Technische Dokumentation nach Artikel 11: Was Anhang IV verlangt

Artikel 11 richtet sich an Anbieter von Hochrisiko-KI-Systemen. Das ist die erste und wichtigste Einschränkung, und sie wird regelmäßig übersehen.

Nicht jedes KI-System ist ein Hochrisiko-System. Die Einstufung läuft über zwei Wege: über die in Anhang III aufgezählten Einsatzbereiche — darunter Beschäftigung, Personalauswahl, Bildung und Kreditwürdigkeit — und über die Frage, ob das System Sicherheitsbauteil eines Produkts ist, das nach den in Anhang I genannten Vorschriften ohnehin einer Konformitätsbewertung durch Dritte unterliegt. Wie diese Einordnung praktisch abläuft, steht auf unserer Seite zum KI-Inventar.

Nicht jeder Betrieb ist Anbieter. Wer ein zugekauftes System nur einsetzt, ist Betreiber und hat andere Pflichten. In die Anbieterrolle rutscht nach Artikel 25, wer ein bereits in Verkehr gebrachtes System mit seinem Namen oder seiner Handelsmarke versieht, wer es wesentlich verändert oder wer seine Zweckbestimmung so ändert, dass daraus ein Hochrisiko-System wird. Das kann ungewollt geschehen — etwa, wenn ein zugekauftes Modell auf eigenen Daten nachtrainiert und das Ergebnis Kunden bereitgestellt wird. Die Abgrenzung der Rollen steht ausführlich im Überblick zur KI-Verordnung im Mittelstand.

Prüfen Sie deshalb Rolle und Risikoklasse, bevor Sie eine Zeile dokumentieren. Ein Betrieb, der weder Anbieter noch im Hochrisiko-Bereich ist, braucht dieses Dossier nicht und sollte seine Zeit auf Inventar, Kompetenz und Transparenz verwenden. Halten Sie das Prüfergebnis aber fest: Die Feststellung, dass Artikel 11 nicht greift, ist selbst ein Nachweis — und im Zweifel der erste, nach dem gefragt wird.

Anhang IV führt die Mindestinhalte auf, jeweils unter dem Vorbehalt, dass sie für das betreffende System von Belang sind. Es sind neun Nummern, und zusammengelesen ergeben sie ein Dossier über den gesamten Lebensweg eines Systems:

1. Allgemeine Beschreibung des Systems — Zweckbestimmung, Anbieter, Version und ihr Verhältnis zu früheren Fassungen, Zusammenspiel mit Hardware und anderer Software, die Formen des Inverkehrbringens, die Benutzerschnittstelle und die Betriebsanleitung für den Betreiber.
2. Bestandteile und Entwicklungsprozess — Methoden und Schritte der Entwicklung, verwendete vortrainierte Systeme, Entwurfsspezifikationen samt der wichtigsten Entwurfsentscheidungen mit Begründung, Systemarchitektur, Rechenressourcen, Datenanforderungen, Validierungs- und Testverfahren, Cybersicherheitsmaßnahmen.
3. Überwachung, Funktionsweise und Kontrolle — Fähigkeiten und Leistungsgrenzen, erwartete Genauigkeit auch gegenüber bestimmten Personengruppen, vorhersehbare unbeabsichtigte Ergebnisse und die Maßnahmen zur menschlichen Aufsicht.
4. Eignung der Leistungskennzahlen — warum gerade diese Metriken für dieses System aussagekräftig sind.
5. Risikomanagementsystem — die detaillierte Beschreibung dessen, was nach Artikel 9 ohnehin einzurichten ist.
6. Änderungen über den Lebenszyklus — was der Anbieter am System geändert hat, und wann.
7. Angewandte Normen — welche harmonisierten Normen ganz oder teilweise angewendet wurden; wo keine angewendet wurden, die Lösungen, mit denen die Anforderungen stattdessen erfüllt werden.
8. Kopie der EU-Konformitätserklärung nach Artikel 47.
9. Beobachtung nach dem Inverkehrbringen — das System zur Bewertung der Leistung nach Artikel 72, einschließlich des Beobachtungsplans.

Der rote Faden ist erkennbar: Die Verordnung will nicht wissen, dass Sie sorgfältig waren, sondern woran man es sieht. Die Nummern 2, 6 und 7 sind Entscheidungs-Historie — verworfene Alternativen, Änderungen mit Datum, Abweichungen von Normen mit Begründung. Wer sie nachträglich schreibt, schreibt eine Erzählung; wer sie mitführt, hat einen Nachweis.

Neben der technischen Dokumentation steht ein zweites Dokument, das regelmäßig mit ihr verwechselt wird. Die technische Dokumentation richtet sich an Behörden und notifizierte Stellen; die Betriebsanleitung richtet sich an den Betreiber, also an eine Leserin außerhalb Ihres Hauses. Artikel 13 Absatz 3 zählt sechs Gruppen von Angaben auf, die darin mindestens stehen müssen:

• Identität und Kontaktangaben des Anbieters,
• Merkmale, Fähigkeiten und Leistungsgrenzen einschließlich Zweckbestimmung, Genauigkeit, Robustheit und Cybersicherheit,
• vorab bestimmte Änderungen am System und an seiner Leistung,
• die Maßnahmen zur menschlichen Aufsicht,
• Rechen- und Hardware-Ressourcen, erwartete Lebensdauer, Wartung und Pflege,
• die Mechanismen, mit denen der Betreiber die Protokolle erfassen, speichern und auswerten kann.

