Welche Unterlagen für Hochrisiko-KI Pflicht sind, wie das Risikomanagement aussieht und worauf Behörden im Prüfungsfall achten
Die KI-Verordnung verlangt von Unternehmen eine umfangreiche Dokumentation, und zwar nicht erst zur Konformitätsbewertung, sondern bereits ab Einführung eines KI-Systems. Wir unterstützen Anbieter und Betreiber dabei, ein KI-Dokumentationssystem aufzubauen, das Behördenprüfungen, Audits und Streitverfahren standhält.
Welche Dokumentationspflichten die KI-VO begründet
Die Dokumentationspflichten der KI-Verordnung verteilen sich auf mehrere Vorschriften und differenzieren nach Rolle (Anbieter, Betreiber, Importeur, Händler) sowie nach Risikoklasse des Systems. Die strengsten Pflichten treffen Anbieter von Hochrisiko-KI sowie Anbieter von General-Purpose-KI (GPAI). Doch auch Betreiber von Hochrisiko-KI und Anbieter von Systemen mit Transparenzpflichten unterliegen eigenen Dokumentationsanforderungen.
Funktional gliedern sich die Pflichten in vier Bereiche: die technische Dokumentation, das Risikomanagement, die Protokollierung im laufenden Betrieb und die unternehmensinternen Compliance-Nachweise (KI-Inventar, Schulungs- und Vertragsdokumentation).
Die Dokumentation ist kein Selbstzweck. Sie ist Voraussetzung der Konformitätsbewertung, der Marktüberwachung und der Verteidigung gegen Bußgelder und Abmahnungen. Im Verfahren entscheidet nicht, ob ein Unternehmen seine Pflichten erfüllt hat, sondern ob es dies nachweisen kann.
Können Sie heute keine zusammenhängende KI-Dokumentation vorlegen, befinden Sie sich im Bußgeld- oder Aufsichtsverfahren in der schwächeren Position. Wir bauen die Dokumentation systematisch auf.
Wenn Sie heute keine zusammenhängende KI-Dokumentation vorlegen können, sind Sie im Bußgeld- oder Aufsichtsverfahren in der schwächeren Position. Wir bauen die Dokumentation systematisch auf.
Pflichten für Anbieter von Hochrisiko-KI (Anhang III)
Anbieter von Hochrisiko-KI tragen die umfassendsten Dokumentationspflichten der gesamten Verordnung. Sechs Bestandteile sind verbindlich:
Technische Dokumentation
Beschreibung des KI-Systems, der eingesetzten Modelle, Trainingsdatensätze, Test- und Validierungsverfahren, der Architektur, der Integration und der Sicherheitsmechanismen. Tiefe nach Anhang IV KI-VO.
Risikomanagementsystem
Strukturierte Identifikation, Analyse, Bewertung und Minderung von Risiken über den gesamten Lebenszyklus des Systems – einschließlich Nachschärfung nach Markteinführung.
Daten-Governance
Nachvollziehbare Herkunft, Qualität, Relevanz und Repräsentativität der Trainings-, Validierungs- und Testdaten – einschließlich Maßnahmen gegen Verzerrungen.
Konformitätsbewertung
Nachweis, dass das System die Anforderungen der KI-VO erfüllt – je nach Risikoklasse und System eigenverantwortlich oder durch eine benannte Stelle.
Logfile-Architektur
Automatische Protokollierung wesentlicher Vorgänge während des Betriebs, mit Aufbewahrungsfristen und Auskunftsrechten.
Konformitätserklärung und CE-Kennzeichnung
Förmliche Erklärung, dass das System den Anforderungen entspricht, einschließlich Registrierung in der EU-Datenbank für Hochrisiko-KI.
Welche dieser Bestandteile in Ihrem Unternehmen bereits abgedeckt sind, lässt sich erst nach einer Bestandsaufnahme beurteilen. Wir nehmen sie vor und erstellen einen priorisierten Maßnahmenplan
Pflichten für Betreiber von Hochrisiko-KI
Betreiber von Hochrisiko-KI, also Unternehmen, die solche Systeme einsetzen, ohne sie selbst anzubieten, sind nicht für die Konformität des Systems verantwortlich, müssen dessen Betrieb jedoch so dokumentieren, dass Aufsicht und Steuerung nachvollziehbar bleiben. Die wesentlichen Pflichten:
- Einsatzdokumentation: Welche Hochrisiko-KI wird in welchem Geschäftsprozess eingesetzt? Mit welchen Zwecken, welchen Eingabedaten und welchen Auswirkungen auf welche Personen?
