CE-Kennzeichnung für KI-Systeme – So erfüllen Sie die AI-Act-Vorgaben

Ein kleines Zeichen aus vier Buchstaben – „CE“ – entscheidet künftig darüber, ob Ihr KI-System überhaupt auf den europäischen Markt darf. Was jahrzehntelang nur für Spielzeug, Maschinen oder Medizinprodukte galt, wird mit dem EU AI Act erstmals zur Pflicht für Software: Anbieter von Hochrisiko-KI müssen ihre Systeme mit der CE-Kennzeichnung versehen. Die CE-Kennzeichnung KI wird damit zum entscheidenden Kriterium für den Marktzugang. Wer sie versäumt, riskiert nicht nur den Marktausschluss, sondern Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. In diesem Leitfaden erfahren Sie, welche sechs Schritte Sie konkret gehen müssen – von der Risikoklassifizierung bis zum angebrachten CE-Zeichen.

Was bedeutet die CE-Kennzeichnung für KI im AI Act?

Die CE-Kennzeichnung ist kein Qualitätssiegel und keine behördliche Genehmigung. Sie ist eine Konformitätserklärung des Herstellers gegenüber dem europäischen Binnenmarkt. Mit dem Anbringen des CE-Zeichens erklärt der Anbieter in eigener Verantwortung: „Dieses Produkt erfüllt alle einschlägigen EU-Rechtsvorschriften.“

Das Prinzip stammt aus der klassischen Produktregulierung. Es ermöglicht den freien Warenverkehr innerhalb der EU, ohne dass jedes Land eine eigene Prüfung verlangt.

Neuerung: CE-Zeichen jetzt auch für Hochrisiko-KI

Mit Artikel 48 des AI Act wird die CE-Kennzeichnung erstmals auf Software ausgeweitet – genauer: auf Hochrisiko-KI-Systeme. Das ist ein Paradigmenwechsel. Bislang kannten Entwickler von KI-Anwendungen keine produktrechtlichen Kennzeichnungspflichten.

Künftig gilt: Ein Hochrisiko-KI-System darf nur dann in Verkehr gebracht oder in Betrieb genommen werden, wenn es die CE-Kennzeichnung trägt und alle zugrunde liegenden Konformitätsanforderungen erfüllt.

Die Logik dahinter ist bewusst an die etablierte New-Legislative-Framework-Systematik der EU angelehnt. Die KI-Regulierung wird damit nicht als Sonderrecht behandelt, sondern in das bewährte Produktsicherheitssystem integriert.

Abgrenzung: physische vs. rein digitale KI-Systeme

Hier wird es praktisch relevant. Der AI Act unterscheidet zwei Konstellationen:

• KI als Bestandteil eines physischen Produkts (z. B. ein KI-gesteuertes Medizingerät oder eine Industriemaschine): Hier wird die CE-Kennzeichnung physisch am Produkt oder auf der Verpackung angebracht – häufig kombiniert mit der bereits bestehenden CE-Pflicht aus der jeweiligen Produktrichtlinie.
• Rein softwarebasierte KI-Systeme (z. B. eine Cloud-Anwendung zur Bewerberauswahl): Hier gibt es kein physisches Produkt, an dem ein Aufkleber haften könnte. Deshalb sieht Art. 48 ausdrücklich eine digitale Anbringung vor.

Auf diesen Unterschied kommen wir weiter unten im Detail zurück.

Für welche KI-Systeme gilt die CE-Kennzeichnungspflicht?

Nicht jedes KI-System braucht ein CE-Zeichen. Die Pflicht trifft ausschließlich Hochrisiko-KI-Systeme. Der AI Act definiert diese über zwei Wege:

• Annex I: KI-Systeme, die als Sicherheitskomponente in bereits regulierten Produkten dienen (Maschinen, Medizinprodukte, Aufzüge, Spielzeug u. a.).
• Annex III: eigenständige KI-Systeme in sensiblen Anwendungsbereichen – etwa biometrische Identifizierung, kritische Infrastruktur, Bildung, Beschäftigung (Recruiting), Kreditwürdigkeitsprüfung, Strafverfolgung oder Migration.

Ob Ihr System tatsächlich unter diese Kategorien fällt, sollten Sie sorgfältig prüfen. Eine ausführliche Einordnung finden Sie in unserem Beitrag Hochrisiko-KI nach Annex III erklärt.

