Art. 11 · Anhang IV · Word-Vorlage
Stand 3. Oktober 2026 · nach Digital Omnibus
EU AI Act Dokumentation: Anhang IV erklärt – mit Word-Vorlage
Wer ein Hochrisiko-KI-System anbietet, muss vor dem Inverkehrbringen eine technische Dokumentation nach Anhang IV erstellen und sie danach aktuell halten. Hier finden Sie alle neun Punkte von Anhang IV mit Leitfragen, typischen Lücken und Beispiel-Formulierungen – und die passende Word-Vorlage zum Ausfüllen, kostenlos und ohne E-Mail-Adresse.
Noch 391 Tage, bis die Pflichten für Hochrisiko-KI nach Anhang III gelten (2. Dezember 2027).
- Alle 9 Punkte von Anhang IV
- Ausfüllhinweise und Tabellen
- Anbieter, Betreiber, GPAI
- KMU-Vereinfachung erklärt
Technische Dokumentation
Anhang IV · Art. 11 KI-VO
- 1Allgemeine Beschreibung100%
- 2Entwicklung und Daten80%
- 3Leistung und Grenzen65%
- 4Kennzahlen100%
- 5Risikomanagement70%
- 6Änderungen40%
- 7Normen55%
- 8Konformitätserklärung0%
- 9Beobachtung im Markt30%
Export als PDF oder DOCX · mit Audit-Historie
Kurzantwort
Die technische Dokumentation nach Art. 11 KI-VO ist Pflicht für Anbieter von Hochrisiko-KI-Systemen. Sie entsteht vor dem Inverkehrbringen oder der Inbetriebnahme, wird über den gesamten Lebenszyklus aktuell gehalten und muss mindestens die neun Punkte von Anhang IV abdecken: Beschreibung des Systems, Entwicklung und Daten, Leistung und Grenzen, Kennzahlen, Risikomanagement, Änderungen, angewandte Normen, Konformitätserklärung und Beobachtung im Markt. Aufbewahrt wird sie zehn Jahre. KMU und Start-ups dürfen eine vereinfachte Form nutzen. Betreiber erstellen keine technische Dokumentation, haben aber eigene Nachweis- und Aufbewahrungspflichten.
- Punkte in Anhang IV
- 9
- Punkte in Anhang IV
- Aufbewahrung beim Anbieter (Art. 18)
- 10 J.
- Aufbewahrung beim Anbieter (Art. 18)
- Protokolle beim Betreiber, mindestens (Art. 26)
- 6 Mon.
- Protokolle beim Betreiber, mindestens (Art. 26)
- Hochrisiko nach Anhang III gilt
- 2.12.2027
- Hochrisiko nach Anhang III gilt
Rollen
Wer muss was dokumentieren?
Die technische Dokumentation nach Anhang IV ist eine Anbieterpflicht. Andere Rollen dokumentieren auch – aber anderes, weniger oder nach einem anderen Anhang.
Tabelle seitlich scrollen →
| Rolle | Was zu dokumentieren ist | Umfang | Grundlage |
|---|---|---|---|
| Anbieter eines Hochrisiko-KI-Systems | Technische Dokumentation mit allen neun Punkten von Anhang IV, erstellt vor dem Inverkehrbringen oder der Inbetriebnahme und laufend aktualisiert. Dazu gehören Risikomanagement, Testberichte, Konformitätserklärung und Plan zur Beobachtung nach dem Inverkehrbringen. | VollständigVollständig, KMU in vereinfachter Form | Art. 11, Anhang IV, Art. 18 |
| Betreiber eines Hochrisiko-KI-Systems | Keine technische Dokumentation. Stattdessen nachvollziehbar festhalten: Nutzung nach Betriebsanleitung, benannte Personen für die menschliche Aufsicht, Relevanz der Eingabedaten, Überwachung des Betriebs, Information der Beschäftigten, aufbewahrte Protokolle. Für bestimmte Betreiber zusätzlich die Grundrechte-Folgenabschätzung. | Eigene NachweiseEigene Betriebsnachweise | Art. 26, Art. 27 |
| Anbieter eines GPAI-Modells (Allzweck-KI) | Technische Dokumentation des Modells nach Anhang XI, u. a. zu Training, Tests und Evaluierungsergebnissen – nicht nach Anhang IV. Zusätzlich Informationen für Anbieter, die das Modell in eigene Systeme einbauen. | VollständigEigener Anhang (XI) | Art. 53 Abs. 1 Buchst. a |
| Anbieter mit Ausnahme nach Art. 6 Abs. 3 | Fällt ein System unter Anhang III, stellt aber nach Ihrer Bewertung kein erhebliches Risiko dar, dokumentieren Sie diese Bewertung vor dem Inverkehrbringen und legen sie der Behörde auf Anfrage vor. Eine Anhang-IV-Dokumentation entfällt dann. | SchlankBewertung schriftlich festhalten | Art. 6 Abs. 3 und 4 |
| Anbieter und Betreiber mit Transparenzpflichten | Keine technische Dokumentation. Sinnvoll ist ein kurzer Nachweis, wie Sie informieren, dass Menschen mit KI interagieren, und wie KI-erzeugte oder manipulierte Inhalte gekennzeichnet werden. | SchlankInterner Nachweis empfohlen | Art. 50 |
Wer ein fremdes Hochrisiko-System unter eigenem Namen anbietet, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es hochriskant wird, kann selbst zum Anbieter werden (Art. 25) – mit allen Dokumentationspflichten.
