Anhang IV der KI-Verordnung der EU legt die technische Dokumentation fest, die für Hochrisiko-KI-Systeme erforderlich ist. Es handelt sich dabei nicht um eine einmalige Einreichung – sondern um eine lebende Dokumentation, die über den gesamten Systemlebenszyklus hinweg gepflegt werden muss. So gehen Sie dabei vor.
Überblick über die Anforderungen nach Anhang IV
Die Dokumentation nach Anhang IV muss nachweisen, dass Ihr KI-System im Einklang mit der Verordnung konzipiert wurde und betrieben wird. Sie umfasst alles von der Systemarchitektur über das Risikomanagement bis hin zur laufenden Überwachung.
- Allgemeine Beschreibung des KI-Systems
- Detaillierte Beschreibung der Systemelemente und des Entwicklungsprozesses
- Informationen zu Überwachung, Funktionsweise und Kontrolle
- Beschreibung der Angemessenheit der Leistungskennzahlen
- Dokumentation des Risikomanagementsystems
- Während des Systemlebenszyklus vorgenommene Änderungen
Abschnitt 1: Allgemeine Beschreibung
Beginnen Sie mit den Grundlagen: Was macht Ihr KI-System, für wen ist es bestimmt, und welche Entscheidungen beeinflusst es?
- Zweckbestimmung und Einsatzbereich
- Kategorien von Personen, die voraussichtlich betroffen sind
- Versionen der relevanten Software und Hardware
- Interaktion des Systems mit anderen Systemen
- Formen, in denen das System in Verkehr gebracht oder in Betrieb genommen wird
Abschnitt 2: Systemelemente und Entwicklung
Dokumentieren Sie die Bausteine Ihres KI-Systems und wie es entwickelt wurde.
- Methoden und Schritte der Entwicklung
- Designspezifikationen und getroffene Entscheidungen
- Systemarchitektur mit Darstellung der Hauptkomponenten
- Eingesetzte Rechen- und Hardwareressourcen
- Trainingsmethoden und -techniken
Abschnitt 3: Daten-Governance
Die Dokumentation der Trainingsdaten ist von entscheidender Bedeutung und oft der schwierigste Teil, wenn er nachträglich rekonstruiert werden muss.
- Verwendete Trainings-, Validierungs- und Testdatensätze
- Datenerhebungsverfahren und -quellen
- Bewertung der Relevanz und Repräsentativität
- Verfahren zur Datenkennzeichnung (falls zutreffend)
- Datenaufbereitungsmaßnahmen (Bereinigung, Anreicherung)
- Prüfung auf Verzerrungen und Gegenmaßnahmen
Abschnitt 4: Maßnahmen zur menschlichen Aufsicht
Dieser Abschnitt muss belegen, dass Menschen KI-Entscheidungen wirksam beaufsichtigen und in diese eingreifen können.
- Technische Maßnahmen zur menschlichen Aufsicht
- Maßnahmen, die ein menschliches Verständnis der Ergebnisse ermöglichen
- Maßnahmen, die ein menschliches Eingreifen oder Übersteuern ermöglichen
- Zuweisung von Verantwortlichkeiten für die menschliche Aufsicht
- Schulungs- und Qualifikationsanforderungen für das Aufsichtspersonal
Abschnitt 5: Risikomanagement
Dokumentieren Sie Ihren Risikomanagementprozess und wie identifizierte Risiken gemindert werden.
- Beschreibung des Risikomanagementprozesses
- Identifizierung bekannter und vorhersehbarer Risiken
- Risikoeinschätzung und -bewertung
- Umgesetzte Risikominderungsmaßnahmen
- Bewertung des Restrisikos und Akzeptanzkriterien
Pflege der Dokumentation im Zeitverlauf
Die Dokumentation nach Anhang IV ist keine einmalige Übung. Sie muss über den gesamten Systemlebenszyklus hinweg gepflegt und aktualisiert werden.
- Dokumentation aller Änderungen am System
- Aktualisierung der Risikobewertungen bei Änderungen des Einsatzbereichs
- Erfassung der Ergebnisse der laufenden Überwachung
- Nachverfolgung von Rückmeldungen nach dem Inverkehrbringen und Vorfällen
- Versionskontrolle für alle Dokumentationsaktualisierungen
Häufig gestellte Fragen
Wie detailliert muss die Dokumentation nach Anhang IV sein?
Detailliert genug, dass ein sachkundiger Dritter nachvollziehen kann, wie das System funktioniert, welche Risiken es birgt und wie diese Risiken gehandhabt werden. Im Zweifelsfall sollten Sie mehr Details aufnehmen.
Kann ich bestehende Dokumentation verwenden?
Ja, Sie können auf bestehende Dokumentation verweisen (Designdokumente, Risikobewertungen usw.), sofern diese die erforderlichen Elemente abdeckt und aktuell ist.
Wer sollte für die Dokumentation nach Anhang IV verantwortlich sein?
In der Regel eine Kombination aus Produkt-/Entwicklungsteams (technische Details) und Compliance-/Rechtsabteilungen (Risikomanagement, Aufsichtsverfahren). Legen Sie klare Verantwortlichkeiten und Prüfprozesse fest.
Die wichtigsten Erkenntnisse
Die Dokumentation nach Anhang IV ist Ihr Nachweis, dass Ihr KI-System verantwortungsvoll konzipiert wurde und betrieben wird. Dokumentationspraktiken von Beginn an in den Entwicklungsprozess zu integrieren ist weitaus einfacher, als sie nachträglich zu rekonstruieren. Betrachten Sie Anhang IV als fortlaufende Verpflichtung, nicht als einmaliges Projekt.