Vorlage für technische Dokumentation nach Anhang IV

Artikel 11 der EU-KI-Verordnung verpflichtet Anbieter von Hochrisiko-KI-Systemen, eine technische Dokumentation zu erstellen. Das muss vor dem Inverkehrbringen oder der Inbetriebnahme des Systems geschehen. Die Dokumentation muss aktuell bleiben. Anbieter müssen sie den zuständigen Behörden auf Anfrage zur Verfügung stellen.

Anhang IV nennt die Informationen, die die Dokumentation mindestens enthalten muss, soweit sie für das System von Belang sind. Nachfolgend fassen wir jede der neun Nummern mit Hinweisen zusammen. Die vollständige Vorlage finden Sie im DOCX oben.

Zum ausgearbeiteten Beispiel

Anhang IV oder Anhang 4?

Beide Bezeichnungen meinen denselben Anhang. Der amtliche Text der Verordnung (EU) 2024/1689 schreibt die römische Zahl: „Anhang IV“. „Anhang 4“ bezeichnet denselben Anhang mit arabischer Ziffer. Sein Titel lautet „Technische Dokumentation gemäß Artikel 11 Absatz 1“. Auch andere EU-Rechtsakte haben einen Anhang IV, allerdings zu einem anderen Thema. In der Cyberresilienz-Verordnung (EU) 2024/2847 listet Anhang IV kritische Produkte mit digitalen Elementen auf. Die technische Dokumentation für KI-Modelle mit allgemeinem Verwendungszweck steht dagegen in den Anhängen XI und XII.

Abschnitt 1: Allgemeine Beschreibung des KI-Systems

Dieser Abschnitt legt Identität und Umfang des Systems fest. Geben Sie an:

• Zweckbestimmung — Was das System tut, für wen es bestimmt ist und der spezifische Verwendungskontext
• Name des Anbieters — Der Name des Anbieters. Anhang IV verlangt nur den Namen. Die Kontaktanschrift steht auf dem System oder seiner Verpackung (Artikel 16 Buchstabe b) und in der EU-Konformitätserklärung (Anhang V Nummer 2)
• Systemversion — Aktuelle Version und Bezug zu Vorgängerversionen
• Hardware- und Software-Interaktionen — Wie das System mit anderer Hardware, Software oder KI-Systemen interagiert, die nicht Teil des Systems selbst sind
• Software- und Firmware-Versionen — Alle relevanten Versionsnummern und Aktualisierungsanforderungen
• Vertriebsformen — Wie das System bereitgestellt wird (Softwarepaket, eingebettet in Hardware, API, Download usw.)
• Hardwareanforderungen — Die Hardware, auf der das System laufen soll
• Benutzeroberfläche — Grundlegende Beschreibung der dem Betreiber bereitgestellten Schnittstelle
• Betriebsanleitungen — Betriebsanleitungen für den Betreiber und gegebenenfalls eine grundlegende Beschreibung der dem Betreiber zur Verfügung gestellten Benutzerschnittstelle

Abschnitt 2: Detaillierte Beschreibung der Systemelemente & Entwicklungsprozess

Der umfangreichste Abschnitt. Dokumentieren Sie:

