Skip to main content

Ihr EU-Kunde fragt nach KI-Act-Dokumentation

Praktischer Leitfaden zum Umgang mit Anfragen zur KI-Verordnung von Unternehmenskunden: was sie benötigen und wie Sie antworten.

Von Scanara

Wichtigste Erkenntnisse

  1. 1.Betreiber (Kunden, die Ihr Hochrisiko-KI-System einsetzen) müssen es so verwenden, wie Ihre Betriebsanleitung es vorsieht (Artikel 26).
  2. 2.Antworten Sie mit einem Paket: Risikoeinstufung, Betriebsanleitung, Zusammenfassung der technischen Dokumentation und Informationen zu Protokollierung und Überwachung. Ergänzen Sie bei einem Hochrisiko-KI-System die EU-Konformitätserklärung (Artikel 47). Sie ist Ihre unterzeichnete Erklärung, dass das System die Artikel 8 bis 15 erfüllt.
  3. 3.Behaupten Sie keine Konformität, die Sie nicht belegen können. Sagen Sie, was Sie haben und wann der Rest folgt.
  4. 4.Bauen Sie das Paket einmal und verwenden Sie es wieder. Prüfen Sie es nach jedem Release und bei jeder Änderung des Systems oder seiner Zweckbestimmung. Die Zweckbestimmung ist die Verwendung, die Sie als Anbieter angeben (Artikel 3 Nummer 12).

Ein EU-Kunde kann Ihnen schreiben: „Können Sie uns Unterlagen dazu geben, wie Ihr KI-System die KI-Verordnung der EU einhält?“ Anbieter, die an EU-Unternehmen verkaufen, können eine solche Anfrage erhalten. Betreiber brauchen Informationen von ihnen (Artikel 13: Betriebsanleitung; Artikel 26: Pflichten der Betreiber).

Ihre Antwort hängt von der Risikoklasse des Systems ab, prüfen Sie daher zuerst die Klasse. Die Artikel 8 bis 27 enthalten die Anforderungen an Hochrisiko-KI-Systeme und die Pflichten von Anbietern und Betreibern. Sie gelten für Systeme nach Anhang III (der Liste der Hochrisiko-Einsatzbereiche in der Verordnung) ab dem 2. Dezember 2027. Für Systeme nach Anhang I (der Liste der EU-Produktvorschriften in der Verordnung) gelten sie ab dem 2. August 2028. Anhang I Abschnitt B listet weitere EU-Produktvorschriften auf, zum Beispiel zur Sicherheit der Zivilluftfahrt, zu land- und forstwirtschaftlichen Fahrzeugen und zu Schiffsausrüstung. Die Artikel 8 bis 27 gelten nicht für Hochrisiko-KI-Systeme, die Produkte nach diesen Vorschriften betreffen (Artikel 2 Absatz 2). Das gilt für Systeme, die nach Artikel 6 Absatz 1 als Hochrisiko-KI-Systeme eingestuft sind. Die Verordnung (EU) 2026/1744 hat Artikel 113 geändert, um beide Daten festzulegen, und Artikel 2 Absatz 2 ersetzt. Ohne Ihre Betriebsanleitung können Betreiber das System nicht so verwenden, wie Artikel 26 Absatz 1 es verlangt.

Warum Ihr EU-Kunde fragt

Betreiber von Hochrisiko-KI-Systemen haben eigene Pflichten. Unter anderem verlangt Artikel 26 von Betreibern:

  • das System so zu verwenden, wie es die Betriebsanleitung des Anbieters vorsieht (Artikel 26 Absatz 1)
  • die menschliche Aufsicht Personen zu übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen (Artikel 26 Absatz 2)
  • den Betrieb des Systems zu überwachen (Artikel 26 Absatz 5)
  • den Anbieter oder Händler und die Marktüberwachungsbehörde über ein Risiko zu informieren, bei einem schwerwiegenden Vorfall zuerst den Anbieter (Artikel 26 Absatz 5)
  • die Verwendung eines Systems, das ein Risiko birgt, auszusetzen (Artikel 26 Absatz 5)
  • die Protokolle, die ihrer Kontrolle unterliegen, mindestens sechs Monate aufzubewahren, sofern nichts anderes im Recht vorgesehen ist (Artikel 26 Absatz 6)

Artikel 27 ergänzt eine Pflicht, vor der ersten Verwendung die Auswirkungen auf die Grundrechte zu bewerten. Sie gilt für Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, und Betreiber von Systemen zur Kreditwürdigkeitsprüfung oder für Lebens- und Krankenversicherungen. Sie gilt nicht für Systeme nach Anhang III Nummer 2 (kritische Infrastruktur).

