Technische Dokumentation AI Act Anhang IV: Leitfaden zur Vorbereitung Ihrer Konformitätsunterlagen.
Seit dem 2. August 2026 müssen Anbieter von Hochrisiko-KI-Systemen eine technische Dokumentation gemäß Anhang IV der Verordnung (EU) 2024/1689 erstellen. Dieser Leitfaden entschlüsselt die regulatorischen Anforderungen und bietet eine Methodik, um diese Pflichten in überprüfbare technische Artefakte umzusetzen.
Warum die technische Dokumentation der kritische Punkt der Konformitätsprüfung ist
Anhang IV der Verordnung (EU) 2024/1689 ist keine bloße Verwaltungsformalität. Er stellt den Grundpfeiler der Konformitätsprüfung für Hochrisiko-KI-Systeme dar.
Die Aufsichtsbehörden, wie das AI Office oder die CNIL, werden sich auf diese Unterlagen stützen, um die Konformität des Systems zu bewerten. Eine unvollständige oder unstrukturierte Dokumentation kann zu Sanktionen von bis zu 35 Millionen Euro oder 7% des weltweiten Umsatzes führen, gemäß Artikel 99 des AI Act.
Die technische Dokumentation muss nachweisen, dass das System die Anforderungen der Artikel 8 bis 15 des AI Act erfüllt. Sie muss während des gesamten Lebenszyklus des Systems aktualisiert werden und für Inspektionen zehn Jahre nach dem Inverkehrbringen verfügbar sein.
Die 9 Säulen des Anhangs IV im Detail
Anhang IV listet neun Kategorien von Informationen auf, die dokumentiert werden müssen. Hier eine detaillierte Analyse jeder Säule mit den erwarteten technischen Artefakten.
1. Allgemeine Beschreibung des KI-Systems
Dieser Abschnitt muss einen Überblick über das System bieten, einschließlich:
- Name und Version des Systems
- Beschreibung der Hauptfunktionen
- Hochrisiko-Kategorie (Anhang III)
- Gesamttechnische Architektur
- Datenflussdiagramm
Erwartetes Artefakt: Systemsteckbrief (maximal 1 Seite).
2. Detaillierte Beschreibung der Systemelemente und des Entwicklungsprozesses
Dieser Teil muss abdecken:
- Beschreibung der Software- und Hardwarekomponenten
- Erläuterung der verwendeten Algorithmen
- Entwicklungsmethodik (z. B. Agile, Waterfall)
- Test- und Validierungsphasen
Erwartetes Artefakt: Model Card und Datasheet (inspiriert von den Standards Model Cards for Model Reporting und Datasheets for Datasets).
3. Detaillierte Informationen zu Trainings-, Validierungs- und Testdaten
Die Anforderungen umfassen:
- Herkunft und Qualität der Daten
- Prozess der Datenerhebung und -bereinigung
- Beschreibung potenzieller Verzerrungen und Maßnahmen zur Abschwächung
- Leistungsmetriken der Daten (z. B. Repräsentativität, Ausgewogenheit)
Erwartetes Artefakt: Vollständiges Datasheet mit Register der Datenquellen.
4. Risikobewertung und Maßnahmen zur Risikominderung
Dieser Abschnitt muss dokumentieren:
- Methodik der Risikobewertung (z. B. FRIA)
- Identifizierte Risiken und deren Schweregrad
- Umgesetzte Maßnahmen zur Risikominderung
- Nachweise der Wirksamkeit der Maßnahmen
Erwartetes Artefakt: Risikomatrix und Minderungsplan.
5. Beschreibung der Transparenzmaßnahmen und Nutzerinformationen
Zu dokumentierende Elemente:
- Bedienungsanleitungen und Warnhinweise
- Erläuterungen zu den Grenzen des Systems
- Feedback-Mechanismen für Nutzer
Erwartetes Artefakt: Benutzerhandbuch und Transparenzblatt.
6. Beschreibung der Maßnahmen zur menschlichen Überwachung
Dieser Teil muss enthalten:
- Rollen und Verantwortlichkeiten der menschlichen Bediener
- Verfahren zur Überwachung und Intervention
- Bereitgestellte Werkzeuge für die Überwachung
Erwartetes Artefakt: Verfahren zur menschlichen Überwachung und Interventionsprotokoll.
7. Beschreibung der Maßnahmen zur Robustheit, Genauigkeit und Cybersicherheit
Die Anforderungen umfassen:
- Leistungsmetriken (z. B. Genauigkeit, Recall, F1-Score)
- Robustheitstests (z. B. adversariale Tests)
- Cybersicherheitsmaßnahmen (z. B. Verschlüsselung, Zugriffskontrolle)
Erwartetes Artefakt: Technischer Testbericht und Cybersicherheitsaudit.
