Konformitätsbewertung

(1)  Hat ein Anbieter zum Nachweis, dass ein in Anhang III Nummer 1 aufgeführtes Hochrisiko-KI-System die in Abschnitt 2 festgelegten Anforderungen erfüllt, harmonisierte Normen gemäß Artikel 40 oder gegebenenfalls gemeinsame Spezifikationen gemäß Artikel 41 angewandt, so entscheidet er sich für eines der folgenden Konformitätsbewertungsverfahren auf der Grundlage

a)	der internen Kontrolle gemäß Anhang VI oder
b)	der Bewertung des Qualitätsmanagementsystems und der Bewertung der technischen Dokumentation unter Beteiligung einer notifizierten Stelle gemäß Anhang VII.

Zum Nachweis, dass sein Hochrisiko-KI-System die in Abschnitt 2 festgelegten Anforderungen erfüllt, befolgt der Anbieter das Konformitätsbewertungsverfahren gemäß Anhang VII, wenn

a)	es harmonisierte Normen gemäß Artikel 40 nicht gibt und keine gemeinsamen Spezifikationen gemäß Artikel 41 vorliegen,
b)	der Anbieter die harmonisierte Norm nicht oder nur teilweise angewandt hat;
c)	die unter Buchstabe a genannten gemeinsamen Spezifikationen zwar vorliegen, der Anbieter sie jedoch nicht angewandt hat;
d)	eine oder mehrere der unter Buchstabe a genannten harmonisierten Normen mit einer Einschränkung und nur für den eingeschränkten Teil der Norm veröffentlicht wurden.

Für die Zwecke des Konformitätsbewertungsverfahrens gemäß Anhang VII kann der Anbieter eine der notifizierten Stellen auswählen. Soll das Hochrisiko-KI-System jedoch von Strafverfolgungs-, Einwanderungs- oder Asylbehörden oder von Organen, Einrichtungen oder sonstigen Stellen der Union in Betrieb genommen werden, so übernimmt die in Artikel 74 Absatz 8 bzw. 9 genannte Marktüberwachungsbehörde die Funktion der notifizierten Stelle.

(2)  Bei den in Anhang III Nummern 2 bis 8 aufgeführten Hochrisiko-KI-Systemen befolgen die Anbieter das Konformitätsbewertungsverfahren auf der Grundlage einer internen Kontrolle gemäß Anhang VI, das keine Beteiligung einer notifizierten Stelle vorsieht.

(3)  Bei den Hochrisiko-KI-Systemen, die unter die in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union fallen, befolgt der Anbieter des Systems das einschlägige Konformitätsbewertungsverfahren, das gemäß den einschlägigen Harmonisierungsrechtsvorschriften der Union erforderlich ist. Die in Abschnitt 2 dieses Kapitels festgelegten Anforderungen gelten für diese Hochrisiko-KI-Systeme und werden in diese Bewertung einbezogen. Die Bewertung des Qualitätsmanagementsystems gemäß Artikel 17 wird ebenfalls durchgeführt, und Anhang VII Nummern 3, 4.3, 4.4. und 4.5 sowie Nummer 4.6 Absatz 5 und Nummer 5 finden Anwendung.

Für die Zwecke dieser Konformitätsbewertung sind die notifizierten Stellen, die gemäß den in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union notifiziert wurden, dazu befugt, die Konformität der Hochrisiko-KI-Systeme mit den in Abschnitt 2 dieses Kapitels festgelegten Anforderungen zu bewerten, sofern im Rahmen des gemäß den einschlägigen Harmonisierungsrechtsvorschriften der Union durchgeführten Notifizierungsverfahrens geprüft wurde, dass diese notifizierten Stellen die in Artikel 31 Absätze 4, 5, 10 und 11 festgelegten Anforderungen erfüllen, was im Zuge der Bewertung als Teil der bestehenden Notifizierung belegt wird. Unbeschadet des Artikels 28 beantragen solche notifizierten Stellen, die nach den in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union notifiziert wurden, ihre Benennung gemäß Abschnitt 4 dieses Kapitels bis 28. Januar 2028.

Wenn eine in Anhang I Abschnitt A aufgeführte Harmonisierungsrechtsvorschrift der Union dem Hersteller des Produkts die Möglichkeit einräumt, auf eine Konformitätsbewertung zurückzugreifen, an der keine Dritten beteiligt sind, sofern dieser Hersteller harmonisierte Normen angewandt hat, um die Konformität mit allen relevanten Anforderungen zu gewährleisten, so darf dieser Hersteller nur dann von dieser Möglichkeit Gebrauch machen, wenn er auch harmonisierte Normen oder gegebenenfalls gemeinsame Spezifikationen gemäß Artikel 41, die alle in Abschnitt 2 dieses Kapitels festgelegten Anforderungen abdecken, angewandt hat. Die Einstufung eines Produkts als Hochrisiko-KI-System gemäß Artikel 6 Absatz 1 berührt nicht die Wahl des Konformitätsbewertungsverfahrens, das den Herstellern von Produkten zur Verfügung gestellt wird, die unter die in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union fallen, wobei dies gegebenenfalls eine Option, sich auf harmonisierte Normen zu stützen, umfassen kann. Die Hersteller solcher Produkte sind nicht verpflichtet, ein Konformitätsbewertungsverfahren mit einer Konformitätsbewertung durch Dritte zu wählen, nur weil das Produkt ein Hochrisiko-KI-System als Sicherheitsbauteil enthält, sofern dies nicht in den in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union vorgeschrieben ist.

