Wenn ein Großkunde im Lieferantenfragebogen nach dem EU-AI-Act-Stand fragt, entscheidet nicht die Menge der Unterlagen, sondern ihre Struktur. Dieser Beitrag zeigt vier Ebenen der Nachweisführung - und sagt offen, welche davon gesetzlich vorgeschrieben sind und welche nicht.
Aufbau eines Nachweis-Dossiers. Welche Ebenen Pflicht sind, hängt von Rolle und Risikoklasse ab.
Fangen wir mit dem an, was viele Anbieter verschweigen: Die Verordnung (EU) 2024/1689 kennt kein "Dossier" und keine "Prüffestigkeit". Beides sind Begriffe aus der Praxis. Was die Verordnung kennt, ist eine Reihe konkreter Dokumentations- und Aufbewahrungspflichten, die je nach Rolle und Risikoklasse unterschiedlich streng sind.
Für Betreiber von Systemen mit minimalem Risiko gibt es aus dem EU AI Act überhaupt keine Dokumentationspflicht. Trotzdem ist ein Inventar sinnvoll, denn ohne Inventar lässt sich die Frage "Sind wir betroffen?" gar nicht beantworten - weder gegenüber einem Kunden noch gegenüber einer Behörde.
Die folgenden vier Ebenen sind deshalb bewusst als Stufen aufgebaut. Ebene 1 und 2 braucht jedes Unternehmen, das die Frage beantworten können will. Ebene 3 und 4 werden erst durch die Einstufung ausgelöst.
Je System: Bezeichnung, Anbieter, Zweck, Fachbereich, verarbeitete Datenarten, verantwortliche Person, Einführungsdatum. Keine gesetzliche Pflicht bei minimalem Risiko, aber die Voraussetzung jeder belastbaren Aussage. Wer diese Liste nicht hat, hat auch keine Grundlage für Ebene 2.
Je System die Akteursrolle nach Art. 3 und die Risikoeinordnung nach Art. 5 und Art. 6. Entscheidend ist nicht nur das Ergebnis, sondern die Begründung: welche Antworten zu welcher Einstufung geführt haben, an welchem Datum, auf welchem Rechtsstand.
Eine Besonderheit bei Ebene 2 wird häufig übersehen: Wer als Anbieter die Ausnahme des Art. 6 Abs. 3 in Anspruch nimmt - also begründet, dass ein in Anhang III genanntes System kein erhebliches Risiko birgt -, muss diese Bewertung nach Art. 6 Abs. 4 vor dem Inverkehrbringen dokumentieren und das System nach Art. 49 Abs. 2 registrieren. Die Dokumentation ist den zuständigen Behörden auf Verlangen vorzulegen. Eine Ausnahme ohne Dokumentation ist damit keine Ausnahme, sondern ein Risiko.
Die Abgrenzung der Rollen erklärt der Beitrag Provider oder Betreiber: welche Rolle Ihr Unternehmen hat. Wie die Einstufung regelbasiert und reproduzierbar abläuft, beschreibt die Seite Methodik der Risikoeinordnung.
Bei einem Hochrisiko-System löst Art. 26 mehrere Nachweise aus, die sich unmittelbar in Dokumente übersetzen lassen:
Art. 27 verpflichtet bestimmte Betreiber zu einer Grundrechte-Folgenabschätzung, bevor ein Hochrisiko-System nach Anhang III eingesetzt wird. Betroffen sind Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen, sowie - unabhängig davon - Betreiber der in Anhang III Nummer 5 Buchstaben b und c genannten Systeme, also unter anderem der Bonitätsbewertung natürlicher Personen und der Risikobewertung in der Lebens- und Krankenversicherung.
Die Abschätzung beschreibt unter anderem die Einsatzprozesse und die Nutzungshäufigkeit, die betroffenen Personengruppen, die spezifischen Schadensrisiken, die Maßnahmen zur menschlichen Aufsicht und die Vorkehrungen für den Fall, dass sich Risiken verwirklichen. Das Ergebnis ist der Marktüberwachungsbehörde mitzuteilen; dafür stellt das KI-Büro eine Vorlage bereit.
Art. 4 verlangt von Anbietern und Betreibern Maßnahmen zur Förderung der KI-Kompetenz des Personals. Ein Zertifikat schreibt die Verordnung nicht vor. Eine kurze, datierte Aufstellung darüber, wer wann welche Einweisung oder Schulung erhalten hat, erfüllt den Zweck und ist in wenigen Minuten geschrieben.
Für Anbieter von Hochrisiko-Systemen ist die Dokumentation nicht optional. Anhang IV gibt neun Punkte vor, die sie mindestens enthalten muss.
Dazu kommen die Pflichten zur automatischen Aufzeichnung von Ereignissen nach Art. 12, zum Qualitätsmanagementsystem nach Art. 17, zur Konformitätsbewertung nach Art. 43, zur CE-Kennzeichnung nach Art. 48, zur Registrierung nach Art. 49 sowie zur Meldung schwerwiegender Vorfälle nach Art. 73.
CompliKI unterstützt zentrale Inhalte dieser Dokumentation, erzeugt aber keine vollständige Anhang-IV-Dokumentation auf Knopfdruck. Punkte wie Systemarchitektur, Trainingsdaten oder Testprotokolle kann nur der Anbieter des Systems selbst liefern. Wer etwas anderes verspricht, verkauft Ihnen eine Illusion.
Wie ein solcher Export in der Praxis aussieht, zeigt das Beispiel-Dossier als PDF: ein echter Export aus der Anwendung mit Demo-Daten und Wasserzeichen. Welche Exportformate und Workflows dahinterstehen, steht auf der Seite Funktionen von CompliKI; die Tarifgrenzen auf der Seite Preise und Lizenzumfang.
Dieser Beitrag gibt Dokumentationspflichten der Verordnung (EU) 2024/1689 allgemein wieder und ersetzt keine individuelle juristische Würdigung des Einzelfalls. Ob im konkreten Fall eine Pflicht besteht und in welchem Umfang, hängt von Rolle, Risikoklasse und Einsatzkontext ab. Für verbindliche Aussagen sind die offiziellen Quellen und qualifizierte Beraterinnen oder Berater zuständig. Eine Garantie auf jederzeitige Vollständigkeit besteht nicht.
Der kostenlose Schnell-Check liefert Rolle und Risikoniveau als Einstieg ins Inventar - ohne Login und ohne E-Mail-Adresse.