EU AI Act: Technische Dokumentation
DefinitionNachweis-Paket zu Modell, Daten, Risiken, Tests und Betrieb
EU AI Act: Technische Dokumentation bezeichnet das strukturierte Nachweis-Paket, mit dem Anbieter (Provider) und in Teilen auch Betreiber (Deployer) eines KI-Systems belegen, dass ihr System die Anforderungen des EU AI Act erfüllt. Es bündelt Informationen zu Modell und Zweck, Daten, Risikomanagement, Tests, Betrieb, Monitoring und Governance – damit Behörden, Auditoren und interne Stakeholder die Konformität nachvollziehen können.
Was gehört typischerweise in die technische Dokumentation?
Der Umfang hängt stark davon ab, ob es sich um ein Hochrisiko-System oder z. B. ein General-Purpose-Modell handelt. In der Praxis umfasst die Dokumentation häufig:
- Systembeschreibung & Zweck: Was macht das System, für welche Use Cases ist es gedacht, welche Grenzen sind bekannt (z. B. keine Rechtsberatung)? Bei Generative KI (Generative AI) zusätzlich: Art der Ausgaben, Sicherheitsziele, Moderationslogik.
- Modell- und Architekturdetails: Versionen, Abhängigkeiten, Trainings-/Inference-Setup, ggf. verwendetes Large Language Model (LLM), Fine-Tuning-Ansatz (z. B. Fine-Tuning oder LoRA), Schnittstellen wie Function Calling / Tool Use.
- Daten-Dokumentation: Herkunft, Auswahlkriterien, Datenqualität, Labeling-Prozesse, Bias-Risiken, Datenaufbewahrung und Datenflüsse. Relevante Datenschutz-Aspekte werden mit Datenschutz (DSGVO/GDPR) & KI verzahnt (z. B. Rechtsgrundlage, PII-Handling, Löschkonzepte).
- Risikomanagement: Identifizierte Risiken (z. B. Halluzinationen, Diskriminierung, Prompt Injection), Maßnahmen und Restrisiken. Hier ist die Verbindung zu AI Risk Assessment (KI-Risikobewertung) und AI Governance zentral.
- Tests, Evaluierung & Nachweise: Testpläne, Metriken, Ergebnisse, Robustheit, Sicherheits- und Qualitätsprüfungen. Für LLM-Workflows oft mit Evaluation (Eval) & Benchmarking, Red-Team-Ansätzen wie Red Teaming (KI-Red-Teaming), sowie Regressionen (z. B. Regression Testing für Prompts/Agents).
- Betrieb & Monitoring: Deployment-Architektur, Logging, Incident-Prozesse, Drift-Erkennung (z. B. Model Drift (Modell-Drift)), Observability (z. B. Model Monitoring & Observability (LLMOps)), Rollback-Strategien und Change-Management.
- Human Oversight & Gebrauchsanweisung: Rollen, Freigaben, Eskalationspfade, Grenzen der Automatisierung (z. B. Human-in-the-Loop (HITL)), Nutzerhinweise und Schulungsunterlagen.
Wie funktioniert das in der Praxis (Beispiel)?
Ein Unternehmen integriert ChatGPT in einen Support-Workflow, ergänzt durch RAG (Retrieval-Augmented Generation) mit internen Wissensartikeln. Die technische Dokumentation beschreibt dann u. a.:
- welche Daten in die Vektordatenbank (Vector Database) fließen, wie sie bereinigt werden (z. B. PII Redaction (PII-Schwärzung)) und wie Aktualisierungen versioniert sind,
- welche Prompt- und Guardrail-Regeln gelten (z. B. Guardrails (KI-Leitplanken), Abwehr von Prompt Injection),
- welche Evals sicherstellen, dass Antworten korrekt, nicht beleidigend und nicht datenschutzwidrig sind,
- wie Monitoring und Incident-Handling laufen, falls es zu Fehlantworten oder Datenabfluss kommt (z. B. Prompt Leakage (Prompt-Datenabfluss)).
Warum ist die technische Dokumentation so wichtig?
Sie ist der zentrale Beleg für „Compliance by Design“: Ohne nachvollziehbare Dokumentation sind Konformitätsbewertung, Audits, interne Freigaben und sichere Skalierung kaum möglich. Gleichzeitig hilft sie operativ – als „Single Source of Truth“ für MLOps/LLMOps, Security, Legal und Produktteams.
Hinweis: Der EU AI Act ist der rechtliche Rahmen; die technische Dokumentation ist das praktische Artefakt, das diesen Rahmen in überprüfbare Nachweise übersetzt (siehe auch EU AI Act).
- 2–6 Wochen
schnellere Audit-Freigabe
KMU mit sauber strukturierter technischer Dokumentation verkürzen die Vorbereitung auf interne Reviews, Kundenprüfungen und Konformitätsnachweise typischerweise um mehrere Wochen.
- 20–30%
weniger Compliance-Aufwand
Wenn Modell-, Daten-, Test- und Risikonachweise zentral dokumentiert sind, sinkt der manuelle Abstimmungsaufwand zwischen Fachbereich, IT, Recht und Datenschutz deutlich.