Wer ist verantwortlich: die Anbieter-Rolle

Die CE-Kennzeichnungspflicht trifft den Anbieter (Provider) – also die natürliche oder juristische Person, die ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt.

Wichtig: Auch wer ein zugekauftes System wesentlich verändert oder unter eigenem Namen vertreibt, kann rechtlich zum Anbieter werden. Damit übernimmt er die volle Verantwortung für die Kennzeichnung.

Betreiber (Deployer), Importeure und Händler haben eigene Pflichten. Die eigentliche CE-Kennzeichnung liegt jedoch beim Anbieter.

Ausnahmen und der GPAI-Sonderfall

Systeme, die keiner Hochrisiko-Kategorie zugeordnet werden, unterliegen keiner CE-Kennzeichnungspflicht. Für General-Purpose-AI-Modelle (GPAI) – also universell einsetzbare KI-Modelle wie große Sprachmodelle – gilt ein eigenes Regime mit Transparenz- und Dokumentationspflichten.

Eine CE-Kennzeichnung ist für das GPAI-Modell als solches nicht vorgesehen. Wird ein GPAI-Modell jedoch in ein Hochrisiko-KI-System integriert, greift für dieses Gesamtsystem wieder die Kennzeichnungspflicht.

Der Weg zur CE-Kennzeichnung für KI: Die 6 Schritte

Der Prozess folgt einer klaren Reihenfolge. Überspringen Sie keinen Schritt – jeder ist Voraussetzung für den nächsten.

Schritt 1: Risikoklassifizierung des KI-Systems

Zuerst müssen Sie feststellen, ob Ihr System überhaupt als Hochrisiko-KI gilt. Prüfen Sie systematisch die Kriterien aus Annex I und Annex III.

Diese Einstufung ist die Weichenstellung: Fällt das System nicht in die Hochrisiko-Klasse, entfällt die CE-Pflicht. Fällt es hinein, beginnt der volle Compliance-Prozess. Eine strukturierte Gegenüberstellung der Risikoklassen bietet unser Vergleich der KI-Risikoklassen.

Schritt 2: Konformitätsbewertung durchführen

Nun bewerten Sie, ob das System die Anforderungen des AI Act erfüllt – unter anderem Risikomanagement, Daten-Governance, Transparenz, menschliche Aufsicht, Genauigkeit und Cybersicherheit. Dabei gibt es zwei Wege:

• Interne Kontrolle (Self-Assessment): Der Anbieter bewertet die Konformität selbst. Dies ist für die meisten Annex-III-Systeme der Regelfall.
• Bewertung durch eine benannte Stelle (Notified Body): Eine unabhängige, akkreditierte Prüfstelle wird eingeschaltet. Dies ist insbesondere bei bestimmten biometrischen Systemen sowie bei Annex-I-Produkten mit bereits bestehender Drittprüfungspflicht erforderlich.

Merkmal	Interne Bewertung	Benannte Stelle
Wer prüft?	Anbieter selbst	Unabhängiger Notified Body
Typische Fälle	Die meisten Annex-III-Systeme	Bestimmte biometrische Systeme, Annex-I-Produkte
Kosten	Gering (interne Ressourcen)	Höher (externe Prüfgebühren)
Nummer im CE-Zeichen	Nein	Ja, vierstellige Kennnummer

Die Details zum Verfahren erläutern wir in unserem Beitrag zur AI-Act-Konformitätsbewertung.

Schritt 3: Technische Dokumentation erstellen

Die technische Dokumentation ist das Herzstück des Nachweises. Sie muss belegen, dass das System alle Anforderungen erfüllt. Dazu zählen unter anderem die Systembeschreibung, das Risikomanagement, verwendete Datensätze, Testergebnisse und Angaben zur menschlichen Aufsicht.

Sie ist die Grundlage der späteren Konformitätserklärung. Wie Sie diese Dokumentation strukturiert aufbauen, zeigt unser Leitfaden zur technischen Dokumentation nach AI Act.

Schritt 4: EU-Konformitätserklärung ausstellen

Auf Basis der Dokumentation stellen Sie die EU-Konformitätserklärung aus – ein rechtsverbindliches Dokument, mit dem Sie die Erfüllung aller Anforderungen erklären. Zu den Pflichtinhalten folgt gleich ein eigener Abschnitt.

