Skip to main content

Technische Dokumentation nach Anhang IV: die neun Punkte

Die neun Punkte von Anhang IV der KI-Verordnung für die technische Dokumentation von Hochrisiko-KI-Systemen, mit den Regeln drumherum: Zeitpunkt, Aufbewahrung, KMU-Formular und Anwendungsbereich.

Anhang IV nennt neun Punkte, die die technische Dokumentation eines Hochrisiko-KI-Systems mindestens enthalten muss, soweit sie auf das System zutreffen.

Anbieter müssen sie erstellen, bevor sie das System in der EU in Verkehr bringen oder in Betrieb nehmen (Artikel 11 Absatz 1). Die Pflicht gilt ab dem 2. Dezember 2027 (Anhang-III-Systeme) oder 2. August 2028 (Anhang I). Fehlende Dokumentation verstößt gegen Artikel 16. Geldbußen reichen bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Nächster Schritt: Vergleichen Sie Ihr System mit den neun Punkten unten.

Wir fassen sechs Regeln rund um die Dokumentation zusammen

Vor dem Inverkehrbringen oder der Inbetriebnahme

Erstellen Sie die Dokumentation, bevor das System in Verkehr gebracht oder in Betrieb genommen wird, und halten Sie sie auf dem neuesten Stand (Artikel 11 Absatz 1).

Zehn Jahre aufbewahren

Halten Sie die Dokumentation zehn Jahre lang, nachdem das System in Verkehr gebracht oder in Betrieb genommen wurde, für die nationalen Behörden bereit (Artikel 18 Absatz 1).

Vereinfachtes Formular für kleine Unternehmen

KMU, auch Start-ups, und kleine Midcap-Unternehmen können die Angaben aus Anhang IV in vereinfachter Weise bereitstellen. Die Kommission muss das Formular erstellen, und die notifizierten Stellen müssen es akzeptieren (Artikel 11 Absatz 1). Für KMU und kleine Midcap-Unternehmen gilt der niedrigere Betrag als Obergrenze der Geldbuße (Artikel 99 Absätze 6 und 6a).

Eine gemeinsame Dokumentation für Produktrecht

Hängt das System mit einem Produkt nach den Rechtsvorschriften in Anhang I Abschnitt A zusammen, erstellen Sie eine einzige Dokumentation, die auch diese Rechtsvorschriften abdeckt (Artikel 11 Absatz 2).

Einige Grenzen des Anwendungsbereichs

Anhang IV gilt für Hochrisiko-KI-Systeme im Anwendungsbereich der Verordnung. Die Verordnung berührt nicht Bereiche außerhalb des Unionsrechts und gilt nicht für KI-Systeme, soweit sie ausschließlich für militärische Zwecke, Verteidigungszwecke oder Zwecke der nationalen Sicherheit genutzt werden (Artikel 2 Absatz 3), und nicht für wissenschaftliche Forschungssysteme sowie Forschung oder Tests vor dem Inverkehrbringen (Artikel 2 Absätze 6 und 8). Für KI-Systeme, die nach Artikel 6 Absatz 1 als hochriskant gelten und Produkte nach Anhang I Abschnitt B betreffen, gelten nur Artikel 6 Absatz 1, Artikel 60a und die Artikel 102 bis 112. Die Artikel 57 bis 59 gelten nur, soweit die Anforderungen an Hochrisiko-KI-Systeme in diese Produktvorschriften aufgenommen wurden (Artikel 2 Absatz 2).

Bereits auf dem Markt befindliche Systeme

Ein Hochrisiko-System, das vor dem Geltungsbeginn in Verkehr gebracht oder in Betrieb genommen wurde, fällt nur darunter, wenn sich sein Design danach erheblich ändert. In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2). KI-Systeme, die Komponenten der in Anhang X genannten IT-Großsysteme sind und vor dem 2. August 2027 in Verkehr gebracht wurden, müssen bis zum 31. Dezember 2030 konform sein (Artikel 111 Absatz 1).

Anhang IV hat neun Punkte

Allgemeine Beschreibung

1

Punkt 1 identifiziert das System: wofür es dient, welche Version es ist, wo es läuft und wie es bereitgestellt wird.