• Entwicklungsmethoden — Durchgeführte Schritte, einschließlich Nutzung vortrainierter Systeme oder Drittanbieter-Tools und wie sie integriert oder modifiziert wurden
• Designspezifikationen — Allgemeine Logik, wichtige Designentscheidungen mit Begründung, getroffene Annahmen, Klassifizierungsentscheidungen, Optimierungsziele und erwartete Ausgabequalität
• Systemarchitektur — Wie Softwarekomponenten aufeinander aufbauen, Integration in die Gesamtverarbeitung und genutzte Rechenressourcen
• Datenanforderungen — Trainingsmethoden, Datensatzbeschreibungen, Herkunft, Umfang, Eigenschaften, Erfassungsmethoden, Etikettierungsverfahren und Datenbereinigungsmethoden
• Bewertung der menschlichen Aufsicht — Erforderliche Maßnahmen gemäß Artikel 14 und technische Maßnahmen zur Interpretation der Ausgabe
• Vorab festgelegte Änderungen — Falls zutreffend, beschreiben Sie geplante Änderungen am System und wie die fortlaufende Konformität gewahrt wird
• Validierung und Tests — Verfahren, Validierungs- und Testdaten sowie Metriken, auch zu potenziell diskriminierenden Auswirkungen. Testprotokolle und alle Testberichte, datiert und unterzeichnet von den verantwortlichen Personen
• Cybersicherheitsmaßnahmen — Die ergriffenen Cybersicherheitsmaßnahmen

Abschnitt 3: Überwachung, Funktionsweise & Kontrolle

Geben Sie die Betriebseigenschaften des Systems an:

• Leistungsfähigkeit und -grenzen
• Genauigkeitsgrade für bestimmte Personen oder Gruppen, an die sich das System richtet, und insgesamt erwartete Genauigkeit
• Vorhersehbare unbeabsichtigte Folgen und Risikoquellen für Gesundheit, Sicherheit, Grundrechte und Diskriminierung
• Maßnahmen zur menschlichen Aufsicht gemäß Artikel 14
• Technische Maßnahmen, die Betreibern die Interpretation der Ausgabe ermöglichen
• Spezifikationen der Eingabedaten, sofern relevant

Abschnitt 4: Angemessenheit der Leistungsmetriken

Beschreiben Sie, warum die gewählten Leistungsmetriken für das spezifische KI-System angemessen sind. Erläutern Sie die Begründung für die Wahl bestimmter Metriken gegenüber Alternativen und wie sie die Leistung des Systems im vorgesehenen Kontext aussagekräftig erfassen.

Abschnitt 5: Risikomanagementsystem

Geben Sie eine detaillierte Beschreibung des nach Artikel 9 eingerichteten Risikomanagementsystems. Dies ist ein kontinuierlicher, iterativer Prozess über den gesamten Lebenszyklus und muss umfassen:

• Identifikation und Analyse bekannter und vernünftigerweise vorhersehbarer Risiken
• Abschätzung und Bewertung von Risiken aus bestimmungsgemäßer Verwendung und vernünftigerweise vorhersehbarem Missbrauch
• Bewertung von Risiken aus der Analyse der Daten, die durch Post-Market-Monitoring gesammelt werden
• Annahme geeigneter Risikomanagementmaßnahmen

Abschnitt 6: Änderungen über den Lebenszyklus

Beschreiben Sie die einschlägigen Änderungen, die der Anbieter während des Lebenszyklus am System vornimmt. So erhalten Behörden eine nachvollziehbare Historie, wie sich das System verändert hat.

Abschnitt 7: Normen & technische Spezifikationen

Listen Sie alle ganz oder teilweise angewandten harmonisierten Normen mit Verweisen auf ihre Veröffentlichung im Amtsblatt der EU auf. Wenn keine harmonisierten Normen angewandt wurden:

• Geben Sie eine detaillierte Beschreibung der Lösungen, die zur Erfüllung der Anforderungen aus Kapitel III, Abschnitt 2 angewandt wurden
• Listen Sie alle anderen relevanten angewandten Normen und technischen Spezifikationen auf

Abschnitt 8: EU-Konformitätserklärung

Fügen Sie eine Kopie der EU-Konformitätserklärung gemäß Artikel 47 bei. Der Anbieter hält die Erklärung gegebenenfalls auf dem neuesten Stand. Sie steht den zuständigen nationalen Behörden ab dem Inverkehrbringen oder der Inbetriebnahme des Systems 10 Jahre lang zur Verfügung.