Entscheidend ist also zuerst die Rolle, dann die Risikoklasse. Viele Unternehmen sind beides: Betreiber für zugekaufte Tools und Anbieter für das eigene Produkt. Dann gelten beide Zeilen der Tabelle, aber für unterschiedliche Systeme.
Ist ein Hochrisiko-System zugleich Teil eines Produkts, das unter Harmonisierungsrechtsvorschriften nach Anhang I fällt (etwa Maschinen oder Medizinprodukte), wird eine einzige technische Dokumentation geführt, die die Angaben nach Anhang IV und die nach dem jeweiligen Produktrecht enthält. Für diese Systeme gelten die Pflichten ab dem 2. August 2028; für Anhang-III-Systeme ab dem 2. Dezember 2027.
Anhang IV
Die 9 Punkte von Anhang IV – was jeweils hineingehört
Jede Karte fasst einen Punkt sinngemäß zusammen und ergänzt, was in der Praxis gefragt wird, wo Dokumentationen meistens lückenhaft sind und wie eine brauchbare Formulierung aussieht.
Anhang IV Nr. 1
Was gehört rein
- Zweckbestimmung, Name des Anbieters und Version, die das Verhältnis zu Vorversionen zeigt
- Interaktion mit Hardware, Software und anderen KI-Systemen, die nicht Teil des Systems sind
- Relevante Software- und Firmwareversionen und Anforderungen an Updates
- Formen des Inverkehrbringens (SaaS, API, Softwarepaket, eingebettet) und Zielhardware
- Abbildungen, falls das System Bestandteil eines Produkts ist; Beschreibung der Benutzeroberfläche
- Betriebsanleitung für Betreiber
Leitfragen
- Könnte eine fachfremde Prüferin nach einer Seite erklären, wofür das System gedacht ist – und wofür nicht?
- Welche externen Modelle oder Dienste ruft das System auf, in welcher Version?
- Wie erfahren Betreiber von Updates, und welche Updates ändern das Verhalten?
Typische Lücke
Die Zweckbestimmung bleibt vage („unterstützt HR-Prozesse“). Daran hängen aber Risikoeinstufung, Tests und Grenzen. Eine unscharfe Zweckbestimmung macht alle folgenden Abschnitte angreifbar.
Beispiel-Formulierung „Das System ordnet eingegangene Bewerbungen für ausgeschriebene Stellen nach Passung zum Anforderungsprofil. Es dient der Vorsortierung durch Recruiter; Absagen ohne menschliche Prüfung sind nicht vorgesehen. Nicht vorgesehen ist der Einsatz für interne Beförderungen.“
Abschnitt in der Vorlage: 1
Anhang IV Nr. 2
Was gehört rein
- Entwicklungsmethoden und -schritte, auch der Einsatz vortrainierter Modelle oder Werkzeuge Dritter
- Design-Spezifikationen: Logik, Algorithmen, zentrale Designentscheidungen mit Begründung und Annahmen, Optimierungsziel, Zielkonflikte
- Systemarchitektur und eingesetzte Rechenressourcen
- Datenanforderungen und Datenblätter: Herkunft, Umfang, Auswahl, Kennzeichnung (Labeling), Bereinigung
- Bewertung der Maßnahmen zur menschlichen Aufsicht nach Art. 14
- Vorab festgelegte Änderungen, Validierungs- und Testverfahren mit Metriken, datierte und unterschriebene Testberichte, Cybersicherheit
Leitfragen
- Welche Designentscheidung würden Sie heute anders treffen – und ist die damalige Begründung dokumentiert?
