Technische Dokumentation nach dem AI Act: Was KMU wirklich liefern müssen

Wofür die Dokumentation da ist

Artikel 11 verlangt, dass die technische Dokumentation eines Hochrisiko-KI-Systems erstellt wird, bevor das System in Verkehr gebracht oder in Betrieb genommen wird – und danach aktuell bleibt. Ihr Zweck ist kein Selbstzweck: Sie soll nationalen Behörden und notifizierten Stellen in klarer, verständlicher Form nachweisen, dass das System die Anforderungen erfüllt.

Betroffen sind Anbieter von Hochrisiko-Systemen. Wer KI nur einsetzt, braucht diese Dokumentation nicht – wohl aber die Nachweise aus der eigenen Betreiberrolle, siehe Pflichten für Unternehmen, die KI nur nutzen. Und Vorsicht: Wer ein zugekauftes System unter eigenem Namen anbietet oder wesentlich verändert, wird selbst zum Anbieter.

Was Anhang IV verlangt

Anhang IV nennt neun Blöcke. Der Omnibus hat ihn inhaltlich nicht verändert:

1. Allgemeine Beschreibung des Systems: Zweckbestimmung, Anbieter, Version, Zusammenspiel mit anderer Hard- und Software, Vertriebsform, Benutzerschnittstelle, Betriebsanleitung.
2. Bestandteile und Entwicklungsprozess: Methoden, Entwurfsspezifikationen und die Logik dahinter, Architektur, Rechenressourcen, Datenanforderungen, Bewertung der menschlichen Aufsicht, Validierungs- und Testverfahren mit Testberichten, Cybersicherheitsmaßnahmen.
3. Überwachung, Funktionsweise, Kontrolle: Fähigkeiten und Leistungsgrenzen, Genauigkeitsgrade, vorhersehbare unbeabsichtigte Ergebnisse, Anforderungen an die Eingabedaten.
4. Eignung der Leistungskennzahlen für genau dieses System.
5. Risikomanagementsystem nach Artikel 9.
6. Änderungen im Lebenszyklus des Systems.
7. Angewandte harmonisierte Normen oder, wo es keine gibt, die gewählten Alternativen.
8. Kopie der EU-Konformitätserklärung.
9. System und Plan zur Beobachtung nach dem Inverkehrbringen nach Artikel 72.

Das klingt nach viel, deckt sich aber weitgehend mit dem, was ein sorgfältiges Entwicklungsprojekt ohnehin produziert. Der Aufwand entsteht meist nicht durch neue Inhalte, sondern dadurch, dass Vorhandenes verstreut ist: im Ticketsystem, im Wiki, in Köpfen.

Die Erleichterung für KMU und kleine Midcaps

Der Digital Omnibus hat Artikel 11 Absatz 1 neu gefasst. Kern: KMU einschließlich Start-ups und kleine Midcap-Unternehmen dürfen die Elemente aus Anhang IV in vereinfachter Weise bereitstellen. Die Kommission erstellt dafür ein zugeschnittenes vereinfachtes Formular, und notifizierte Stellen müssen dieses Formular für die Konformitätsbewertung akzeptieren.

Zwei Dinge sind daran wichtig. Erstens: Erleichtert werden Form und Detailtiefe, nicht der Nachweisinhalt. Sie müssen weiterhin zeigen, dass die Anforderungen erfüllt sind – nur eben knapper. Zweitens: Wer die Vereinfachung nutzt, muss das Formular der Kommission verwenden. Eine selbstgebaute Kurzfassung ist keine Option.

Was „klein“ in diesem Zusammenhang heißt

Der Omnibus hat den Begriff kleines Midcap-Unternehmen neu in die Verordnung eingeführt; maßgeblich ist die Definition aus der Empfehlung (EU) 2025/1099. Diese Unternehmen liegen zwischen KMU und Großunternehmen und profitieren jetzt an mehreren Stellen: vereinfachte technische Dokumentation, vereinfachtes Qualitätsmanagement, Zugang zu Reallaboren und der jeweils niedrigere Betrag bei Geldbußen.

Nicht erweitert wurde dagegen Artikel 62 mit den allgemeinen Fördermaßnahmen – er nennt weiterhin nur KMU und Start-ups. Wer anderes liest, sitzt einer verbreiteten Ungenauigkeit auf.

Hilfen, die Sie heute schon nutzen können

• Vereinfachtes Qualitätsmanagement: Die Erleichterung nach Artikel 63 gilt seit dem Omnibus für alle KMU einschließlich Start-ups ohne Partner- oder verbundene Unternehmen, nicht mehr nur für Kleinstunternehmen. Leitlinien der Kommission dazu sind angekündigt.
• KI-Reallabore: Die Mitgliedstaaten müssen bis zum 2. August 2027 mindestens ein Reallabor einsatzbereit haben. In Deutschland richtet die Bundesnetzagentur es ein; nach dem KI-MIG haben neben KMU auch Forschungseinrichtungen, Hochschulen und deren Ausgründungen vorrangigen Zugang.
• Anlaufstelle in Deutschland: Zentrale Anlaufstelle ist die Bundesnetzagentur. Nach dem KI-MIG stellt sie Informationen und Anleitungen zur Verfügung, ausdrücklich auch für KMU und Start-ups. Die Einzelfallberatung zur Hochrisiko-Einstufung steht allerdings nur öffentlichen Stellen offen, nicht Unternehmen.

Pragmatisch anfangen

1. Zuerst einstufen, dann dokumentieren. Nur Hochrisiko-Systeme brauchen diese Dokumentation. Die Einstufung und ihre Begründung gehören schriftlich festgehalten – siehe Anforderungen an Hochrisiko-KI-Systeme.
2. Vorhandenes einsammeln: Architekturskizzen, Testberichte, Datenbeschreibungen, Entscheidungen zur menschlichen Aufsicht. Vieles davon existiert schon.
3. Eine Struktur nach Anhang IV anlegen und die Lücken sichtbar machen, statt alles neu zu schreiben.
4. Aktualität organisieren: Die Dokumentation muss mitwachsen. Ein fester Punkt im Release-Prozess wirkt besser als ein jährlicher Kraftakt.
5. Protokolle und Nachweise technisch lösen: Was automatisch anfällt, muss niemand von Hand pflegen – etwa über ein KI-Gateway.

Wer mehrere Systeme betreut, sollte die Dokumentation nicht je Projekt neu erfinden. Ein KI-Managementsystem nach ISO/IEC 42001 liefert den Rahmen, in den sich die Einzelnachweise einhängen lassen.