Vier Ordner. Mehr braucht es bei uns inzwischen nicht, um die komplette Dokumentationspflicht für unsere KI-Systeme im Griff zu haben. Vor einem Jahr hätte ich locker zwanzig geschätzt, als das Thema mit einem einzigen Satz aus der Geschäftsführung bei mir auf dem Tisch landete. Seitdem beantworte ich in meiner Rolle als interne AI-Act-Compliance-Verantwortliche ungefähr dieselben fünf, sechs Fragen immer wieder, egal ob sie von Kolleginnen im eigenen Betrieb kommen oder von anderen HR-Leuten in ähnlich aufgestellten KMU. Also sammle ich sie hier, so wie sie mir gestellt werden — samt der Antworten, die bei uns im Maschinenbau-Zulieferer mit 78 Leuten funktioniert haben, mitten in einer Digitalisierung, die eigentlich niemand von uns geplant hatte, und ein paar, die eben nicht funktioniert haben.
Wie viele Dokumente eine Dokumentationspflicht im Alltag wirklich braucht
Wer bei uns fragt, was die Dokumentationspflicht nach dem AI Act eigentlich verlangt, bekommt von mir inzwischen eine kurze Antwort: ein Register, in dem jedes eingesetzte System mit seinem Zweck, seiner Risikoeinstufung und der zuständigen Person steht, dazu die Konformitätserklärungen der Anbieter und eine Notiz, wer die menschliche Aufsicht trägt. Bevor überhaupt dokumentiert wird, muss klar sein, in welche Risikoklasse ein System fällt — dazu gehört ein eigenes Kapitel, das ich hier nicht aufrolle, weil es den Rahmen sprengen würde.
Auf meinem Fensterbrett liegt seit Monaten die ausgedruckte Verordnung, gelb und orange vollgekritzelt, und auf dem Schreibtisch daneben laufen der Firmenrechner und der Diensttlaptop parallel, weil ich zwischen Register und Postfach ständig hin- und herspringe. Wer durch die Glasscheibe zum Flur läuft, sieht das sofort. Einen Vorhang gibt es dort nicht, und mittlerweile stört es mich nicht mehr, dass jeder im Vorbeigehen sieht, waron ich gerade sitze.
Gilt das auch für einen Betrieb mit 78 Leuten?
Ja, und zwar unabhängig davon, ob man eine eigene Rechtsabteilung hat oder, wie bei uns, gar keine. Größe verändert höchstens, wie viele Systeme am Ende in der Liste stehen, nicht ob die Pflicht überhaupt gilt. Bei uns hat sich das früh gezeigt, als wir versucht haben, direkt mit einer Schulung für die ganze Belegschaft zu starten, bevor wir auch nur ansatzweise wussten, welche Tools im Haus überhaupt laufen. Nach der dritten Rückfrage aus der Runde haben wir abgebrochen, weil niemand mehr sagen konnte, von welchem Programm gerade die Rede war. Schulung ohne Inventar bringt niemandem etwas.
Frau Krüger hat mich vor kurzem in der Kantine zwischen Suppentheke und Kaffeeautomat nach unserer KI-Richtlinie gefragt, und die Antwort kam raus, ohne dass ich auch nur einmal ins Stocken geriet. Ein gutes Zeichen dafür, dass das Register inzwischen mehr ist als ein Ordner, den nur ich verstehe.
Diese drei Register führen wir im Alltag
Das erste ist die Inventarliste aller Systeme, sortiert nach Risikoklasse. Das zweite sind die Transparenzhinweise für Anwendungen mit begrenztem Risiko, vor allem die Chatbots im Vertrieb. Das dritte ist die Aufsichtsliste: wer bei welchem System die letzte Kontrolle hat, wenn ein Tool eine Entscheidung vorschlägt. Wie sauber man diese drei Register im Alltag überhaupt führen kann, hängt eng mit einer pragmatischen Daten-Governance für KI-Anwendungen im Büro zusammen — wer nicht weiß, welche Daten wo landen, kann darüber auch keine Dokumentation führen, die im Ernstfall standhält.
Ohne eine ehrliche Inventur der Schatten-KI, die einzelne Kolleginnen und Kollegen auf eigene Faust ausprobieren, ist so ein Register von Anfang an löchrig. Genauso gehören ein paar Anwendungen von vornherein gar nicht in die Liste, weil sie schlicht untersagt sind und man sich die Diskussion über eine Risikoklasse sparen kann.