- Überwachungsdokumentation: Wie überwacht das Unternehmen den ordnungsgemäßen Betrieb? Wer ist verantwortlich, in welchen Intervallen, mit welchen Indikatoren?
- Logfile-Aufbewahrung: Speicherung der vom Anbieter bereitgestellten Logfiles über die jeweils geltenden Mindestfristen.
- Schulungs- und Anweisungsdokumentation: Nachweis, dass die Bediener des Systems geschult und angewiesen sind, die Vorgaben des Anbieters einzuhalten.
- Folgenabschätzung in sensiblen Bereichen: Für bestimmte Einsatzfelder (z.B. Behörden, Sozialleistungen, biometrische Identifikation) sind zusätzliche Grundrechte-Folgenabschätzungen erforderlich.
Diese Pflichten greifen unabhängig davon, ob der Anbieter mit seinem System konform ist. Ein Betreiber, der die Einsatzdokumentation vernachlässigt, riskiert eigene Bußgelder, auch wenn das System selbst zertifiziert ist.
Wir prüfen Ihren Einsatz, identifizieren die kritischen Stellen und stellen Vorlagen für Einsatz- und Überwachungsdokumentation bereit.
Technische Dokumentation: Inhalt und Detailtiefe
Die technische Dokumentation ist das Kernstück der Compliance bei Hochrisiko-KI. Anhang IV der KI-VO gibt eine detaillierte Struktur vor, die zwingend einzuhalten ist. Inhaltlich sind mindestens die folgenden Bereiche abzudecken.
Die Detailtiefe ist erheblich; ohne strukturierte Vorlage entsteht keine prüfungsfähige Dokumentation. Wir stellen Strukturvorlagen bereit, prüfen vorhandene Unterlagen und schließen die Lücken gezielt.
Protokollierung und Aufbewahrungsfristen
Hochrisiko-KI-Systeme müssen während des Betriebs wesentliche Vorgänge automatisch protokollieren. Welche Vorgänge dies im Einzelnen sind, hängt vom System und seiner Zweckbestimmung ab; die KI-VO definiert einen Mindestrahmen, der durch sektorspezifische Vorschriften ergänzt werden kann.
Inhaltlich erfasst die Protokollierung typischerweise Zeitstempel, Eingabe- und Ausgabedaten in zusammengefasster Form, Versionsangaben des Modells, beteiligte Identifikationsdaten sowie Hinweise auf Auffälligkeiten oder Abweichungen. Bei Systemen mit biometrischer Identifikation oder vergleichbarer Eingriffsintensität sind zusätzliche Aufzeichnungen erforderlich.
Die Aufbewahrungsfristen variieren. In vielen Bereichen gilt eine Mindestaufbewahrung von sechs Monaten, in regulierten Sektoren länger. Datenschutzrechtliche Höchstgrenzen sind dabei stets mitzudenken, da die Logfiles häufig personenbezogene Daten enthalten und der DSGVO unterliegen.
Auf Anforderung der Behörde sind die Logfiles in lesbarer Form bereitzustellen. Eine nachträgliche Aufbereitung ist häufig aufwendig und kostet im Bußgeldverfahren Zeit; die Architektur sollte daher von Beginn an behördentauglich angelegt sein.
Wir konzipieren die Protokollierungsarchitektur gemeinsam mit Ihrer IT und Compliance und sichern die Aufbewahrungsstrategie rechtlich ab.
Aufbau eines KI-Dokumentationssystems im Unternehmen
Eine prüfungsfähige KI-Dokumentation entsteht nicht durch Sammeln, sondern durch Systematik. Wir empfehlen einen Aufbau in vier Schichten, der sich an bestehende Compliance- und Qualitätsmanagementsysteme anbinden lässt.
KI-Inventar
Ein zentrales Verzeichnis aller KI-Systeme im Unternehmen, einschließlich Risikoklasse, Rolle (Anbieter/Betreiber), Verantwortlichkeit und Konformitätsstatus. Dies ist die Grundlage jeder weiteren Dokumentation.
Systemdossiers
Je KI-System ein Dossier mit technischer Dokumentation, Konformitätsnachweisen, Lieferantenverträgen und Risikobewertung. Bei Hochrisiko-KI ist dieses Dossier verpflichtend, bei Systemen niedrigerer Risikoklasse gleichwohl zweckmäßig.
