Standardisierungsspezifikation: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 40 AI Act: die Kommission kann technische Spezifikationen, die von internationalen Standardisierungsgremien ausgearbeitet wurden, als „Standardisierungsspezifikationen" anerkennen. Einhaltung wirkt als Konformitätsvermutung für die AI-Act-Anforderungen (ähnlich harmonisierten Normen nach Art. 41). Voraussetzung: (1) die Spezifikation erfüllt die Anforderungen des AI Act; (2) keine entsprechenden harmonisierten Normen sind verfügbar oder in naher Aussicht; (3) internationale Anerkennung. Die Anerkennung erfolgt durch Rechtsakt der Kommission. Zweck: schnellere Operationalisierung als harmonisierte Normen (die CEN/CENELEC-JTC-21-Normung dauert), flexiblere Anpassung an technologische Entwicklung. Standardisierungsspezifikationen sind „soft standard" mit „hard effect" (Konformitätsvermutung).

Relevante internationale Spezifikationen für den AI Act: (1) ISO/IEC 42001 (AI Managementsystem — Governance, Politik, Prozesse); (2) ISO/IEC 23894 (AI Risk Management — Risikoidentifikation, -bewertung, -minderung); (3) ISO/IEC 24028 (Trustworthiness); (4) ISO/IEC 25059 (Software Quality AI); (5) NIST AI RMF (US-Risikomanagement-Framework); (6) IEEE 7000-Serie (Ethics/Trustworthiness). Beziehung zu harmonisierten Normen: harmonisierte Normen (CEN/CENELEC JTC 21) haben Vorrang; Standardisierungsspezifikationen sind Ergänzung/Alternative, insbesondere wenn harmonisierte Normen fehlen oder Spezifikationen aktueller sind. Bei Konflikt zwischen Spezifikation und harmonisierter Norm entscheidet die Kommission; in der Praxis sind sie oft kompatibel (harmonisierte Normen bauen auf internationalen Spezifikationen auf).

Praktisch relevant für AI-Act-konforme Anbieter: Standardisierungsspezifikationen ermöglichen Konformitätsnachweis über internationale Standards, ohne auf EU-harmonisierte Normen zu warten. Kombinationsstrategie: (1) ISO/IEC 42001 für das KI-Managementsystem (Governance); (2) ISO/IEC 23894 für das Risikomanagement; (3) produktspezifische Standards (ISO 14971 Medizin, ISO 26262 Automotive); (4) Cybersecurity-Standards (ISO/IEC 27001, IEC 62443). Nachweis: Zertifikate durch akkreditierte Stelle (z. B. TÜV, BSI, DEKRA, Bureau Veritas), Audit-Berichte, Dokumentation. Vorteil: internationale Interoperabilität (auch für Drittland-Märkte relevant), etablierte Methoden, Experten-Ökosystem. Herausforderung: Update-Gefahr (Specs ändern sich schneller als AI Act), Auswahl der relevanten Specs, Audit-Kosten. Eine sorgfältige, kombinierte Standardisierungstrategie ist Haftschutz, AI-Act-Compliance und Wettbewerbsvorteil zugleich.