EU AI Act Dokumentationspflichten im Unternehmen
Vollständige Anleitung: Welche Dokumentation brauchen Sie, und wie erstellen Sie sie?
Inhaltsverzeichnis
Die KI-Verordnung (EU) 2024/1689 verlangt von Anbietern und Betreibern von Hochrisiko-KI-Systemen eine umfassende Dokumentation. Diese Pillar Page führt Sie durch alle Dokumentationsanforderungen – vom KI-Inventar bis zum Audit-Trail.
Für wen gilt die Dokumentationspflicht?
Die Dokumentationspflicht gilt nicht nur für Entwickler von KI-Systemen. Auch Unternehmen, die KI-Systeme lediglich einsetzen, haben je nach Risikoklasse umfangreiche Pflichten. Folgende Unternehmen sind auf jeden Fall betroffen:
Anbieter von Hochrisiko-KI
Unternehmen, die Hochrisiko-KI-Systeme entwickeln oder unter eigenem Namen in Verkehr bringen, müssen die vollständige technische Dokumentation nach Anhang IV erstellen und pflegen.
Betreiber von Hochrisiko-KI
Unternehmen, die Hochrisiko-KI-Systeme im eigenen Betrieb einsetzen (z. B. in HR, Kreditvergabe, Bildung), müssen Einsatz, Überwachung und menschliche Aufsicht dokumentieren.
Alle Nutzer generativer KI (Art. 50)
Jedes Unternehmen, das KI-generierte Inhalte veröffentlicht (Texte, Bilder, Videos, Audio), muss diese kennzeichnen und den Einsatz dokumentieren – unabhängig von der Unternehmensgröße.
Importeure & Händler
Wer KI-Systeme aus Nicht-EU-Ländern importiert oder auf dem EU-Markt bereitstellt, muss sicherstellen, dass alle Dokumentationsanforderungen erfüllt sind.
Auch Unternehmen mit KI-Systemen minimalen Risikos sollten ein KI-Inventar führen. Die Schulungspflicht nach Art. 4 (KI-Kompetenz) gilt für alle Unternehmen, die KI einsetzen – unabhängig von der Risikoklasse.
KI-Inventar: Alle KI-Systeme erfassen
Art. 6 und Anhang III erfordern eine vollständige Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme. Das Inventar bildet die Grundlage für die Risikoklassifizierung und alle weiteren Dokumentationspflichten.
Praxisbeispiel:
Erstellen Sie eine zentrale Tabelle mit: Systemname, Einsatzzweck, Anbieter/Betreiber-Status, Risikoklasse, verantwortliche Person, Datum der letzten Überprüfung. Unser Compliance-Check kann die Erstbewertung automatisieren.
Technische Dokumentation (Anhang IV)
Anhang IV listet die Mindestinhalte der technischen Dokumentation auf: Systembeschreibung, Entwicklungsprozess, Trainings- und Testdaten, Leistungskennzahlen, Überwachungsmaßnahmen und Risikomanagement-Ergebnisse.
Praxisbeispiel:
Nutzen Sie strukturierte Vorlagen, die alle Anhang-IV-Anforderungen abdecken. Unsere Premium-Plattform generiert KI-gestützte Entwürfe, die Sie als Ausgangspunkt verwenden können.
Risikomanagement-System (Art. 9)
Art. 9 verlangt ein fortlaufendes, iteratives Risikomanagement-System. Es muss Risiken identifizieren, bewerten, dokumentieren und Gegenmaßnahmen festlegen – über den gesamten Lebenszyklus des KI-Systems.
Praxisbeispiel:
Dokumentieren Sie jeden identifizierten Risikofaktor mit Eintrittswahrscheinlichkeit, Schweregrad und geplanter Gegenmaßnahme. Führen Sie regelmäßige Reviews durch und protokollieren Sie Änderungen.
Audit-Trail und Nachvollziehbarkeit
Ein lückenloser Audit-Trail dokumentiert alle Änderungen an der Dokumentation, Bewertungen und Entscheidungen. Dies ist essenziell für die Nachweisführung gegenüber Aufsichtsbehörden.
Praxisbeispiel:
Implementieren Sie Versionierung für alle Dokumente. Protokollieren Sie, wer wann welche Änderung vorgenommen hat. Unsere Plattform erstellt automatische Audit-Logs.
Rollen und Verantwortlichkeiten
Die Verordnung unterscheidet zwischen Anbieter, Betreiber, Importeur und Händler. Jede Rolle hat spezifische Dokumentationspflichten. Im Unternehmen müssen klare Zuständigkeiten definiert sein.
Praxisbeispiel:
Erstellen Sie eine RACI-Matrix (Responsible, Accountable, Consulted, Informed) für alle KI-Compliance-Aufgaben. Weisen Sie mindestens einen KI-Beauftragten zu.
Nachweisdokumentation und Konformitätserkärung
Die Konformitätserklärung (Art. 47) muss alle angewandten Normen, Prüfverfahren und Ergebnisse enthalten. Zusammen mit der CE-Kennzeichnung bildet sie den formalen Abschluss.
Praxisbeispiel:
Sammeln Sie alle Prüfberichte, Testergebnisse und Zertifikate in einem zentralen Konformitätsdossier. Bewahren Sie es mindestens 10 Jahre auf.
Proportionalitätsgrundsatz: Erleichterungen für KMU & Mid-Caps
Der Gesetzgeber setzt auf Proportionalität. Ihre Maßnahmen zur Einhaltung der Transparenz- und Dokumentationspflichten müssen zu Größe und Ressourcen Ihres Unternehmens passen. KMU und Start-ups können aufatmen:
Vereinfachte Dokumentation
Small Mid-Caps (bis 749 Mitarbeiter) nutzen vereinfachte technische Dokumentationen gemäß Art. 62 EU AI Act. Das entlastet spürbar.
Keine Einzelfall-Protokollierung
Für den „Human Review“ von KI-Texten genügt es, den allgemeinen Prozess und Verantwortlichkeiten einmalig intern festzulegen. Kein individueller Nachweis pro Text.
Bürokratie-Abbau durch den Kodex
Wer den Code of Practice (CoP) unterzeichnet, nutzt einen anerkannten Rahmen. Dies senkt den administrativen Aufwand massiv. Sie müssen Compliance nicht ständig neu beweisen.
Angemessene Sanktionen
Bei Verstößen wird das wirtschaftliche Überleben von KMU berücksichtigt. Bußgelder orientieren sich an niedrigeren Sätzen (Art. 99).
Thomas Bahr
Geschäftsführer, Webutissimo S.L. – EU AI Act Compliance-Experte
Thomas Bahr begleitet Unternehmen bei der Umsetzung der KI-Verordnung (EU) 2024/1689. Schwerpunkte: Risikoklassifizierung, technische Dokumentation und Konformitätsbewertung für KI-Systeme.
Weiterführende Seiten:
Starten Sie mit dem kostenlosen Compliance-Check und ermitteln Sie Ihren Dokumentationsbedarf.