EU AI Act Vorlagen: 58 Dokumente für Anbieter + Betreiber

1. Vorlagen nach Risikoklasse

Der EU AI Act (Verordnung (EU) 2024/1689) staffelt Pflichten nach Risiko. Der Vorlagen-Bedarf folgt direkt dieser Klassifikation:

1.1 Verbotene Praktiken (Art. 5) — seit 02.02.2025

Acht Praktiken sind komplett untersagt: Social Scoring durch Behörden, manipulative Subliminal-KI, Ausnutzen von Schutzbedürftigkeit, biometrische Echtzeit-Identifikation im öffentlichen Raum (mit engen Ausnahmen), Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, biometrische Kategorisierung nach sensiblen Merkmalen, ungezielte Scraping-Datenbanken für Gesichtserkennung, Predictive Policing rein auf Profiling-Basis.

Vorlagen-Bedarf: Prohibition-Compliance-Statement, Use-Case-Inventory mit Klassifikation, Einsatz-Verbots-Policy. Wer keine verbotene Praxis betreibt, dokumentiert das aktiv — Aufsichtsbehörden fragen das ab.

1.2 Hochrisiko (Annex III + Annex I) — ab 02.08.2026

Annex III listet acht Anwendungsbereiche: biometrische Identifikation, kritische Infrastruktur, allgemeine + berufliche Bildung, Beschäftigung (Bewerber-Screening, Beförderungs-Entscheidungen, Performance-Monitoring), wesentliche private/öffentliche Dienste (Kreditwürdigkeit, Versicherungs-Risiko-Bewertung, Notrufdisposition), Strafverfolgung, Migration/Asyl/Grenze, Justizverwaltung + Wahlen. Annex I erfasst KI als Sicherheitskomponente in regulierten Produkten (Medizinprodukte, Maschinen, Spielzeug, Aufzüge).

Vorlagen-Bedarf: komplettes Compliance-Set für Anbieter (Art. 16 + Anhang IV) plus Betreiber-Set (Art. 26-27). Ca. 30-40 Dokumente pro Hochrisiko-System.

1.3 Begrenztes Risiko (Art. 50) — ab 02.08.2026

Transparenzpflichten bei Chatbots, KI-generierten Inhalten, Deepfakes, Emotionserkennungs- und biometrischen Kategorisierungssystemen, die nicht verboten sind. Nutzer müssen erkennen können, dass sie mit einer KI interagieren bzw. dass Inhalt KI-generiert ist (Wasserzeichen / Labels).

Vorlagen-Bedarf: Transparenz-Erklärung, Chatbot-Disclaimer, Deepfake-Labeling-Policy, Watermarking-Konzept.

1.4 Minimales Risiko — seit 02.02.2025 nur AI-Literacy

Spamfilter, KI in Videospielen, einfache Empfehlungssysteme: keine spezifischen Pflichten. Aber: AI-Literacy nach Art. 4 gilt für jedes Unternehmen, das KI einsetzt oder bereitstellt — Mitarbeiter müssen geschult sein.

Vorlagen-Bedarf: AI-Literacy-Schulungskonzept, Schulungs-Nachweis, AI-Acceptable-Use-Policy.

2. Pflichten Anbieter (Art. 16) — die 9 Kerndokumente

2.1 Risk-Management-System (Art. 9)

Iterativer Prozess über den gesamten KI-Lebenszyklus: Identifikation vorhersehbarer Risiken, Bewertung, Mitigation, Rest-Risiko-Dokumentation, Testing. Vorlage: Risk-Management-Plan + Risk-Register.

2.2 Data-Governance (Art. 10)

Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ, fehlerfrei und vollständig sein. Bias-Prüfung verpflichtend. Vorlage: Data-Governance-Policy, Bias-Assessment-Protokoll, Data-Lineage-Dokumentation.

2.3 Technische Dokumentation (Art. 11 + Anhang IV)

Anhang IV listet 9 Bereiche: allgemeine Beschreibung, detaillierte Funktionsweise (Architektur, Datensätze, Validierungs-Verfahren), Monitoring-Verfahren, Performance-Metriken, Risiko-Management-System, Änderungs-Management, Standards-Konformität, EU-Konformitätserklärung, Post-Market-Monitoring-Plan. Vorlage: Technical-Documentation-Template nach Annex IV (typisch 40-80 Seiten).

2.4 Logging (Art. 12)

Automatische Aufzeichnung von Ereignissen über den Lebenszyklus, mindestens: Aufzeichnungs-Zeitraum, Eingangs-Datenbank-Referenz, Ergebnis-Übereinstimmungs-Prüfung, Personen-Identifikation für menschliche Überprüfung. Vorlage: Logging-Konzept + Log-Spezifikation.

2.5 Transparenz + User-Information (Art. 13)

Betreibern müssen klare, vollständige, korrekte Anweisungen mitgeliefert werden: Zweck, Genauigkeit, bekannte Limitierungen, Trainingsdaten-Eigenschaften, Erwartungen für menschliche Aufsicht, Hardware-Requirements, erwartete Lebensdauer. Vorlage: User-Instructions / Deployer-Information-Document.

2.6 Human-Oversight (Art. 14)

Das System muss so designed sein, dass natürliche Personen es überwachen können — Stop-Button, Interpretierbarkeit der Outputs, Bewusstsein für Automation-Bias. Vorlage: Human-Oversight-Konzept + Interventions-Protokoll.

