EU AI Act Technical Documentation

Anhang IV der EU-KI-Verordnung (VO 2024/1689) definiert neun Pflichtabschnitte: (1) Allgemeine Beschreibung des KI-Systems mit Zweckbestimmung, Anbieterangaben und Versionierung, (2) detaillierte Beschreibung der Systemelemente einschließlich Algorithmen, Modellarchitektur und Designentscheidungen, (3) Informationen zu Entwicklungsprozess und Rechenressourcen, (4) Daten-Governance mit Beschreibung von Trainings-, Validierungs- und Testdaten, (5) Überwachung, Funktionsweise und Kontrolle mit Leistungsmetriken, (6) Risikomanagement nach Art. 9, (7) Dokumentation von Änderungen über den Lebenszyklus, (8) angewandte harmonisierte Normen oder gemeinsame Spezifikationen, (9) EU-Konformitätserklärung und Post-Market-Monitoring-Plan. Für KMU und Start-ups sieht Art. 11 Abs. 2 eine vereinfachte Darstellung vor.

Art. 11 regelt spezifisch die technische Dokumentation für Hochrisiko-KI-Systeme und verweist auf Anhang IV mit den konkreten Inhalten zu Systemarchitektur, Trainingsdaten und Leistungsmetriken. Die allgemeinen Dokumentationsanforderungen umfassen zusätzlich das Qualitätsmanagementsystem nach Art. 17, Protokollierungspflichten nach Art. 12, Betreiberaufzeichnungen nach Art. 26 und die Aufbewahrungspflicht von zehn Jahren nach Art. 18. Die technische Dokumentation nach Anhang IV ist dabei das Kernstück, auf dem die Konformitätsbewertung nach Art. 43 aufbaut.

Anhang IV verlangt eine umfassende Beschreibung der Daten-Governance: Datenerhebungsmethoden, Herkunft und Umfang der Trainings-, Validierungs- und Testdatensätze, Vorverarbeitungsschritte einschließlich Annotation und Labeling, Verfahren zur Erkennung und Minderung von Verzerrungen (Bias), Datenschutzmaßnahmen sowie eine Bewertung der Datenverfügbarkeit und -eignung. Zusätzlich müssen Rechenressourcen, verwendete Hardware und die Trainingsdauer dokumentiert werden. Diese Transparenz ermöglicht der Marktüberwachungsbehörde eine Nachvollziehbarkeit der Modellentwicklung.

Die technische Dokumentation muss nach Anhang IV Abschnitt 5 die Genauigkeit, Robustheit und Cybersicherheit des KI-Systems mit konkreten Metriken belegen. Dazu gehören: Genauigkeitsmetriken für die vorgesehene Zweckbestimmung, bekannte und vorhersehbare Fehlerquoten, vorhersehbare unbeabsichtigte Ergebnisse und Risikoquellen, Maßnahmen zur menschlichen Aufsicht nach Art. 14 sowie Angaben zur Leistung bei spezifischen Personengruppen, soweit das System für diese bestimmt ist. Test- und Validierungsergebnisse müssen nachvollziehbar dokumentiert und regelmäßig aktualisiert werden.

Die Dokumentationspflichten nach Art. 11 gelten ab dem 2. Dezember 2027 für Hochrisiko-KI-Systeme nach Anhang III und ab dem 2. August 2028 für KI in regulierten Produkten nach Anhang I. Bereits im Einsatz befindliche Systeme unterliegen den Pflichten bei wesentlichen Änderungen. Bei Verstößen drohen nach Art. 99 Abs. 4 Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Bei schwerwiegenden Verstößen nach Art. 99 Abs. 3 sogar bis 35 Millionen Euro oder 7 Prozent. Die Dokumentation muss zehn Jahre aufbewahrt werden.

Die technische Dokumentation sollte als integraler Bestandteil des Entwicklungsprozesses aufgebaut werden: Modellkarten und Experimentierprotokolle werden automatisiert aus MLOps-Pipelines generiert, Versionskontrollsysteme protokollieren Änderungen an Modellarchitektur und Hyperparametern, Testberichte und Validierungsergebnisse werden direkt aus CI/CD-Pipelines exportiert, und die Risikobewertung nach Art. 9 wird als lebendiges Dokument bei jeder Modelliteration aktualisiert. So entsteht die Dokumentation mit minimalem Mehraufwand und bleibt stets aktuell.

Der Abschnitt zur Systemarchitektur in Anhang IV erfordert: eine detaillierte Beschreibung der Systemelemente und ihrer Beziehungen, die verwendeten Algorithmen und Modellarchitektur mit Begründung der Designentscheidungen, die Interaktion mit Hardware und Software einschließlich anderer KI-Systeme, Angaben zu Softwareversionen und Firmware, alle Formen, in denen das System in Verkehr gebracht wird (z.B. als Software-Paket oder in Hardware integriert), sowie Anforderungen an die Recheninfrastruktur. Diese Dokumentation dient als Grundlage für die Konformitätsbewertung und muss nachvollziehbar für die Marktüberwachungsbehörde sein.