- Woher stammen die Trainingsdaten, wer hat sie gekennzeichnet, und was wurde aussortiert?
- Welche Metriken messen mögliche diskriminierende Auswirkungen?
- Sind die Testberichte datiert und von den Verantwortlichen unterzeichnet?
Typische Lücke
Datenblätter fehlen oder beschreiben nur den Umfang („2 Mio. Datensätze“), nicht Herkunft, Auswahl und Bereinigung. Ebenso häufig: Testergebnisse liegen in Notebooks, aber ohne Datum, Version und Freigabe.
Beispiel-Formulierung „Trainingsdatensatz T-2026-03: 412.000 anonymisierte Bewerbungen aus 2021–2025 von drei Kunden mit Einwilligung zur Nutzung. Kennzeichnung durch zwei geschulte Recruiter je Datensatz, Abweichungen durch dritte Person entschieden. Entfernt wurden Dubletten (3,1 %) und Bewerbungen ohne Stellenbezug (0,8 %).“
Abschnitt in der Vorlage: 2
Anhang IV Nr. 3
Was gehört rein
- Fähigkeiten und Leistungsgrenzen, erwartete Gesamtgenauigkeit
- Genauigkeit für die Personen oder Personengruppen, bei denen das System eingesetzt werden soll
- Vorhersehbare unbeabsichtigte Ergebnisse und Risikoquellen für Gesundheit, Sicherheit, Grundrechte und Diskriminierung
- Maßnahmen zur menschlichen Aufsicht und technische Hilfen zur Interpretation der Ausgaben
- Spezifikationen der Eingabedaten
Leitfragen
- Für welche Gruppen ist das System messbar schlechter – und was folgt daraus für den Einsatz?
- Was passiert bei Eingaben außerhalb der Spezifikation?
- Woran erkennt der Betreiber, dass er einer Ausgabe nicht trauen sollte?
Typische Lücke
Es wird nur eine Gesamtgenauigkeit angegeben. Anhang IV fragt ausdrücklich nach der Genauigkeit für die betroffenen Personengruppen; genau dort zeigen sich Verzerrungen.
Beispiel-Formulierung „Top-10-Trefferquote gesamt 87 %. Für Bewerbungen mit Lücken im Lebenslauf über 12 Monate 79 %. Deshalb zeigt die Oberfläche bei diesen Bewerbungen einen Hinweis und sortiert sie nicht unter Rang 50 ein.“
Abschnitt in der Vorlage: 3
Anhang IV Nr. 4
Was gehört rein
- Gewählte Leistungskennzahlen mit Zielwerten
- Begründung, warum die Kennzahlen zur Zweckbestimmung passen
- Grenzen der Kennzahlen und ergänzende Messgrößen
Leitfragen
- Würde eine gute Kennzahl auch dann gut aussehen, wenn das System im Einsatz versagt?
- Passen die Kennzahlen zu den Kosten eines Fehlers – falsch positiv oder falsch negativ?
Typische Lücke
Kennzahlen werden genannt, aber nicht begründet. Gerade bei unausgewogenen Klassen ist eine hohe Accuracy wenig aussagekräftig.
Beispiel-Formulierung „Wir messen Recall@10 statt Accuracy, weil ein übersehener geeigneter Bewerber schwerer wiegt als ein ungeeigneter in der Vorschlagsliste. Ergänzend messen wir die Differenz des Recall@10 zwischen Geschlechtern und Altersgruppen; Schwelle: höchstens 5 Prozentpunkte.“
Abschnitt in der Vorlage: 4
Anhang IV Nr. 5 · Art. 9
Was gehört rein
- Prozess: Ermitteln, Bewerten, Behandeln und Überprüfen von Risiken
- Verantwortlichkeiten, Rhythmus und Anlässe für Aktualisierungen
- Risikoregister mit Maßnahmen und Restrisiken (Auszug oder Verweis)
- Tests, die die Wirksamkeit der Maßnahmen belegen
Leitfragen
- Wann wurde das Risikoregister zuletzt geändert – und warum?
