Die KI-Verordnung für den Entwickler: Anbieterpflichten und Dokumentation

Kurze Antwort: Bauen, trainieren oder feinabstimmen Sie ein KI-System, sind Sie unter der KI-Verordnung wahrscheinlich Anbieter — die Rolle mit den meisten Pflichten. Für Hochrisiko-KI bedeutet das Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenz und menschliche Aufsicht. Die gute Nachricht: Nahezu alles ist Engineering, das Sie früh im Entwurf einplanen statt nachträglich anflanschen.

Wann sind Sie Anbieter?

Sie sind Anbieter, wenn Sie ein KI-System entwickeln und unter eigenem Namen oder eigener Marke in Verkehr bringen. Achtung: Auch eine tiefgreifende Anpassung oder Feinabstimmung eines bestehenden Modells kann Sie zum Anbieter machen. Diese Rolle bestimmt, welche Pflichten auf Ihnen lasten — siehe auch die KI-Verordnung für den Einkäufer für den Unterschied zum Betreiber.

Die Kernpflichten für Hochrisiko-KI

• Risikomanagementsystem. Ein fortlaufender Prozess, der Risiken über den gesamten Lebenszyklus identifiziert, bewertet und begrenzt.
• Daten und Daten-Governance. Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und so fehlerfrei wie möglich sein, mit Augenmerk auf Verzerrung.
• Technische Dokumentation. Festhalten, wie das System entworfen, trainiert und getestet wurde — ausreichend, damit Aufsichtsbehörden die Konformität beurteilen können.
• Protokollierung. Automatische Aufzeichnung von Ereignissen während des Betriebs, zur Nachvollziehbarkeit.
• Transparenz. Eine Betriebsanleitung, die den Betreiber in die Lage versetzt, das System korrekt einzusetzen.
• Menschliche Aufsicht und Robustheit. By Design entworfen, nicht als spätere Ergänzung — für Robustheit und Sicherheit arbeiten Sie mit dem CISO zusammen.

Das vollständige Bild steht in der Übersicht der Hochrisiko-Pflichten.

Dokumentation ist keine Nebensache

Viele Teams unterschätzen die technische Dokumentation. Unter der KI-Verordnung ist sie das Beweismaterial: Ohne lückenlose Dokumentation lässt sich die Konformität nicht nachweisen und ein System nicht rechtmäßig in Verkehr bringen. Behandeln Sie die Dokumentation als Teil der Definition of Done, nicht als Schlussstein.

Bauen Sie Compliance in Ihren Prozess ein

Verweben Sie die Anforderungen der KI-Verordnung in Ihren Entwicklungsprozess: einen Risiko-Check in der Entwurfsphase, Datenqualitätskontrollen in der Pipeline, Protokollierung als Standardkomponente und Dokumentation, die mit dem Code mitwächst. Verankern Sie dies im umfassenderen Governance-Rahmen und stimmen Sie sich mit dem DSB ab, wo personenbezogene Daten im Spiel sind.

Was zu tun ist

• Bestimmen Sie Ihre Rolle (Anbieter oder nicht) früh im Projekt.
• Richten Sie einen Risikomanagementprozess ein, der den gesamten Lebenszyklus abdeckt.
• Sichern Sie die Daten-Governance: Herkunft, Repräsentativität und Verzerrungskontrolle.
• Machen Sie technische Dokumentation zum Teil der Definition of Done.
• Bauen Sie Protokollierung und menschliche Aufsicht by Design ein.
• Investieren Sie in KI-Kompetenz innerhalb des Teams.

Für den Entwickler ist die KI-Verordnung vor allem ein Qualitätsrahmen. Die Systeme, die ihr entsprechen, sind zugleich die Systeme, denen Sie später vertrauen, die Sie erklären und warten können.