Dokumentationspflichten nach dem AI Act: Was Sie aufbewahren müssen

Das Wichtigste in Kürze: Die KI-Verordnung (VO (EU) 2024/1689) macht Dokumentation zum Kern der Compliance. Anbieter von Hochrisiko-KI-Systemen müssen gemäß Art. 11 eine umfassende technische Dokumentation erstellen, Art. 12 verlangt automatische Aufzeichnungen (Logs), Art. 17 schreibt ein dokumentiertes Qualitätsmanagementsystem vor, und Art. 26 Abs. 5 verpflichtet Betreiber zur Aufbewahrung von Logs für mindestens sechs Monate. Gleichzeitig greifen die Nachweispflichten der DSGVO (Art. 5 Abs. 2, Art. 30 VO (EU) 2016/679). Wer lückenhaft dokumentiert, riskiert Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes (Art. 99 Abs. 4 VO (EU) 2024/1689). Dieser Leitfaden zeigt Ihnen exakt, welche Dokumente Sie brauchen, wer sie führen muss und wie lange sie aufzubewahren sind.

---

Inhaltsverzeichnis

1. Warum Dokumentation das Rückgrat der KI-Compliance ist
2. Übersicht aller Dokumentationspflichten
3. Art. 11: Technische Dokumentation im Detail
4. Art. 12: Automatische Aufzeichnung (Logs)
5. Art. 17: QMS-Dokumentation
6. Art. 26 Abs. 5: Betreiber-Logs
7. Zusammenspiel mit der DSGVO
8. Praktische Umsetzung: Tools, Vorlagen und Prozesse
9. Häufig gestellte Fragen (FAQ)
10. Nächste Schritte

---

Warum Dokumentation das Rückgrat der KI-Compliance ist {#warum-dokumentation}

Die europäische KI-Verordnung verfolgt einen risikobasierten Ansatz — und Dokumentation ist der zentrale Mechanismus, mit dem Unternehmen die Einhaltung der Vorschriften nachweisen müssen. Anders als bei vielen bisherigen Regulierungen reicht es nicht, Maßnahmen lediglich umzusetzen: Sie müssen belegen können, dass Sie sie umgesetzt haben, wie Sie sie umgesetzt haben und dass sie wirksam sind.

Dieser Grundsatz der Rechenschaftspflicht (Accountability) ist kein neues Konzept. Die DSGVO hat mit Art. 5 Abs. 2 VO (EU) 2016/679 bereits das Prinzip etabliert, dass die verantwortliche Stelle die Einhaltung der Grundsätze nachweisen können muss. Der AI Act überträgt dieses Prinzip auf den Bereich der Künstlichen Intelligenz — und geht in mehreren Bereichen deutlich darüber hinaus.

Die drei Dimensionen der KI-Dokumentation

Die Dokumentationspflichten des AI Act lassen sich in drei Dimensionen unterteilen:

1. Produktbezogene Dokumentation — Was kann das KI-System, wie funktioniert es, welche Risiken bestehen? (Art. 11, Anhang IV)
2. Betriebsbezogene Dokumentation — Wie wird das System im laufenden Betrieb überwacht, welche Ereignisse werden protokolliert? (Art. 12, Art. 26 Abs. 5)
3. Organisationsbezogene Dokumentation — Welche Prozesse, Rollen und Verantwortlichkeiten sind etabliert? (Art. 17, Art. 4)

Nur wer alle drei Dimensionen abdeckt, ist umfassend compliant. In der Praxis sehen wir häufig, dass Unternehmen die technische Dokumentation im Griff haben, aber bei den betriebsbezogenen Logs und der QMS-Dokumentation erhebliche Lücken aufweisen.

---

Übersicht aller Dokumentationspflichten {#uebersicht}

Die folgende Tabelle gibt einen strukturierten Überblick über die wichtigsten Dokumentationspflichten nach dem AI Act und der DSGVO:

Wichtig: Die 10-Jahres-Frist nach Art. 18 Abs. 1 VO (EU) 2024/1689 beginnt ab dem Zeitpunkt, an dem das KI-System in Verkehr gebracht oder in Betrieb genommen wurde. Bei KI-Systemen, die über lange Zeiträume eingesetzt werden, kann sich die effektive Aufbewahrungspflicht also erheblich verlängern.