- Wer entscheidet, ob ein Restrisiko akzeptabel ist?
- Fließen Erkenntnisse aus dem Betrieb zurück ins Register?
Typische Lücke
Das Risikomanagement ist eine einmalige Tabelle aus der Entwicklungsphase. Art. 9 verlangt einen fortlaufenden, wiederholten Prozess.
Beispiel-Formulierung „Das Risikoregister wird bei jeder Modellversion, bei jedem gemeldeten Vorfall und mindestens quartalsweise überprüft. Restrisiken der Stufe ‚hoch‘ bedürfen der Freigabe durch die Produktleitung.“
Abschnitt in der Vorlage: 5
Anhang IV Nr. 6
Was gehört rein
- Änderungsverzeichnis mit Datum, Version und Beschreibung
- Bewertung, ob eine Änderung wesentlich ist
- Folgen: Neubewertung, neue Tests, ggf. neue Konformitätsbewertung
Leitfragen
- Ab wann ist ein Modell-Update bei Ihnen eine wesentliche Änderung?
- Ist für jede ausgelieferte Version nachvollziehbar, welche Dokumentationsfassung galt?
Typische Lücke
Das Änderungsverzeichnis lebt im Ticketsystem oder in Git, aber die Dokumentation nimmt nicht darauf Bezug. Dann fehlt die Bewertung, welche Änderung wesentlich war.
Beispiel-Formulierung „Version 2.3 (14.09.2026): Nachtraining mit Daten aus Q2/2026, Architektur unverändert. Bewertung: keine wesentliche Änderung, da Zweckbestimmung und Leistungskennzahlen innerhalb der festgelegten Schwellen. Tests T-31 bis T-34 wiederholt.“
Abschnitt in der Vorlage: 6
Anhang IV Nr. 7
Was gehört rein
- Liste der angewandten harmonisierten Normen mit Fundstelle im Amtsblatt
- Wo keine angewandt wurden: ausführliche Beschreibung der gewählten Lösungen für die Anforderungen aus Kapitel III Abschnitt 2
- Weitere relevante Normen und technische Spezifikationen
Leitfragen
- Welche Anforderung (Art. 8–15) ist durch keine Norm abgedeckt – und wie lösen Sie sie?
- Wer verfolgt, welche harmonisierten Normen neu veröffentlicht werden?
Typische Lücke
Der Abschnitt bleibt leer, weil „es noch keine Normen gibt“. Gerade dann verlangt Anhang IV eine ausführliche Beschreibung der eigenen Lösungen.
Beispiel-Formulierung „Für die Anforderungen an Genauigkeit und Robustheit (Art. 15) wurde keine harmonisierte Norm angewandt. Lösung: festgelegte Metriken (Abschnitt 4), Robustheitstests gegen veränderte Eingabeformate (T-20 bis T-24) und Monitoring nach Abschnitt 9.“
Abschnitt in der Vorlage: 7
Anhang IV Nr. 8 · Art. 47
Was gehört rein
- Kopie der EU-Konformitätserklärung nach Art. 47 (Inhalt nach Anhang V)
- Bezug zu Systemversion und Datum
- Fortschreibung bei neuer Fassung
Leitfragen
- Passt die Erklärung zur aktuell ausgelieferten Version?
- Wo liegt das unterzeichnete Original?
Typische Lücke
Die Erklärung ist naturgemäß das letzte Dokument. Wird sie später nicht fortgeschrieben, verweist die Dokumentation auf eine veraltete Version.
Beispiel-Formulierung „EU-Konformitätserklärung Nr. KE-2027-01 vom 15.11.2027 für Version 3.0, unterzeichnet von der Geschäftsführung; Original im Vertragsarchiv, Kopie als Anlage A6.“
Abschnitt in der Vorlage: 8
Anhang IV Nr. 9 · Art. 72
Was gehört rein
- Beschreibung des Systems zur Beobachtung nach dem Inverkehrbringen
- Plan nach Art. 72 Abs. 3 mit Signalen, Quellen, Häufigkeit, Schwellen und Maßnahmen
- Bezug zu Vorfallmeldungen nach Art. 73
Leitfragen
- Welche Daten bekommen Sie aus dem Betrieb – und welche nur, wenn Betreiber sie liefern?