Prozessdokumentation
Beschreibung der unternehmensinternen Prozesse zur KI-Compliance: Schulung, Genehmigung, Überwachung, Beschwerdemanagement sowie Vorfall- und Eskalationsmanagement.
Nachweisarchiv
Ein konsolidiertes Archiv aller Schulungsnachweise, Audit-Protokolle, Anpassungsdokumente und der Behördenkorrespondenz. Im Aufsichtsfall der zentrale Anlaufpunkt.
Wir setzen die vier Schichten gemeinsam mit Ihnen auf und stellen sicher, dass sie mit Ihrer vorhandenen Dokumentationslandschaft (Datenschutz, ISO-Managementsysteme, IT-Sicherheit) verzahnt sind.
FAQs – Häufig gestellte Fragen zur KI-Dokumentationspflicht
Wer muss KI dokumentieren?
Anbieter und Betreiber von KI-Systemen, mit unterschiedlicher Tiefe. Anbieter von Hochrisiko-KI tragen die umfassendsten Pflichten, Betreiber dokumentieren ihren Einsatz. Auch Anwender alltäglicher KI-Tools unterliegen mindestens der KI-Kompetenz- und Inventardokumentation.
Welche Unterlagen sind Pflicht?
Bei Hochrisiko-KI: technische Dokumentation nach Anhang IV, Risikomanagementsystem, Daten-Governance, Konformitätsbewertung, Logfile-Architektur, Konformitätserklärung. Bei Betreibern: Einsatz-, Überwachungs- und Schulungsdokumentation.
Wie lange müssen KI-Logs aufbewahrt werden?
Mindestens sechs Monate für viele Anwendungsbereiche, in regulierten Sektoren länger. Datenschutzrechtliche Höchstgrenzen sind zu beachten – die Aufbewahrungsstrategie muss beide Vorgaben in Einklang bringen.
Reicht eine interne Dokumentation oder muss sie zertifiziert sein?
Eine Zertifizierung ist nur für bestimmte Hochrisiko-Systeme zwingend (über eine benannte Stelle). Für die übrigen Fälle reicht eine eigenverantwortliche Konformitätsbewertung – aber sie muss prüfungsfähig dokumentiert sein.
Was passiert bei fehlender Dokumentation?
Im Aufsichtsverfahren gilt eine fehlende Dokumentation in der Praxis wie eine fehlende Pflichterfüllung. Bußgelder, Vertriebs- oder Einsatzverbote und Abmahnungen sind die Folge. Im Schadensfall steigt zudem das Haftungsrisiko der Geschäftsführung deutlich.
Wie viel Aufwand bedeutet KI-Dokumentation?
Bei Hochrisiko-KI erheblich, bei Systemen niedrigerer Klassen überschaubar. Entscheidend ist, dass Dokumentation strukturell aufgesetzt wird – flickenartige Einzeldokumente sind im Prüfungsfall wertlos.
Können bestehende QM-Systeme genutzt werden?
Ja, und sie sollten es. ISO 9001, ISO 27001, ISO 42001 und vergleichbare Managementsysteme bieten Strukturen, in die KI-Dokumentation eingebettet werden kann. Eine vollständige Neuerfindung ist nur selten erforderlich.
Was ist mit Open-Source-KI?
Open-Source-Modelle sind grundsätzlich von einigen Pflichten ausgenommen – aber nicht von allen. Wer ein Open-Source-Modell anpasst und in Produkten einsetzt, kann zum Anbieter im Sinne der KI-VO werden und volle Dokumentationspflichten auslösen.
Müssen auch GPAI-Modelle dokumentiert werden?
Ja, Anbieter von General-Purpose-KI-Modellen unterliegen seit dem 02.08.2025 eigenständigen Transparenz-, Sicherheits- und Urheberrechtsdokumentationspflichten. Bei systemischen Risiken kommen weitere Pflichten hinzu.
Wann sollte ich einen Anwalt einschalten?
Bei Aufbau oder Anpassung Ihres Dokumentationssystems, bei Konformitätsbewertungen, bei behördlichen Anfragen und bei jedem Bußgeldverfahren. Eine bestehende Rechtsschutzversicherung deckt anwaltliche Beratung in Compliance-Fragen häufig – die Übernahme lässt sich vorab klären.