Schritt 5: Registrierung in der EU-Datenbank

Bevor Sie ein Hochrisiko-KI-System (nach Annex III) auf den Markt bringen, müssen Sie es – und sich als Anbieter – in der von der EU-Kommission betriebenen EU-Datenbank registrieren. Dieser Schritt ist verpflichtend und geht der CE-Anbringung voraus.

Ohne Registrierungseintrag ist das Inverkehrbringen nicht rechtskonform. Alle Details dazu lesen Sie in unserem Beitrag zur Registrierungspflicht in der EU-Datenbank.

Schritt 6: CE-Zeichen anbringen

Erst wenn die Schritte 1 bis 5 abgeschlossen sind, dürfen Sie das CE-Zeichen anbringen. Damit ist der Prozess formal abgeschlossen – und das System darf in der EU vertrieben werden.

Die EU-Konformitätserklärung für KI im Detail

Die EU-Konformitätserklärung ist kein Formular von der Stange, sondern ein präzise geregeltes Dokument. Ihre Pflichtangaben ergeben sich aus Annex V des AI Act.

Pflichtangaben nach Annex V

Die Erklärung muss mindestens enthalten:

• Name und Typ des KI-Systems sowie eine eindeutige Kennung zur Rückverfolgbarkeit
• Name und Anschrift des Anbieters (bzw. seines Bevollmächtigten)
• eine Erklärung, dass die Verantwortung für die Konformitätserklärung beim Anbieter liegt
• die Bestätigung, dass das System die Anforderungen des AI Act (Kapitel zu Hochrisiko-KI) erfüllt
• gegebenenfalls Verweise auf einschlägiges weiteres EU-Recht, dessen Konformität ebenfalls erklärt wird
• Verweise auf angewandte harmonisierte Normen oder sonstige Spezifikationen
• gegebenenfalls Name, Kennnummer und Aufgabe der benannten Stelle
• Ort, Datum der Ausstellung sowie Name und Unterschrift des Verantwortlichen

Die Erklärung ist in einer Sprache abzufassen, die für die zuständigen Behörden der betroffenen Mitgliedstaaten leicht verständlich ist.

Aufbewahrungsfrist: 10 Jahre

Sie müssen die Konformitätserklärung – ebenso wie die technische Dokumentation – zehn Jahre ab dem Inverkehrbringen des Systems aufbewahren und den nationalen Behörden auf Anfrage zur Verfügung stellen.

Haftung des Anbieters bei falschen Angaben

Mit der Unterschrift übernimmt der Anbieter die volle rechtliche Verantwortung. Enthält die Erklärung falsche oder unvollständige Angaben, gilt das System als nicht konform gekennzeichnet – mit der Folge von Marktrücknahme, Aufsichtsmaßnahmen und Bußgeldern.

Eine falsche Konformitätserklärung ist kein Formfehler, sondern ein substanzieller Verstoß.

Wie und wo wird das CE-Zeichen angebracht?

Artikel 48 regelt nicht nur das „Ob“, sondern auch das „Wie“ der Anbringung.

Physische vs. digitale Anbringung

• Physische Anbringung: Ist das KI-System Teil eines physischen Produkts, wird das CE-Zeichen sichtbar, leserlich und dauerhaft am Produkt angebracht – oder, falls das nicht möglich ist, auf der Verpackung und in den Begleitunterlagen.
• Digitale Anbringung: Bei rein digitalen, softwarebasierten Hochrisiko-KI-Systemen wird das CE-Zeichen in digitaler Form angebracht. Es muss leicht zugänglich sein – etwa über die Benutzeroberfläche, das Log-in-Menü oder eine deutlich erreichbare Informationsseite der Anwendung. Für Cloud- und SaaS-Anbieter ist das der praktische Regelfall.

Angabe der benannten Stelle bei Fremdbewertung

War eine benannte Stelle an der Konformitätsbewertung beteiligt (Schritt 2), muss deren vierstellige Kennnummer neben dem CE-Zeichen erscheinen. Sie wird entweder durch die Stelle selbst oder auf ihre Anweisung durch den Anbieter angebracht. Bei rein interner Bewertung entfällt diese Nummer.