- Was passiert, wenn eine Kennzahl im Betrieb die Schwelle reißt?
Typische Lücke
Es gibt ein Monitoring-Dashboard, aber keinen Plan: Schwellen, Verantwortliche und Reaktionen sind nirgends festgehalten.
Beispiel-Formulierung „Monatlich: Recall@10 auf einer Stichprobe von 500 von Recruitern bewerteten Fällen; Schwelle 82 %. Bei Unterschreitung: Analyse binnen 10 Arbeitstagen durch das ML-Team, Information der Betreiber, Prüfung auf Meldepflicht.“
Abschnitt in der Vorlage: 9
Sinngemäße Zusammenfassung. Maßgeblich ist der Wortlaut von Anhang IV der Verordnung (EU) 2024/1689. Die Beispiele sind erfunden und zeigen nur den Detailgrad.
Word-Vorlage
Die Anhang-IV-Vorlage zum Ausfüllen
Die Gesetzestexte und Leitfäden zu Anhang IV gibt es reichlich – eine Datei, in die man direkt schreiben kann, kaum. Unsere Vorlage folgt Anhang IV Punkt für Punkt und lässt sich in Word, LibreOffice oder Google Docs bearbeiten.
Vorlage · VO (EU) 2024/1689
Technische Dokumentation · Anhang IV
DOCX · 24 KB · Deutsch · Stand 3. Oktober 2026
- 1Allgemeine Beschreibung des KI-Systems
- 2Bestandteile und Entwicklungsprozess
- 3Überwachung, Funktionsweise und Kontrolle
- 4Eignung der Leistungskennzahlen
- 5Risikomanagementsystem
- 6Änderungen über den Lebenszyklus
- 7Angewandte harmonisierte Normen und andere Lösungen
- 8Kopie der EU-Konformitätserklärung
- 9Beobachtung nach dem Inverkehrbringen
Was in der Datei steckt
- Deckblatt mit System, Version, Anbieter, Stand und Verantwortlichen
- Hinweiskasten: Arbeitshilfe, keine Rechtsberatung – maßgeblich ist Anhang IV der VO (EU) 2024/1689
- Änderungshistorie als Tabelle
- Inhaltsverzeichnis als Word-Feld
- Alle 9 Abschnitte von Anhang IV mit 30 Unterpunkten als Überschriften
- Ausfüllhinweise in Grau-kursiv, die Sie vor der Freigabe löschen
- Tabellen für Datensätze, Tests, Kennzahlen, Risiken, Normen und den Beobachtungsplan
- Anlagenverzeichnis für Betriebsanleitung, Datenblätter, Testberichte und Konformitätserklärung
Lieber auf Papier?
Die Druckversion fasst die Gliederung als PDF-Checkliste zusammen – praktisch für Workshops mit Entwicklung und Fachbereich.
So arbeiten Sie mit der Vorlage
- 01Eine Datei je KI-System und je Hauptversion. Kleine Änderungen tragen Sie in die Änderungshistorie ein.
- 02Nicht zutreffende Punkte nicht löschen, sondern begründen.
- 03Große Unterlagen als Anlage führen und mit Version und Ablageort verweisen.
- 04Vor der Freigabe alle grauen Hinweise entfernen und das Inhaltsverzeichnis aktualisieren.
Open-Source Framework
simpleact-ai-act-documentation-template
Open-Source Dokumentationsvorlage nach Annex IV des EU AI Act: alle 9 Pflichtabschnitte als ausfüllbare Templates.
Selbsteinschätzung
Wie vollständig ist Ihre Dokumentation?
Bewerten Sie jeden der neun Punkte von Anhang IV. Sie sehen sofort, wie weit Sie sind, und bekommen eine Lückenliste mit dem jeweils nächsten Schritt. Nichts wird gespeichert oder übertragen.
