Der EU AI Act ist die weltweit erste umfassende gesetzliche Regulierung für Künstliche Intelligenz. Er verpflichtet Unternehmen, die KI-Systeme entwickeln oder einsetzen, zur Dokumentation: Wie funktioniert das System, wofür wird es eingesetzt, wie werden Risiken kontrolliert?

Wer versteht, welche Systeme betroffen sind, welche Unterlagen gefordert werden und wer verantwortlich ist, erkennt schnell: KI-Compliance ist handhabbar. Dieser Artikel beantwortet die wichtigsten Fragen zur technischen Dokumentation nach dem AI Act.

Was sind die Dokumentationspflichten für KI-Systeme laut EU AI Act?

Der EU AI Act verpflichtet Anbieter und Betreiber, technische Unterlagen, Risikoanalysen, Protokolle und Konformitätsbewertungen zu erstellen und aufzubewahren. Ziel ist Transparenz und Nachvollziehbarkeit gegenüber Behörden und Nutzenden.

Die Anforderungen richten sich nach Risikoklassen: Hochrisiko-KI unterliegt den strengsten Pflichten, Systeme mit niedrigem Risiko müssen oft nur einfache Transparenzanforderungen erfüllen, verbotene KI-Systeme dürfen in der EU nicht eingesetzt werden.

Für welche KI-Systeme gelten besondere Dokumentationspflichten?

Besondere Pflichten gelten vor allem für Hochrisiko-KI-Systeme. Anhang III des EU AI Act nennt konkrete Anwendungsbereiche, darunter Strafverfolgung, Bildung, Gesundheitswesen, Kreditvergabe und Personalwesen. Zu den Hochrisiko-Anwendungen zählen:

• Biometrische Identifizierungssysteme
• KI in kritischen Infrastrukturen wie Energie oder Wasserversorgung
• Automatisierte Entscheidungssysteme in Behörden
• KI-gestützte Bewerbungsauswahl und Leistungsbewertung im HR-Bereich
• Medizinische Diagnosetools und Risikoeinschätzungen
• KI in der Strafverfolgung und Grenzkontrolle

Auch Allzweck-KI-Modelle (GPAI) wie große Sprachmodelle unterliegen eigenen Dokumentationspflichten: Anbieter müssen Trainingsverfahren, Datensätze und Leistungsgrenzen beschreiben.

Welche technischen Dokumente müssen für Hochrisiko-KI erstellt werden?

Die technische Dokumentation muss so vollständig sein, dass Behörden die Konformität des Systems bewerten können. Sie umfasst mindestens:

1. Allgemeine Beschreibung des Systems: Zweck, Einsatzbereich, Funktionsweise und Entwicklungsstand
2. Risikomanagementsystem: Dokumentation der identifizierten Risiken und ergriffenen Maßnahmen
3. Daten und Datenverwaltung: Herkunft, Zusammensetzung und Qualitätssicherung der Trainingsdaten
4. Protokollierungsfunktionen: Automatische Aufzeichnung von Ereignissen während des Betriebs
5. Transparenz- und Nutzerinformationen: Verständliche Bedienungsanleitungen für Betreiber
6. Menschliche Aufsicht: Beschreibung der Maßnahmen zur menschlichen Kontrolle
7. Genauigkeit, Robustheit und Cybersicherheit: Nachweise zu Leistungskennzahlen und Sicherheitsmaßnahmen
8. Konformitätsbewertung: Nachweis der Übereinstimmung mit den Anforderungen des AI Act

Wer ist für die KI-Dokumentation verantwortlich – Anbieter oder Betreiber?

Primär verantwortlich ist der Anbieter, der das KI-System entwickelt und auf den Markt bringt. Anbieter erstellen die vollständige technische Dokumentation, führen das Konformitätsbewertungsverfahren durch und bringen die CE-Kennzeichnung an.

Betreiber müssen das System zweckgemäß einsetzen, menschliche Aufsicht gewährleisten und Betriebsprotokolle mindestens sechs Monate aufbewahren. Bei erheblichen Risiken oder Vorfällen besteht Meldepflicht. Wichtig: Wer ein KI-System erheblich verändert oder zweckentfremdet, wird selbst zum Anbieter und übernimmt die vollständigen Dokumentationspflichten.

Wie lange müssen KI-Dokumentationen aufbewahrt werden?

Anbieter müssen die technische Dokumentation für Hochrisiko-KI mindestens zehn Jahre nach Inverkehrbringen aufbewahren. Betreiber bewahren Betriebsprotokolle mindestens sechs Monate auf, sofern keine längeren gesetzlichen Fristen gelten. Für GPAI-Modelle gilt die Dokumentationspflicht für die gesamte Lebensdauer des Modells.

Welche Strafen drohen bei fehlender oder mangelhafter KI-Dokumentation?

Verstöße gegen Dokumentationspflichten können mit bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden. Bei besonders schwerwiegenden Verstößen – etwa dem Einsatz verbotener KI-Systeme – steigen die Bußgelder auf bis zu 35 Millionen Euro oder sieben Prozent des Jahresumsatzes. Unwissenheit schützt jedoch nicht vor Strafe: Wer KI-Systeme in der EU einsetzt oder entwickelt, muss sich aktiv mit den Anforderungen auseinandersetzen.

So unterstützen wir Sie beim Thema KI-Compliance und Dokumentationspflichten

Mit unseren Schulungen im Bereich KI-Kompetenz bereiten wir Fach- und Führungskräfte gezielt auf die Anforderungen der KI-Regulierung vor:

• Praxisnahe Trainings zum EU AI Act und seinen Dokumentationspflichten
• Schulungen zu KI-Governance, Risikomanagement und Compliance
• Zertifizierungen über ICO-Cert als anerkannten Zertifizierungspartner
• Flexible Formate: Präsenztraining, Online-Live-Schulung oder Inhouse-Seminar

Möchten Sie Ihr Team fit für die KI-Regulierung machen? Informieren Sie sich jetzt über unser Schulungsangebot und sprechen Sie uns direkt an.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.