Warum Anhang IV mehr ist als ein Formular
Nach Artikel 11 Abs. 1 des EU AI Act muss die technische Dokumentation eines Hochrisiko-KI-Systems erstellt werden, bevor das System in Verkehr gebracht oder in Betrieb genommen wird – und sie muss danach laufend aktuell gehalten werden. Der Zweck ist klar benannt: Aus der Dokumentation muss hervorgehen, wie das System die Anforderungen des betreffenden Abschnitts erfüllt, und zwar so, dass zuständige nationale Behörden und notifizierte Stellen dies in klarer und verständlicher Form nachvollziehen können. Anhang IV listet dafür die Mindestangaben auf. „Mindestens” heißt: Es ist kein Bausatz, aus dem man sich Punkte heraussucht, sondern eine Grundmenge, die – soweit für das System einschlägig – vollständig abzudecken ist.
Wer die Dokumentation erst kurz vor der Konformitätsbewertung zusammenstellt, unterschätzt meist den Aufwand. Anhang IV verlangt technische Tiefe, die nur aus dem laufenden Entwicklungsprozess heraus entsteht – nachträglich rekonstruiert ist sie fehleranfällig und lückenhaft.
Die zentralen Blöcke von Anhang IV
Anhang IV gliedert sich im Kern in mehrere Ebenen:
- Allgemeine Systembeschreibung (Nr. 1): Zweckbestimmung, Anbieter, Versionierung, Interaktion mit Hardware/Software, Bereitstellungsform (Einbettung, Download, API), Benutzerschnittstelle und Betriebsanleitungen für den Betreiber.
- Entwicklungsprozess im Detail (Nr. 2): Entwicklungsmethoden inklusive Nutzung vortrainierter Systeme Dritter, Entwurfsspezifikationen mit Begründung der wichtigsten Entscheidungen, Systemarchitektur und Rechenressourcen, Datenanforderungen (Trainingsdatensätze, Herkunft, Kennzeichnung, Bereinigung), die Bewertung der Maßnahmen zur menschlichen Aufsicht nach Artikel 14, vorab bestimmte Änderungen samt technischer Absicherung, Validierungs- und Testverfahren mit Testprotokollen und unterzeichneten Testberichten sowie ergriffene Cybersicherheitsmaßnahmen.
- Überwachung, Funktionsweise und Kontrolle (Nr. 3): Fähigkeiten und Leistungsgrenzen – auch differenziert nach betroffenen Personengruppen –, vorhersehbare unbeabsichtigte Ergebnisse und Risikoquellen für Gesundheit, Sicherheit und Grundrechte, Maßnahmen der menschlichen Aufsicht nach Artikel 14, Spezifikationen zu Eingabedaten.
- Leistungskennzahlen (Nr. 4): Warum genau diese Metriken für dieses System geeignet sind – nicht nur welche verwendet wurden.
- Risikomanagementsystem (Nr. 5): detaillierte Beschreibung gemäß Artikel 9.
- Änderungshistorie (Nr. 6) sowie angewandte Normen (Nr. 7): harmonisierte Normen mit Fundstelle im Amtsblatt oder, falls keine angewandt wurden, eine detaillierte Beschreibung der alternativen Lösungen zur Erfüllung der Anforderungen aus Kapitel III Abschnitt 2.
Typische Lücken in der Praxis
Drei Muster wiederholen sich:
Erstens, die Begründungstiefe fehlt. Anhang IV Nr. 2 Buchstabe b verlangt nicht nur die Entwurfsspezifikationen, sondern auch die Gründe und Annahmen hinter den wichtigsten Entscheidungen – etwa bezüglich der Personengruppen, für die das System angewandt werden soll, oder der Kompromisse zwischen konkurrierenden Anforderungen aus Kapitel III Abschnitt 2. Eine reine Architekturbeschreibung ohne Entscheidungsbegründung erfüllt das nicht.
Zweitens, die Verbindung zu Artikel 9 und Artikel 14 wird nur behauptet, nicht belegt. Anhang IV Nr. 5 fordert eine detaillierte Beschreibung des Risikomanagementsystems, Nr. 2 Buchstabe e und Nr. 3 verlangen konkret, wie die Maßnahmen zur menschlichen Aufsicht bewertet wurden und wie sie Betreibern die Interpretation der Ausgaben erleichtern. Ein Verweis auf ein internes Risikoregister reicht nicht, wenn daraus nicht hervorgeht, welche Maßnahmen konkret getroffen wurden und warum sie ausreichen.
Drittens, Testberichte fehlen in der geforderten Form. Anhang IV Nr. 2 Buchstabe g verlangt datierte und von den verantwortlichen Personen unterzeichnete Testberichte – auch zu vorab bestimmten Änderungen nach Buchstabe f. Informelle Testnotizen ohne Unterschrift und Datum genügen dem Wortlaut nicht.
Erleichterung für KMU
Artikel 11 Abs. 1 sieht vor, dass KMU, einschließlich Start-ups, die Elemente der technischen Dokumentation in vereinfachter Weise bereitstellen können. Die Kommission erstellt dafür ein vereinfachtes Formular, das notifizierte Stellen für Zwecke der Konformitätsbewertung akzeptieren müssen. Das ändert nichts am materiellen Umfang der Anforderungen aus Anhang IV – es reduziert den formalen Aufwand der Darstellung, nicht die inhaltliche Substanz.
Wichtig für verbundene Produkte: Wird ein Hochrisiko-KI-System zusammen mit einem Produkt in Verkehr gebracht, das unter Harmonisierungsrechtsvorschriften nach Anhang I Abschnitt A fällt, verlangt Artikel 11 Abs. 2 eine einzige technische Dokumentation, die sowohl die Anhang-IV-Angaben als auch die produktrechtlichen Informationen enthält – keine zwei getrennten Dossiers.
Wo Sie ansetzen sollten
Anhang IV ist kein Dokument, das sich am Ende eines Projekts schreiben lässt – es ist ein Protokoll des Entwicklungsprozesses, das mitlaufen muss. Wenn Sie noch nicht wissen, ob Ihr System überhaupt als Hochrisiko-KI im Sinne des AI Act einzustufen ist, klären Sie das zuerst: Mit dem kostenlosen Risiko-Check unter /einstufung erhalten Sie eine erste Einordnung, bevor Sie Ressourcen in die Dokumentationspflicht nach Artikel 11 und Anhang IV stecken.