- 1Allgemeine BeschreibungNoch nicht bewertet
- 2Entwicklung und DatenNoch nicht bewertet
- 3Leistung und GrenzenNoch nicht bewertet
- 4KennzahlenNoch nicht bewertet
- 5RisikomanagementNoch nicht bewertet
- 6ÄnderungenNoch nicht bewertet
- 7NormenNoch nicht bewertet
- 8KonformitätserklärungNoch nicht bewertet
- 9Beobachtung im MarktNoch nicht bewertet
Dokumentationsstand
Anhang IV · Selbsteinschätzung
Vollständigkeit
0 %
Am Anfang
Die Grundlagen fehlen noch. Beginnen Sie mit Zweckbestimmung (Punkt 1) und Daten (Punkt 2) – darauf bauen alle anderen Abschnitte auf.
Lückenliste
Bewerten Sie links die neun Punkte – hier erscheint Ihre Lückenliste.
Die Selbsteinschätzung ist eine Orientierung und keine Prüfung der Konformität. Sie ersetzt weder Konformitätsbewertung noch Rechtsberatung.
KMU und Start-ups
Vereinfachte Dokumentation für kleine Unternehmen
Art. 11 Abs. 1 erlaubt KMU, einschließlich Start-ups, die Angaben nach Anhang IV in vereinfachter Form bereitzustellen. Die Kommission stellt dafür ein vereinfachtes Formular bereit.
Vereinfacht heißt nicht verkürzt im Inhalt: Die Fragen von Anhang IV bleiben dieselben, die Darstellung darf schlanker sein. Wer ein kleines Team hat, beschreibt Architektur und Prozesse knapper und verweist häufiger auf vorhandene Unterlagen.
Mit dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) werden Erleichterungen, die bisher KMU vorbehalten waren, auf kleine Mid-Caps ausgeweitet. Ob Ihr Unternehmen darunter fällt und welche Erleichterung im Einzelnen gilt, sollten Sie anhand des Verordnungstextes prüfen.
Unsere Vorlage folgt der vollständigen Gliederung. Das ist bewusst so: Eine vollständige Struktur lässt sich auf eine vereinfachte Form kürzen, umgekehrt fehlt später oft etwas. Prüfen Sie, ob das Formular der Kommission in der aktuellen Fassung vorliegt, und übertragen Sie Ihre Inhalte dorthin, wenn Sie es nutzen wollen.
- 01
Gleiche Fragen
Alle neun Punkte von Anhang IV müssen beantwortet sein – auch in vereinfachter Form.
- 02
Schlankere Form
Kürzere Beschreibungen, mehr Verweise auf bestehende Unterlagen, weniger Prosa.
- 03
Eigenes Formular
Die Kommission stellt ein vereinfachtes Formular für KMU bereit.
- 04
Kleine Mid-Caps
Der Digital Omnibus erweitert Erleichterungen auf kleine Mid-Caps; Anwendungsbereich prüfen.
Aufbewahrung
Wie lange aufbewahren?
Die Fristen unterscheiden sich nach Rolle und Unterlage. Die längste betrifft die technische Dokumentation des Anbieters.
Tabelle seitlich scrollen →
| Unterlage | Wer | Frist | Grundlage |
|---|---|---|---|
| Technische Dokumentation | Anbieter | 10 Jahre nach Inverkehrbringen oder Inbetriebnahme | Art. 18 |
| Dokumentation des Qualitätsmanagementsystems | Anbieter | 10 Jahre nach Inverkehrbringen oder Inbetriebnahme | Art. 18 |
| EU-Konformitätserklärung | Anbieter | 10 Jahre nach Inverkehrbringen oder Inbetriebnahme | Art. 18 |
| Automatisch erzeugte Protokolle | Anbieter | soweit unter seiner Kontrolle; Frist nach Art. 19 | Art. 19 |
| Automatisch erzeugte Protokolle | Betreiber | mindestens 6 Monate, sofern kein anderes Recht Abweichendes regelt | Art. 26 Abs. 6 |
| Bewertung nach Art. 6 Abs. 3 | Anbieter | auf Anfrage vorlegen; empfohlen: wie technische Dokumentation | Art. 6 Abs. 4 |
Die zehn Jahre laufen ab dem Inverkehrbringen oder der Inbetriebnahme. Praktisch heißt das: Jede ausgelieferte Fassung der Dokumentation muss über diesen Zeitraum abrufbar bleiben – nicht nur die aktuelle.