Was ich zeige, wenn morgen jemand von der Aufsicht anruft
Dann lege ich das Register vor, die Konformitätserklärungen der Anbieter und eine kurze Notiz zur Aufsicht über die wichtigsten Systeme. Dazu gehört auch, dass wir den KI-Einsatz gegenüber Kolleginnen und Kunden offen kommunizieren, statt es einfach laufen zu lassen. Wie lange genau ich das alles aufheben muss, kläre ich lieber im Einzelfall mit einer Fachperson, statt hier eine Zahl zu nennen, auf die sich jemand verlassen könnte.
Ob wir dabei als Anbieter oder nur als Betreiber gelten, entscheidet außerdem, wie viel von diesem Papierkram überhaupt bei uns landet statt beim Softwarehersteller. Und ob sich für einzelne Leute im Team ein eigener KI-Kompetenznachweis lohnt, ist eine Rechnung, die ich getrennt davon aufgemacht habe.
Wo Überdokumentation zum eigenen Risiko wird
Zu viel Dokumentation ist genauso ein Problem wie zu wenig. Wer jede kleine Funktion protokolliert, die er selbst gar nicht versteht, unterschreibt am Ende Aussagen, die im Zweifel gegen einen selbst verwendet werden. Meine Faustregel: Prozesse dokumentieren, nicht jeden Einzelfall — wer ein System ausgewählt hat, wie es geprüft wurde, wer zuständig ist. Das reicht, um Sorgfalt zu zeigen, ohne sich in Widersprüche zu verstricken.
Genauso gehört dazu, festzuhalten, welche Schritte wir gegen algorithmische Diskriminierung im Bewerbungsprozess unternehmen, und wie wir mit der Kennzeichnungspflicht für KI-generierte Inhalte umgehen — beides eigene Kapitel, die ich an anderer Stelle ausführlicher behandle. Dokumentation hilft dabei übrigens auch, Ängste einzelner Kolleginnen und Kollegen vor der neuen Technik abzubauen, weil sichtbar wird, dass nichts unbeaufsichtigt läuft.
Was, wenn oben niemand nachfragt?
Julia Neumann, eine Freundin aus dem Studium, die heute als IT-Rechtsanwältin arbeitet, liest meine Entwürfe manchmal gegen und hat für Behördendeutsch überhaupt keine Geduld — "Das versteht kein Mensch, schreib das nochmal in normal", ist ungefähr ihr Standardsatz. Eine Rechtsberatung ist das nicht, das macht sie jedes Mal klar, aber es reicht, um zu merken, wo ein Satz zu kompliziert für die eigene Belegschaft ist.
Wenn ich von der Geschäftsführung nur ein kurzes Okay ohne Rückfragen bekomme, nehme ich das nicht als Zustimmung, sondern als offene Baustelle. Ich frage dann gezielt nach, ob wirklich klar ist, warum ein System in einer bestimmten Risikoklasse steht, denn ohne dieses Verständnis bricht die ganze Dokumentation beim ersten kritischen Nachfragen zusammen. Zur Dokumentationspflicht gehört im weiteren Sinne auch, dass Mitarbeitende im Umgang mit den Systemen geschult werden, auch wenn diese Pflicht rechtlich getrennt davon steht, und dort, wo es einen Betriebsrat gibt, muss dessen Mitbestimmung von Anfang an mitgedacht werden.
Reicht das auch für einen 30-Personen-Betrieb wie den von Uwe Hoffmann?
Uwe Hoffmann, Geschäftsführer eines 30-Personen-Betriebs bei Mönchengladbach, hat das unter einem früheren Beitrag kommentiert: Bei seiner Größe habe er nicht einmal eine eigene HR-Person, und er fragt sich regelmäßig, ob die Verordnung für ihn überhaupt gilt. Meine Antwort darauf ist immer dieselbe — die Pflicht hängt nicht an der Mitarbeiterzahl, sondern daran, welche Systeme im Einsatz sind und was sie entscheiden. Ein 30-Personen-Betrieb mit einer einzigen Software zur Vorauswahl von Bewerbungen braucht eher ein schmales Register als ein aufwendiges Compliance-Projekt.
Wichtiger als die Dicke des Ordners ist am Schluss, ob jede Zeile darin auch wirklich stimmt. Lieber ein schlankes Register, das die Realität sauber abbildet, als ein umfangreiches Dokument voller Angaben, die im Zweifel keiner mehr belegen kann. Für alles, was speziell bei dir im Betrieb zutrifft, bleibt der Griff zu einer Fachperson die sicherere Wahl als eine Vorlage aus dem Internet.