Abschnitt 9: Post-Market-Leistungsbewertung

Beschreiben Sie das System zur Bewertung der Leistung des KI-Systems in der Post-Market-Phase gemäß Artikel 72. Es muss umfassen:

• Den Plan für die Beobachtung nach dem Inverkehrbringen gemäß Artikel 72 Absatz 3, auf dem das Beobachtungssystem beruht
• Wie das Beobachtungssystem Daten zur Leistung des Systems über seine gesamte Lebensdauer erhebt, dokumentiert und analysiert (Artikel 72 Absatz 2)

Ausgearbeitetes Beispiel: ein System zur Sichtung von Lebensläufen (Anhang III Nummer 4 Buchstabe a)

Dieses Beispiel ist fiktiv und dient nur der Veranschaulichung. Das System, der Anbieter und alle Zahlen sind erfunden.

Anhang III Nummer 4 Buchstabe a erfasst „KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten“. Unser fiktives System wertet Bewerbungen aus und zeigt Recruitern eine Shortlist in Rangfolge. Alle Entscheidungen treffen die Recruiter. Der Anbieter behandelt das System als hochriskant und dokumentiert es anhand von Anhang IV.

Nummer 2 Buchstabe b: Entwurfsspezifikationen

Entwurfsspezifikationen des Systems, insbesondere die allgemeine Logik des KI-Systems und der Algorithmen; die wichtigsten Entwurfsentscheidungen mit den Gründen und getroffenen Annahmen, einschließlich in Bezug auf Personen oder Personengruppen, bezüglich deren das System angewandt werden soll; hauptsächliche Einstufungsentscheidungen; was das System optimieren soll und welche Bedeutung den verschiedenen Parametern dabei zukommt; Beschreibung der erwarteten Ausgabe des Systems und der erwarteten Qualität dieser Ausgabe; die über mögliche Kompromisse in Bezug auf die technischen Lösungen, mit denen die in Kapitel III Abschnitt 2 festgelegten Anforderungen erfüllt werden sollen, getroffenen Entscheidungen;

Was der fiktive Anbieter schreibt:

• Allgemeine Logik — Version 2.1 zerlegt jeden Lebenslauf in Fähigkeiten, Qualifikationen, Berufsjahre und Sprachen. Ein Ranking-Modell bewertet jede Bewerbung anhand der Kriterien, die der Recruiter für die Stelle festlegt.
• Entwurfsentscheidungen und Annahmen — Das System ist für Bewerber auf Bürostellen in der EU bestimmt. Name, Foto, Geburtsdatum, Adresse und Staatsangehörigkeit werden vor der Bewertung entfernt. Wir gehen davon aus, dass Lebensläufe auf Englisch, Italienisch oder Deutsch vorliegen.
• Hauptsächliche Einstufungsentscheidungen — Jede Bewerbung erhält eine Punktzahl von 0 bis 100 und eine von drei Stufen: starke Übereinstimmung, mögliche Übereinstimmung oder manuell prüfen. Das System hat keine Ablehnungsklasse.
• Was es optimiert — Das Modell optimiert auf Übereinstimmung mit früheren Shortlists der Recruiter. Geforderte Qualifikationen haben das größte Gewicht. Es zählen höchstens zehn Berufsjahre, um Alterseffekte zu begrenzen.
• Erwartete Ausgabe und Kompromisse — Die Ausgabe ist eine Shortlist in Rangfolge mit den drei Faktoren, die jeder Punktzahl zugrunde liegen. Wir haben ein einfacheres, erklärbares Modell einem etwas genaueren vorgezogen, damit Recruiter jede Rangfolge prüfen können (Artikel 13 und 14).