Betreiber
Was Betreiber dokumentieren sollten
Betreiber erstellen keine technische Dokumentation. Sie tragen aber eigene Pflichten aus Art. 26 – und können nur mit Nachweisen zeigen, dass sie diese erfüllen.
- Art. 26 Abs. 1
Nutzung nach Betriebsanleitung
Welche Betriebsanleitung in welcher Version gilt und wie Sie sicherstellen, dass das System bestimmungsgemäß eingesetzt wird.
- Art. 26 Abs. 2
Menschliche Aufsicht
Wer die Aufsicht hat, mit welcher Kompetenz und Befugnis – Namen, Rollen, Schulungsnachweise.
- Art. 26 Abs. 4
Eingabedaten
Soweit die Eingabedaten unter Ihrer Kontrolle stehen: wie Sie sicherstellen, dass sie relevant und ausreichend repräsentativ für den Zweck sind.
- Art. 26 Abs. 5
Überwachung des Betriebs
Wie Sie den Betrieb überwachen, Auffälligkeiten an den Anbieter melden und bei Risiken die Nutzung aussetzen.
- Art. 26 Abs. 6
Protokolle
Die automatisch erzeugten Protokolle, soweit unter Ihrer Kontrolle, mindestens sechs Monate aufbewahren.
- Art. 26 Abs. 7
Information der Beschäftigten
Arbeitnehmervertretungen und betroffene Beschäftigte vor dem Einsatz am Arbeitsplatz informieren – mit Datum und Inhalt.
- Art. 27
Grundrechte-Folgenabschätzung
Für bestimmte Betreiber, etwa Einrichtungen des öffentlichen Rechts oder private Einrichtungen, die öffentliche Dienste erbringen, vor der ersten Nutzung.
Fordern Sie beim Anbieter mindestens die Betriebsanleitung, die Angaben zur menschlichen Aufsicht, die bekannten Leistungsgrenzen und die Information zur Konformitätserklärung an. Diese Unterlagen brauchen Sie ohnehin für die Datenschutz-Folgenabschätzung.
Für Ihre eigenen Nachweise reicht oft ein Eintrag je System in Ihrem KI-Register plus eine kurze Betriebsakte: Verantwortliche, Schulungen, Überwachungsrhythmus, Ablageort der Protokolle.
DSGVO
Bezug zur DSGVO: DSFA und Verzeichnis
Verarbeitet ein Hochrisiko-KI-System personenbezogene Daten, laufen KI-Verordnung und DSGVO nebeneinander. Viele Inhalte lassen sich wiederverwenden – aber nicht ersetzen.
Datenschutz-Folgenabschätzung
Betreiber nutzen die Informationen des Anbieters nach Art. 13 KI-VO, um ihre DSFA nach Art. 35 DSGVO durchzuführen (Art. 26 Abs. 9). Beschreibung, Risiken und Aufsichtsmaßnahmen aus der technischen Dokumentation sind dafür die beste Quelle.
Zur DSFAVerzeichnis von Verarbeitungstätigkeiten
Jede Verarbeitung personenbezogener Daten durch das KI-System gehört ins VVT nach Art. 30 DSGVO – beim Anbieter für Trainingsdaten, beim Betreiber für den Einsatz. Verweisen Sie in den Datenblättern auf den VVT-Eintrag.
Zum VerarbeitungsverzeichnisDatenherkunft und Rechtsgrundlage
Anhang IV fragt nach Herkunft und Auswahl der Trainingsdaten. Die DSGVO fragt zusätzlich nach der Rechtsgrundlage. Halten Sie beides im selben Datenblatt fest, dann widersprechen sich die Dokumente nicht.
Grundrechte-Folgenabschätzung und DSFA
Wo Betreiber eine Grundrechte-Folgenabschätzung nach Art. 27 brauchen, ergänzt sie eine bereits durchgeführte DSFA. Doppelte Arbeit vermeiden Sie, indem Sie dieselbe Systembeschreibung verwenden.
Pflege
Dokumentation aktuell halten
Art. 11 verlangt, dass die Dokumentation auf dem aktuellen Stand bleibt. In der Praxis scheitert das selten am Willen, sondern an fehlenden Auslösern.
- 01
Neue Modellversion
Nachtraining, neue Architektur oder anderes Basismodell: Abschnitte 2, 3, 4 und 6 prüfen, Tests wiederholen.