2.7 Accuracy, Robustness + Cybersecurity (Art. 15)

Angemessene Leistungs-Level über Lebenszyklus, Resilienz gegen Fehler / Inkonsistenzen / adversariale Inputs / Data Poisoning. Vorlage: Accuracy/Robustness-Testbericht, Cybersecurity-Konzept (orientiert an ENISA-Leitlinien).

2.8 Konformitätsbewertung (Art. 43)

Vor Inverkehrbringen: interne Kontrolle (Modul A) oder Notified Body (Modul B+C, B+F, H) je nach Annex. Vorlage: Conformity-Assessment-Bericht + interne Kontrollverfahren.

2.9 EU-Konformitätserklärung + CE-Kennzeichnung (Art. 47-48)

Vorlage: EU-Konformitätserklärung nach Anhang V.

3. Pflichten Betreiber/Deployer (Art. 26)

Wer ein Hochrisiko-KI-System einsetzt, ist Betreiber und hat eigene Pflichten — auch wenn er das System nicht entwickelt hat:

• Anweisungen befolgen: Anbieter-Instruktionen umsetzen, technische + organisatorische Maßnahmen
• Human Oversight: natürliche Person mit ausreichender Kompetenz benennen
• Input-Daten: Sicherstellen, dass Eingangsdaten dem Verwendungszweck entsprechen
• Monitoring: Betrieb überwachen, ernsthafte Vorfälle innerhalb 15 Tage an Anbieter + Aufsicht melden
• Logging: automatisch erzeugte Logs mindestens 6 Monate aufbewahren
• Betriebsrat + Beschäftigte informieren: vor Einsatz im Arbeitsumfeld (Art. 26 Abs. 7)
• DSGVO-DSFA: KI-spezifische Risiken einbeziehen

Vorlagen: Deployer-Compliance-Checkliste, Human-Oversight-Bestellung, Monitoring-Konzept, Vorfalls-Meldeprotokoll, Betriebsrats-Info-Mitteilung.

4. FRIA — Fundamental Rights Impact Assessment (Art. 27)

Verpflichtend für: öffentliche Stellen (alle Hochrisiko-KI), private Stellen bei öffentlichen Diensten (Bildung, Beschäftigung, kritische Infrastruktur), Kreditwürdigkeitsprüfung, Lebens- und Krankenversicherungs-Risikobewertung.

Pflicht-Inhalte:

1. Beschreibung der Einsatzprozesse
2. Zeitraum und Häufigkeit der Nutzung
3. Kategorien betroffener natürlicher Personen
4. Spezifische Risiken für Grundrechte
5. Human-Oversight-Maßnahmen
6. Maßnahmen bei Realisierung der Risiken (Beschwerdemechanismen)

Die FRIA muss vor der ersten Nutzung erstellt, an die Marktüberwachungsbehörde gemeldet und bei wesentlichen Änderungen aktualisiert werden. Sie kann mit der DSGVO-DSFA (Art. 35 DSGVO) kombiniert werden, wenn beide Pflichten zutreffen.

Vorlage: FRIA-Template mit 6 Pflicht-Sektionen + Risiko-Matrix-Worksheet.

5. GPAI — Art. 53-55

General-Purpose-AI-Modelle (GPAI) sind ein eigenes Regelungs-Regime. Anbieter wie OpenAI, Anthropic, Google, Meta, Mistral fallen darunter.

5.1 Alle GPAI (Art. 53) — seit 02.08.2025

• Technische Dokumentation nach Anhang XI
• Informationen für nachgelagerte Anbieter (Annex XII)
• Copyright-Compliance-Policy (Reservation of Rights nach Art. 4(3) DSM-Richtlinie respektieren)
• Summary of Training Data (öffentlich, nach AI-Office-Template)

Ausnahme: Open-Source-GPAI-Anbieter sind teilweise befreit, sofern keine systemischen Risiken.

5.2 GPAI mit systemischem Risiko (Art. 55) — Schwelle 10^25 FLOPS

Zusätzlich:

• Model Evaluations (State-of-the-Art-Protokolle, Red-Teaming)
• Adversarial Testing
• Systemic-Risk-Assessment + Mitigation
• Cybersecurity-Schutz (Modellgewichte, Trainings-Infrastruktur)
• Tracking + Meldung schwerwiegender Vorfälle ans AI Office

Details siehe GPAI-Compliance-Vorlage Art. 53-55.

6. Übersichts-Tabelle der 58 Dokumente

7. Fristen 2025-2027

• 02.02.2025: Verbotene Praktiken (Art. 5) — sofort, ohne Übergangsfrist. AI-Literacy-Pflicht (Art. 4) aktiv.
• 02.08.2025: GPAI-Pflichten (Art. 53-55), AI Office voll arbeitsfähig, Governance-Strukturen, nationale Aufsichtsbehörden, Sanktionen (außer GPAI).
• 02.08.2026: Hochrisiko-KI Annex III + Transparenz Art. 50. Code of Practice GPAI verbindlich.
• 02.08.2027: Hochrisiko-KI Annex I (eingebettet in regulierte Produkte) + Strafen GPAI.
• 02.08.2030: Bestehende öffentliche Hochrisiko-Systeme müssen konform sein.

FAQ