So erfüllen wir die KI Dokumentationspflichten im Büro nach dem AI Act

Eigentlich wollte ich heute Abend pünktlich raus. Aber dann saß ich da, an einem verregneten Abend Ende Februar, und starrte auf eine leere Excel-Tabelle mit dem Titel 'KI-Inventar'. Draußen peitschte der Wind gegen die Bürofenster hier in Düsseldorf, und ich fragte mich ernsthaft, wie ich als BWL-Absolventin mit vier Jahren HR-Erfahrung zur Compliance-Beauftragten für eine EU-Verordnung geworden bin, die selbst Anwälte ins Schwitzen bringt. Wir sind ein mittelständischer Betrieb, 78 Leute, wir bauen Zulieferteile. Keine IT-Schmiede. Und doch fühlt es sich gerade so an, als müsste ich ein Flugzeughandbuch schreiben.

Der Moment, in dem das weiße Blatt Papier zurückstarrte (KW 8)

Ich habe in dieser Woche angefangen, mal wirklich aufzuschreiben, wo wir überall KI nutzen könnten. Tobias aus der IT kam rein, grinste nur und meinte: 'Viel Glück mit der Liste, das ist mehr als du denkst.' Er hatte recht. Es fängt beim Recruiting-Tool an, das Lebensläufe vorsortiert, geht über die automatische Übersetzung in der Fertigung bis hin zu den kleinen Chatbots, die unsere Sales-Leute nutzen, um Mails zu formulieren. Der EU AI Act teilt das Ganze in 4 Risikokategorien ein – von 'unannehmbar' (Gott sei Dank machen wir nichts mit Social Scoring) bis 'minimal'.

Ich habe an diesem Abend erst mal kurz auf den Tisch gestarrt. Mein Impuls war: Alles dokumentieren. Jede einzelne Software, jedes Add-on. Aber während ich da saß, merkte ich, dass ich keine Ahnung hatte, wie ich das rechtssicher machen soll. Ich habe angefangen, mich durch die Entwürfe zu wühlen. Der trockene, papierartige Geruch der ausgedruckten EU-Verordnungstexte vermischte sich in meiner Nase mit dem Duft von Lavendelöl, den ich für meine Yoga-Stunde später eingepackt hatte. Ein seltsamer Kontrast zwischen Brüsseler Bürokratie und dem Versuch, nicht völlig durchzudrehen.

Die Suche nach der Nadel im KI-Heuhaufen (KW 12)

Mitte April wurde es ernst. Frau Krüger, unsere Fertigungsleiterin, wollte wissen, ob ihre neue Software zur Schichtplanung jetzt 'Hochrisiko' ist oder nicht. Wenn man 78 Mitarbeitende hat, kennt man jeden beim Namen, und man will niemanden mit unnötigen Formularen quälen. Ich habe versucht, ihr zu erklären, dass es darauf ankommt, ob die KI Entscheidungen über Menschen trifft, die deren Karriere beeinflussen. HR-Systeme landen da ganz schnell in der Hochrisiko-Schublade.

Ich habe damals gelernt, dass wir für solche Systeme laut Artikel 11 eine technische Dokumentation brauchen. Das klingt nach IT-Handbuch, ist aber viel mehr. Es geht darum, zu beweisen, dass man weiß, was das Tool tut. Ich saß mit Tobias zusammen und wir haben versucht, eine Sprache zu finden, die nicht nach 'Informatik-Diplom' klingt, aber trotzdem die Anforderungen erfüllt. Dabei habe ich gemerkt, wie wichtig es ist, eine klare Daten-Governance für KI-Anwendungen im Büro pragmatisch aufzubauen, damit man überhaupt weiß, wer welche Daten wo reinschaufelt.

Warum Artikel 11 mein neuer Endgegner wurde (KW 15)

Ehrlicherweise hatte ich anfangs gedacht: Ich lade mir einfach eine Vorlage aus dem Internet herunter, hake ein paar Boxen ab und fertig. Falsch gedacht. Artikel 11 und 53 der Verordnung sind gnadenlos. Die Dokumentation muss 10 Jahre lang aufbewahrt werden, nachdem das System in Betrieb genommen wurde. 10 Jahre! In der Zeit werde ich wahrscheinlich schon drei andere Jobs gehabt haben, aber die Firma haftet weiter.

Ich habe in dieser Woche eine bittere Lektion gelernt: Man kann Dokumentation auch falsch machen, indem man zu viel schreibt. Ich saß in der Küche, trank den dritten Kaffee und dachte: 'Wenn ich jede kleine Funktion dokumentiere, die ich selbst nicht verstehe, hänge ich uns am Ende selbst auf.' Wenn die Aufsichtsbehörde kommt und ich habe Dinge unterschrieben, die technisch gar nicht stimmen, nur weil ich 'gründlich' sein wollte, ist das ein Beweismittel gegen uns. Das war mein innerer Monolog an dem Tag: 'Wenn ich den Unterschied zwischen einem Hochrisiko-System und einem Chatbot unserer Fertigungsleiterin erklären kann, kann ich alles schaffen, was die EU mir vorwirft – solange ich mich nicht in Details verstricke, die ich nicht kontrollieren kann.'