- 02
Neue Datenquelle
Neues Datenblatt, Prüfung von Herkunft und Rechtsgrundlage, Auswirkungen auf Leistung je Personengruppe.
- 03
Geänderte Zweckbestimmung
Neuer Einsatzbereich oder neue Nutzergruppe: Einstufung prüfen, ggf. wesentliche Änderung.
- 04
Vorfall oder Beschwerde
Risikoregister aktualisieren, Beobachtungsplan anpassen, Meldepflicht nach Art. 73 prüfen.
- 05
Neue harmonisierte Norm
Abschnitt 7 aktualisieren und prüfen, ob eigene Lösungen durch die Norm ersetzt werden.
- 06
Feste Überprüfung
Unabhängig von Anlässen mindestens einmal im Jahr alle Abschnitte gegen das laufende System lesen.
Versionierung, die eine Prüfung übersteht
- Jede Fassung bekommt eine Versionsnummer und ein Datum und ist einer Systemversion zugeordnet.
- Alte Fassungen werden archiviert, nicht überschrieben – zehn Jahre lang abrufbar.
- Die Änderungshistorie nennt Abschnitt, Änderung, Auslöser und Freigabe.
- Wesentliche Änderungen werden als solche gekennzeichnet und mit der Folgeentscheidung verknüpft.
Werkzeuge
Word-Vorlage oder Software?
Für ein einzelnes System mit überschaubarem Team ist eine gut gepflegte Word-Datei ein solider Anfang. Mit mehreren Systemen und Versionen kippt das Verhältnis.
| Aspekt | Word / Excel | Compliance-Software |
|---|---|---|
| Einstieg | Sofort, ohne Kosten | Einrichtung nötig |
| Versionen | Manuell, Dateinamen und Ablage | Jede Fassung automatisch versioniert |
| Bezug zu Inventar und Risiko | Verweise von Hand pflegen | Direkt am erfassten System |
| Änderungsauslöser | Jemand muss daran denken | Erinnerungen und Aufgaben |
| Export für Prüfung | Datei weitergeben | Export als PDF/DOCX mit Historie |
Wenn Sie mehrere Systeme dokumentieren, führt SimpleAct die Anhang-IV-Struktur direkt am System im KI-Inventar – mit Verantwortlichen, Audit-Historie und Export.
Dokumentation in SimpleAct ansehenFAQ
Häufige Fragen zur technischen Dokumentation
Noch Fragen? Wir helfen gerne weiter. E-Mail schreiben · 7 Tage testen (Kreditkarte nötig)
Quellen und Stand
Zuletzt geprüft am · Redaktion SimpleAct
- Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex
- Verordnung (EU) 2026/1744 (Digital Omnibus on AI), EUR-Lex
Diese Seite und die Vorlage dienen der Orientierung und ersetzen keine Rechtsberatung. Anhang IV ist sinngemäß wiedergegeben; maßgeblich ist der Wortlaut im Amtsblatt der EU.
Änderungen an dieser Seite
- 3. Oktober 2026 – Zusammengeführt mit /ki-dokumentation. Neu: kostenlose Word-Vorlage, alle 9 Punkte von Anhang IV mit Leitfragen und Beispielen, Rollen-Tabelle, Selbsteinschätzung, KMU-Vereinfachung und Fristen nach Digital Omnibus.
- 23. Mai 2026 – Leitfaden mit PDF-Vorlage.
Weiterführend
- Anhang III: Hochrisiko-Bereiche
- EU AI Act im Überblick
- Risikoklassen bestimmen
- EU AI Act Fristen nach Digital Omnibus
- KI-Register Vorlage (Excel)
- KI-Register: Pflicht & Aufbau
- Hochrisiko-KI Checkliste
- Betreiberpflichten nach Art. 26 KI-Verordnung
- Grundrechte-Folgenabschätzung (FRIA) nach Art. 27
- KI-Richtlinie: Word-Vorlage für die interne Nutzung
- KI-Kompetenz: Schulungsmatrix und Teilnahmebestätigung
Dokumentation, die mit dem System mitwächst
SimpleAct führt die Anhang-IV-Struktur direkt am erfassten KI-System – mit Risikoeinstufung, Verantwortlichen, Audit-Historie und Export für die Prüfung.