---

Art. 11: Technische Dokumentation im Detail {#art-11}

Art. 11 VO (EU) 2024/1689 ist das Herzstück der produktbezogenen Dokumentationspflichten. Er verlangt, dass Anbieter von Hochrisiko-KI-Systemen eine technische Dokumentation erstellen, die vor dem Inverkehrbringen vorliegen muss und laufend aktualisiert werden muss.

Was Anhang IV verlangt

Der konkrete Inhalt der technischen Dokumentation wird in Anhang IV der KI-Verordnung definiert. Die Anforderungen sind umfangreich und umfassen:

1. Allgemeine Beschreibung des KI-Systems

• Zweckbestimmung des Systems
• Name und Kontaktdaten des Anbieters
• Versionshistorie und Versionierungssystem
• Beschreibung der Interaktion mit Hardware und Software

2. Detaillierte Beschreibung der Elemente und des Entwicklungsprozesses

• Entwicklungsmethoden und -verfahren
• Designspezifikationen und Systemarchitektur
• Beschreibung der Rechenleistung und Hardware-Anforderungen
• Beschreibung der Datenflüsse und Logik des Systems

3. Informationen über Trainings-, Validierungs- und Testdaten

• Beschreibung der verwendeten Datensätze (Herkunft, Umfang, Merkmale)
• Datenaufbereitungsverfahren (Annotation, Labeling, Bereinigung)
• Bewertung der Verfügbarkeit, Quantität und Eignung der Daten
• Maßnahmen zur Erkennung und Behebung von Verzerrungen (Bias)

4. Informationen über die Leistung des Systems

• Metriken und Leistungskennzahlen
• Ergebnisse der Validierungs- und Testverfahren
• Beschreibung bekannter Einschränkungen
• Vorhersehbare unbeabsichtigte Ergebnisse und Risiken

5. Beschreibung des Risikomanagementsystems

• Identifizierte Risiken gemäß Art. 9
• Ergriffene Risikominderungsmaßnahmen
• Ergebnisse der Risikobewertung

6. Beschreibung der am System vorgenommenen Änderungen

• Änderungshistorie über den gesamten Lebenszyklus
• Dokumentation wesentlicher Änderungen

Praxistipp: Technische Dokumentation strukturiert aufbauen

In der Praxis empfehlen wir, die technische Dokumentation als lebendes Dokument zu behandeln, das in einem Dokumentenmanagementsystem (DMS) versioniert wird. Verwenden Sie die Struktur des Anhang IV als Gliederung und füllen Sie jeden Abschnitt systematisch aus. Jede wesentliche Änderung am KI-System muss eine Aktualisierung der Dokumentation nach sich ziehen — dokumentieren Sie auch die Änderung selbst mit Datum, verantwortlicher Person und Begründung.

---

Art. 12: Automatische Aufzeichnung (Logs) {#art-12}

Art. 12 VO (EU) 2024/1689 verlangt, dass Hochrisiko-KI-Systeme so konzipiert werden, dass sie Ereignisse automatisch aufzeichnen (Logging). Diese Pflicht richtet sich primär an Anbieter, die das System technisch so gestalten müssen, dass Logging möglich ist.

