KI Dokumentationspflicht Mittelstand: Risikoklasse bestimmen, Dokumente finden, 30-Tage-Plan

Die meisten Mittelständler, die sich mit der KI-Dokumentationspflicht beschäftigen, beginnen an der falschen Stelle. Sie suchen nach Vorlagen für technische Dokumentationen, bevor sie wissen, ob ihr KI-System überhaupt dokumentiert werden muss. Sie erstellen Qualitätsmanagementsysteme für Software, die unter minimales Risiko fällt. Sie sammeln Zehntausende Euro an Beratungskosten für Systeme, die sie ab August 2026 nicht mehr einsetzen dürfen. Die Ursache ist eine falsche Reihenfolge: Dokumentation vor Einordnung. Dieser Ratgeber dreht die Reihenfolge um. Er zeigt acht Ja/Nein-Fragen zur Risikoklassen-Einordnung, eine Dokumenten-Matrix, die für jede Risikoklasse und Rolle die exakten Pflichten zeigt, und einen 30-Tage-Plan, der die Dokumentation Schritt für Schritt aufbaut.

Warum achtzig Prozent der Mittelständler mit der Dokumentation an der falschen Stelle beginnen

Der EU AI Act ist seit dem 1. August 2024 in Kraft. Die Dokumentationspflichten für Hochrisiko-Systeme gelten ab dem 2. August 2026. Das klingt nach viel Zeit. Doch in der Praxis zeigt sich ein anderes Bild: Mittelständler beginnen mit der teuersten Aufgabe, bevor sie die einfachste gelöst haben.

Ein typischer Ablauf sieht so aus: Der Geschäftsführer liest von den Dokumentationspflichten, beauftragt eine Kanzlei mit der Erstellung einer technischen Dokumentation, zahlt fünfstellige Honorare und stellt nach drei Monaten fest, dass sein System gar nicht unter Hochrisiko fällt. Oder er erkennt, dass er als Betreiber nur sechs statt zehn Dokumente erstellen muss. Oder er merkt, dass sein System unter begrenztes Risiko fällt und gar kein Qualitätsmanagementsystem benötigt.

Die falsche Reihenfolge kostet nicht nur Geld, sondern auch Vertrauen. Wenn die erste Beratung zehntausend Euro kostet und am Ende nur ein dreiseitiges Dokument übrig bleibt, wird KI-Compliance zur Bürde statt zum Wettbewerbsvorteil. Die Lösung liegt in einer systematischen Einordnung vor der Dokumentation. NaveSight arbeitet als Intelligenz-Schicht über den bestehenden Systemen und unterstützt diesen Prozess als Middleware, die Daten aus ERP, CRM und anderen Quellen zusammenführt, ohne die bestehende Infrastruktur zu verändern.

Schritt 1: Die acht Ja/Nein-Fragen zur Risikoklassen-Einordnung

Die Risikoklasse eines KI-Systems lässt sich nicht am Titel oder an der Marketingbeschreibung ablesen. Entscheidend ist der Einsatzzweck und die Art der verarbeiteten Daten. Die folgenden acht Fragen führen in fünf Minuten zur richtigen Einordnung.

Diese acht Fragen decken alle relevanten Kriterien des EU AI Act ab. Wenn eine der Fragen eins bis fünf mit Ja beantwortet wird, fällt das System unter Hochrisiko und unterliegt den umfangreichsten Dokumentationspflichten. Frage sechs prüft unannehmbare Risiken, die generell verboten sind. Fragen sieben und acht identifizieren begrenztes Risiko mit geringeren Anforderungen. Wenn alle Fragen mit Nein beantwortet werden, fällt das System unter minimales Risiko.

Schritt 2: Anbieter oder Betreiber?

Die Rolle bestimmt die Pflichten. Ein Anbieter entwickelt oder entwickeln lässt ein KI-System und bringt es unter eigenem Namen auf den Markt. Ein Betreiber nutzt ein KI-System in eigener Verantwortung, ohne es zu entwickeln oder zu vermarkten. Die meisten Mittelständler sind Betreiber, nicht Anbieter.

Die Unterscheidung ist entscheidend, weil Anbieter deutlich mehr Dokumente erstellen müssen als Betreiber. Ein Betreiber, der ein Hochrisiko-System nutzt, braucht sechs Dokumente. Der Anbieter desselben Systems braucht zehn. Wer seine Rolle nicht kennt, dokumentiert zu viel oder zu wenig.

Schritt 3: Die Dokumenten-Matrix

Nach der Einordnung in Risikoklasse und Rolle ergibt sich die exakte Anzahl der benötigten Dokumente. Die folgende Matrix zeigt für jede Kombination die Pflichten, Fristen und Verantwortlichen.

Die Matrix zeigt sofort, warum die Einordnung vor der Dokumentation wichtig ist. Ein Mittelständler, der ChatGPT im Vertrieb nutzt, ist Betreiber eines Systems mit begrenztem Risiko und braucht nur zwei Dokumente. Ein Softwarehaus, das einen eigenen Kunden-Scoring-Algorithmus entwickelt, ist Anbieter eines Hochrisiko-Systems und braucht zehn Dokumente. Die Differenz ist nicht nur quantitativ, sondern auch qualitativ: Hochrisiko-Anbieter müssen ein vollständiges Qualitätsmanagementsystem aufbauen, Betreiber mit begrenztem Risiko nicht.

Schritt 4: Was muss in die zehn Pflichtdokumente?

Die meisten Ratgeber nennen die Titel der Dokumente, aber nicht den Inhalt. Die folgende Tabelle zeigt für jedes der zehn Hochrisiko-Dokumente, was konkret hineingehört und wie viel Zeit die Erstellung voraussichtlich beansprucht.

