikel 23 planen

Vor dem Inverkehrbringen eines Hochrisiko-Systems muss der Importeur nach Artikel 23 insbesondere prüfen, ob der Anbieter das einschlägige Konformitätsbewertungsverfahren durchgeführt und technische Dokumentation erstellt hat. Außerdem sind Bevollmächtigter, CE-Kennzeichnung, EU-Konformitätserklärung und Gebrauchsanweisung nach den gesetzlichen Vorgaben zu kontrollieren.

Erstellen Sie hierfür ein verbindliches Import-Gate mit Dokumentenliste, formaler und inhaltlicher Plausibilitätsprüfung sowie klarer Freigabebefugnis. Ein vorhandenes CE-Zeichen ersetzt nicht die Kontrolle weiterer Voraussetzungen. Fehlende, widersprüchliche oder erkennbar unzutreffende Unterlagen führen zur Sperre, bis die Abweichung nachvollziehbar behoben ist. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Konformitätsbewertung, technische Dokumentation, Bevollmächtigtenbestellung, CE-Kennzeichnung, EU-Konformitätserklärung und Gebrauchsanweisung vor dem Inverkehrbringen prüfen.

Quellen: [1] [2]

Bei Zweifeln nicht in Verkehr bringen

Hat der Importeur Grund zu der Annahme, dass ein Hochrisiko-System nicht konform ist, darf es nicht in Verkehr gebracht werden, bevor Konformität hergestellt ist. Bei Risiken sind Anbieter und gegebenenfalls zuständige Marktüberwachungsbehörden zu informieren. Für gefälschte Unterlagen oder Kennzeichnungen braucht es einen eigenen Eskalationsweg.

Definieren Sie Verdachtsindikatoren wie unplausible Zertifikate, fehlende Versionsbezüge, widersprüchliche Zweckangaben, unbekannte Bewertungsstellen oder verweigerte technische Nachweise. Einkauf darf Lieferdruck nicht durch eine informelle Ausnahme umgehen. Die Entscheidung über Sperre, Untersuchung, Rückgabe oder Behördenkontakt wird dokumentiert und einer befugten Stelle zugeordnet. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Bei hinreichenden Konformitätszweifeln oder Fälschungsverdacht nicht in Verkehr bringen; bei einem Risiko Anbieter, Bevollmächtigten und Marktüberwachungsbehörden informieren.

Quellen: [1] [2]

Kennzeichnung und Unterlagen sichern

Importeure müssen nach dem einschlägigen Hochrisikoregime eigene Namens-, Handelsnamen- oder Marken- und Kontaktdaten am System und gegebenenfalls auf Verpackung oder Begleitunterlagen anbringen. Eine Kopie eines Zertifikats der notifizierten Stelle, soweit einschlägig, der Gebrauchsanweisung und der EU-Konformitätserklärung ist zehn Jahre nach dem Inverkehrbringen oder der Inbetriebnahme verfügbar zu halten.

Bauen Sie eine versionsbezogene Produktakte auf, die Systemkennung, Anbieter, Bevollmächtigten, Erklärung, Zertifikate, Gebrauchsanweisung, Freigabe und Vertriebszeiträume verbindet. Berechtigungen und Aufbewahrung werden so gestaltet, dass Unterlagen bei Behördenanfragen kurzfristig vollständig vorgelegt werden können. Änderungen am System dürfen nicht zu einem unbemerkten Versionsbruch führen. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Eigene Identitäts- und Kontaktdaten anbringen sowie Zertifikat, Gebrauchsanweisung und EU-Konformitätserklärung zehn Jahre verfügbar halten.

Quellen: [1] [2]

Lagerung, Transport und Vertrieb kontrollieren

Solange ein Hochrisiko-System in der Verantwortung des Importeurs steht, dürfen Lagerungs- oder Transportbedingungen seine Konformität nicht gefährden. Bei digitalen Systemen sind entsprechend sichere Übertragung, Zugriffsschutz, Versionsintegrität und kontrollierte Bereitstellung zu betrachten. Der Importeur muss Risiken im eigenen Einflussbereich praktisch beherrschen.

Verknüpfen Sie Produktcompliance mit Logistik, IT Sicherheit und Vertrieb. Nur freigegebene Versionen dürfen ausgeliefert oder aktiviert werden. Prüfsummen, Release-Kontrollen, Zugriffsbeschränkungen und Rückrufmöglichkeiten können je nach System nötig sein. Vertriebspartner erhalten klare Anweisungen, welche Unterlagen mitzuliefern sind und welche Änderungen eine Sperre auslösen. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Lagerungs-, Transport- und digitale Bereitstellungsbedingungen so kontrollieren, dass die Konformität nicht gefährdet wird.

Quellen: [1] [2]

Verträge und Behördenkooperation

Der Drittlandsanbieter muss vollständige, aktuelle und überprüfbare Unterlagen liefern, Änderungen melden und bei Untersuchungen, Korrekturmaßnahmen oder Behördenanfragen unterstützen. Vereinbaren Sie Reaktionszeiten, Sprach- und Formatvorgaben, Auditmöglichkeiten, Zugriff auf technische Ansprechpartner sowie Rückruf-, Update- und Exit-Unterstützung.

Die besonderen Pflichten des Artikels 23 gelten für Anhang III grundsätzlich ab 2. Dezember 2027 und für Anhang I ab 2. August 2028. Bereiten Sie Prozesse vorher vor und prüfen Sie sonstiges Produktrecht schon heute. Auf begründetes Verlangen sind zuständigen Behörden Informationen und Unterlagen bereitzustellen; vertragliche Geheimhaltung darf rechtmäßige Kooperation nicht blockieren. Als Nachweis dienen eine datierte Bewertung, benannte Verantwortliche, verknüpfte Unterlagen und ein Termin für die nächste Prüfung. Wesentliche Unsicherheit wird nicht stillschweigend akzeptiert, sondern mit Entscheidung, Auflage oder Eskalation sichtbar gemacht.

• Behördenzugang zu Informationen und technischer Dokumentation sowie Kooperation bei risikomindernden Maßnahmen vertraglich und organisatorisch absichern.

Quellen: [1] [2]

Häufige Fragen