Was aufgezeichnet werden muss

Die automatischen Aufzeichnungen müssen mindestens Folgendes umfassen:

• Nutzungszeiträume — Wann wurde das System genutzt? (Start- und Endzeiten)
• Referenzdatenbank — Gegen welche Eingabedaten hat das System geprüft?
• Eingabedaten — Welche Daten wurden dem System zugeführt? (soweit für die Rückverfolgbarkeit erforderlich)
• Ergebnisse und Ausgaben — Zu welchen Ergebnissen ist das System gekommen?
• Identifizierung der beteiligten natürlichen Personen — Wer hat das System bedient oder eine Überprüfung durchgeführt? (Art. 14 Abs. 5 VO (EU) 2024/1689)

Technische Anforderungen an das Logging

Das Logging muss so gestaltet sein, dass die Aufzeichnungen:

• Vollständig sind — alle relevanten Ereignisse erfasst werden
• Unveränderbar sind — nachträgliche Manipulation erkennbar ist oder verhindert wird
• Durchsuchbar sind — bei Bedarf effizient ausgewertet werden können
• Exportierbar sind — Marktüberwachungsbehörden auf Verlangen zur Verfügung gestellt werden können

Für Betreiber bedeutet dies: Wenn Ihr KI-Anbieter keine ausreichenden Logging-Funktionen bereitstellt, sollten Sie dies als erhebliches Compliance-Risiko bewerten und im Rahmen Ihrer Vendor Due Diligence adressieren. Art. 26 Abs. 1 VO (EU) 2024/1689 verlangt, dass Betreiber das System gemäß den beigefügten Gebrauchsanweisungen verwenden — das schließt die korrekte Konfiguration des Loggings ein.

---

Art. 17: QMS-Dokumentation {#art-17}

Art. 17 VO (EU) 2024/1689 verpflichtet Anbieter von Hochrisiko-KI-Systemen, ein Qualitätsmanagementsystem (QMS) einzurichten und zu dokumentieren. Diese Pflicht geht über die rein technische Dokumentation hinaus und betrifft die gesamte Organisation.

Was das QMS dokumentieren muss

Das dokumentierte QMS muss mindestens folgende Bereiche abdecken:

• Strategie für die Einhaltung der Regulierung — einschließlich der Konformitätsbewertungsverfahren
• Techniken und Verfahren für die Konzeption und Kontrolle des KI-Systems
• Techniken und Verfahren für die Entwicklung — einschließlich Qualitätssicherung
• Prüf-, Test- und Validierungsverfahren — vor, während und nach der Entwicklung
• Technische Spezifikationen und Normen, die angewandt werden
• Systeme und Verfahren für das Datenmanagement — einschließlich Datenerhebung, -analyse und -kennzeichnung
• Risikomanagementverfahren gemäß Art. 9
• Überwachungssystem nach dem Inverkehrbringen gemäß Art. 72
• Verfahren für die Meldung schwerwiegender Vorfälle gemäß Art. 73
• Kommunikation mit Behörden und zuständigen Stellen
• Verfahren für die Aufbewahrung von Aufzeichnungen und Informationen

QMS-Dokumentation in der Praxis

Die Anforderungen an das QMS nach Art. 17 ähneln in ihrer Struktur bestehenden Qualitätsmanagementstandards wie ISO 9001 oder branchenspezifischen Normen. Unternehmen, die bereits ein zertifiziertes QMS betreiben, können dieses um die KI-spezifischen Anforderungen erweitern, anstatt ein separates System aufzubauen.

Entscheidend ist, dass das QMS nicht nur auf dem Papier existiert, sondern in der Organisation gelebt wird. Auditoren und Marktüberwachungsbehörden werden nicht nur die Dokumentation prüfen, sondern auch stichprobenartig verifizieren, ob die dokumentierten Prozesse in der Praxis eingehalten werden.

---

Art. 26 Abs. 5: Betreiber-Logs {#art-26}

Art. 26 Abs. 5 VO (EU) 2024/1689 richtet sich speziell an Betreiber (Deployer) von Hochrisiko-KI-Systemen und legt eine konkrete Aufbewahrungspflicht fest:

Die Betreiber von Hochrisiko-KI-Systemen bewahren die von dem Hochrisiko-KI-System automatisch erzeugten Protokolle, soweit diese Protokolle ihrer Kontrolle unterliegen, für einen Zeitraum auf, der angesichts der Zweckbestimmung des Hochrisiko-KI-Systems und der geltenden rechtlichen Verpflichtungen nach dem Unionsrecht oder dem nationalen Recht angemessen ist, mindestens jedoch sechs Monate [...].

