Wenn Unternehmen an ein Audit denken, denken viele an eine unangekündigte Prüfung mit Aktenkoffer und Klemmbrett. In der Praxis sieht ein EU-AI-Act-Audit meist anders aus: eine Anfrage nach Nachweisen – mit einer Frist, bis wann sie vorliegen müssen. Genau da wird es für viele Unternehmen eng. Nicht weil die KI-Systeme selbst ein Problem wären, sondern weil die Nachweise verstreut sind: ein bisschen in E-Mails, ein bisschen in einer Excel-Liste, ein bisschen im Kopf der Person, die den Rollout damals begleitet hat.
Wer prüft eigentlich – und wann?
Die Marktüberwachung nach EU AI Act erfolgt durch die zuständigen nationalen Behörden. Eine Prüfung kann anlassbezogen erfolgen – etwa nach einer Beschwerde oder einem gemeldeten Vorfall – oder im Rahmen stichprobenartiger Kontrollen, wie es auch aus anderen Regulierungsbereichen bekannt ist. Entscheidend ist: Die Aufforderung, Nachweise vorzulegen, kommt in aller Regel mit wenig Vorlauf. Zeit, erst dann mit der Dokumentation zu beginnen, bleibt praktisch nicht.
Diese Nachweise werden Unternehmen wahrscheinlich vorlegen müssen
Der genaue Umfang hängt vom Einzelfall ab, aber folgende Punkte tauchen in den allermeisten Fällen auf:
Auffällig ist: Kaum einer dieser Punkte lässt sich am Tag der Anfrage noch nachträglich sauber erstellen. Eine Risikoklassifizierung, die erst im Nachhinein begründet wird, wirkt anders als eine, die von Anfang an dokumentiert wurde.
Unser Tipp: Prüfen Sie testweise: Könnten Sie für Ihr wichtigstes KI-System heute, ohne Vorlauf, alle sieben Nachweise aus der Tabelle vorlegen? Wenn nicht, wissen Sie genau, wo der nächste Schritt liegt.
Warum "das dokumentieren wir, wenn es so weit ist" nicht funktioniert
Der naheliegende Reflex ist, Dokumentation als etwas zu behandeln, das man bei Bedarf nachliefert. Das Problem: Zum Zeitpunkt einer Anfrage ist der Bedarf bereits da – und die übliche Frist reicht selten aus, um Monate oder Jahre an fehlender Dokumentation aufzuholen. Wer falsch klassifiziert oder gar nicht dokumentiert hat, riskiert nicht nur Bußgelder, sondern auch, dass ein eigentlich unkritisches System plötzlich unter verschärfter Beobachtung steht – einfach weil sich die Nachvollziehbarkeit im Nachhinein nicht mehr herstellen lässt.
Wie sich Unternehmen realistisch vorbereiten
Auch hier gilt: Es muss kein Großprojekt sein, wenn früh genug angefangen wird.
1. Register aufbauen. Alle eingesetzten KI-Systeme an einem Ort erfassen – Grundlage für alles Weitere.
2. Hochrisiko-Systeme priorisieren. Für diese zuerst die vollständige technische Dokumentation nach Annex IV zusammenstellen, inklusive Datenqualität und Fairness-Bewertung.
3. Nachweise zentral und exportfähig ablegen. Governance-Entscheidungen, Schulungsnachweise und Vorfall-Historie so dokumentieren, dass sie sich im Bedarfsfall in Stunden statt Wochen zusammenstellen lassen.
Unser Tipp: Simulieren Sie einmal jährlich einen "Audit-Ernstfall" intern – lassen Sie jemanden aus dem Team die Nachweise für ein System zusammenstellen, als käme die Anfrage morgen. Lücken zeigen sich so, bevor sie teuer werden.
Häufige Fragen zum EU-AI-Act-Audit
Wer führt EU-AI-Act-Audits durch?
Zuständig sind die jeweiligen nationalen Marktüberwachungsbehörden. Prüfungen können anlassbezogen (z. B. nach einer Beschwerde) oder im Rahmen allgemeiner Kontrollen erfolgen.
Welche Strafen drohen bei fehlender Dokumentation?
Der EU AI Act sieht empfindliche Bußgelder vor, deren genaue Höhe vom Einzelfall und der Schwere des Verstoßes abhängt. Die genauen Konsequenzen sollten im Zweifel rechtlich geprüft werden.
Wie viel Zeit bleibt normalerweise zur Vorbereitung?
Anfragen nach Nachweisen kommen in der Regel mit vergleichsweise kurzer Frist. Dokumentation, die erst nach Erhalt der Anfrage begonnen wird, lässt sich in dieser Zeit selten vollständig nachholen.
Betrifft das auch Unternehmen mit nur minimalem Risiko?
Der Umfang der Nachweispflichten hängt von der Risikoklasse ab. Aber unabhängig davon gilt bereits seit Februar 2025: Wer KI-Systeme einsetzt, muss die KI-Kompetenz-Pflicht nach Art. 4 erfüllen können.
Der beste Zeitpunkt für Nachweise ist nicht der Tag der Anfrage
Audit-Vorbereitung ist im Kern kein juristisches Thema, sondern ein organisatorisches: Nachweise entstehen am besten dann, wenn ein KI-System eingeführt wird – nicht erst, wenn danach gefragt wird. Wer diesen Punkt einmal strukturiert, muss ihn im Ernstfall nur noch exportieren.
Genau hier setzt SimpleAct an: KI-Systeme erfassen, risikobasiert einstufen, mit vollständiger Dokumentation versehen – und bei Bedarf einen exportfähigen Audit-Nachweis erstellen. An einem Ort, statt verteilt über E-Mails, Excel-Listen und Erinnerungen.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Verfahren, Fristen und Bußgeldrahmen können sich je nach Einzelfall und nationaler Umsetzung unterscheiden. Bei Unsicherheiten empfehlen wir eine rechtliche Prüfung.
Über SimpleAct: SimpleAct ist eine deutsche Compliance-Plattform, die Unternehmen bei der strukturierten Dokumentation ihrer KI-Systeme nach EU AI Act unterstützt. Von der Erfassung über die Risikobewertung bis zum exportfähigen Audit-Nachweis – alles an einem Ort.
Tags
Kamill | SimpleAct
Autor · SimpleAct Team