Was ist eine wesentliche Veränderung eines KI-Systems?
Eine wesentliche Veränderung ist eine nach Inverkehrbringen oder Inbetriebnahme erfolgende, in der vom Anbieter durchgeführten ursprünglichen Konformitätsbewertung nicht vorgesehene oder geplante Veränderung, die die Konformität mit Kapitel III Abschnitt 2 beeinträchtigt oder die bewertete Zweckbestimmung ändert.
Der Normwortlaut
Artikel 3 Nummer 23 der Verordnung (EU) 2024/1689:
„wesentliche Veränderung“ eine Veränderung eines KI-Systems nach dessen Inverkehrbringen oder Inbetriebnahme, die in der vom Anbieter durchgeführten ursprünglichen Konformitätsbewertung nicht vorgesehen oder geplant war und durch die die Konformität des KI-Systems mit den Anforderungen in Kapitel III Abschnitt 2 beeinträchtigt wird oder die zu einer Änderung der Zweckbestimmung führt, für die das KI-System bewertet wurde;
Artikel 43 Absatz 4 der Verordnung (EU) 2024/1689:
Hochrisiko-KI-Systeme, die bereits Gegenstand eines Konformitätsbewertungsverfahren gewesen sind, werden im Falle einer wesentlichen Änderung einem neuen Konformitätsbewertungsverfahren unterzogen, unabhängig davon, ob das geänderte System noch weiter in Verkehr gebracht oder vom derzeitigen Betreiber weitergenutzt werden soll. Bei Hochrisiko-KI-Systemen, die nach dem Inverkehrbringen oder der Inbetriebnahme weiterhin dazulernen, gelten Änderungen des Hochrisiko-KI-Systems und seiner Leistung, die vom Anbieter zum Zeitpunkt der ursprünglichen Konformitätsbewertung vorab festgelegt wurden und in den Informationen der technischen Dokumentation gemäß Anhang IV Nummer 2 Buchstabe f enthalten sind, nicht als wesentliche Veränderung;
Quelle beider Zitate: amtliche Fassung der Verordnung (EU) 2024/1689. Artikel 43 Absatz 4 benennt keinen ausdrücklichen persönlichen Adressaten und bestimmt keine feste Frist.
Welche Merkmale müssen für die Legaldefinition vorliegen?
Rechtliche Einordnung: Die Veränderung muss erstens nach dem Inverkehrbringen oder der Inbetriebnahme erfolgen. Zweitens darf sie in der ursprünglichen, vom Anbieter durchgeführten Konformitätsbewertung weder vorgesehen noch geplant gewesen sein. Drittens muss sie entweder die Konformität mit Kapitel III Abschnitt 2 beeinträchtigen oder die Zweckbestimmung ändern, für die das System bewertet wurde. Eine nachträgliche Änderung allein genügt nicht.
Für welche Systeme und Akteure ist der Begriff relevant?
Reichweite: Artikel 3 Nummer 23 definiert den Begriff für KI-Systeme allgemein. Die besonderen Rechtsfolgen aus Artikel 25 Absatz 1 Buchstabe b und Artikel 43 Absatz 4 betreffen Hochrisiko-KI-Systeme. Händler, Einführer, Betreiber oder sonstige Dritte gelten als Anbieter, wenn sie ein bereits in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System wesentlich verändern und es weiterhin ein Hochrisiko-KI-System gemäß Artikel 6 bleibt. Dann unterliegen sie den Anbieterpflichten. Unter den Umständen des Artikels 25 Absatz 1 gilt der ursprüngliche Anbieter nach Artikel 25 Absatz 2 für dieses spezifische System nicht mehr als Anbieter.
Wann ist eine neue Konformitätsbewertung erforderlich?
Rechtsfolge: War ein Hochrisiko-KI-System bereits Gegenstand eines Konformitätsbewertungsverfahrens, wird es im Fall einer wesentlichen Änderung einem neuen Konformitätsbewertungsverfahren unterzogen. Das gilt unabhängig davon, ob das geänderte System weiter in Verkehr gebracht oder vom derzeitigen Betreiber weitergenutzt werden soll. Die Erwähnung der Weiternutzung macht den derzeitigen Betreiber nicht zum ausdrücklich benannten Adressaten der Vorschrift.
Wann greift die Ausnahme für weiterlernende Hochrisiko-KI-Systeme?
Ausnahme: Sämtliche Voraussetzungen müssen zusammen vorliegen: Das Hochrisiko-KI-System lernt nach dem Inverkehrbringen oder der Inbetriebnahme weiter; der Anbieter hat die Änderungen des Systems und seiner Leistung bereits zum Zeitpunkt der ursprünglichen Konformitätsbewertung festgelegt; und diese Änderungen sind in den Informationen der technischen Dokumentation gemäß Anhang IV Nummer 2 Buchstabe f enthalten. Nur dann gelten sie nicht als wesentliche Veränderung. Fehlt eine Voraussetzung, ist die Änderung anhand des Artikels 3 Nummer 23 zu beurteilen.