Getrennt sind die beiden Dokumente in ihrer Adressierung, nicht in ihrer Ablage: Anhang IV Nummer 1 verlangt die Betriebsanleitung ausdrücklich als Bestandteil der technischen Dokumentation. Wer sie als lose Anlage führt, hat ein Dossier mit einer Lücke an der ersten Nummer.

Zwei Zeitachsen laufen hier nebeneinander, und sie werden regelmäßig durcheinandergebracht.

Die Systemachse. Artikel 11 Absatz 1 verlangt, dass die Dokumentation erstellt wird, bevor das System in Verkehr gebracht oder in Betrieb genommen wird, und dass sie auf dem neuesten Stand gehalten wird. Sie ist damit Voraussetzung der Konformitätsbewertung, nicht ihr Ergebnis. Nach Artikel 18 hält der Anbieter sie zusammen mit der Dokumentation zum Qualitätsmanagementsystem und der EU-Konformitätserklärung zehn Jahre ab dem Inverkehrbringen oder der Inbetriebnahme für die zuständigen nationalen Behörden bereit.

Die Kalenderachse. Die Änderungsverordnung (EU) 2026/1744 hat den Geltungsbeginn von Kapitel III Abschnitte 1 bis 3 verschoben — und Artikel 11 liegt in diesem Block. Maßgeblich ist seither Artikel 113 Absatz 3 Buchstabe c in seiner neuen Fassung. Den gepflegten Gesamtstand halten wir auf der Seite Fristen der EU-KI-Verordnung.

Für Systeme, die vor dem Geltungsbeginn des Kapitels III in Verkehr gebracht wurden, greifen die Anforderungen nach Artikel 111 Absatz 2 erst, wenn die Konzeption danach erheblich verändert wird. Eine Ausnahme davon gilt für Systeme, die bestimmungsgemäß von Behörden verwendet werden sollen: Dort sind die erforderlichen Maßnahmen in jedem Fall bis zum 2. August 2030 zu treffen.

Die Verordnung sieht ausdrücklich vor, dass die Elemente des Anhangs IV in vereinfachter Weise bereitgestellt werden dürfen. Der Kreis der Begünstigten ist mit der Änderungsverordnung vom Juli 2026 gewachsen: Neben KMU einschließlich Start-ups nennt Artikel 11 Absatz 1 seither auch die kleinen Midcap-Unternehmen — eine eigene Größenklasse zwischen KMU und Großunternehmen, definiert über die Empfehlung (EU) 2025/1099 der Kommission. Eine verwandte Erleichterung hat dieselbe Verordnung ebenfalls geöffnet: Das vereinfachte Qualitätsmanagement nach Artikel 63 stand bis dahin nur Kleinstunternehmen offen und steht seither allen KMU einschließlich Start-ups offen.

Träger dieser Erleichterung ist ein vereinfachtes Dokumentationsformular, das die Kommission erstellt und das die notifizierten Stellen für die Konformitätsbewertung akzeptieren müssen. Die Vorschrift ist dabei enger, als sie zunächst klingt: Wer sich für die vereinfachte Bereitstellung entscheidet, verwendet dieses Formular — es ist kein Vorschlag, sondern die Form.

Stand 18. August 2026 hat die Kommission dieses Formular nach unserer Recherche nicht veröffentlicht. Weder die Verordnung noch die Änderungsverordnung nennen einen Termin dafür. Praktisch heißt das: Die Erleichterung besteht auf dem Papier, ihr vorgeschriebener Träger fehlt noch. Wer heute beginnt, sammelt deshalb sinnvollerweise zu allen neun Punkten vollständig und kürzt später in das Formular hinein — der umgekehrte Weg funktioniert nicht. Prüfen Sie den Veröffentlichungsstand, bevor Sie sich in einem verbindlichen Dokument auf die vereinfachte Form berufen.

Selten an fehlendem Wissen. Fast immer an der Reihenfolge. Zwei Muster kommen wieder und wieder vor.

Die Dokumentation entsteht nach dem Rollout

Dann fehlen genau die Punkte mit Zeitbezug: welche Alternativen verworfen wurden und warum, welche Kennzahlen zu welchem Zeitpunkt galten, welche Änderung wann wirksam wurde. Diese Lücken lassen sich später nicht seriös füllen. Ein rückdatierter Eintrag ist dabei schlechter als eine ehrliche Lücke: Er ist im Prüfungsfall angreifbar und zieht die übrigen Angaben mit in Zweifel.

Die Dokumentation liegt bei einer Person

Die Nummern 1 bis 4 kennt die Entwicklung, Nummer 5 das Risikomanagement, Nummer 8 die Geschäftsführung, Nummer 9 der Betrieb. Ein Dossier, das eine Person allein schreibt, ist an mindestens drei Stellen geraten — und Geratenes steht in einem Nachweis-Dokument schlechter als eine benannte offene Stelle.

Die Gegenmaßnahme ist unspektakulär: das Dossier zum Zeitpunkt der ersten Systementscheidung anlegen statt zum Zeitpunkt der ersten Prüfung, jeden der neun Punkte einer Rolle zuordnen und die Änderungen laufend fortschreiben. Für Nummer 9 steht dabei ein Hilfsmittel in Aussicht: Die Kommission nimmt bis zum 2. September 2027 Leitlinien einschließlich eines Musters für den Beobachtungsplan an.