Die Gefahr der Überdokumentation – Mein größter Lernschritt (KW 22)

Anfang Juni hatte ich ein Gespräch mit einem befreundeten HR-Kollegen aus einem anderen KMU. Er war stolz darauf, dass er für jede ChatGPT-Anfrage ein Protokoll anlegen wollte. Da wurde mir klar: Das ist der falsche Weg. Meine neue Strategie, die ich mir mühsam erarbeitet habe, lautet: Fokus auf den Prozess, nicht auf den Einzelfall. Statt jede KI-Anwendung penibel bis ins kleinste Zahnrad zu dokumentieren, konzentrieren wir uns darauf, wie wir diese Tools auswählen und überwachen. Überdokumentation ist riskant, weil sie als belastendes Beweismittel bei Behördenprüfungen gegen einen verwendet werden kann, wenn die Realität dann doch mal 2 % vom Protokoll abweicht.

Ich habe dann angefangen, nur die wesentlichen Punkte festzuhalten: Was ist der Zweck? Wer hat die Aufsicht? Welche Risiken haben wir identifiziert? Und vor allem: Wie stellen wir sicher, dass die Leute wissen, was sie tun? Wir haben angefangen, den KI-Einsatz richtig zu kommunizieren, damit Transparenz herrscht, ohne dass wir in einem Meer aus Papier ertrinken. Das ist viel wertvoller als eine 50-seitige technische Beschreibung, die niemand liest und die im Ernstfall Lücken aufweist.

Der Durchbruch beim Yoga (Eines Mittwochabends letzten Monat)

Es war ein Mittwochabend im Juni, kurz vor 21 Uhr. Ich lag beim Yoga in der Schlussentspannung, der Geruch von Lavendel war wieder da, und plötzlich fiel es mir wie Schuppen von den Augen. Wir brauchen keine High-Tech-Compliance-Software für 10.000 Euro. Wir brauchen einen transparenten Prozess, der in unseren ganz normalen HR-Ordnern lebt. Dokumentation ist kein Selbstzweck, sondern eine Versicherung.

Ich habe danach aufgehört, mich zu stressen, ob ich jede Unterfunktion des neuen Recruiting-Tools verstanden habe. Stattdessen habe ich vom Anbieter die Konformitätserklärung angefordert und in unseren 'KI-Register'-Ordner abgelegt. Ich bin keine Juristin – und das sage ich auch jedem im Team. Wenn es wirklich hart auf hart kommt, müssen wir eine Anwältin für IT-Recht fragen. Aber für den Alltag reicht es, wenn wir zeigen können: Wir haben uns Gedanken gemacht, wir haben die Risiken bewertet und wir lassen die KI nicht unbeaufsichtigt entscheiden.

Wie wir es jetzt konkret machen (Stand Juli 2026)

Heute, Mitte Juli, sieht unsere Dokumentation so aus: Ein einfaches Register (ja, doch wieder Excel, aber diesmal sinnvoll), in dem wir die Systeme nach den 4 Risikoklassen sortiert haben. Für die 'Limited Risk'-Sachen wie Chatbots haben wir einfache Transparenzregeln. Die Leute müssen wissen, dass sie mit einer KI schreiben. Punkt. Für die kritischeren Sachen im HR-Bereich haben wir die Anbieter-Zertifikate und eine interne Richtlinie zur menschlichen Aufsicht.

Was mir besonders geholfen hat, war, den Fokus auf die Kompetenz der Leute zu legen. Dokumentation bringt nichts, wenn die Mitarbeiter die Tools falsch bedienen. Deshalb haben wir angefangen, das Thema breiter zu streuen und sogar KI Ängste bei Mitarbeitern abzubauen, indem wir ihnen zeigen, dass die Dokumentation auch sie schützt. Es ist kein Kontrollinstrument gegen sie, sondern eine Leitplanke für uns alle.

Mein Fazit nach fünf Monaten Chaos? Man muss nicht alles wissen, man muss nur wissen, wo man die Grenze zieht. Dokumentiere so viel wie nötig, um Sorgfalt zu beweisen, aber so wenig wie möglich, um dich nicht in Widersprüche zu verstricken. Und wenn der Stress zu groß wird: Yoga hilft wirklich. Oder zumindest der Lavendelduft, der einen daran erinnert, dass es noch eine Welt außerhalb von Artikel 11 gibt.