Was der Anhang verlangt

  • Zweckbestimmung, Name des Anbieters und Version des Systems, einschließlich des Bezugs zu früheren Versionen
  • Wie das System mit Hardware oder Software zusammenwirkt, die nicht Teil des Systems ist, soweit zutreffend
  • Versionen relevanter Software oder Firmware und Anforderungen an Versionsaktualisierungen
  • Alle Formen, in denen das System in Verkehr gebracht oder in Betrieb genommen wird, etwa in Hardware eingebettete Softwarepakete, Downloads oder APIs
  • Die Hardware, auf der das System laufen soll
  • Bei Komponenten von Produkten: Fotos oder Abbildungen mit äußeren Merkmalen, Kennzeichnung und innerem Aufbau
  • Eine grundlegende Beschreibung der Benutzerschnittstelle für den Betreiber
  • Die Betriebsanleitung für den Betreiber

Praxistipp (nicht von der Verordnung verlangt)

Führen Sie diesen Punkt in einer versionierten Datei neben dem Code und aktualisieren Sie ihn bei jeder Veröffentlichung.

Bestandteile und Entwicklungsprozess

2

Punkt 2 ist der längste: Er behandelt, wie das System gebaut, trainiert, getestet und abgesichert wurde.

Was der Anhang verlangt

  • Entwicklungsmethoden und -schritte, einschließlich vortrainierter Systeme oder Werkzeuge von Dritten und wie sie verwendet, integriert oder geändert wurden
  • Entwurfsspezifikationen: allgemeine Logik und Algorithmen, wichtige Entwurfsentscheidungen mit Begründung und Annahmen (auch zu den Personen oder Gruppen, bei denen das System eingesetzt wird), Klassifizierungsentscheidungen, Optimierungsziel des Systems und Relevanz der verschiedenen Parameter, erwartete Ausgabe und Ausgabequalität sowie Abwägungen zur Erfüllung von Kapitel III Abschnitt 2
  • Systemarchitektur und die Rechenressourcen für Entwicklung, Training, Test und Validierung des Systems
  • Soweit relevant, Datenanforderungen als Datenblätter: Trainingsmethoden, Datensätze, Herkunft, Umfang, Hauptmerkmale, wie die Daten beschafft und ausgewählt wurden, Kennzeichnung und Bereinigung
  • Bewertung der erforderlichen Maßnahmen zur menschlichen Aufsicht (Artikel 14), einschließlich technischer Maßnahmen, die Betreibern die Interpretation der Ausgaben erleichtern (Artikel 13 Absatz 3 Buchstabe d)
  • Soweit zutreffend, vorab bestimmte Änderungen am System und seiner Leistung, mit den technischen Lösungen, die die Konformität sichern
  • Validierung und Tests: Verfahren, verwendete Daten, Kennzahlen zu Genauigkeit, Robustheit und weiteren Anforderungen, möglicherweise diskriminierende Auswirkungen sowie datierte und unterzeichnete Testprotokolle und Berichte
  • Getroffene Cybersicherheitsmaßnahmen

Praxistipp (nicht von der Verordnung verlangt)

Leiten Sie Architektur und Abhängigkeitslisten aus dem Repository ab und ergänzen Sie die Begründungen, die nur Ihr Team kennt.

Überwachung, Funktionsweise und Kontrolle

3

Punkt 3 hält fest, was das System kann und was nicht, und welche Risiken und Aufsichtsmaßnahmen sich daraus ergeben.

Was der Anhang verlangt

  • Fähigkeiten und Leistungsgrenzen, einschließlich der Genauigkeit für bestimmte Personen oder Personengruppen und der insgesamt erwarteten Genauigkeit für den Verwendungszweck
  • Vorhersehbare unbeabsichtigte Folgen und Risikoquellen für Gesundheit und Sicherheit, Grundrechte und Diskriminierung
  • Maßnahmen zur menschlichen Aufsicht (Artikel 14), einschließlich technischer Maßnahmen, die Betreibern die Interpretation der Ausgaben erleichtern
  • Spezifikationen der Eingabedaten, soweit angemessen

Praxistipp (nicht von der Verordnung verlangt)

Halten Sie die gemessene Genauigkeit je Gruppe zusammen mit dem Test fest, der sie ergeben hat.

Leistungskennzahlen

4

Punkt 4 verlangt eine Beschreibung, warum die Leistungskennzahlen angemessen sind. Die Kennzahlen selbst gehören unter Punkt 2.

