EU AI Act

Was die EU KI-Verordnung über Dokumentation sagt – und was nicht

Stand: 22. September 2026

Dieses Kapitel behandelt die interne Dokumentation. Wie daraus eine öffentliche Erklärung wird, zeigt das Kapitel Braucht Ihre Website ein KI-Impressum?

Zuerst das Wichtigste, weil es oft anders dargestellt wird: Artikel 50 der KI-Verordnung enthält keine Dokumentationspflicht für Betreiber. Der Artikel verlangt Offenlegung gegenüber den betroffenen Personen, nicht die Führung von Nachweisen gegenüber Behörden.

Dokumentationspflichten stehen an anderer Stelle der Verordnung und betreffen andere Rollen: Artikel 11 regelt die technische Dokumentation, Artikel 12 die Aufzeichnungspflichten, Artikel 18 die Aufbewahrung der Dokumentation, Artikel 19 automatisch erzeugte Protokolle. Diese Artikel stehen in Kapitel III und gelten für Hochrisiko-KI-Systeme.

Wenn irgendwo behauptet wird, die Kennzeichnung von Website-Bildern müsse protokolliert werden: Lassen Sie sich die entsprechende Paragrafennummer nennen.

Wo Dokumentation trotzdem eine Rolle spielt

Relevant wird sie an einer anderen Stelle: bei der Bemessung von Geldbußen.

Artikel 99 Absatz 7 zählt auf, was bei der Entscheidung über eine Geldbuße und bei der Festsetzung ihrer Höhe in jedem Einzelfall berücksichtigt wird. Zwei Punkte der Liste betreffen unmittelbar das eigene Vorgehen:

Buchstabe g: der Grad an Verantwortung des Akteurs unter Berücksichtigung der von ihm ergriffenen technischen und organisatorischen Maßnahmen.

Buchstabe i: Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes.

Daneben nennt die Liste unter anderem den Grad der Zusammenarbeit mit den zuständigen nationalen Behörden (Buchstabe f), die Art und Weise, wie der Verstoß bekannt wurde und ob der Akteur ihn selbst gemeldet hat (Buchstabe h), sowie Maßnahmen zur Minderung des Schadens (Buchstabe j).

Das ist die belastbare Grundlage für die Aussage, dass ein nachvollziehbares Vorgehen etwas bewirkt: nicht weil die Verordnung es verlangt, sondern weil sie es bei der Bemessung berücksichtigt.

Was die Verordnung sonst noch dazu sagt

Artikel 99 Absatz 1 verlangt, dass Sanktionen wirksam, verhältnismäßig und abschreckend sind und dass sie die Interessen von KMU einschließlich Start-ups sowie deren wirtschaftliches Überleben berücksichtigen.

Absatz 10 stellt klar, dass die Ausübung der Befugnisse angemessenen Verfahrensgarantien unterliegt, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren.

Was das praktisch bedeutet: und was offen ist

Aus der Verordnung selbst lässt sich ableiten:

• Es gibt für Betreiber keine gesetzliche Pflicht, die Kennzeichnungsprüfung zu dokumentieren.
• Ergriffene technische und organisatorische Maßnahmen fließen in die Bemessung einer etwaigen Geldbuße ein.
• Der Grad an Fahrlässigkeit ist ein eigenständiges Kriterium.

Nicht aus der Verordnung ableiten lässt sich, welche Form der Dokumentation ausreicht, welche Beweiskraft ihr in einem konkreten Verfahren zukäme, oder ob eine bestimmte technische Ausgestaltung, etwa Unveränderlichkeit von Einträgen , rechtlich anders gewertet würde als eine einfache Aufstellung.

Uns sind dazu keine Entscheidungen oder verbindlichen Auslegungen bekannt. Die Verordnung gilt in diesem Teil seit dem 2. August 2026; nach Artikel 99 Absatz 11 berichten die Mitgliedstaaten der Kommission jährlich über verhängte Geldbußen. Belastbare Erkenntnisse zur Praxis dürften daher frühestens 2027 vorliegen.

Das KI-Inventar

Wer dokumentieren will, stößt schnell auf eine Vorfrage: Welche KI-Systeme sind hier überhaupt im Einsatz? Ohne diese Liste lässt sich weder sagen, welche Inhalte betroffen sein könnten, noch belegen, dass man sich gekümmert hat.

Eine Pflicht zum Inventar gibt es für Betreiber nicht. Die Verordnung kennt Aufzeichnungspflichten in Artikel 12, die betreffen aber Hochrisiko-Systeme und deren automatisch erzeugte Protokolle – nicht die Transparenzpflichten aus Artikel 50. Wer eine Website betreibt und Bilder mit einem Generator erzeugt, fällt nicht darunter.

