EU AI Act 2026 Hochrisiko-KI: Dokumentation in der Praxis

EU AI Act 2026 Hochrisiko-KI: Dokumentation in der Praxis

Ab dem 2. August 2026 greifen die zentralen Pflichten für Hochrisiko-KI-Systeme. Wer jetzt nach „eu ai act 2026 hochrisiko-ki konformitätsbewertung technische dokumentation“ sucht, sollte nicht mit dem CE-Zeichen beginnen, sondern mit der belastbaren Einstufung des Systems und einer versionierten Nachweiskette.

1. Anwendungsbereich und Risikoklasse zuerst festlegen

Legen Sie zunächst schriftlich fest, welches Produkt oder welcher Dienst betrachtet wird. Eine reine Softwarebeschreibung reicht nicht aus. Entscheidend sind Zweckbestimmung, betroffene Personen, Einsatzumgebung, Eingabedaten, Ausgaben und die Rolle im Geschäftsprozess.

Nach Artikel 6 der Verordnung (EU) 2024/1689 ist ein System insbesondere dann Hochrisiko-KI, wenn es als Sicherheitskomponente eines Produkts nach Anhang I eingesetzt wird oder einem Anwendungsfall aus Anhang III entspricht. Dazu zählen beispielsweise bestimmte Systeme für Beschäftigung, Zugang zu wesentlichen Leistungen, Strafverfolgung, Migration sowie Justiz und demokratische Prozesse.

Prüfen Sie außerdem die Ausnahmen in Artikel 6 Absatz 3. Ein System aus Anhang III fällt nicht automatisch aus dem Anwendungsbereich, nur weil es eine unterstützende Funktion hat. Die Ausnahme greift nur unter den dort genannten Voraussetzungen, etwa wenn die Ausgabe keine wesentliche Entscheidung beeinflusst.

Für Unternehmen aus der Schweiz ist der Sitz allein nicht ausschlaggebend. Artikel 2 erfasst auch Anbieter außerhalb der EU, wenn das System auf dem Unionsmarkt bereitgestellt wird oder die Ausgabe in der EU verwendet werden soll. Das ist bei grenzüberschreitenden SaaS-Angeboten und Konzernlösungen besonders sorgfältig zu dokumentieren.

2. Zweckbestimmung, Rollen und Verantwortlichkeiten klären

Bestimmen Sie als Nächstes die Rolle nach Artikel 3: Anbieter, Betreiber, Importeur, Händler oder gegebenenfalls Bevollmächtigter. Ein Unternehmen kann für dieselbe Lösung in mehreren Rollen handeln. Wer ein System unter eigenem Namen wesentlich verändert oder für einen anderen Zweck einsetzt, kann nach Artikel 25 selbst zum Anbieter werden.

Die Zweckbestimmung muss mit Vertrieb, Produktmanagement, Datenschutz, Informationssicherheit und den Fachverantwortlichen abgestimmt werden. Formulieren Sie keine allgemeine Aussage wie „Entscheidungsunterstützung“, sondern beschreiben Sie konkrete Eingaben, Ausgaben, Schwellenwerte, Eskalationen und menschliche Freigaben.

Für Betreiber sind insbesondere Artikel 26 und die dort vorgesehenen Maßnahmen relevant. Dazu gehören die bestimmungsgemäße Nutzung, eine ausreichende Kompetenz der beaufsichtigenden Personen, die Überwachung des Betriebs und die Meldung von Risiken oder schwerwiegenden Vorfällen. Die Betreiberpflichten sind nicht mit der Anbieter-Dokumentation erledigt; sie benötigen eigene Arbeitsanweisungen und Nachweise.

3. Technische Dokumentation als Nachweispaket aufbauen

Erstellen Sie die Unterlagen nach Anhang IV, bevor Sie die Konformitätsbewertung anstoßen. Ein brauchbares „EU AI Act technische Dokumentation Muster KI-System“ ist kein einzelnes Datenblatt, sondern ein kontrolliertes Dossier mit Querverweisen auf Anforderungen, Prüfungen und Versionen.

Bewährt hat sich folgende Reihenfolge:

1. Systembeschreibung: Zweckbestimmung, Architektur, Versionen, Schnittstellen, Hardware- und Softwareumgebung sowie die Beziehung zu vor- und nachgelagerten Komponenten.
2. Entwicklung und Daten: Designentscheidungen, Trainings-, Validierungs- und Testdaten, Herkunft, Aufbereitung, Kennzeichnung, Repräsentativität und Verfahren zum Umgang mit Fehlern oder Verzerrungen.
3. Risikomanagement: Risiken nach Artikel 9, betroffene Personengruppen, Restrisiken, Schutzmaßnahmen und die Ergebnisse der Tests unter realistischen Bedingungen.
4. Leistungsnachweise: Genauigkeit, Robustheit und gegebenenfalls Metriken für einzelne Einsatzfälle. Artikel 15 schreibt keine pauschale Prozentgrenze vor; die gewählten Zielwerte müssen zur Zweckbestimmung passen und begründet sein.
5. Betrieb und Überwachung: Gebrauchsanweisung, menschliche Aufsicht, Protokollierung, Wartung, Änderungsmanagement, Vorfallprozess und Rücknahme- oder Korrekturmaßnahmen.