Sichtbarkeit und Lesbarkeit gemäß Art. 48

Das CE-Zeichen muss gut sichtbar, leserlich und dauerhaft sein. Bei digitaler Anbringung bedeutet das: Der Nutzer muss das Zeichen ohne besonderen Aufwand auffinden können. Ein tief in den AGB versteckter Hinweis genügt nicht.

Häufige Fehler bei der CE-Kennzeichnung von KI vermeiden

In der Praxis scheitern Unternehmen selten an bösem Willen, sondern an vermeidbaren Verfahrensfehlern. Die drei häufigsten:

1. Falsche Risikoeinstufung

Der Klassiker: Ein System wird als „begrenztes Risiko“ eingestuft, obwohl es unter Annex III fällt – etwa ein KI-gestütztes Recruiting-Tool. Die Folge: Der gesamte Compliance-Prozess unterbleibt, das System wird ohne CE-Zeichen vertrieben. Eine sorgfältige, dokumentierte Klassifizierung ist die beste Absicherung.

2. Unvollständige technische Dokumentation

Fehlen Angaben zu Trainingsdaten, Risikomanagement oder Testverfahren, kann die Konformität nicht belegt werden. Bei einer Prüfung führt das unmittelbar zur Beanstandung.

3. Fehlende Registrierung vor Markteinführung

Die Registrierung in der EU-Datenbank (Schritt 5) wird häufig vergessen oder verspätet vorgenommen. Ein CE-Zeichen ohne vorherige Registrierung ist wertlos – das System gilt als nicht konform.

Die Sanktionen sind erheblich: Verstöße gegen die Pflichten für Hochrisiko-KI können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Ein Rechenbeispiel: Ein Konzern mit 800 Millionen Euro Jahresumsatz riskiert bei 3 Prozent bereits 24 Millionen Euro – deutlich mehr als der Festbetrag. Welche Bußgeldstufen wann greifen, erläutern wir im Beitrag zu Bußgeldern und Strafen im AI Act.

Fristen und nächste Schritte für Ihr Unternehmen

Zeitplan bis August 2026

Der AI Act tritt gestaffelt in Kraft. Für die Pflichten rund um Hochrisiko-KI-Systeme nach Annex III – einschließlich Konformitätsbewertung, Registrierung und CE-Kennzeichnung – ist der 2. August 2026 der zentrale Stichtag. Ab diesem Zeitpunkt müssen betroffene Systeme die Anforderungen vollständig erfüllen.

Für in bestehende regulierte Produkte eingebettete Hochrisiko-KI (Annex I) gelten teils längere Übergangsfristen. Die Einzelheiten zum Zeitplan finden Sie in unserem Beitrag zur August-2026-Frist für Hochrisiko-KI.

Angesichts des heutigen Datums bleibt Ihnen nur noch wenig Vorlaufzeit – der Prozess von der Klassifizierung bis zur Registrierung braucht Monate, nicht Wochen.

Praktische Vorbereitung ab jetzt

Beginnen Sie mit diesen Schritten:

1. Inventarisieren Sie alle KI-Systeme in Ihrem Unternehmen.
2. Klassifizieren Sie jedes System nach Risikoklasse.
3. Priorisieren Sie Hochrisiko-Systeme und weisen Sie Verantwortlichkeiten zu.
4. Bauen Sie die technische Dokumentation auf und schließen Sie Lücken.
5. Planen Sie die Registrierung und – falls nötig – die Beauftragung einer benannten Stelle rechtzeitig ein.

Diese fünf Schritte sind kein einmaliges Projekt. Jede Modelländerung stellt die Frage nach Dokumentation und Konformitätserklärung neu, weshalb sich der Blick darauf lohnt, was eine AI-Act-Software leisten muss, bevor Sie die Nachweise in Einzeldateien anlegen.

Fazit

Die CE-Kennzeichnung ist der sichtbare Endpunkt eines strukturierten Compliance-Prozesses – aber sie ist nur so belastbar wie die fünf Schritte, die ihr vorausgehen. Wer die Risikoklassifizierung sauber durchführt, die Konformitätsbewertung dokumentiert, die technische Dokumentation vollständig aufbaut, die Konformitätserklärung nach Annex V ausstellt und rechtzeitig in der EU-Datenbank registriert, kann das CE-Zeichen mit gutem Gewissen anbringen. Mit dem Stichtag 2. August 2026 wird aus der Kür eine Pflicht.