- 3 von 4
entscheidend für Ausschreibungen
In B2B-Beschaffungen wird nachvollziehbare Dokumentation zunehmend zur Voraussetzung, damit Anbieter KI-Systeme gegenüber Kunden, Partnern und Prüfern belastbar erklären können.
Technische Dokumentation für ein KI-gestütztes Bewerber-Screening aufbauen
Ein mittelständisches Unternehmen, das Bewerbungen mit einer KI vorsortiert, erstellt eine technische Dokumentation zu Trainingsdaten, Entscheidungslogik, Testverfahren und erkannten Risiken. So kann die HR-Abteilung bei internen Freigaben, Audits oder Rückfragen nachvollziehbar belegen, wie das System arbeitet und welche Kontrollmechanismen gegen Diskriminierung eingerichtet wurden.
Qualitätsprüfung in der Produktion mit vollständigem Nachweis absichern
Ein KMU im Fertigungsbereich dokumentiert für sein Bilderkennungsmodell zur Fehlererkennung die Datenquellen, Modellversionen, Leistungskennzahlen und Maßnahmen bei Fehlklassifikationen. Dadurch kann der Betrieb Änderungen am System sauber nachverfolgen, Lieferantenanforderungen erfüllen und den sicheren Einsatz der KI im laufenden Produktionsprozess belegen.
Kreditvorprüfung im Finanzvertrieb revisionssicher dokumentieren
Ein kleiner Finanzdienstleister, der KI zur Vorbewertung von Kreditanfragen nutzt, bündelt Modellbeschreibung, Risikobewertung, Testprotokolle und Prozesse zur menschlichen Überprüfung in einer technischen Dokumentation. Das erleichtert die Abstimmung mit Compliance, reduziert Haftungsrisiken und schafft eine belastbare Grundlage für den regelkonformen Betrieb im Tagesgeschäft.
Häufig gestellte Fragen
Was gehört typischerweise in die technische Dokumentation nach dem EU AI Act?
Zur technischen Dokumentation nach dem EU AI Act gehören in der Regel Angaben zum Zweck und Einsatzbereich des KI-Systems, zur Systemarchitektur, zu Trainings-, Validierungs- und Testdaten, zum Risikomanagement sowie zu Genauigkeit, Robustheit und Cybersicherheit. Dazu kommen Informationen zu menschlicher Aufsicht, Logging, Monitoring, Änderungen am System und den Maßnahmen, mit denen die Einhaltung der gesetzlichen Anforderungen nachgewiesen wird.
Wer muss die technische Dokumentation im EU AI Act erstellen und pflegen?
Primär ist der Anbieter eines KI-Systems dafür verantwortlich, die technische Dokumentation zu erstellen und aktuell zu halten. Je nach Rolle und Einsatzszenario müssen aber auch Betreiber, Importeure oder Händler bestimmte Nachweise, Betriebsinformationen oder Protokolle bereitstellen, damit die Konformität nachvollziehbar bleibt.
Wir haben noch keine saubere KI-Dokumentation – ist das ein Problem für eine Zusammenarbeit?
Nein, genau dafür ist die Zusammenarbeit da. In meiner KI-Beratung & Hilfestellung schauen wir gemeinsam, welche Nachweise, Prozesse und technischen Informationen bereits vorhanden sind und was für eine belastbare technische Dokumentation nachgezogen werden sollte – pragmatisch statt bürokratisch.
Ist der Aufwand für technische Dokumentation nach dem EU AI Act nicht viel zu hoch für ein kleines Unternehmen?
Der Aufwand wird oft überschätzt, weil viele Informationen bereits in Tools, Prozessen oder bei Dienstleistern vorhanden sind. Mit einem klaren Vorgehen – zum Beispiel über das PUR-Framework oder ein Tech-Gutachten – lässt sich strukturiert herausarbeiten, was wirklich dokumentiert werden muss und wo unnötige Komplexität vermieden werden kann.
Können wir auch ohne eigenes IT-Team eine EU-AI-Act-taugliche Dokumentation aufbauen?
Ja, gerade für Unternehmen ohne eigene IT-Leitung ist das realistisch. Mit der Tech-Partnerschaft als externer CTO begleite ich Tech-Entscheidungen, strukturiere Verantwortlichkeiten und helfe dir dabei, technische Dokumentation, Tool-Landschaft und KI-Einsatz so aufzusetzen, dass sie nachvollziehbar und im Alltag pflegbar bleiben.
Hilfst du nur bei der Strategie oder auch bei der konkreten technischen Umsetzung?
Ich unterstütze nicht nur bei der Einordnung, sondern auch bei der Umsetzung. Wenn Prozesse, Datenflüsse oder KI-Workflows sauber aufgebaut werden müssen, setze ich mit OrbitOS oder individuellen Lösungen die nötigen Strukturen, Automationen und Dokumentationsgrundlagen direkt mit dir um.
Lohnt sich eine externe Begleitung bei EU-AI-Act-Themen überhaupt?
Ja, weil du damit Fehlentscheidungen, Tool-Chaos und teure Nacharbeiten vermeidest. Statt allgemeiner Theorie bekommst du bei mir eine praxisnahe Einschätzung, welche KI-Anwendungen sinnvoll sind, welche Risiken relevant werden und wie du Technik, Prozesse und Dokumentation so aufstellst, dass dein Team damit wirklich arbeiten kann.