Nummer 2 Buchstabe d: Datenanforderungen

gegebenenfalls Datenanforderungen in Form von Datenblättern, in denen die Trainingsmethoden und -techniken und die verwendeten Trainingsdatensätze beschrieben werden, einschließlich einer allgemeinen Beschreibung dieser Datensätze sowie Informationen zu deren Herkunft, Umfang und Hauptmerkmalen; Angaben zur Beschaffung und Auswahl der Daten; Kennzeichnungsverfahren (zum Beispiel für überwachtes Lernen) und Datenbereinigungsmethoden (zum Beispiel Erkennung von Ausreißern);

Was der fiktive Anbieter schreibt:

• Trainingsdatensätze — 120.000 Bewerbungen auf 1.400 Bürostellen von 2021 bis 2024, in Italien, Deutschland und Irland. Jeder Datensatz verknüpft einen ausgewerteten Lebenslauf mit der Shortlist-Entscheidung des Recruiters.
• Herkunft und Auswahl — Drei Arbeitgeber stellten die Daten auf Grundlage schriftlicher Vereinbarungen bereit. Ausgeschlossen haben wir Stellen mit weniger als 20 Bewerbern sowie Bewerbungen, die kein Recruiter geprüft hat.
• Kennzeichnungsverfahren — Die Kennzeichnung ist die ursprüngliche Shortlist-Entscheidung des Recruiters. Zwei geschulte Prüfer kontrollierten eine Stichprobe von 5.000 Datensätzen erneut. Bei Uneinigkeit entschied ein dritter Prüfer.
• Datenbereinigung — Wir haben doppelte Bewerbungen und unlesbare Dateien entfernt. Unplausible Werte, etwa 60 Berufsjahre, wurden markiert und von Hand geprüft. Felder zu Lücken im Lebenslauf wurden gestrichen, weil sie indirekt auf das Geschlecht hinweisen können.
• Verbindung zur Daten-Governance — Die Untersuchung im Hinblick auf mögliche Verzerrungen nach Artikel 10 Absatz 2 Buchstabe f liegt in der Daten-Governance-Akte. Genauigkeitsergebnisse nach Untergruppen gehören unter Nummer 2 Buchstabe g und Nummer 3.

Die übrige Dokumentation baut auf diesen Einträgen auf. Die menschliche Aufsicht gehört unter Nummer 2 Buchstabe e, die Tests unter Nummer 2 Buchstabe g. Das Risikomanagementsystem gehört unter Nummer 5, Änderungen unter Nummer 6.

Für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 und Anhang III gelten diese Anforderungen ab dem 2. Dezember 2027 (Artikel 113 Buchstabe c Ziffer i). Bei Systemen nach Anhang III Nummern 2 bis 8 wendet der Anbieter die interne Kontrolle gemäß Anhang VI an (Artikel 43 Absatz 2).

Dieses Beispiel deckt nur Nummer 2 Buchstaben b und d ab. Es ist keine vollständige Dokumentation nach Anhang IV und belegt nicht, dass ein System die Anforderungen erfüllt. Information, keine Rechtsberatung.

Anhang-IV-Generator

LandingRed entwirft die technische Dokumentation nach Anhang IV aus dem KI-System-Datensatz, den Sie bereits im Inventar führen. Zusätzlich übernimmt es die mit diesem System verknüpften Datensätze: Risikobewertung, Daten-Governance, menschliche Aufsicht, Cybersicherheit, Plan für die Beobachtung nach dem Inverkehrbringen und EU-Konformitätserklärung.

Fehlt in Ihren Datensätzen eine Angabe, ist der Generator angewiesen, einen sichtbaren Platzhalter einzufügen, den Sie ausfüllen. Prüfen Sie jeden Entwurf, bevor Sie sich darauf verlassen. Jeder von KI entworfene Abschnitt ist als Entwurf gekennzeichnet und hält fest, welches Modell ihn wann erstellt hat.

Ein KI-Entwurf zählt erst zur Vollständigkeit, wenn eine Person ihn geprüft und bearbeitet hat. In jedem Tarif können Sie jeden Abschnitt selbst im integrierten Editor schreiben. Jede Freigabe speichert einen festen, per Hash versiegelten Stand.

