Dokumentation nach der KI-Verordnung: Was gefordert wird und wie Unternehmen es umsetzen

November 5, 2025

Kategorien:

Artikel von Marcus Belke, KI-Verordnung

Marcus Belke

CEO of 2B Advice GmbH, driving innovation in privacy compliance and risk management and leading the development of Ailance, the next-generation compliance platform.

Die KI-Verordnung verpflichtet Unternehmen, jedes KI-System mit einer vollständigen technischen Dokumentation zu belegen: von den Trainingsdaten bis zu den Risikobewertungen. Doch die Dokumentationspflicht nicht nur Kontrolle bedeutet, sondern den entscheidenden Hebel für Nachvollziehbarkeit und Qualität bietet. Wer seine KI dokumentiert, versteht sie und kann sie auch verantworten. Genau das verlangt die KI-Verordnung: Transparenz über den gesamten KI-Lebenszyklus.

Ein Praxisbeispiel: Bias-Erkennung durch Dokumentation

In einem KI-Projekt bei einem mittelständischen Unternehmen kam die Bedeutung der Dokumentationspflicht besonders deutlich zum Vorschein. Das Unternehmen setzte ein Bewerbungs-Scoring-Modell ein, das der HR-Abteilung half, Lebensläufe zu priorisieren. Das System funktionierte zuverlässig; bis im Rahmen der technischen Dokumentation auffiel, dass weder die Trainingsdaten noch die Entscheidungslogik ausreichend beschrieben waren.

Im Zuge der Umsetzung der Anforderungen aus Artikel 11 und Anhang IV wurde eine Modellkarte angelegt: Es wurde festgehalten, welche Daten trainiert wurden, welche Metriken die Leistung bewerteten und wer für das Modell verantwortlich war. Diese strukturierte Aufbereitung führte zu einer überraschenden Erkenntnis: Das Modell bevorzugte Bewerber aus bestimmten Regionen, ein verzerrtes Trainingsset war die Ursache.

Erst durch die verpflichtende Dokumentation fiel dieser Bias auf. Das Unternehmen korrigierte die Datengrundlage, führte regelmäßige Bias-Tests ein und legte ein Re-Audit-Intervall fest.

Heute weiß die HR-Abteilung genau, wer das Modell betreut, wann es zuletzt geprüft wurde und welche Grenzen gelten.

Die Lehre aus diesem Fall: Dokumentation ist kein Selbstzweck. Sie ist der Moment, in dem Verantwortung sichtbar wird.

Pflichtinhalte für Dokumentation laut KI-Verordnung

Die KI-Verordnung verlangt für alle KI-Systeme eine strukturierte technische Dokumentation, die jederzeit prüfbar und aktuell ist. Sie muss mindestens folgende Punkte enthalten:

1. Systembeschreibung und Zweck

Die Systembeschreibung bildet den Ausgangspunkt der technischen Dokumentation. Sie sollte umfassend erläutern,

welches Ziel das KI-System verfolgt,
in welchem organisatorischen und technischen Umfeld es eingesetzt wird und
welche Aufgaben es übernimmt.

Dazu gehört eine klare Darstellung des Anwendungsbereichs, der zugrunde liegenden Geschäftsprozesse und der erwarteten Ergebnisse.

Ebenso wichtig ist die Beschreibung der verantwortlichen Organisationseinheit sowie der benannten Modell-Owner, die für Betrieb, Überwachung und Pflege zuständig sind.

Es sollte auch angegeben werden, für welche Nutzergruppen oder Rollen das System konzipiert ist und welche Voraussetzungen für den sicheren Einsatz notwendig sind. Das können Schulungsmaßnahmen oder ein Mindestmaß an technischem Verständnis sein.

2. Daten und Trainingsgrundlagen

Außerdem müssen die Datengrundlagen des KI-Systems detailliert beschrieben werden. Dazu gehört eine Darstellung der Quellen, aus denen die Trainings- und Eingabedaten stammen, sowie eine Bewertung ihrer Herkunft und Qualität. Es sollte nachvollziehbar dokumentiert werden, welche Datentypen verwendet wurden, ob sie aus internen oder externen Quellen stammen und nach welchen Kriterien sie ausgewählt wurden.