Was der Anhang verlangt

  • Eine Beschreibung, warum die Leistungskennzahlen für dieses konkrete KI-System angemessen sind

Risikomanagementsystem

5

Punkt 5 verweist auf das Risikomanagementsystem nach Artikel 9.

Was der Anhang verlangt

  • Eine detaillierte Beschreibung des Risikomanagementsystems nach Artikel 9

Änderungen im Lebenszyklus

6

Punkt 6 hält die Dokumentation aktuell: Er erfasst, was sich nach der ersten Veröffentlichung geändert hat.

Was der Anhang verlangt

  • Eine Beschreibung der relevanten Änderungen, die der Anbieter im Lebenszyklus am System vorgenommen hat

Praxistipp (nicht von der Verordnung verlangt)

Nutzen Sie Release-Hinweise und Git-Verlauf und kennzeichnen Sie, welche Änderungen vorab bestimmt waren (Punkt 2 Buchstabe f).

Normen und andere Lösungen

7

Punkt 7 nennt die Normen, auf die Sie sich stützen, oder erklärt Ihre eigenen Lösungen.

Was der Anhang verlangt

  • Eine Liste der ganz oder teilweise angewandten harmonisierten Normen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht sind
  • Wurden keine solchen Normen angewandt: eine detaillierte Beschreibung der Lösungen zur Erfüllung von Kapitel III Abschnitt 2 samt einer Liste anderer angewandter Normen und technischer Spezifikationen

EU-Konformitätserklärung

8

Punkt 8 fügt die Konformitätserklärung bei.

Was der Anhang verlangt

  • Eine Kopie der EU-Konformitätserklärung (Artikel 47)

Bewertung nach dem Inverkehrbringen

9

Punkt 9 verknüpft die Dokumentation mit der Beobachtung nach dem Inverkehrbringen.

Was der Anhang verlangt

  • Eine detaillierte Beschreibung des Systems zur Bewertung der Leistung in der Phase nach dem Inverkehrbringen (Artikel 72)
  • Der Plan für die Beobachtung nach dem Inverkehrbringen (Artikel 72 Absatz 3)

Was Scanara für die Dokumentation nach Anhang IV leistet

Scanara prüft Ihre Unterlagen darauf, ob die vorgeschriebenen Inhalte vorhanden sind. Ob die Inhalte stimmen, prüft Scanara nicht.

Entwürfe der Dokumentation nach Anhang IV

Scanara erzeugt Dokumente nach Anhang IV aus Ihren Eingaben und Bewertungsantworten. Sie prüfen und vervollständigen sie. Ein Entwurf ist nicht automatisch richtig oder vollständig.

Versionierte Nachweise

Scanara speichert Versionen und Zeitstempel der Dokumente und der Bewertungsantworten, auf denen sie beruhen.

Häufige Fragen zu Anhang IV

Wie lange muss ich die technische Dokumentation aufbewahren?

Zehn Jahre, nachdem das KI-System in Verkehr gebracht oder in Betrieb genommen wurde, und zwar für die zuständigen nationalen Behörden bereitgehalten (Artikel 18 Absatz 1).

Dürfen KMU eine vereinfachte Dokumentation verwenden?

Ja. KMU, auch Start-ups, und kleine Midcap-Unternehmen können die Angaben aus Anhang IV in vereinfachter Weise bereitstellen. Die Kommission muss das Formular erstellen, und die notifizierten Stellen müssen es für die Konformitätsbewertung akzeptieren (Artikel 11 Absatz 1).

Was löst eine Aktualisierung der Dokumentation aus?

Die Dokumentation muss auf dem neuesten Stand gehalten werden (Artikel 11 Absatz 1). Eine wesentliche Veränderung, also eine Änderung, die in der ersten Konformitätsbewertung nicht vorgesehen oder geplant war und die Konformität oder den Verwendungszweck berührt (Artikel 3 Nummer 23), erfordert eine neue Konformitätsbewertung (Artikel 43 Absatz 4). Vorab bestimmte und nach Anhang IV Punkt 2 Buchstabe f dokumentierte Änderungen eines kontinuierlich lernenden Systems sind keine wesentlichen Veränderungen.

Als Nächstes lesen: Artikel 11, Anhang III und das KI-Inventar

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.