Drei Gründe sprechen trotzdem dafür:

1. Artikel 4 verlangt KI-Kompetenz. Seit dem 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen zur KI-Kompetenz ihres Personals und der in ihrem Auftrag tätigen Personen ergreifen. Wer schulen will, muss wissen, worauf. Und wer belegen will, dass er geschult hat, braucht den Bezugspunkt – wie das praktisch geht, steht in KI-Kompetenz im Team.

2. Artikel 99 Absatz 7 wertet organisatorische Maßnahmen. Buchstabe g nennt den Grad an Verantwortung unter Berücksichtigung der ergriffenen technischen und organisatorischen Maßnahmen, Buchstabe i die Fahrlässigkeit. Ein geführtes Verzeichnis ist eine solche Maßnahme – kein Freibrief, aber ein Unterschied zu „niemand wusste, was im Haus läuft”.

3. Es entscheidet, was zu prüfen ist. Die Kennzeichnungspflicht knüpft an Inhalte an, nicht an Werkzeuge. Aber welche Inhalte in Frage kommen, ergibt sich aus den Werkzeugen: Ein Team, das einen Bildgenerator einsetzt, hat ein anderes Prüfprogramm als eines, das nur Texte zusammenfassen lässt.

Wo personenbezogene Daten verarbeitet werden, kommt ein zweiter Anlass hinzu: Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO ist eine echte Pflicht, und ein KI-System, das Kundendaten verarbeitet, gehört dort ohnehin erfasst. Beide Verzeichnisse decken sich nicht, überschneiden sich aber.

Was hineingehört

Eine belastbare Mindestausstattung je System:

Ausgemusterte Systeme sollten nicht gelöscht, sondern als beendet markiert werden. Ein Inhalt von 2026 ist mit dem System von 2026 entstanden, auch wenn es 2028 niemand mehr einsetzt.

Eine Einordnung in eigener Sache

Wir bauen eine App, die jeden Prüfschritt protokolliert und Einträge nachträglich unveränderbar macht. Das tun wir aus Überzeugung für Verlässlichkeit im Netz – nicht, weil eine Norm es erzwingt.

Der Unterschied zu einer normalen Tabelle liegt darin, was sich im Nachhinein belegen lässt: Eine Tabelle zeigt nur den Stand von heute. Wer sie gestern wie geändert hat, bleibt unsichtbar. Ein fortlaufendes Protokoll hält dagegen jede Entscheidung mit Zeitpunkt, Person und Begründung fest. Weil jeder Eintrag kryptografisch an den vorherigen gebunden ist, fällt jede nachträgliche Änderung auf. Aus einer Momentaufnahme wird so ein echter Nachweis über den Verlauf.

Heute ist diese Form der Dokumentation eine freiwillige Zugabe. Wir halten es jedoch für wahrscheinlich, dass sich die Standards genau dorthin entwickeln. Bei Mediendateien ist das bereits geschehen: Was mit C2PA als Industriestandard begann, gehört heute bei vielen Kameras und Generatoren zum Standard. Für die redaktionelle Entscheidung – wer hat wann auf welcher Grundlage eingestuft? – gab es bislang nichts Vergleichbares. Wir legen das Protokoll deshalb so an, dass es künftigen Standards gewachsen ist: fortlaufend, durch eine Hash-Kette gegen unbemerkte Änderungen gesichert und vollständig exportierbar.

Wer eine solche Dokumentation am Ende nicht braucht, hat nichts verloren. Wer sie jedoch braucht, muss nicht rückwirkend rekonstruieren, was längst vergessen ist.

Ehrlicherweise gilt aber auch: Wer nur eine Handvoll Medien betreut, kommt mit einer eigenen einfachen Aufstellung völlig aus. Ab wann sich unsere App lohnt, ist eine Frage des eigenen Aufwands, nicht der Rechtslage. Alles andere zu behaupten, hielten wir für unredlich. Den kostenlosen wirklich.ai Zugang können Sie einrichten, wenn Sie diesen Aufwand nicht von Hand tragen möchten.

Weiterlesen

Wer dokumentiert, stößt schnell auf die Organisationsfrage: Braucht es dafür eine benannte Person?

Dieser Beitrag gibt den Verordnungstext und benannte Quellen wieder. Er ist keine Rechtsberatung und ersetzt im Einzelfall keine anwaltliche Prüfung.

Angaben zur Rechtslage, zu deren Auslegung sowie zu Funktionen, Oberflächen und Schnittstellen fremder Systeme geben den Stand zum oben genannten Datum wieder. Beides kann sich jederzeit und ohne Ankündigung ändern. Für Aktualität, Richtigkeit und Vollständigkeit übernehmen wir keine Gewähr; eine Haftung für Schäden aus der Nutzung dieser Inhalte, der beschriebenen Anleitungen oder der Code-Beispiele ist ausgeschlossen, soweit gesetzlich zulässig. Genannte Produkt- und Firmennamen gehören ihren jeweiligen Inhabern; eine Verbindung zu ihnen besteht nicht.

Dieser Text wurde mit Unterstützung von KI erstellt und redaktionell geprüft.

Link kopieren