KI Dokumentation: Welche Nachweise der AI Act wirklich verlangt

Keine identische Dokumentationspflicht für jede KI Nutzung

Der häufige Ruf nach einer vollständigen AI Act Akte für jedes Werkzeug führt in die falsche Richtung. Die Verordnung verteilt Dokumentations- und Aufzeichnungspflichten nach Rolle, Risiko und konkreter Tätigkeit. Ein Anbieter eines Hochrisiko-Systems hat andere Nachweise zu führen als ein Unternehmen, das ein Standardwerkzeug in eigener Verantwortung nutzt. Auch ein GPAI Modell, ein KI System und eine einzelne betriebliche Nutzung dürfen dokumentarisch nicht vermischt werden. Zuerst werden System, Zweck und Rolle geklärt.

Eine Dokumentationslandkarte ordnet jedem Use Case die tatsächlich erforderlichen Unterlagen zu. Sie beginnt mit Inventar, Rollen- und Klassifikationsvermerk und verweist dann auf Freigabe, Anbieterinformationen, Verträge, Anweisungen, Kompetenzmaßnahmen, Tests, Logs, Monitoring und Vorfälle. Nicht jedes Feld ist immer verpflichtend. Die Landkarte kennzeichnet daher Rechtsgrundlage, Adressat, Anwendungstermin und internen Zweck. So bleibt sichtbar, ob ein Dokument gesetzlicher Pflichtnachweis, vertragliche Absicherung oder freiwillige Governance-Evidenz ist.

• System, Modell, Use Case und Unternehmensrolle getrennt dokumentieren.
• Für jeden Nachweis Rechtsgrundlage, Adressat und Anwendungstermin nennen.
• Freiwillige Governance-Evidenz nicht als allgemeine gesetzliche Pflicht ausgeben.

Quellen: [1] [2]

Anbieter: Technische Dokumentation und Konformitätsakte

Für Anbieter von Hochrisiko-Systemen verlangt Artikel 11 eine technische Dokumentation, die vor dem Inverkehrbringen oder der Inbetriebnahme erstellt und aktuell gehalten wird. Sie muss den Behörden die Beurteilung der Übereinstimmung mit den Anforderungen ermöglichen und die in Anhang IV vorgesehenen Angaben enthalten. Dazu zählen unter anderem allgemeine Systembeschreibung, Entwicklung, Funktionsweise, Daten, Leistungsmerkmale, Risikomanagement, Änderungen, Normen, Validierung und Überwachung nach dem Inverkehrbringen. Der konkrete Umfang richtet sich nach dem System.

Die technische Dokumentation ist von weiteren Unterlagen zu unterscheiden: Qualitätsmanagement nach Artikel 17, Konformitätsbewertung, EU-Konformitätserklärung, Registrierung, Protokolle sowie Monitoring- und Vorfallakten erfüllen eigene Zwecke. Eine zentrale Akte kann Verweise enthalten, darf aber keine unklaren Zuständigkeiten erzeugen. Änderungen an Modell, Daten, Zweck oder Schnittstellen müssen versioniert in die betroffenen Nachweise zurückgespielt werden. Veraltete Dokumentation kann eine technisch aktuelle Lösung nicht belastbar beschreiben.

• Anhang IV als strukturierende Mindestlandkarte für technische Dokumentation nutzen.
• Technische Akte, Qualitätsmanagement und Konformitätsnachweise unterscheiden.
• Änderungsmanagement mit Versionierung und erneuter Freigabe verbinden.

Quellen: [1] [2]

Aufbewahrung und nachvollziehbare Versionen

Artikel 18 verpflichtet Anbieter von Hochrisiko-Systemen, die dort genannten Unterlagen grundsätzlich zehn Jahre ab Inverkehrbringen oder Inbetriebnahme für die zuständigen nationalen Behörden bereitzuhalten. Erfasst sind insbesondere technische Dokumentation, Unterlagen zum Qualitätsmanagement, einschlägige Unterlagen notifizierter Stellen und die EU-Konformitätserklärung. Sektorale Sonderregeln und die Voraussetzungen der Norm sind zusätzlich zu prüfen. Praktisch braucht jede Akte eine eindeutige System- und Versionskennung, Erstellungs- und Freigabedatum, verantwortliche Stelle sowie einen nachvollziehbaren Änderungsverlauf.

Aufbewahrung bedeutet nicht unbegrenzte Sammlung. Datenschutz, Geheimnisschutz, Speicherbegrenzung, Zugriffsrechte und rechtliche Löschpflichten bleiben relevant. Für jeden Dokumenttyp sollten Zweck, Mindestinhalt, Ablageort, Schutzbedarf, Frist und Löschprozess festgelegt werden. Werden Nachweise bei Dienstleistern gespeichert, müssen Verfügbarkeit, Export, Integrität und Zugriff bei Vertragsende abgesichert sein. Eine Behörde oder interne Revision muss die relevante Beweiskette ohne Abhängigkeit von einzelnen Beschäftigten rekonstruieren können.

• Dokumente eindeutig einem System, Use Case und Versionsstand zuordnen.
• Aufbewahrungsfristen je Nachweistyp und Rechtsgrundlage festlegen.
• Integrität, Zugriff und Export auch bei externen Plattformen sicherstellen.