Artikel 13 Absatz 2 verpflichtet Sie, einem Hochrisiko-KI-System eine Betriebsanleitung beizufügen.

Senden Sie bis zu fünf Dokumente

Von diesen Dokumenten muss nur die Betriebsanleitung die Betreiber erreichen (Artikel 13 Absatz 2). Die EU-Konformitätserklärung halten Sie für die zuständigen nationalen Behörden bereit (Artikel 47 Absatz 1). Die übrigen Punkte sind unser Vorschlag, was Sie Kunden anbieten.

1

Erklärung zur Risikoeinstufung

Eine Erklärung zur Risikoklasse Ihres Systems nach der Verordnung: verboten (Artikel 5), hochriskant (Artikel 6), Transparenzpflichten (Artikel 50) oder nichts davon. Fügen Sie eine Begründung bei, die sich gegebenenfalls auf Anhang III bezieht.

2

Betriebsanleitung

Artikel 13 Absatz 3 nennt den Mindestinhalt der Betriebsanleitung eines Hochrisiko-KI-Systems. Dazu gehören die Identität des Anbieters, die Zweckbestimmung, die getesteten Niveaus von Genauigkeit, Robustheit und Cybersicherheit, bekannte Risiken, Maßnahmen zur menschlichen Aufsicht, die erwartete Lebensdauer und die Wartung. Dient Ihr Benutzerhandbuch als Betriebsanleitung, prüfen Sie, ob es alle Punkte von Artikel 13 Absatz 3 abdeckt. Wenn nicht, ergänzen Sie ein eigenes Dokument.

3

Zusammenfassung der technischen Dokumentation

Anhang IV ist die Liste dessen, was technische Dokumentation enthalten muss. Die vollständige Dokumentation ist für die zuständigen nationalen Behörden und notifizierte Stellen gedacht (Artikel 11 Absatz 1). Eine notifizierte Stelle ist eine Konformitätsbewertungsstelle, die nach der Verordnung und anderen einschlägigen Harmonisierungsrechtsvorschriften der Union notifiziert wurde (Artikel 3 Nummer 22). Wir empfehlen, eine Zusammenfassung zu teilen, damit der Betreiber sieht, dass die vollständige Dokumentation existiert und was sie abdeckt.

4

Informationen zu Protokollierung und Überwachung

Betreiber müssen wissen, was Ihr System protokolliert und wie sie auf die Protokolle zugreifen können, denn sie müssen die Protokolle aufbewahren, die ihrer Kontrolle unterliegen (Artikel 26 Absatz 6). Soweit relevant, muss die Betriebsanleitung die Mechanismen beschreiben, mit denen Betreiber die Protokolle erfassen, speichern und auswerten können (Artikel 13 Absatz 3 Buchstabe f).

5

EU-Konformitätserklärung (bei Hochrisiko-KI-Systemen)

Für Hochrisiko-KI-Systeme stellt der Anbieter eine EU-Konformitätserklärung aus (Artikel 47). Sie besagt, dass das System die Anforderungen der Artikel 8 bis 15 erfüllt (Artikel 47 Absatz 2). Die Konformitätsbewertung ist das Verfahren, mit dem nachgewiesen wird, ob diese Anforderungen erfüllt sind (Artikel 3 Nummer 20). Wenn die Bewertung noch läuft, sagen Sie das und nennen Sie den voraussichtlichen Termin als Schätzung.