Wenn ein Hochrisiko-KI-System sowohl unter die in Anhang I Abschnitt A aufgeführten Harmonisierungsrechtsvorschriften der Union als auch unter eine der in Anhang III aufgeführten Kategorien fällt, befolgt der Anbieter dieses Systems das einschlägige Konformitätsbewertungsverfahren, das gemäß den in Anhang I Abschnitt A aufgeführten einschlägigen Harmonisierungsrechtsvorschriften der Union erforderlich ist.

(4)  Hochrisiko-KI-Systeme, die bereits Gegenstand eines Konformitätsbewertungsverfahren gewesen sind, werden im Falle einer wesentlichen Änderung einem neuen Konformitätsbewertungsverfahren unterzogen, unabhängig davon, ob das geänderte System noch weiter in Verkehr gebracht oder vom derzeitigen Betreiber weitergenutzt werden soll.

Bei Hochrisiko-KI-Systemen, die nach dem Inverkehrbringen oder der Inbetriebnahme weiterhin dazulernen, gelten Änderungen des Hochrisiko-KI-Systems und seiner Leistung, die vom Anbieter zum Zeitpunkt der ursprünglichen Konformitätsbewertung vorab festgelegt wurden und in den Informationen der technischen Dokumentation gemäß Anhang IV Nummer 2 Buchstabe f enthalten sind, nicht als wesentliche Veränderung;

(5)  Die Kommission ist befugt, gemäß Artikel 97 delegierte Rechtsakte zu erlassen, um die Anhänge VI und VII zu ändern, indem sie sie angesichts des technischen Fortschritts aktualisiert.

(6)  Die Kommission ist befugt, gemäß Artikel 97 delegierte Rechtsakte zur Änderung der Absätze 1 und 2 des vorliegenden Artikels zu erlassen, um die in Anhang III Nummern 2 bis 8 genannten Hochrisiko-KI-Systeme dem Konformitätsbewertungsverfahren gemäß Anhang VII oder Teilen davon zu unterwerfen. Die Kommission erlässt solche delegierten Rechtsakte unter Berücksichtigung der Wirksamkeit des Konformitätsbewertungsverfahrens auf der Grundlage einer internen Kontrolle gemäß Anhang VI hinsichtlich der Vermeidung oder Minimierung der von solchen Systemen ausgehenden Risiken für die Gesundheit und Sicherheit und den Schutz der Grundrechte sowie hinsichtlich der Verfügbarkeit angemessener Kapazitäten und Ressourcen in den notifizierten Stellen.

1.  En el caso de los sistemas de IA de alto riesgo enumerados en el anexo III, punto 1, cuando, al demostrar el cumplimiento de los requisitos establecidos en la sección 2 por parte de un sistema de IA de alto riesgo, el proveedor haya aplicado las normas armonizadas a que se refiere el artículo 40, o bien, en su caso, las especificaciones comunes a que se refiere el artículo 41, el proveedor optará por uno de los procedimientos de evaluación de la conformidad siguientes:

a)	el fundamentado en el control interno, mencionado en el anexo VI, o
b)	el fundamentado en la evaluación del sistema de gestión de la calidad y la evaluación de la documentación técnica, con la participación de un organismo notificado, mencionado en el anexo VII.

Al demostrar el cumplimiento de los requisitos establecidos en la sección 2 por parte de un sistema de IA de alto riesgo, el proveedor se atendrá al procedimiento de evaluación de la conformidad establecido en el anexo VII cuando:

a)	las normas armonizadas a que se refiere el artículo 40 no existan, y no se disponga de las especificaciones comunes a que se refiere el artículo 41;
b)	el proveedor no haya aplicado la norma armonizada, o solo haya aplicado parte de esta;
c)	existan las especificaciones comunes a que se refiere la letra a), pero el proveedor no las haya aplicado;
d)	una o varias de las normas armonizadas a que se refiere la letra a) se hayan publicado con una limitación, y únicamente en la parte de la norma objeto de la limitación.

A efectos del procedimiento de evaluación de la conformidad mencionado en el anexo VII, el proveedor podrá escoger cualquiera de los organismos notificados. No obstante, cuando se prevea la puesta en servicio del sistema de IA de alto riesgo por parte de las autoridades garantes del cumplimiento del Derecho, las autoridades de inmigración o las autoridades de asilo, o por las instituciones, órganos u organismos de la Unión, la autoridad de vigilancia del mercado mencionada en el artículo 74, apartado 8 o 9, según proceda, actuará como organismo notificado.