8. Beschreibung des Systems zur Marktüberwachung nach der Inbetriebnahme
Dieser Abschnitt muss detailliert darlegen:
- Prozess der kontinuierlichen Überwachung
- Mechanismen zur Feedback-Erhebung
- Verfahren zur Aktualisierung und Wartung
- Plan zur Incidentenbewältigung
Erwartetes Artefakt: Plan zur Marktüberwachung nach der Inbetriebnahme und Incidentenprotokoll.
9. Register der wesentlichen Änderungen
Zu erfassende Informationen:
- Beschreibung der Änderungen
- Begründung der Änderungen
- Auswirkungen auf die Konformität
- Nachweise der Risikoneubewertung
Erwartetes Artefakt: Änderungsregister mit Versionsverwaltung.
Die 3 klassischen Fallstricke in der technischen Dokumentation
Eine konforme technische Dokumentation geht über das Abhaken von Checklisten hinaus. Hier sind die häufigen Fehler, die Ihre Konformität gefährden können.
1. Sich mit einem durchschnittlichen Metrikwert zufriedengeben
Der AI Act verlangt eine detaillierte Analyse der Systemleistung, insbesondere:
- Aufschlüsselung der Metriken nach Untergruppen (z. B. Geschlecht, Alter, Herkunft)
- Analyse der Fehler und ihrer Auswirkungen
- Bewertung der Leistung unter realen Bedingungen
Ein globaler Genauigkeits- oder Recall-Wert reicht nicht aus. Es müssen die Leistungen für jede relevante Gruppe dokumentiert und Abweichungen erklärt werden.
2. Die Rückverfolgbarkeit der Daten vergessen
Die Rückverfolgbarkeit der Daten ist ein Grundpfeiler der Konformität. Die Behörden werden verlangen:
- Ein Register der Datenquellen
- Den Nachweis der Einwilligung oder Rechtsgrundlage für jeden Datensatz
- Eine Historie der an den Daten vorgenommenen Transformationen
Ohne diese Rückverfolgbarkeit ist es unmöglich, die Konformität mit der DSGVO oder Anhang IV nachzuweisen.
3. Die menschliche Kontrolle vernachlässigen
Der AI Act verlangt Maßnahmen zur menschlichen Überwachung für Hochrisiko-KI-Systeme. Dazu gehören:
- Klare Definition von Rollen und Verantwortlichkeiten
- Schulung der menschlichen Bediener
- Dokumentation der Interventionsverfahren
- Ein Protokoll der menschlichen Handlungen
Ein KI-System kann nicht vollständig autonom betrieben werden. Die Dokumentation muss beweisen, dass Mechanismen zur menschlichen Kontrolle vorhanden und funktionsfähig sind.
Wie man einen Gesetzestext in einen operativen Aktionsplan umwandelt
Die Umwandlung regulatorischer Anforderungen in technische Liefergegenstände erfordert eine strukturierte Methodik. So gehen Sie vor.
1. Rollen und Verantwortlichkeiten zuweisen
Die technische Dokumentation erfordert die Beteiligung mehrerer Akteure:
| Rolle | Verantwortlichkeiten |
|---|---|
| Tech Lead / CTO | Technische Aufsicht, Validierung der Artefakte |
| Data Scientist | Erstellung der Datasheets und Model Cards |
| Datenschutzbeauftragter / Compliance-Verantwortlicher | Überprüfung der DSGVO- und AI-Act-Konformität |
| Product Owner | Dokumentation der Funktionen und Grenzen |
| Sicherheitsverantwortlicher | Dokumentation der Cybersicherheitsmaßnahmen |
2. Ein Register der Nachweise erstellen
Jede Anforderung aus Anhang IV muss mit einem greifbaren Nachweis verknüpft werden. Hier ein Beispiel für die Struktur:
| Anforderung Anhang IV | Erwarteter Nachweis | Verantwortlicher | Status |
|---|---|---|---|
| Beschreibung der Trainingsdaten | Datasheet + Quellenregister | Data Scientist | ✓ Validiert / ⚠ In Arbeit / ❌ Nicht begonnen |
| Risikobewertung | Risikomatrix + Minderungsplan | Datenschutzbeauftragter | ✓ Validiert / ⚠ In Arbeit / ❌ Nicht begonnen |
| Cybersicherheitsmaßnahmen | Auditbericht + Sicherheitsrichtlinien | Sicherheitsverantwortlicher | ✓ Validiert / ⚠ In Arbeit / ❌ Nicht begonnen |
3. Maßnahmen mit einer Risikomatrix priorisieren
Nicht alle Anforderungen aus Anhang IV haben dieselbe Kritikalität. Nutzen Sie eine Risikomatrix zur Priorisierung:
| Regulatorische Auswirkung | Kontrollwahrscheinlichkeit | Priorität |
|---|---|---|
| Hoch (Sanktion > 10 Mio. €) | Hoch (wahrscheinliche Kontrolle) | P1 - Dringend |
| Mittel (Sanktion 5-10 Mio. €) | Mittel (mögliche Kontrolle) | P2 - Wichtig |
| Gering (Sanktion < 5 Mio. €) | Gering (unwahrscheinliche Kontrolle) | P3 - Standard |
4. Die Sammlung der Nachweise automatisieren
Die technische Dokumentation muss während des gesamten Lebenszyklus des Systems aktuell gehalten werden. Dazu:
- Integrieren Sie Versionsverwaltungstools (z. B. Git, DVC), um Änderungen nachzuverfolgen
- Nutzen Sie MLOps-Plattformen (z. B. MLflow, Weights & Biases), um Experimente zu dokumentieren
- Automatisieren Sie die Generierung von Berichten (z. B. Python-Skripte für Datasheets)
Ressourcen für den Einstieg in Ihre technische Dokumentation
Um Ihnen bei der Erstellung Ihrer Konformitätsdokumentation zu helfen, stellt AiActo ein vollständiges und kostenloses Anhang-IV-Workbook zur Verfügung.