Bestätigen Sie zuerst, senden Sie dann das vollständige Paket

Bestätigen Sie in der ersten Antwort die Anfrage und nennen Sie Termine, die Sie einhalten

Sagen Sie, welche Dokumente Sie senden können und wann. Wenn Sie eine Erklärung zur Risikoeinstufung haben, senden Sie sie.

Senden Sie das vollständige Paket, wenn es bereit ist

Senden Sie die oben genannten Dokumente, die für Ihr System gelten. Nennen Sie zu jeder Aussage den Artikel dahinter, damit der Kunde sie prüfen kann.

Machen Sie keine Aussagen, die Sie nicht belegen können

Sagen Sie nicht „Wir unterliegen nicht der KI-Verordnung der EU“, wenn Sie Artikel 2 nicht geprüft haben und nicht begründen können, warum. Die Verordnung erfasst Anbieter, die KI-Systeme in der Union in Verkehr bringen, und Anbieter, deren Ausgabe in der Union verwendet wird (Artikel 2 Absatz 1).

Weiterführende Lektüre

Quellen & Referenzen

Häufig gestellte Fragen

Welche Dokumente braucht ein EU-Kunde von einem KI-Anbieter?

Das hängt vom System ab. Bei einem Hochrisiko-KI-System brauchen Betreiber die Betriebsanleitung (Artikel 13), einschließlich Informationen zu Protokollierung und menschlicher Aufsicht. Wir empfehlen, auch Ihre Risikoeinstufung, eine Zusammenfassung der technischen Dokumentation nach Anhang IV und die EU-Konformitätserklärung (Artikel 47) anzubieten. Anbieter müssen KI-Systeme, die direkt mit Menschen interagieren, so gestalten, dass diese darüber informiert werden, sofern es nicht offensichtlich ist (Artikel 50 Absatz 1).

Was ist Anhang IV der KI-Verordnung?

Anhang IV nennt neun Mindestpunkte für die technische Dokumentation eines Hochrisiko-KI-Systems. Punkte 1 bis 5: allgemeine Beschreibung; Entwicklungsprozess und Konzeption; Überwachung und Kontrolle; Angemessenheit der Leistungskennzahlen; Risikomanagementsystem. Punkte 6 bis 9: Änderungen im Lebenszyklus; angewandte Normen; die EU-Konformitätserklärung; das System zur Beobachtung nach dem Inverkehrbringen.

Was sollte meine erste Antwort auf eine Anfrage zur Dokumentation nach der KI-Verordnung enthalten?

Senden Sie eine erste Antwort, die die Anfrage bestätigt, sagt, welche Dokumente Sie senden können, und Termine nennt, die Sie einhalten. Vereinbaren Sie Termine schriftlich.

Kann ich dasselbe Dokumentationspaket für mehr als einen EU-Kunden wiederverwenden?

Ja, soweit das System und seine Zweckbestimmung gleich sind. Die Zweckbestimmung ist die, die Sie festlegen (Artikel 3 Nummer 12). Prüfen Sie das Paket nach jedem Release und bei jeder Änderung des Systems oder seiner Zweckbestimmung.

Was ist, wenn ich noch keine technische Dokumentation (Anhang IV) habe?

Sagen Sie es. Teilen Sie dem Kunden mit, welche Dokumente Sie haben und wann der Rest folgt. Die technische Dokumentation muss vorliegen, bevor ein Hochrisiko-KI-System in Verkehr gebracht oder in Betrieb genommen wird (Artikel 11 Absatz 1). Die Artikel 8 bis 27 gelten für Systeme nach Anhang III ab dem 2. Dezember 2027 und für Systeme nach Anhang I ab dem 2. August 2028. Anhang I Abschnitt B listet weitere EU-Produktvorschriften auf. Für Hochrisiko-KI-Systeme, die Produkte nach diesen Vorschriften betreffen, gelten die Artikel 8 bis 27 nicht (Artikel 2 Absatz 2). Das gilt für Systeme, die nach Artikel 6 Absatz 1 als Hochrisiko-KI-Systeme eingestuft sind. Die Verordnung (EU) 2026/1744 hat Artikel 113 geändert, um beide Daten festzulegen, und Artikel 2 Absatz 2 ersetzt.

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.