2.  En el caso de los sistemas de IA de alto riesgo mencionados en el anexo III, puntos 2 a 8, los proveedores se atendrán al procedimiento de evaluación de la conformidad fundamentado en un control interno a que se refiere el anexo VI, que no contempla la participación de un organismo notificado.

3.  En el caso de los sistemas de IA de alto riesgo regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, el proveedor del sistema se atendrá al procedimiento de evaluación de la conformidad pertinente exigido de conformidad con los actos legislativos de armonización de la Unión pertinentes. Los requisitos establecidos en la sección 2 del presente capítulo se aplicarán a dichos sistemas de IA de alto riesgo y formarán parte de dicha evaluación. También se llevará a cabo una evaluación del sistema de gestión de la calidad establecido en el artículo 17, y se aplicarán los puntos 3, 4.3, 4.4 y 4.5, el punto 4.6, párrafo quinto, y el punto 5 del anexo VII.

A efectos de dicha evaluación de la conformidad, los organismos notificados que hayan sido notificados con arreglo a los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, estarán facultados para evaluar la conformidad de los sistemas de IA de alto riesgo con los requisitos establecidos en la sección 2 del presente capítulo, a condición de que el cumplimiento por parte de dichos organismos notificados de los requisitos establecidos en el artículo 31, apartados 4, 5, 10 y 11, se haya evaluado en el contexto del procedimiento de notificación con arreglo a los actos legislativos de armonización de la Unión pertinentes, lo que se demuestra mediante la evaluación efectuada en el marco de la notificación existente. Sin perjuicio de lo dispuesto en el artículo 28, dichos organismos notificados que hayan sido notificados de conformidad con los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, solicitarán su designación de conformidad con la sección 4 del presente capítulo a más tardar el 28 de enero de 2028.

Cuando un acto legislativo de armonización de la Unión enumerado en el anexo I, sección A, permita al fabricante del producto recurrir a una evaluación de la conformidad en la que no participen terceros a condición de que el fabricante haya aplicado normas armonizadas para garantizar el cumplimiento de todos los requisitos pertinentes, dicho fabricante solamente podrá recurrir dicha opción si también ha aplicado normas armonizadas o, en su caso, especificaciones comunes previstas en el artículo 41 que contemplen todos los requisitos establecidos en la sección 2 del presente capítulo. La clasificación de un producto como sistema de IA de alto riesgo de conformidad con el artículo 6, apartado 1, no afecta a las opciones relativas al procedimiento de evaluación de la conformidad de que disponen los fabricantes de productos regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, incluida, en su caso, la opción de basarse en normas armonizadas. Los fabricantes de dichos productos no están obligados a optar por un procedimiento de evaluación de la conformidad que implique una evaluación de la conformidad de terceros solo por motivo de que el producto incluya un sistema de IA de alto riesgo como componente de seguridad cuando no lo exijan los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A.

En el caso de los sistemas de IA de alto riesgo que estén regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, y que entren en alguna de las categorías enumeradas en el anexo III, el proveedor del sistema se atendrá al procedimiento de evaluación de la conformidad pertinente exigido en virtud de los actos legislativos de armonización de la Unión enumerados el anexo I, sección A.

4.  Los sistemas de IA de alto riesgo que ya hayan sido objeto de un procedimiento de evaluación de la conformidad se someterán a un nuevo procedimiento de evaluación de la conformidad en caso de modificación sustancial, con independencia de si está prevista una distribución posterior del sistema modificado o de si este continúa siendo utilizado por el responsable del despliegue actual.

En el caso de los sistemas de IA de alto riesgo que continúen aprendiendo tras su introducción en el mercado o su puesta en servicio, los cambios en el sistema de IA de alto riesgo y su funcionamiento que hayan sido predeterminados por el proveedor en el momento de la evaluación inicial de la conformidad y figuren en la información recogida en la documentación técnica mencionada en el anexo IV, punto 2, letra f), no constituirán modificaciones sustanciales.

5.  La Comisión estará facultada para adoptar actos delegados con arreglo al artículo 97 al objeto de modificar los anexos VI y VII actualizándolos a la luz del progreso técnico.

6.  La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 97 al objeto de modificar los apartados 1 y 2 del presente artículo a fin de someter a los sistemas de IA de alto riesgo mencionados en el anexo III, puntos 2 a 8, al procedimiento de evaluación de la conformidad a que se refiere el anexo VII o a partes de este. La Comisión adoptará dichos actos delegados teniendo en cuenta la eficacia del procedimiento de evaluación de la conformidad fundamentado en un control interno mencionado en el anexo VI para prevenir o reducir al mínimo los riesgos para la salud, la seguridad y la protección de los derechos fundamentales que plantean estos sistemas, así como la disponibilidad de capacidades y recursos adecuados por parte de los organismos notificados.