Bevollmächtigter: Definition und rechtliche Bedeutung (AI Act / Data Act)

Anbieter hochriskanter KI mit Sitz außerhalb der Union müssen vor dem Inverkehrbringen einen Bevollmächtigten in der Union schriftlich benennen (Art. 22 Abs. 1). Das Mandat muss die Befugnis umfassen, Dokumente vorzuhalten (EU-Konformitätserklärung, technische Dokumentation), Konformitäts- und Verfahrenspflichten zu erfüllen, der nationalen Aufsicht auf Verlangen Informationen zu übermitteln und bei Durchsetzungsmaßnahmen zu kooperieren. Die Bestellung ist in der technischen Dokumentation anzugeben. Für Anbieter mit EU-Niederlassung ist der Bevollmächtigte optional; für Drittlands-Anbieter hochriskanter Systeme obligatorisch.

Der Bevollmächtigte hält die Dokumentation vor, übermittelt sie auf Verlangen der Aufsicht, prüft Konformitätsbescheinigungen und stellt die Konformitätserklärung bereit, kooperiert bei der Risikominderung und übernimmt den Kontaktaufbau zum Anbieter. Er muss mit der notwendigen Kompetenz und den Ressourcen ausgestattet sein. Die Haftung bleibt grundsätzlich beim Anbieter, doch ist der Bevollmächtigte die rechtliche Einheit, gegen die die EU-Aufsicht unmittelbar vorgehen kann — ein zentraler Hebel bei Drittlands-Anbietern.

In der Praxis werden Bevollmächtigte über Dienstleister, Tochtergesellschaften oder spezialisierte Compliance-Firmen gestellt. Das Mandat sollte klar abgegrenzt sein (welche Verfahren sind übertragen?) und der Bevollmächtigte muss faktisch in der Lage sein, mit der Aufsicht zu kommunizieren. Für GPAI-Modelle ohne EU-Niederlassung besteht eine analoge Pflicht (Art. 54). Die Bestellung dokumentiert den Willen des Anbieters, sich dem EU-Recht zu unterwerfen — sie ist Gateway und Haftungsanker zugleich.