Gibt es Fristen oder zahlenmäßige Schwellenwerte?
Normative Abgrenzung: Die Verordnung nennt für die wesentliche Veränderung weder eine allgemeine numerische Schwelle noch eine eigenständige feste Frist. Der Zeitpunkt der ursprünglichen Konformitätsbewertung ist eine Voraussetzung der Lernänderungs-Ausnahme, keine nachträgliche Frist. Bei einem bereits konformitätsbewerteten Hochrisiko-KI-System löst der Fall der wesentlichen Änderung gleichwohl das neue Konformitätsbewertungsverfahren nach Artikel 43 Absatz 4 aus.
Wie sind technische Änderungen einzuordnen?
Technische Einordnung: Entscheidend sind die ursprüngliche Konformitätsbewertung, die technische Dokumentation und die bewertete Zweckbestimmung, nicht eine pauschale Änderungsliste. Erwägungsgrund 128 nennt Änderungen des Betriebssystems oder der Softwarearchitektur als mögliche konformitätsrelevante Fälle; diese Beispiele machen eine Änderung nicht automatisch wesentlich. Artikel 96 Absatz 1 Buchstabe c sieht Leitlinien der Kommission zur praktischen Durchführung der Vorschriften über wesentliche Veränderungen vor. Dieser Leitlinienauftrag ersetzt die Prüfung des Einzelfalls nicht.
Häufige Fehlannahmen
- Jedes Update ist wesentlich. Falsch: Alle Merkmale des Artikels 3 Nummer 23 müssen erfüllt sein.
- Die Definition gilt nur für Hochrisiko-KI-Systeme. Falsch: Die Legaldefinition erfasst KI-Systeme allgemein; die hier dargestellten besonderen Folgen der Artikel 25 und 43 Absatz 4 betreffen Hochrisiko-KI-Systeme.
- Änderungen eines weiterlernenden Systems sind stets ausgenommen. Falsch: Die Ausnahme verlangt kumulativ Weiterlernen, Vorabfestlegung bei der ursprünglichen Konformitätsbewertung und die Dokumentation nach Anhang IV Nummer 2 Buchstabe f.
- Eine bestimmte Prozentänderung entscheidet. Falsch: Die Verordnung nennt keine allgemeine numerische Schwelle.
- Artikel 43 Absatz 4 setzt eine feste Frist oder nennt den derzeitigen Betreiber als Adressaten. Falsch: Die Vorschrift enthält weder eine feste Frist noch einen ausdrücklichen persönlichen Adressaten; die Weiternutzung wird nur als für die Rechtsfolge unerheblich bezeichnet.
Was die Geschäftsleitung tun sollte
Praxisempfehlung, keine eigenständige gesetzliche Leitungspflicht:
- Einen dokumentierten Änderungsprozess für Änderungen nach Inverkehrbringen oder Inbetriebnahme einrichten und Verantwortlichkeiten festlegen.
- Für jede Änderung die ursprüngliche Konformitätsbewertung, die technische Dokumentation und die bewertete Zweckbestimmung als Vergleichsbasis sichern.
- Die einzelnen Merkmale des Artikels 3 Nummer 23 und bei weiterlernenden Hochrisiko-KI-Systemen sämtliche Voraussetzungen der Ausnahme nachvollziehbar dokumentieren.
- Bei Hochrisiko-KI-Systemen prüfen lassen, ob das System gemäß Artikel 6 hochriskant bleibt, ein Dritter dadurch Anbieter wird und die Anbieterpflichten zu erfüllen sind.
- Bei einer wesentlichen Änderung eines bereits konformitätsbewerteten Hochrisiko-KI-Systems das neue Konformitätsbewertungsverfahren veranlassen und die Entscheidung revisionsfähig festhalten.
Für die Geschäftsleitung
Der Begriff erfasst KI-Systeme allgemein, während Anbieterrollenwechsel und erneute Konformitätsbewertung hier an zusätzliche Voraussetzungen für Hochrisiko-KI-Systeme gebunden sind. Die Entscheidung darf daher nicht allein nach Art oder Umfang eines Updates fallen. Maßgeblich sind Zeitpunkt, ursprüngliche Bewertung, Konformitätswirkung und Zweckbestimmung. Als Nachweis sollten Ausgangsdokumentation, Kriterienprüfung, Ausnahmeprüfung, Rollenentscheidung und gegebenenfalls das neue Konformitätsbewertungsverfahren zusammengeführt werden.
Quellen
- Verordnung (EU) 2024/1689, amtliche deutsche Fassung: Artikel 3 Nummer 23; Artikel 25 Absatz 1 Buchstabe b und Absatz 2; Artikel 43 Absatz 4; Artikel 96 Absatz 1 Buchstabe c; Anhang IV Nummer 2 Buchstabe f; Erwägungsgrund 128.