Quellen: [1] [2]

Betreiber: Nutzung, Aufsicht, Eingabedaten und Logs

Betreiber von Hochrisiko-Systemen müssen künftig ihre eigenen Pflichten nach Artikel 26 nachweisbar organisieren. Dazu gehören abhängig vom Sachverhalt die Nutzung entsprechend der Gebrauchsanweisung, geeignete menschliche Aufsicht, die Relevanz und hinreichende Repräsentativität kontrollierter Eingabedaten sowie die Aufbewahrung automatisch erzeugter Logs, soweit diese ihrer Kontrolle unterliegen. Für diese Logs gilt grundsätzlich eine dem Zweck angemessene Dauer von mindestens sechs Monaten, sofern anderes Unions- oder nationales Recht nichts anderes vorsieht. Auch erkannte Risiken, schwerwiegende Vorfälle, Aussetzungen und Kommunikation mit Anbieter oder zuständigen Stellen benötigen eine nachvollziehbare Akte.

Der Betreiber muss nicht die technische Dokumentation des Anbieters neu verfassen. Er braucht jedoch ausreichende Anbieterinformationen, um das System bestimmungsgemäß zu nutzen und seine Aufgaben wahrzunehmen. Beschaffung und Vertrag müssen daher Gebrauchsanweisung, Versions- und Änderungsmitteilungen, Logzugang, Support sowie Incident-Kommunikation abdecken. Fehlen notwendige Informationen, ist dies vor dem Einsatz zu eskalieren. Eigene Betriebsnachweise sollen tatsächliche Nutzung abbilden und dürfen nicht lediglich Marketingunterlagen des Lieferanten wiederholen.

• Betriebsnachweise aus Artikel 26 von der technischen Anbieterakte trennen.
• Verfügbare Logs, menschliche Aufsicht und Eingabedaten nachvollziehbar machen.
• Informations- und Unterstützungsbedarf im Lieferantenvertrag absichern.

Quellen: [1] [2]

Proportionalität und Erleichterungen richtig einordnen

Der Digital Omnibus erstreckt bestimmte Erleichterungen auf kleine Midcap-Unternehmen und berücksichtigt proportionale Ausgestaltung. Dazu gehören unter den gesetzlichen Voraussetzungen vereinfachte technische Dokumentation und ein angemessenes Qualitätsmanagement. Diese Regeln sind keine pauschale Befreiung. Unternehmen müssen prüfen, ob sie die jeweilige Größenkategorie erfüllen, welche Rolle sie innehaben und auf welche konkrete Pflicht sich die Erleichterung bezieht. Eine interne Selbsteinstufung sollte mit den dafür maßgeblichen Daten dokumentiert werden.

Proportionalität bedeutet auch, den Nachweisaufwand am Risiko auszurichten. Für einen begrenzten internen Assistenten kann ein kurzer Klassifikations- und Freigabevermerk genügen; ein folgenreicher Einsatz benötigt vertiefte Tests, Kontrollen und Entscheidungsunterlagen. Standardisierte Vorlagen, Metadaten und automatische Verknüpfungen reduzieren Aufwand, ohne Inhalte zu duplizieren. Weggelassen werden sollten Nachweise, die weder eine Pflicht erfüllen noch eine Entscheidung, Kontrolle oder Rekonstruktion unterstützen. Bürokratieabbau darf jedoch keine materiellen Prüfungslücken verdecken.

• Größenkategorie und Voraussetzungen einer Erleichterung konkret belegen.
• Dokumentationstiefe nach Rolle, Risiko und Entscheidungswirkung staffeln.
• Doppelerfassung durch Verweise und gemeinsame Metadaten vermeiden.

Quellen: [2] [1]

Beweiskette für Management und Prüfung

Eine belastbare Beweiskette verbindet Managemententscheidung, operative Umsetzung, laufende Kontrolle und Abweichungsbehandlung. Vom Inventareintrag führt sie zum Klassifikationsvermerk und zur Freigabe; von dort zu Auflagen, Testresultaten, Schulungen, Logs und Monitoring; ein Vorfall verweist auf Triage, Entscheidung, Korrektur und Re-Freigabe. Eindeutige Identifikatoren und Zeitstempel verhindern, dass Unterlagen verschiedener Versionen vermischt werden. Verantwortliche bestätigen nicht nur das Vorhandensein, sondern auch die inhaltliche Prüfung.

Nach der Verordnung (EU) 2026/1744 gelten die einschlägigen Hochrisikoanforderungen für Anhang III grundsätzlich ab 2. Dezember 2027 und für Systeme nach Artikel 6 Absatz 1 grundsätzlich ab 2. August 2028. Für Produkte nach Anhang I Abschnitt B begrenzt Artikel 2 Absatz 2 die unmittelbare Geltung; das sektorale Produktrecht bleibt maßgeblich. Art. 4, Artikel 5 und Artikel 50 sind davon nicht pauschal verschoben. Bestehende Pflichten aus Datenschutz, Arbeitsrecht, Vertrag, Produktsicherheit oder sektoralem Recht können bereits heute zusätzliche Nachweise verlangen. Vor Veröffentlichung und praktischer Umsetzung sind Fristen, Leitlinien und österreichische Behördenregeln erneut anhand amtlicher Quellen zu prüfen.

• Entscheidung, Kontrolle, Abweichung und Korrektur durchgängig verknüpfen.
• Eindeutige Identifikatoren und Zeitstempel für die Rekonstruktion verwenden.
• AI Act Nachweise mit bestehenden Rechts- und Qualitätssystemen koordinieren.

Quellen: [1] [2]

Häufige Fragen