Welche KI Dokumentation der AI Act verlangt

Wer im Betrieb fragt, was der AI Act an Dokumentation verlangt, bekommt meist eine von zwei Antworten: gar nichts, weil man ja keine eigene KI entwickelt. Oder alles, weil im Netz Listen kursieren, die jede denkbare Pflicht in einen Topf werfen. Beides führt in die Irre.

Tatsächlich verlangt die Verordnung mehrere verschiedene Unterlagen. Jede beruht auf einer eigenen Bestimmung, und jede richtet sich an eine bestimmte Rolle. Wer diese Zuordnung kennt, sieht schnell, welcher Teil überhaupt in Frage kommt.

Die Rolle entscheidet, nicht die Branche

Der AI Act unterscheidet zwischen Anbietern und Betreibern. Anbieter entwickeln ein System und bringen es unter eigenem Namen in Verkehr. Betreiber verwenden ein System im Rahmen ihrer beruflichen Tätigkeit. Die meisten Unternehmen, die KI Werkzeuge einkaufen und nutzen, fallen in die zweite Gruppe.

Diese Zuordnung ist allerdings nicht statisch. Artikel 25 beschreibt Fälle, in denen ein Betreiber als Anbieter gilt: wenn er ein System unter seinem eigenen Namen oder seiner Marke anbietet, wenn er eine wesentliche Änderung vornimmt, oder wenn er die Zweckbestimmung so ändert, dass das System zum Hochrisiko System wird. Wer ein zugekauftes Werkzeug unter eigenem Namen an Kunden weiterreicht, sollte diesen Punkt kennen.

Die Unterlagen und worauf sie beruhen

Sortiert nach dem, was in einem Unternehmen ohne eigene KI Entwicklung praktisch vorkommt:

• Nachweis der KI Kompetenz nach Artikel 4. Keine Form vorgeschrieben, Adressat sind Anbieter und Betreiber.
• Kennzeichnung nach Artikel 50, wenn Menschen mit einem KI System interagieren oder Inhalte künstlich erzeugt wurden.
• Einstufung, wenn ein Anbieter zum Ergebnis kommt, dass ein System aus Anhang III nicht hochriskant ist: Artikel 6 Absatz 3 und 4, mit Registrierung nach Artikel 49 Absatz 2 und Vorlage an Behörden auf Verlangen.
• Technische Dokumentation nach Artikel 11 mit Anhang IV, neun Abschnitte, Adressat sind Anbieter von Hochrisiko Systemen.
• Automatisch erzeugte Protokolle nach Artikel 12, mit der Aufbewahrung durch Betreiber nach Artikel 26 Absatz 6.
• Betreiberpflichten nach Artikel 26: Verwendung nach Betriebsanleitung, geeignete Eingabedaten, menschliche Aufsicht, Meldewege. Nach Absatz 7 die Information der betroffenen Beschäftigten, bevor ein Hochrisiko System am Arbeitsplatz eingesetzt wird.
• Nach der DSGVO unabhängig davon: Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, gegebenenfalls Folgenabschätzung.

Die Grundrechte Folgenabschätzung betrifft die meisten nicht

Artikel 27 wird in Beratungsangeboten häufig mitverkauft. Er richtet sich jedoch an öffentliche Stellen und an private Einrichtungen, die öffentliche Dienste erbringen, sowie an bestimmte Fälle aus Anhang III. Ein privatwirtschaftliches Klein oder Mittelunternehmen fällt in der Regel nicht darunter. Eine Leistung dafür einzukaufen, wäre in den meisten Fällen unnötig.

Was ein pragmatischer Anfang ist

1. 1.Aufstellen, welche KI Werkzeuge im Betrieb verwendet werden und wofür.
2. 2.Je Werkzeug festhalten, ob es zugekauft, unter eigenem Namen weitergegeben oder verändert wurde.
3. 3.Festhalten, ob personenbezogene Daten hineingehen, und den Datenschutzteil daran anschließen.
4. 4.Die Kennzeichnung dort vorbereiten, wo Kunden mit einem System sprechen oder erzeugte Inhalte erhalten.
5. 5.Den Kompetenznachweis führen, weil er unabhängig von der Risikoeinstufung greift.

Diese fünf Schritte sind in wenigen Tagen machbar und ersetzen keine rechtliche Beurteilung. Sie schaffen aber die Grundlage, auf der eine solche Beurteilung überhaupt möglich ist, weil danach zum ersten Mal auf dem Tisch liegt, was tatsächlich im Einsatz ist.

Wir erstellen diese Aufstellung und die zugehörige Dokumentationsmappe als Unternehmensberatung. Die rechtliche Beurteilung des Einzelfalls gehört zu einem Rechtsbeistand, und wir sagen das vorher, statt eine Bestätigung zu verkaufen, die wir nicht ausstellen dürfen.