Auch sind Maßnahmen zur Vorverarbeitung, Bereinigung und Anonymisierung zu erläutern. Insbesondere muss dokumentiert werden, wie personenbezogene oder sensible Daten geschützt und verzerrungsfreie Trainingsbedingungen sichergestellt werden.

Ferner müssen die rechtlichen Rahmenbedingungen der Datennutzung aufgezeigt werden. Dazu zählen etwa bestehende Nutzungsrechte, Lizenzen oder vertragliche Vereinbarungen, die den Einsatz der Daten legitimieren.

3. Modellarchitektur und Leistungsmerkmale

In diesem Abschnitt wird die technische Struktur des Modells und seine Leistungsfähigkeit im praktischen Einsatz beschrieben. Es sollte erläutert werden, welcher Modelltyp verwendet wird und welche Version bzw. Trainingsmethodik zum Einsatz kam. Mögliche Beispiele sind neuronale Netze, Entscheidungsbäume oder statistische Modelle.

Ebenfalls gehören Details zu den verwendeten Algorithmen, Frameworks und Parametern in diesen Teil, um den Aufbau und die Funktionsweise des Modells nachvollziehbar zu machen. Anschließend werden die zentralen Leistungsmetriken wie Accuracy, F1-Score oder Bias-Indikatoren einschließlich der zugrunde liegenden Datensätze erläutert.

Abschließend sollte dokumentiert werden, welche Evaluierungsergebnisse vorliegen, welche Grenzen und bekannten Limitierungen das Modell aufweist und in welchen Szenarien seine Zuverlässigkeit besonders kritisch geprüft wurde. Diese Beschreibung bildet die Grundlage für spätere Audits und dient der technischen Nachvollziehbarkeit im gesamten Lebenszyklus des Systems.

4. Transparenz und Nachvollziehbarkeit

Es muss auch dokumentiert werden, wie die Entscheidungsprozesse des KI-Systems für interne und externe Stakeholder nachvollziehbar gemacht werden. Das Ziel besteht darin, Transparenz über die Funktionsweise, Entscheidungslogik und Grenzen des Systems zu schaffen, damit Nutzer und Prüfer nachvollziehen können, wie die Ergebnisse zustande kommen. Dazu gehört eine verständliche Beschreibung der algorithmischen Entscheidungswege, der genutzten Eingabedaten und der zugrunde liegenden Modelle.

Ebenso sollten mögliche Unsicherheiten, Fehlerrisiken und Annahmen, auf denen das System basiert, offengelegt werden.

Ein zentraler Bestandteil ist die Erläuterung der vorgesehenen menschlichen Aufsicht („Human Oversight“), d. h. die Beschreibung, an welchen Stellen und auf welche Weise menschliche Eingriffe oder Kontrollen vorgesehen sind, um Fehlentscheidungen zu verhindern und das Vertrauen in die Ergebnisse zu sichern.

5. Robustheit, Sicherheit und Wartung

Ziel ist es, die Stabilität und Verlässlichkeit des Modells während seines gesamten Lebenszyklus sicherzustellen. Dazu gehört die Dokumentation aller technischen und organisatorischen Maßnahmen, die Manipulationen, unautorisierte Zugriffe oder Datenverfälschungen verhindern.

Auch sollten die Mechanismen zur Erkennung von “Model Drift”, der schleichenden Veränderung der Modellleistung durch neue Daten oder Umgebungsbedingungen, erläutert werden.

Ergänzend werden Verfahren zum Monitoring und zur kontinuierlichen Überwachung beschrieben, einschließlich der Definition von Alarm- und Eskalationsprozessen bei Abweichungen.

Schließlich sollte dargestellt werden, wie regelmäßige Re-Audits und Wartungszyklen geplant sind, um die Aktualität und Funktionsfähigkeit sicherzustellen. Auch sollte dokumentiert werden, welche Methoden zur Nachverfolgbarkeit von Änderungen (Versionierung und Change-Logs) eingesetzt werden, um Transparenz über Anpassungen und Optimierungen zu gewährleisten.