Was bedeutet das für Sie als Betreiber?

Die Mindestfrist von sechs Monaten ist eine Untergrenze. In vielen Fällen werden längere Aufbewahrungsfristen angemessen sein:

• Beschäftigungskontext (z.B. KI-gestützte Bewerberauswahl): Beachten Sie die arbeitsrechtlichen Fristen — Klagen nach dem AGG können bis zu zwei Monate nach Zugang der Ablehnung erhoben werden (§ 15 Abs. 4 AGG), die Verjährung für Schadensersatzansprüche beträgt drei Jahre (§§ 195, 199 BGB). Eine Aufbewahrung von mindestens drei Jahren ist empfehlenswert.
• Finanzdienstleistungen: Die BaFin-Anforderungen an die Dokumentation und Nachvollziehbarkeit von automatisierten Entscheidungen können deutlich längere Aufbewahrungsfristen erfordern.
• Gesundheitswesen: Medizinprodukterechtliche Dokumentationspflichten nach der MDR (VO (EU) 2017/745) gelten in der Regel für mindestens 10 Jahre.

Praktische Herausforderungen bei Betreiber-Logs

Die größte praktische Herausforderung ist die Frage, was „soweit diese Protokolle ihrer Kontrolle unterliegen" konkret bedeutet. Bei SaaS-basierten KI-Systemen (z.B. Cloud-APIs) liegen die Logs häufig auf den Servern des Anbieters. Betreiber sollten daher:

1. Vertraglich sicherstellen, dass der Anbieter Logs für mindestens sechs Monate bereitstellt
2. Technisch prüfen, ob Logs exportiert und lokal gespeichert werden können
3. Eigene Logs ergänzen — insbesondere zu Nutzungszeiten, Entscheidungskontexten und durchgeführten menschlichen Überprüfungen

---

Zusammenspiel mit der DSGVO {#dsgvo}

Die Dokumentationspflichten des AI Act bestehen nicht isoliert, sondern ergänzen die bestehenden Pflichten der Datenschutz-Grundverordnung. Insbesondere zwei DSGVO-Pflichten sind für den KI-Kontext von zentraler Bedeutung:

Art. 30 DSGVO: Verarbeitungsverzeichnis

Jeder Verantwortliche und Auftragsverarbeiter muss ein Verzeichnis aller Verarbeitungstätigkeiten führen (Art. 30 Abs. 1 VO (EU) 2016/679). Für KI-Systeme, die personenbezogene Daten verarbeiten, muss dieses Verzeichnis unter anderem enthalten:

• Den Zweck der Verarbeitung durch das KI-System
• Die Kategorien betroffener Personen und personenbezogener Daten
• Die vorgesehenen Löschfristen
• Eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Art. 30 Abs. 1 lit. g)

Art. 5 Abs. 2 DSGVO: Rechenschaftspflicht

Die Rechenschaftspflicht nach Art. 5 Abs. 2 VO (EU) 2016/679 verlangt, dass der Verantwortliche die Einhaltung aller Datenschutzgrundsätze nachweisen kann. Im KI-Kontext bedeutet das insbesondere:

• Rechtmäßigkeit: Nachweis der Rechtsgrundlage für das Training und den Betrieb des KI-Systems
• Zweckbindung: Dokumentation, dass das System nur für die festgelegten Zwecke eingesetzt wird
• Datenminimierung: Nachweis, dass nur die erforderlichen Daten verarbeitet werden
• Transparenz: Dokumentation der Informationspflichten nach Art. 13, 14 DSGVO — sowie der Pflichten nach Art. 13 VO (EU) 2024/1689 bei automatisierten Einzelentscheidungen

Synergien nutzen

In der Praxis empfehlen wir, die Dokumentation nach AI Act und DSGVO nicht getrennt zu führen. Erstellen Sie ein integriertes Dokumentationssystem, das beide Regelwerke abdeckt. Beispielsweise kann das Verarbeitungsverzeichnis nach Art. 30 DSGVO um die KI-spezifischen Informationen aus dem AI Act ergänzt werden — Risikoklasse, Logging-Konfiguration, Ergebnisse der Konformitätsbewertung.

