Nachweispaket
Ein umfassendes Bündel aus Dokumentation, Logs und Artefakten, das die Compliance eines KI-Systems für Auditoren belegt.
Begriffserklärung
Ein Nachweispaket ist eine strukturierte, verifizierbare Sammlung aus Dokumentation, Ausführungslogs, Freigabenachweisen und Integritätsartefakten, die zusammen die regulatorische Compliance eines KI-Systems belegen. Im Unterschied zu statischer Dokumentation, die nur beabsichtigte Prozesse beschreibt, enthält ein Nachweispaket den Beweis, dass Prozesse tatsächlich ausgeführt wurden: Audit-Trails, die menschliche Freigaben zeigen, Logs, die Policy-Enforcement belegen, und Checksums, die eine unabhängige Integritätsprüfung ermöglichen.
Der EU AI Act verlangt nicht nur, dass Maßnahmen umgesetzt werden, sondern dass Organisationen die Umsetzung gegenüber Marktüberwachungsbehörden und Auditoren nachweisen können. Artikel 18 verpflichtet Anbieter, Dokumentation und Logs zehn Jahre lang aufbewahrungs- und vorlagefähig zu halten. Artikel 26 verpflichtet Betreiber zur Aufbewahrung automatisch erzeugter Logs. Der gesamte Rechtsakt betont nachweisbare, dokumentierte Compliance statt bloßer Behauptungen. Wenn Auditoren kommen, fragen sie nach Evidenz: Können Sie beweisen, dass Ihr Risikomanagementsystem operiert? Zeigen Sie den Audit-Trail. Können Sie menschliche Aufsicht belegen? Zeigen Sie Freigabenachweise. Können Sie belegen, dass diese Nachweise nicht verändert wurden? Zeigen Sie Integritätsbeweise.
Ein umfassendes Nachweispaket umfasst typischerweise: technische Dokumentation nach Anhang IV, Audit-Trails (chronologische Betriebs- und Entscheidungsnachweise), Freigabenachweise (menschliche Aufsicht: Approvals, Rejections, Eskalationen, Overrides), Monitoring-Reports (Performance, Drift-Erkennung, Incidents) sowie Integritätsartefakte (Manifeste aller enthaltenen Dateien mit kryptografischen Checksums).
Der entscheidende Unterschied zwischen „Compliance-Dokumentation“ und Nachweispaket ist Verifizierbarkeit. Ein Nachweispaket enthält Integritätsmechanismen: Manifeste mit kryptografischen Hashes, Zeitstempel aus vertrauenswürdigen Quellen, Append-only-Proofs. Damit können Auditoren unabhängig bestätigen, dass Nachweise nachträglich nicht verändert wurden.