6. Compliance und Governance

Hier werden die organisatorischen und regulatorischen Anforderungen beschrieben, die den rechtlichen Rahmen für die Nutzung und Überwachung von KI-Systemen bilden. Er dient dazu, die Einbettung des Modells in bestehende Compliance-Strukturen nachvollziehbar zu machen und zu zeigen, wie Risiken systematisch erkannt und adressiert werden. Dazu gehört insbesondere die Verknüpfung mit Risikoanalysen und Datenschutz-Folgenabschätzungen, die sicherstellen, dass Datenschutz und ethische Prinzipien in allen Phasen des Modellbetriebs berücksichtigt werden.

Darüber hinaus sollten die Genehmigungsprozesse und Verantwortlichkeiten detailliert erläutert werden, d. h. es sollte dargestellt werden, wer prüft, wer freigibt und wer überwacht, dass Richtlinien eingehalten werden. Ebenso relevant sind Nachweise über Schulungen, Verantwortlichkeitszuweisungen und regelmäßige Reviews, um sicherzustellen, dass sowohl Fach- als auch Compliance-Teams kontinuierlich geschult sind. So wird deutlich, dass Governance kein einmaliger Prozess ist, sondern ein integraler Bestandteil des gesamten KI-Lebenszyklus.

Diese Punkte sind im Artikel 11 der KI-Verordnung festgehalten und bilden die Basis jeder Zulassungs- oder Auditprüfung.

Prüfung & Audit: Dokumentation bereit für den Nachweis

Eine gute technische Dokumentation entsteht nicht erst am Ende, sondern begleitet den gesamten Lebenszyklus eines KI-Modells.

Mit einem Governance-Tool wie Ailance KI-Governance lassen sich diese Anforderungen automatisiert umsetzen.

Inventarisieren
Alle KI-Use-Cases werden in einem zentralen KI-Inventar mit Angaben zu Zweck, Daten, Risiken, Verantwortlichen und Status erfasst. So ist jederzeit klar, welche Systeme existieren und in welcher Phase sie sich befinden.

Modellkarten erstellen
Für jedes Modell wird eine Modellkarte erstellt. Dabei handelt es sich um einen technischen Steckbrief mit Kernfeldern zu Daten, Version, Leistung, Bias und Governance. Fehlende Angaben blockieren die Freigabe, bis die Karte vollständig ist. So wird die Dokumentation automatisch zur Eintrittsvoraussetzung.

Workflows und Nachweise integrieren
Risikobasierte Workflows steuern, wie tief geprüft wird. Enthält ein Modell personenbezogene Daten, wird automatisch eine Datenschutz-Folgenabschätzung gestartet. Freigaben, Eskalationen und Re-Audits erfolgen im System und werden zeitgestempelt sowie mit vollständigem Audit-Trail dokumentiert.

Automatische Protokolle und Updates
Sobald sich Daten, Code oder Parameter ändern, wird eine Teilfreigabe ausgelöst. Dashboards zeigen an, wo Überprüfungen anstehen. So bleibt die Dokumentation stets aktuell.

Beispiel: Im Ailance-Dashboard sieht ein Compliance Officer auf einen Blick, welche Modelle als Hochrisiko klassifiziert sind, wann der letzte Bias-Test stattfand und welche Freigaben ausstehen. Diese Daten können direkt als Audit-Report exportiert werden, revisionssicher und ohne manuelle Nacharbeit.

Fazit: Eine technische Dokumentation nach der KI-Verordnung ist Beweis, Steuerungsinstrument und Wissensspeicher zugleich. Wer frühzeitig auf strukturierte Modellkarten, zentrale Inventare und automatisierte Workflows setzt, gewinnt doppelt.

Regulatorisch: Nachweisfähigkeit und Haftungssicherheit
Operativ: Effizienz und stabile KI-Prozesse.

Eine Gute Dokumentation ist Ihr stärkster Compliance-Hebel.

Erfahren Sie jetzt, wie mit Ailance technische KI-Dokumentation automatisch entsteht und Prüfungen erleichtert.

Marcus Belke ist CEO von 2B Advice sowie Jurist und IT-Experte für Datenschutz und digitale Compliance. Er schreibt regelmäßig über KI-Governance, DSGVO-Compliance und Risikomanagement. Mehr über ihn erfahren Sie auf seiner Autorenprofil-Seite.