Wie sich die Dokumentation in den übrigen Arbeitsablauf einfügt, zeigt die Seite zur Compliance mit der EU-KI-Verordnung.

Der Generator erstellt einen Entwurf zu Ihrer Prüfung. Der Anbieter bleibt für den Inhalt verantwortlich. Es handelt sich nicht um ein offizielles Formular oder eine offizielle Vorlage.

Häufig gestellte Fragen

Was ist Anhang IV der KI-Verordnung?

Anhang IV nennt, was die technische Dokumentation eines Hochrisiko-KI-Systems mindestens enthalten muss. Der Anbieter erstellt sie, bevor das System in Verkehr gebracht oder in Betrieb genommen wird, und hält sie aktuell (Artikel 11 Absatz 1). Anhang IV hat neun Nummern, von der allgemeinen Beschreibung des Systems bis zum Plan für die Beobachtung nach dem Inverkehrbringen.

Wer muss die technische Dokumentation nach Anhang IV erstellen?

Der Anbieter des Hochrisiko-KI-Systems erstellt sie (Artikel 11 Absatz 1). Einführer überprüfen, ob der Anbieter sie gemäß Artikel 11 und Anhang IV erstellt hat (Artikel 23 Absatz 1 Buchstabe b). Bei Systemen nach Anhang III Nummern 2 bis 8 wenden Anbieter die interne Kontrolle gemäß Anhang VI an, ohne notifizierte Stelle (Artikel 43 Absatz 2). Beim Verfahren nach Anhang VII ist eine notifizierte Stelle beteiligt (Artikel 43 Absatz 1). Eine notifizierte Stelle kann auch über das sektorale Verfahren für Produkte nach Anhang I Abschnitt A beteiligt sein (Artikel 43 Absatz 3).

Wann muss die technische Dokumentation fertig sein?

Bevor das Hochrisiko-KI-System in Verkehr gebracht oder in Betrieb genommen wird. Anbieter müssen sie danach über den gesamten Lebenszyklus des Systems aktuell halten. Die Hochrisiko-Pflichten nach Anhang III gelten ab dem 2. Dezember 2027. Anbieter sollten die Dokumentation deshalb als Teil der Entwicklung behandeln, nicht als Last-Minute-Aufgabe vor dem Launch.

Gibt es eine vereinfachte Version für KMU, Start-ups und kleine Midcap-Unternehmen?

Ja. Nach Artikel 11 Absatz 1 können KMU, einschließlich Start-ups, und kleine Midcap-Unternehmen die Elemente von Anhang IV in vereinfachter Weise bereitstellen. Die Kommission muss für sie ein vereinfachtes Formular für die technische Dokumentation erstellen. Ein Unternehmen, das sich für die vereinfachte Bereitstellung entscheidet, muss dieses Formular verwenden, und notifizierte Stellen müssen es akzeptieren. Unsere kostenlose DOCX-Vorlage ist nicht dieses Formular.

Schreibt die KI-Verordnung ein Format für die Dokumentation nach Anhang IV vor?

Die Verordnung schreibt Inhalte vor, kein allgemeines Format. Eine Ausnahme: KMU, Start-ups und kleine Midcap-Unternehmen, die sich für die vereinfachte Bereitstellung entscheiden, müssen das Formular der Kommission verwenden (Artikel 11 Absatz 1). Unsere kostenlose DOCX-Vorlage folgt den neun Nummern von Anhang IV. LandingRed kann die Dokumentation auch aus Ihrem KI-System-Inventar entwerfen, damit Sie sie prüfen und bearbeiten.

Verwandte Ressourcen

• Leitfaden zur Hochrisiko-Einstufung nach Anhang III — prüfen Sie, ob Ihr System hochriskant ist
• Modelldokumentation und Data Lineage: Was Anhang IV Nummer 2 Buchstabe d verlangt
• Kostenlose Risiko-Selbstbewertung zur KI-Verordnung — erhalten Sie einen teilbaren Bereitschaftsbericht