---

Praktische Umsetzung: Tools, Vorlagen und Prozesse {#praxis}

Dokumentationspflichten zu kennen ist das eine — sie effizient umzusetzen das andere. Die folgenden Empfehlungen helfen Ihnen, ein praxistaugliches System aufzubauen.

1. Dokumentenmanagementsystem (DMS) einrichten

Alle KI-bezogene Dokumentation sollte in einem zentralen System mit Versionskontrolle und Zugriffsprotokollierung verwaltet werden. Das System muss nachweisen können, wer wann welche Änderung vorgenommen hat. Geeignete Lösungen reichen von SharePoint mit Versionierung bis zu spezialisierten GRC-Plattformen (Governance, Risk & Compliance).

2. Vorlagen für Anhang IV erstellen

Erstellen Sie Dokumentenvorlagen, die die Struktur des Anhang IV VO (EU) 2024/1689 eins zu eins abbilden. Jeder Abschnitt des Anhangs wird zu einem Pflichtfeld in Ihrer Vorlage. So stellen Sie sicher, dass bei keinem neuen KI-System ein Dokumentationspunkt vergessen wird.

3. Log-Management standardisieren

Definieren Sie technische Standards für das Logging:

• Format: Strukturierte Logs (z.B. JSON) statt Freitext
• Speicherort: Zentrales Log-Management-System (z.B. ELK-Stack, Splunk oder Cloud-native Lösungen)
• Retention Policy: Automatisierte Löschung nach Ablauf der Aufbewahrungsfrist — aber nicht vorher
• Zugriff: Rollenbasiertes Berechtigungskonzept für Log-Zugriffe

4. Review-Zyklen definieren

Dokumentation ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess:

• Quartalsmäßige Reviews der technischen Dokumentation auf Aktualität
• Anlassbezogene Updates bei wesentlichen Änderungen am KI-System
• Jährliche Gesamtrevision des QMS inklusive Wirksamkeitsprüfung

5. Schulungsnachweise systematisch erfassen

Die KI-Kompetenzpflicht nach Art. 4 VO (EU) 2024/1689 verlangt zwar keine explizite Dokumentation, aber die allgemeine Rechenschaftspflicht gebietet es: Führen Sie Schulungsnachweise für alle Mitarbeitenden, die KI-Systeme nutzen oder über deren Einsatz entscheiden. Dokumentieren Sie Teilnehmer, Datum, Inhalte und Ergebnis jeder Schulungsmaßnahme.

---

Häufig gestellte Fragen (FAQ) {#faq}

1. Müssen auch Betreiber von Nicht-Hochrisiko-KI Dokumentation führen?

Ja, wenn auch in geringerem Umfang. Die KI-Kompetenzpflicht nach Art. 4 VO (EU) 2024/1689 gilt für alle Anbieter und Betreiber — unabhängig von der Risikoklasse. Auch die DSGVO-Pflichten (Verarbeitungsverzeichnis, DSFA) gelten immer dann, wenn personenbezogene Daten verarbeitet werden. Bei KI-Systemen mit begrenztem Risiko kommen die Transparenzpflichten nach Art. 50 VO (EU) 2024/1689 hinzu, die ebenfalls dokumentiert werden sollten. Lediglich die umfangreichen Anforderungen nach Art. 11, 12, 17 gelten spezifisch für Hochrisiko-KI.

2. Was passiert, wenn meine Dokumentation unvollständig ist?

Unvollständige oder fehlende Dokumentation kann als Verstoß gegen die Anbieterpflichten (Art. 11, 17 VO (EU) 2024/1689) oder die Betreiberpflichten (Art. 26 VO (EU) 2024/1689) gewertet werden. Gemäß Art. 99 Abs. 4 VO (EU) 2024/1689 drohen Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Darüber hinaus kann die Marktüberwachungsbehörde gemäß Art. 79 die Rücknahme oder den Rückruf des KI-Systems anordnen.

