Welche Dokumentationspflichten gelten für KI-Systeme in der EU?

Der EU AI Act ist der weltweit erste umfassende Rechtsrahmen zur Regulierung künstlicher Intelligenz. Er verpflichtet Unternehmen, die KI-Systeme entwickeln oder einsetzen, Dokumentationen zu führen, die erläutern, wie das System funktioniert, wofür es genutzt wird und wie Risiken gehandhabt werden.

Sobald du verstehst, welche Systeme betroffen sind, welche Dokumente erforderlich sind und wer verantwortlich ist, wirst du schnell feststellen, dass KI-Compliance gut handhabbar ist. Dieser Artikel beantwortet die wichtigsten Fragen zur technischen Dokumentation unter dem AI Act.

Welche Dokumentationspflichten gelten für KI-Systeme unter dem EU AI Act?

Der EU AI Act verpflichtet Anbieter und Betreiber dazu, technische Unterlagen, Risikoanalysen, Protokolle und Konformitätsbewertungen zu erstellen und aufzubewahren. Ziel ist Transparenz und Nachvollziehbarkeit für Behörden und Nutzer.

Die Anforderungen richten sich nach der Risikoeinstufung: Hochrisiko-KI unterliegt den strengsten Pflichten, Systeme mit geringem Risiko müssen häufig nur grundlegende Transparenzanforderungen erfüllen, und verbotene KI-Systeme dürfen in der EU nicht eingesetzt werden.

Welche KI-Systeme unterliegen besonderen Dokumentationspflichten?

Besondere Pflichten gelten vor allem für Hochrisiko-KI-Systeme. Anhang III des EU AI Act listet konkrete Anwendungsbereiche auf, darunter Strafverfolgung, Bildung, Gesundheitswesen, Kreditwürdigkeitsprüfung und Personalwesen. Zu den Hochrisikoanwendungen zählen:

Biometrische Identifikationssysteme
KI in kritischen Infrastrukturen wie Energie- oder Wasserversorgung
Automatisierte Entscheidungssysteme in Behörden
KI-gestützte Bewerberauswahl und Leistungsbewertung im Personalwesen
Medizinische Diagnosewerkzeuge und Risikobewertungen
KI in der Strafverfolgung und Grenzkontrolle

Auch Allzweck-KI-Modelle (GPAI) wie große Sprachmodelle unterliegen eigenen Dokumentationspflichten: Anbieter müssen Trainingsverfahren, Datensätze und Leistungsgrenzen beschreiben.

Welche technischen Dokumente müssen für Hochrisiko-KI erstellt werden?

Die technische Dokumentation muss so vollständig sein, dass Behörden die Konformität des Systems beurteilen können. Sie muss mindestens folgende Punkte umfassen:

Allgemeine Systembeschreibung: Zweck, Anwendungsbereich, Funktionalität und Entwicklungsstand
Risikomanagementsystem: Dokumentation der identifizierten Risiken und getroffenen Maßnahmen
Daten und Daten-Governance: Herkunft, Zusammensetzung und Qualitätssicherung der Trainingsdaten
Protokollierungsfähigkeiten: Automatische Aufzeichnung von Ereignissen während des Betriebs
Transparenz und Nutzerinformation: Klare Betriebsanweisungen für Betreiber
Menschliche Aufsicht: Beschreibung der Maßnahmen zur menschlichen Überwachung
Genauigkeit, Robustheit und Cybersicherheit: Nachweise zu Leistungskennzahlen und Sicherheitsmaßnahmen
Konformitätsbewertung: Nachweis der Einhaltung der Anforderungen des AI Act

Wer ist für die KI-Dokumentation verantwortlich – Anbieter oder Betreiber?

Die primäre Verantwortung liegt beim Anbieter, der das KI-System entwickelt und in Verkehr bringt. Anbieter erstellen die vollständige technische Dokumentation, führen das Konformitätsbewertungsverfahren durch und bringen die CE-Kennzeichnung an.

Betreiber müssen das System bestimmungsgemäß verwenden, eine menschliche Aufsicht sicherstellen und Betriebsprotokolle mindestens sechs Monate lang aufbewahren. Bei erheblichen Risiken oder Vorfällen besteht eine Meldepflicht. Wichtig: Wer ein KI-System wesentlich verändert oder zweckentfremdet, wird selbst zum Anbieter und übernimmt damit die vollständigen Dokumentationspflichten.

Wie lange muss KI-Dokumentation aufbewahrt werden?

Anbieter müssen die technische Dokumentation für Hochrisiko-KI mindestens zehn Jahre nach dem Inverkehrbringen des Systems aufbewahren. Betreiber müssen Betriebsprotokolle mindestens sechs Monate lang aufbewahren, sofern keine längeren gesetzlichen Aufbewahrungsfristen gelten. Für GPAI-Modelle gilt die Dokumentationspflicht über die gesamte Lebensdauer des Modells.

Welche Strafen drohen bei fehlender oder unzureichender KI-Dokumentation?

Verstöße gegen Dokumentationspflichten können mit Bußgeldern von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden. Bei besonders schwerwiegenden Verstößen – etwa beim Einsatz verbotener KI-Systeme – können die Bußgelder auf bis zu 35 Millionen Euro oder sieben Prozent des Jahresumsatzes steigen. Unwissenheit schützt nicht: Wer KI-Systeme in der EU einsetzt oder entwickelt, muss sich aktiv mit den Anforderungen auseinandersetzen.

So unterstützen wir dich bei KI-Compliance und Dokumentationspflichten

Mit unseren Schulungen zur KI-Kompetenz bereiten wir Fachkräfte und Führungskräfte gezielt auf die Anforderungen der KI-Regulierung vor:

Praxisnahe Schulungen zum EU AI Act und seinen Dokumentationspflichten
Kurse zu KI-Governance, Risikomanagement und Compliance
Zertifizierungen durch ICO-Cert als anerkannten Zertifizierungspartner
Flexible Formate: Präsenztraining, Online-Live-Sessions oder Inhouse-Seminare

Möchtest du dein Team fit für die KI-Regulierung machen? Erfahre mehr über unser Schulungsangebot und nimm direkt Kontakt mit uns auf.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.