Anhang-IV-Workbook - 23 Seiten zum Einstieg
Dieses interaktive Workbook führt Sie Schritt für Schritt durch die Erstellung Ihrer technischen Dokumentation. Es enthält:
- 48 operative Kontrollpunkte
- Systemsteckbrief
- Vorbereitungs-Dashboard
- Nachweisregister
- Priorisierter Aktionsplan (P1/P2/P3)
- Seite zur abschließenden Validierung mit Unterschrift
Verfügbar auf Französisch, Englisch, Deutsch und Spanisch.
Um das Anhang-IV-Workbook herunterzuladen, besuchen Sie die Seite Dokumentengenerierung AiActo oder nutzen Sie den direkten Link: PDF-Download DE.
Häufige Fragen
Antworten auf technische und operative Fragen zur technischen Dokumentation des AI Act.
Der Artikel 11 des AI Act legt eine allgemeine Pflicht zur technischen Dokumentation für Hochrisiko-KI-Systeme fest. Er besagt, dass diese Dokumentation zehn Jahre lang aufbewahrt und den zuständigen Behörden auf Anfrage zur Verfügung gestellt werden muss.
Der Anhang IV spezifiziert den Inhalt dieser Dokumentation. Er listet die neun Kategorien von Informationen auf, die enthalten sein müssen, wie die Beschreibung der Daten, Maßnahmen zur Robustheit oder das System zur Marktüberwachung nach der Inbetriebnahme.
Anhang IV gilt nur für KI-Systeme, die gemäß Artikel 6 und Anhang III des AI Act als Hochrisiko-Systeme eingestuft werden.
Eine minimale technische Dokumentation wird jedoch für alle KI-Systeme empfohlen, auch für solche mit begrenztem Risiko. Dies erleichtert den Nachweis der Konformität mit anderen Pflichten, wie denen des Artikels 50 zur Transparenz.
Die Dokumentation von Verzerrungen muss Folgendes umfassen:
- Eine Analyse der in den Daten repräsentierten Untergruppen (z. B. Geschlecht, Alter, Herkunft)
- Die nach Untergruppen aufgeschlüsselten Leistungsmetriken
- Leistungsunterschiede zwischen Untergruppen und deren Begründung
- Umgesetzte Maßnahmen zur Abschwächung (z. B. Neugewichtung der Daten, Anpassung der Algorithmen)
Nutzen Sie Tools wie Fairlearn, um Verzerrungen zu analysieren und zu dokumentieren.
Mehrere Tools können Ihnen bei der Automatisierung der technischen Dokumentation helfen:
- MLflow: Zur Nachverfolgung von Experimenten und Modellen
- Weights & Biases: Zur Dokumentation von Läufen und Artefakten
- DVC: Zur Versionsverwaltung von Daten und Modellen
- Fairlearn: Zur Analyse und Dokumentation von Verzerrungen
- Great Expectations: Zur Validierung und Dokumentation von Daten
Diese Tools ermöglichen die automatische Generierung eines Teils der Dokumentation, wie Datasheets oder Model Cards.
Der AI Act verlangt eine kontinuierliche Überwachung von Hochrisiko-KI-Systemen nach ihrer Inbetriebnahme. Hier sind die wichtigsten Schritte:
- Überwachung: Implementieren Sie ein Überwachungssystem, um Leistungsabweichungen oder Vorfälle zu erkennen.
- Bewertung: Bewerten Sie die Risiken bei jeder wesentlichen Änderung des Systems neu.
- Dokumentation: Erfassen Sie alle Änderungen im Änderungsregister (Anhang IV, Punkt 9).
- Meldung: Melden Sie schwerwiegende Vorfälle innerhalb von 72 Stunden an die zuständigen Behörden.
Nutzen Sie MLOps-Tools, um Teile dieser Überwachung zu automatisieren, wie die Erkennung von Leistungsabweichungen.