Das Qualitätsmanagementsystem nach Artikel 17 sollte die Dokumentenlenkung, Verantwortlichkeiten, Prüfplanung, Lieferantensteuerung und Korrekturmaßnahmen abdecken. Für personenbezogene Daten sind zusätzlich Datenschutzprüfung, Rechtsgrundlage, Datenminimierung und gegebenenfalls eine Datenschutz-Folgenabschätzung nach DSGVO zu koordinieren. Der EU AI Act ersetzt die DSGVO nicht.

Typischer Fehler ist, Trainingsdaten nur als Dateinamen zu archivieren. Ergänzen Sie Zweck, Zeitraum, Auswahlkriterien, bekannte Lücken, Bereinigungen und Freigabestatus. Fehlen diese Angaben, lässt sich die Aussagekraft der Leistungsprüfung später nur schwer verteidigen.

4. Prüfungen und Konformitätsbewertung in der richtigen Reihenfolge durchführen

Nach der Dokumentation folgen Validierung und Konformitätsbewertung. Testen Sie zunächst die Anforderungen aus den Artikeln 9 bis 15: Risikomanagement, Daten-Governance, technische Dokumentation, Aufzeichnungen, Transparenz und Information, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit.

Für viele Hochrisiko-Systeme nach Anhang III genügt nach Artikel 43 Absatz 2 grundsätzlich die interne Fertigungskontrolle nach Anhang VI. Eine notifizierte Stelle ist jedoch erforderlich, wenn der besondere Tatbestand in Artikel 43 oder ein sektorales Verfahren greift, insbesondere bei bestimmten biometrischen Systemen nach Anhang III Nummer 1 Buchstabe a. Prüfen Sie außerdem, ob das KI-System als Sicherheitskomponente eines regulierten Produkts in ein anderes Konformitätsbewertungsverfahren fällt.

Die interne Bewertung muss nachvollziehbar sein: Testplan, Prüfumgebung, Testdaten, erwartete Ergebnisse, Abweichungen, Korrekturen und Freigabeentscheidung gehören zusammen. Nachträgliche Tabellen ohne Bezug zu einer Systemversion sind ein häufiger Auditbefund. Wenn die Bewertung scheitert, frieren Sie die betreffende Version ein, dokumentieren die Nichtkonformität, setzen eine Korrektur um und wiederholen nur die betroffenen Prüfungen einschließlich Regressionstests.

Anschließend erstellen Sie die EU-Konformitätserklärung nach Artikel 47. Erst danach beziehungsweise im vorgesehenen Verfahrensablauf bringen Sie die CE-Kennzeichnung nach Artikel 48 an und nehmen die Registrierung nach Artikel 49 vor, soweit sie für das System erforderlich ist.

5. Betrieb, Protokolle und Änderungen beherrschen

Nach dem Inverkehrbringen endet die Arbeit nicht. Anbieter müssen ein Qualitätsmanagement, ein Überwachungs- und Korrektursystem sowie Verfahren für schwerwiegende Vorfälle vorhalten. Die technische Dokumentation und weitere Nachweise sind nach Artikel 18 grundsätzlich zehn Jahre aufzubewahren.

Betreiber sollten die automatisch erzeugten Protokolle auswerten, soweit sie ihrer Kontrolle unterliegen. Artikel 26 Absatz 6 verlangt grundsätzlich eine Aufbewahrung von mindestens sechs Monaten, sofern nicht andere unions- oder nationalrechtliche Vorgaben längere Fristen bestimmen. Regeln Sie Zugriff, Zweckbindung, Löschung und die Eskalation auffälliger Ergebnisse.

Die Formel „EU AI Act 2026 Betreiberpflichten Überwachung“ beschreibt deshalb keinen einmaligen Abnahmetermin. Verankern Sie monatliche oder risikobasierte Reviews, etwa für Drift, Fehlerraten, Beschwerden, manuelle Übersteuerungen und Änderungen an Datenquellen. Bei wesentlichen Änderungen ist zu prüfen, ob eine neue Konformitätsbewertung, eine Aktualisierung der Erklärung oder eine erneute Registrierung notwendig wird.

Ein weiterer Praxisfehler ist die fehlende Abstimmung zwischen Anbieter und Betreiber. Legen Sie im Vertrag fest, wer Logs bereitstellt, Vorfälle bewertet, Updates freigibt, Behördenanfragen beantwortet und die Gebrauchsanweisung aktualisiert.

6. Übergabe an Audit und Marktüberwachung vorbereiten

Für die Schlussprüfung bündeln Sie die aktuelle Systemversion, EU-Konformitätserklärung, technische Dokumentation, Risikomanagementakte, Testberichte, Betriebsanweisungen und Schulungsnachweise in einem kontrollierten Ablagesystem. Jede Datei braucht einen Status, eine Versionsnummer, einen Eigentümer und ein Freigabedatum.

Die Suchkombination „eu ai act 2026 hochrisiko-ki konformitätsbewertung technische dokumentation“ führt in der Praxis nur dann zu einem belastbaren Ergebnis, wenn diese Unterlagen konsistent sind. Stimmen Zweckbestimmung, Benutzerinformation, Testfälle und Betriebsprozess nicht überein, sollte das Unternehmen die Freigabe stoppen und die Widersprüche zuerst bereinigen.

Fazit

Beginnen Sie spätestens jetzt mit der Einstufung nach Artikel 6 und dem Anhang-III-Mapping. Danach folgen Zweckbestimmung, Risikomanagement, Dokumentation nach Anhang IV, Prüfungen, Konformitätserklärung, CE-Kennzeichnung und die Überwachung im Betrieb. So wird die Vorbereitung auf August 2026 zu einem steuerbaren Projekt statt zu einer nachträglichen Dokumentensammlung.