Dokumentationspflichten im EU AI Act – sind Ihre KI-Systeme vorbereitet?
Noch vor wenigen Jahren galt Künstliche Intelligenz in vielen deutschen Unternehmen als Experiment. Heute ist sie Alltag. Laut dem Bitkom-Studienbericht „Künstliche Intelligenz in Deutschland" setzen inzwischen 41 Prozent der deutschen Unternehmen KI aktiv ein, zwei Jahre zuvor waren es noch 17 Prozent. Weitere 48 Prozent planen den Einsatz oder diskutieren ihn ernsthaft.
Das ist eine Entwicklung, die man kaum überschätzen kann. In der Geschwindigkeit dieser Verbreitung steckt aber auch ein Risiko, das in der Diskussion noch zu selten auftaucht: Der EU AI Act ist längst in Kraft, und die meisten Unternehmen wissen noch nicht, was das für sie bedeutet.
Der Verbreitungsgrad überholt Compliance
Die gleiche Bitkom-Studie liefert eine Zahl, die nachdenklich macht: 69 Prozent der deutschen Unternehmen geben an, Unterstützung bei der Umsetzung des EU AI Act zu benötigen. Gleichzeitig haben sich bislang nur 24 Prozent ernsthaft damit befasst.
Verbotene KI-Praktiken – darunter Social Scoring, manipulative Systeme und biometrische Echtzeit-Überwachung in öffentlichen Räumen – sind bereits seit Februar 2025 untersagt. Seit August 2025 gelten die Transparenz- und Dokumentationspflichten für Anbieter von KI-Basismodellen. Und am 2. August 2026 tritt die nächste, umfassendste Stufe in Kraft:
Hochrisiko-KI-Systeme, unter anderem in Bereichen wie Beschäftigung, Bildung, Gesundheitswesen, Kreditvergabe oder kritischer Infrastruktur, müssen dann vollständig konform sein, mit allem, was dazugehört. Darunter können zum Beispiel ein automatisiertes Bewerber-Scoring, eine KI-gestützte Kreditwürdigkeitsprüfung oder ein System zur Priorisierung medizinischer Behandlungen fallen.
KI-Betreiber im EU AI Act: Wer ist betroffen?
Eine häufige Fehlannahme: Der EU AI Act betrifft nur Unternehmen, die KI entwickeln. Das stimmt nicht. Wer ein KI-System beruflich einsetzt, integriert oder in eigenen Produkten weitergibt, übernimmt damit eine Betreiberverantwortung und damit verbundene Pflichten. Das Unternehmen muss sicherstellen, dass ausreichend KI-Kompetenz (AI Literacy) vorhanden ist, dass das System im Betrieb überwacht wird und dass schwerwiegende Vorfälle gemeldet werden. Und vor allem, dass alles lückenlos dokumentiert ist.
Wer also heute ChatGPT für die Kundenkommunikation nutzt, KI-gestützte Bewerbungstools einsetzt oder automatisierte Entscheidungssysteme in seine Prozesse integriert hat, kann sich bereits im Anwendungsbereich des Gesetzes befinden. Umfang und Intensität der Pflichten hängen von der jeweiligen Nutzung und Risikoeinstufung des Systems ab. Die Dokumentationspflichten des EU AI Act treffen damit nicht nur KI-Entwickler, sondern jeden, der ein System betreibt. Und zwar unabhängig davon, ob er es selbst gebaut hat.
Das Bußgeldrisiko ist real
Die Sanktionen des EU AI Act sind keine symbolischen Zahlen. Bei Verstößen gegen verbotene KI-Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für andere Verstöße, etwa gegen Dokumentationspflichten bei Hochrisiko-Systemen, sind Strafen von bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes vorgesehen.
Diese Größenordnungen zeigen: Der Gesetzgeber meint es ernst. Und wer bis August 2026 keine belastbare Dokumentationsstruktur vorweisen kann, steht bei einer Prüfung vor einem ernsthaften Problem.
Dokumentationspflichten für Hochrisiko-KI: Was genau verlangt der EU AI Act?
Der EU AI Act schreibt für Hochrisiko-Systeme eine technische Dokumentation vor, die über den gesamten Lebenszyklus des Systems verfügbar bleiben muss. Das umfasst unter anderem:
Risikoanalysen und deren Fortschreibung
Technische Systemdokumentation und Versionsstände
Nachweise über Qualitätsmanagementsysteme
Automatisch erzeugte Protokolle (Logs) über das Systemverhalten
Für Anbieter gilt eine Aufbewahrungspflicht von zehn Jahren nach dem Inverkehrbringen, für Betreiber müssen Protokolle mindestens sechs Monate vorgehalten werden, sofern nicht andere Rechtsvorschriften längere Fristen vorsehen. Diese Unterlagen müssen jederzeit abrufbar, manipulationssicher und nachvollziehbar sein. Ein freigegebener Ordner auf dem Fileserver, eine SharePoint-Ablage oder ein E-Mail-Postfach erfüllen diese Anforderungen in der Regel nicht, weder technisch noch rechtlich.
Revisionssichere Archivierung: Der Unterschied zwischen „abgelegt" und „archiviert"
Hier liegt der entscheidende Punkt, den viele unterschätzen: Das bloße Speichern von Dokumenten ist keine revisionssichere Archivierung. Ein professionelles Archivsystem wie EMA stellt sicher, dass Dokumente unveränderbar gespeichert, jeder Zugriff protokolliert und die Inhalte über Jahre vollständig und durchsuchbar bleiben. Stellt eine Behörde morgen eine Anfrage zu einem KI-System, das Ihr Unternehmen seit zwei Jahren im Einsatz hat: Wie lange würde es dauern, alle relevanten Unterlagen in der richtigen Version, lückenlos und mit Zugriffshistorie zusammenzustellen?
In vielen Unternehmen liegen solche Nachweise heute verteilt in Projekträumen, E-Mails und Teams-Chats. Spätestens bei einer Prüfung wird daraus schnell ein organisatorisches Problem. Unternehmen sollten davon ausgehen, dass Aufsichtsbehörden entsprechende Nachweise im Rahmen von Prüfungen oder Vorfalluntersuchungen anfordern werden.
EU AI Act Compliance: Die nächsten Schritte
Die Bitkom-Zahlen zeigen vor allem eines: Viele Unternehmen haben noch Zeit, sich vorzubereiten. Diese Zeit wird jedoch zunehmend knapp. Der erste Schritt ist eine Bestandsaufnahme: Welche KI-Systeme sind im Einsatz? Welche Entscheidungen treffen sie, und fallen diese unter den Begriff Hochrisiko? Darauf folgt die Frage nach der Dokumentationsstruktur: Wo liegen die relevanten Unterlagen heute und genügt das den Anforderungen einer Behördenprüfung?
Genau hier unterstützt ein revisionssicheres, manipulationsgeschütztes Archiv wie EMA, das technische Dokumentationen, Protokolle und Risikoanalysen vorhält. EMA verwahrt alle Daten durchsuchbar, manipulationssicher und langfristig.
Ob On-Premise, Cloud oder hybrid: EMA ist einfach in Betrieb zu nehmen und passt sich der bestehenden IT-Infrastruktur an.
Nehmen Sie Kontakt mit uns auf und wir schauen gemeinsam, wo Ihr Unternehmen heute steht und wie eine belastbare Archivstruktur für Ihre Compliance aussehen kann.
Dieser Inhalt dient ausschließlich der allgemeinen Information. Er stellt keine Rechtsberatung dar und ersetzt diese nicht. Alle Angaben erfolgen ohne Gewähr.