3. Kann ich die Dokumentation an meinen KI-Anbieter delegieren?

Die Erstellung der technischen Dokumentation nach Art. 11 und Anhang IV ist Pflicht des Anbieters. Als Betreiber können Sie diese Pflicht nicht übernehmen und müssen sie auch nicht. Ihre Pflicht als Betreiber besteht darin, die vom Anbieter bereitgestellten Logs aufzubewahren (Art. 26 Abs. 5) und die eigene organisatorische Dokumentation zu führen. Wichtig: Prüfen Sie vertraglich, ob Ihr Anbieter seine Dokumentationspflichten tatsächlich erfüllt — bei Compliance-Lücken des Anbieters kann auch Ihre Betreiber-Compliance betroffen sein.

4. Wie lang müssen Logs bei KI-Systemen im HR-Bereich aufbewahrt werden?

Die Mindestfrist nach Art. 26 Abs. 5 VO (EU) 2024/1689 beträgt sechs Monate. Im HR-Bereich ist diese Frist jedoch regelmäßig nicht ausreichend. Ansprüche nach dem AGG verjähren nach zwei Monaten ab Zugang der Ablehnung (§ 15 Abs. 4 AGG), allgemeine Schadensersatzansprüche nach drei Jahren (§§ 195, 199 BGB). Wir empfehlen für KI-Systeme im Personalwesen eine Aufbewahrungsfrist von mindestens drei Jahren — bei streitigen Sachverhalten entsprechend länger.

5. Reicht ein einfaches Wiki oder eine Excel-Tabelle als Dokumentation?

Grundsätzlich schreibt der AI Act kein bestimmtes Format oder Tool vor. Entscheidend ist, dass die Dokumentation vollständig, aktuell, nachvollziehbar und auf Verlangen der Behörden zugänglich ist. Eine Excel-Tabelle oder ein Wiki kann für kleine Unternehmen mit wenigen KI-Systemen ausreichend sein — vorausgesetzt, Sie können die Versionierung und Integrität der Dokumente nachweisen. Für größere Organisationen mit mehreren Hochrisiko-KI-Systemen empfehlen wir jedoch dringend ein professionelles Dokumentenmanagementsystem mit Versionskontrolle, Zugriffsprotokollierung und automatisierten Review-Workflows.

---

Nächste Schritte {#naechste-schritte}

Dokumentationspflichten mögen auf den ersten Blick bürokratisch wirken — in der Praxis sind sie jedoch ein wertvolles Instrument, um KI-Systeme verantwortungsvoll und nachvollziehbar zu betreiben. Wer frühzeitig ein systematisches Dokumentationskonzept aufbaut, spart langfristig Zeit, minimiert Compliance-Risiken und schafft Vertrauen bei Kunden, Mitarbeitenden und Aufsichtsbehörden.

So starten Sie jetzt:

1. Bestandsaufnahme durchführen — Welche KI-Systeme setzen Sie ein? Welche davon fallen in die Hochrisiko-Kategorie?
2. Dokumentationslücken identifizieren — Prüfen Sie anhand der Tabelle in diesem Artikel, welche Dokumente Ihnen fehlen
3. Verantwortlichkeiten zuweisen — Bestimmen Sie, wer für welche Dokumentation verantwortlich ist
4. Vorlagen und Prozesse aufsetzen — Standardisieren Sie Ihre Dokumentation von Anfang an
5. KI-Kompetenz aufbauen — Stellen Sie sicher, dass alle Beteiligten die Anforderungen verstehen und umsetzen können

---

Sie möchten Ihr Team auf die KI-Dokumentationspflichten vorbereiten? Mit unseren praxisorientierten KI-Schulungen vermitteln wir genau die Kompetenz, die Ihre Mitarbeitenden brauchen — von den rechtlichen Grundlagen bis zur operativen Umsetzung. Jetzt Schulungsprogramm entdecken