Vorbereitung auf ein KI-Aufsichtsaudit: welche Unterlagen Sie bereithalten müssen

Kurze Antwort: Bei einem Aufsichtsaudit wird weniger Ihr System getestet als vielmehr Ihre Akte. Die Aufsichtsbehörde fordert zuerst Ihre technische Dokumentation, Ihr Risikomanagement, Ihre Protokolldateien, Ihre Konformitätserklärung und Ihre Governance an. Wer diese Unterlagen bereit und aktuell hat, besteht die Prüfung; wer sie nachträglich rekonstruieren muss, scheitert. Bereiten Sie die Akte daher vor dem Audit vor, nicht danach.

Was eine Aufsichtsbehörde zuerst anfordert

Für Hochrisiko-Systeme schreibt die KI-Verordnung genau vor, welche Dokumentation verfügbar sein muss. In der Praxis fragt eine Aufsichtsbehörde in der Regel nach:

• Technischer Dokumentation (Anhang IV): Zweck, Konzeption, Datenspezifikationen, getestetes Verhalten und bekannte Beschränkungen des Systems.
• Risikomanagementsystem: wie Sie Risiken über den gesamten Lebenszyklus identifizieren, bewerten und mindern.
• Daten-Governance: Herkunft, Qualität und Repräsentativität der Trainings- und Testdaten.
• Protokolldateien: automatische Aufzeichnung von Ereignissen zur Gewährleistung der Rückverfolgbarkeit.
• EU-Konformitätserklärung und CE-Kennzeichnung, soweit zutreffend.
• Menschliche Aufsicht und Betriebsanleitungen für den Betreiber.

Dokumentation ist ein fortlaufender Prozess

Der Fehler, den Organisationen machen, ist, Dokumentation als einmaliges Projekt zu betrachten. Die KI-Verordnung verlangt, dass die Dokumentation aktuell bleibt: bei jeder wesentlichen Änderung des Systems muss die Akte mitgeführt werden. Ein Audit kann Jahre nach Inbetriebnahme stattfinden, daher sind Versionsverwaltung und eine nachweisbare Aktualisierungsroutine entscheidend. Eine Akte, die nicht mit dem System in der Produktion übereinstimmt, ist ein Warnsignal.

Verteilen Sie die Rollen Anbieter und Betreiber

Nicht alle Unterlagen liegen bei derselben Partei. Der Anbieter erstellt die technische Dokumentation und die Konformitätserklärung; der Betreiber muss nachweisen können, dass er das System gemäß den Betriebsanleitungen einsetzt, menschliche Aufsicht regelt und bei Bedarf Protokolle aufbewahrt. Bei einem Audit wird diese Unterscheidung scharf; legen Sie vertraglich fest, wer welche Unterlage liefert. Die Verankerung gehört in Ihr Governance-Rahmenwerk.

Üben Sie das Audit selbst

Die beste Vorbereitung ist ein internes Probeaudit: lassen Sie jemanden, der das System nicht gebaut hat, die Akte anfordern, als wäre er die Aufsichtsbehörde. Fehlende Unterlagen, veraltete Versionen und nicht nachvollziehbare Entscheidungen kommen so ans Licht, bevor es ernst wird. Was das Durchsetzungsverfahren genau beinhaltet, lesen Sie gesondert.

Was zu tun ist

• Erstellen Sie einen Aktenindex mit allen verpflichtenden Unterlagen und dem Verantwortlichen je Unterlage.
• Sichern Sie die Versionsverwaltung: die Dokumentation folgt jeder Systemänderung.
• Prüfen Sie Ihre Protokollierung: zeichnen Sie genug auf, um Entscheidungen nachvollziehen zu können?
• Legen Sie Rollen mit Lieferanten fest: wer liefert welche Unterlage?
• Führen Sie ein Probeaudit durch, bevor die Aufsichtsbehörde anruft — siehe auch nationale Aufsichtsbehörden.