EU AI Act Dokumentationsanforderungen

Artikel 11 der EU-KI-Verordnung (VO 2024/1689) verpflichtet Anbieter von Hochrisiko-KI-Systemen, eine technische Dokumentation zu erstellen, die vor dem Inverkehrbringen oder der Inbetriebnahme vorliegen muss. Die Dokumentation muss alle in Anhang IV aufgeführten Elemente enthalten und nachweisen, dass das System die Anforderungen aus Kapitel III Abschnitt 2 erfüllt. Dazu gehören eine allgemeine Systembeschreibung, die Dokumentation des Risikomanagementsystems nach Art. 9, Angaben zu Trainings- und Validierungsdaten, Leistungsmetriken sowie Informationen zur menschlichen Aufsicht. Die Dokumentation muss fortlaufend aktualisiert werden, insbesondere bei wesentlichen Änderungen am System.

Anhang IV der EU-KI-Verordnung definiert die Mindestinhalte der technischen Dokumentation in mehreren Abschnitten: (1) Allgemeine Beschreibung des KI-Systems einschließlich Zweckbestimmung, Anbieterangaben, Versionierung und Zusammenwirken mit Hardware und Software. (2) Detaillierte Beschreibung der Systemelemente und des Entwicklungsprozesses, darunter Algorithmen, Modellarchitektur, Designentscheidungen, Daten-Governance (Erhebung, Vorverarbeitung, Labeling) und eingesetzte Rechenressourcen. (3) Informationen zur Überwachung, zum Betrieb und zur Kontrolle, insbesondere Leistungs- und Genauigkeitsmetriken, bekannte Risiken und vorhersehbare Fehlanwendungen. (4) Angaben zur Einhaltung der Barrierefreiheitsanforderungen. (5) Beschreibung des Konformitätsbewertungsverfahrens und der angewandten harmonisierten Normen oder gemeinsamen Spezifikationen.

Die Dokumentationspflichten nach Art. 11 gelten für alle Hochrisiko-KI-Systeme im Sinne von Art. 6 der EU-KI-Verordnung. Das umfasst KI-Systeme, die als Sicherheitskomponente eines unter EU-Harmonisierungsrecht fallenden Produkts eingesetzt werden (Anhang I), sowie KI-Systeme in den in Anhang III genannten Bereichen, darunter biometrische Identifizierung, kritische Infrastruktur, Bildung, Beschäftigung, Strafverfolgung und Migration. Für allgemein verwendbare KI-Modelle (GPAI) gelten zusätzlich die Dokumentationspflichten aus Art. 53 mit spezifischen Anforderungen nach Anhang XI und XII.

Die technische Dokumentation muss vor dem Inverkehrbringen oder der Inbetriebnahme des Hochrisiko-KI-Systems erstellt sein. Die Pflichten aus Kapitel III Abschnitt 2 einschließlich Art. 11 gelten ab dem 2. Dezember 2027. Das bedeutet, dass alle ab diesem Datum auf den Markt gebrachten Hochrisiko-KI-Systeme eine vollständige Anhang-IV-Dokumentation benötigen. Für bereits im Einsatz befindliche Systeme gilt eine Übergangsregelung, sofern sie nach dem Stichtag wesentlich geändert werden. Anbieter sollten die Dokumentation bereits während der Entwicklungsphase aufbauen, da eine nachträgliche Erstellung erfahrungsgemäß lückenhaft ausfällt.

Art. 99 Abs. 4 der EU-KI-Verordnung sieht für Verstöße gegen die Dokumentationspflichten Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Bei schwerwiegenden Verstößen, etwa der Bereitstellung eines Hochrisiko-KI-Systems ohne jegliche technische Dokumentation, können die Sanktionen nach Art. 99 Abs. 3 sogar bis zu 35 Millionen Euro oder 7 Prozent des Umsatzes betragen. Für KMU und Start-ups gelten reduzierte Obergrenzen. Neben Bußgeldern drohen Marktüberwachungsmaßnahmen bis hin zum Rückruf des KI-Systems.

Die technische Dokumentation nach Art. 11 ist eine Voraussetzung für die Konformitätsbewertung, aber nicht dasselbe. Art. 11 regelt, welche Informationen über das KI-System erfasst und gepflegt werden müssen. Die Konformitätsbewertung nach Art. 43 prüft anhand dieser Dokumentation, ob das System alle Anforderungen der Verordnung erfüllt. Für die meisten Hochrisiko-KI-Systeme nach Anhang III reicht eine interne Konformitätsbewertung nach Anhang VI. Für bestimmte Systeme, etwa im Bereich biometrischer Identifizierung, ist die Einschaltung einer notifizierten Stelle nach Anhang VII vorgeschrieben. Ohne vollständige technische Dokumentation kann keine Konformitätsbewertung durchgeführt und keine EU-Konformitätserklärung ausgestellt werden.

Die technische Dokumentation sollte nicht als separate Compliance-Aufgabe, sondern als integraler Bestandteil des KI-Entwicklungsprozesses behandelt werden. In der Praxis bedeutet das: In MLOps-Pipelines werden Modellkarten, Trainingsdaten-Logs und Experimentierprotokolle automatisiert erfasst. Versionskontrollsysteme protokollieren Änderungen an Modellarchitektur und Hyperparametern. Testberichte und Validierungsergebnisse werden direkt aus CI/CD-Pipelines generiert. Die Risikobewertung nach Art. 9 wird als lebendiges Dokument gepflegt, das bei jeder Modelliteration aktualisiert wird. ADVISORI unterstützt bei der Auswahl und Konfiguration geeigneter Tools und Prozesse, damit die Dokumentation mit minimalem Mehraufwand entsteht und stets aktuell bleibt.