Die Summe der Zeitaufwendungen beträgt zwischen 37 und 54 Stunden für einen Hochrisiko-Anbieter. Als Betreiber reduziert sich der Aufwand auf etwa die Hälfte, da nur sechs der zehn Dokumente erforderlich sind. Bei begrenztem Risiko liegt der Aufwand bei insgesamt vier bis sechs Stunden. Bei minimalem Risiko genügt eine halbstündige interne Notiz.

Die technische Dokumentation ist das aufwendigste Dokument, weil sie die Systemarchitektur, die verwendeten Algorithmen und die Datenquellen beschreiben muss. Hier bietet sich eine Wissensbasis an, die alle relevanten Informationen zentral speichert und aktuell hält. Eine Rules Engine kann dabei helfen, deterministische Pfade im System zu dokumentieren, während die Muster-Erkennung die nicht-deterministischen Entscheidungen erfasst.

Schritt 5: Der 30-Tage-Plan

Die Dokumentation muss nicht auf einen Schlag erledigt werden. Ein pragmatischer Ansatz verteilt die Arbeit über vier Wochen und vermeidet Überforderung. Der Plan geht von einem Hochrisiko-Betreiber aus und lässt sich für Anbieter oder andere Risikoklassen entsprechend anpassen.

Der Plan lässt sich beschleunigen, wenn bereits ein Qualitätsmanagementsystem existiert, das als Grundlage genutzt werden kann. Wer nach ISO 27001 zertifiziert ist, verfügt bereits über die meisten Prozesse. Wer ein bestehendes Informationssicherheitsmanagement hat, kann dessen Struktur übernehmen. Die Middleware zwischen den Systemen spielt dabei eine wichtige Rolle, da sie die Datenflüsse dokumentiert und die Nachvollziehbarkeit sicherstellt.

Was kostet die KI-Dokumentation im Mittelstand?

Die Kosten für die KI-Dokumentation lassen sich in drei Blöcke aufteilen: interne Arbeitszeit, externe Beratung und laufender Betrieb. Die folgende Tabelle zeigt typische Bereiche für Unternehmen mit zehn bis zweihundert Mitarbeitern.

Die Angaben sind Bereiche, keine Festpreise. Ein Unternehmen mit bestehendem Qualitätsmanagementsystem liegt am unteren Ende. Ein Unternehmen ohne jede Vorarbeit und mit mehreren KI-Systemen liegt am oberen Ende. Die laufenden Kosten fallen geringer aus, wenn die Dokumentation in bestehende Prozesse eingebettet wird. NaveSight bietet drei Stufen der Begleitung: die Einzelsegment-Begleitung ab 290 Euro pro Monat für die Verknüpfung eines Moduls, die Verknüpfung mehrerer Geschäftsbereiche ab 990 Euro pro Monat und die strategische Begleitung über alle Module ab 2.490 Euro pro Monat. Die Einrichtung wird individuell kalkuliert.

Wann ist man von der Pflicht befreit?

Nicht jedes KI-System unterliegt den Dokumentationspflichten des EU AI Act. Die folgende Tabelle zeigt die wichtigsten Ausnahmen und deren Kriterien.

Wichtig ist, dass minimales Risiko nicht gleichbedeutend mit keine Regulierung ist. Der AI Act fordert für minimales Risiko freiwillige Standards. Wer diese Standards dokumentiert, schafft Vertrauen bei Kunden und Geschäftspartnern. Eine Wissensbasis, die die freiwilligen Standards zusammen mit den Geschäftsprozessen abbildet, kann als Wettbewerbsvorteil genutzt werden.

Prüfpunkte vor dem Start

Bevor die Dokumentation beginnt, sollten sechs Punkte geklärt sein. Wer diese Prüfpunkte überspringt, riskiert doppelte Arbeit oder unvollständige Unterlagen.

• 1Risikoklasse bestätigt: Die acht Ja/Nein-Fragen wurden mit allen Stakeholdern durchgegangen und das Ergebnis dokumentiert.
• 2Rolle geklärt: Es steht fest, ob das Unternehmen Anbieter, Betreiber oder Quasi-Anbieter ist.
• 3Stakeholder benannt: Für jedes Dokument ist eine verantwortliche Person benannt, die es erstellt, prüft und freigibt.
• 4Bestandsdokumente gesammelt: Vorhandene Unterlagen aus Datenschutz, IT-Sicherheit und Qualitätsmanagement liegen vor.
• 5Datenquellen identifiziert: Alle Trainings- und Betriebsdaten sind erfasst, inklusive Herkunft, Qualität und Aufbewahrungsfristen.
• 6Zeitplan erstellt: Der 30-Tage-Plan ist auf das eigene Unternehmen angepasst und mit den verantwortlichen Personen abgestimmt.

Verwandte Inhalte

Wenn Sie sich mit der KI-Dokumentation beschäftigen, interessieren Sie sich vielleicht auch für diese Themen:

• KI Automatisierung Mittelstand - Wie Sie KI-Systeme in bestehende Prozesse einbinden, ohne die Infrastruktur zu verändern.
• KI Beratung Frankfurt - Was Mittelständler in der Rhein-Main-Region bei der KI-Implementierung beachten müssen.
• KI Beratung Köln - KI-Einführung im Mittelstand mit Fokus auf Mittelrhein und Ruhrgebiet.
• KI Mittelstand Strategie - Der Unterschied zwischen punktueller Automatisierung und strategischer KI-Integration.
• So arbeiten wir - Wie NaveSight als Middleware über Ihren bestehenden Systemen arbeitet und Daten zusammenführt.