Technical Documentation (AI Act)

Hvad skal teknisk dokumentation indeholde?

Annex IV i EU AI Act definerer ni obligatoriske sektioner, som den tekniske dokumentation skal dække. Første sektion er en generel beskrivelse af AI-systemet: dets formål, hvordan det interagerer med hardware og andre systemer, og hvilke versioner af relevant software det anvender.

Dernæst kræves en detaljeret beskrivelse af designet og udviklingsprocessen. Det omfatter systemarkitektur, algoritmer, træningsdata, datagovernance-praksisser og de beslutninger, der er truffet undervejs. Dokumentationen skal gøre det muligt for en ekstern part at forstå, hvordan systemet er bygget og hvorfor.

En tredje central del handler om risikostyring og performance. Virksomheden skal dokumentere sit risikostyringssystem, de tests og valideringer, der er gennemført, samt de metrics, der bruges til at måle systemets nøjagtighed, robusthed og cybersikkerhed.

De resterende sektioner dækker overvågnings- og kontrolmekanismer, ændringer i systemets livscyklus, anvendte standarder, EU-overensstemmelseserklæring og en plan for post-market monitoring. Tilsammen udgør de et komplet billede af systemets compliance-status.

Det er værd at bemærke, at dokumentationen ikke er et retrospektivt dokument. Den skal følge systemet fra designfasen og opdateres løbende. Det kræver, at virksomheder bygger dokumentationspraksisser ind i deres udviklingsprocesser fra dag ét.

Consile rådgiver om AI Act-compliance og hjælper virksomheder med at opbygge den nødvendige tekniske dokumentation. Kontakt os for en uforpligtende vurdering af jeres dokumentationsberedskab.

Teknisk dokumentation i praksis for virksomheder

For virksomheder, der bygger højrisiko AI-systemer, er teknisk dokumentation en forudsætning for at komme på markedet. Det gælder AI-systemer inden for bl.a. ansættelse, kreditvurdering, sundhed, uddannelse og retshåndhævelse. Uden komplet dokumentation kan systemet ikke gennemgå en conformity assessment og dermed ikke lovligt anvendes i EU.

Den praktiske udfordring ligger sjældent i at forstå kravene, men i at implementere dem i en eksisterende udviklingsproces. Mange virksomheder har ikke versionerede registreringer af deres træningsdata, mangler systematisk logging af designbeslutninger eller har ikke et formaliseret risikostyringssystem. At lukke disse huller kræver både organisatorisk og teknisk indsats.

For virksomheder, der anvender AI fra tredjeparter (deployers), er kravene anderledes, men dokumentation spiller stadig en rolle. Deployers skal sikre, at de har adgang til den nødvendige dokumentation fra udbyderen og skal selv dokumentere deres brug, overvågning og eventuelle tilpasninger af systemet.

SMV'er og startups får en vis lempelse: EU-Kommissionen skal etablere en forenklet dokumentationsform, som notificerede organer skal acceptere. Det reducerer byrden, men fjerner ikke kravet om at dokumentere de centrale elementer som risikostyring, datapraksisser og performance-metrics.

Tidsplanen er klar: for AI-systemer klassificeret under Annex III gælder kravene fra 2. august 2026. For systemer indlejret i regulerede produkter (Annex I) er fristen 2. august 2027. Virksomheder bør påbegynde forberedelserne nu for at undgå en kostbar indsats under tidspres.

Hvad Technical Documentation ikke er

Teknisk dokumentation i AI Act-sammenhæng er ikke det samme som almindelig produktdokumentation eller brugermanualer. Det er et compliance-dokument rettet mod myndigheder og notificerede organer, ikke mod slutbrugere. Brugerfacetteret information håndteres separat under AI Acts transparenskrav (Artikel 13).

Det er heller ikke en engangsopgave. En hyppig misforståelse er, at dokumentationen kan udarbejdes ved lancering og derefter arkiveres. AI Act kræver eksplicit, at dokumentationen holdes opdateret gennem hele systemets livscyklus, inklusiv ved opdateringer, ændringer i træningsdata eller ændringer i anvendelsesområde. AI compliance er en vedvarende proces.

Endelig er teknisk dokumentation ikke en erstatning for et AI governance-framework. Dokumentationen er ét element i et bredere compliance-landskab, der også omfatter risikostyring, kvalitetsstyring, logging, menneskelig overvågning og post-market monitoring. At have dokumentationen på plads er nødvendigt, men ikke tilstrækkeligt for fuld AI Act-compliance.