KI-Daten-Governance nach EU AI Act

Artikel 10 EU AI Act verpflichtet Anbieter von Hochrisiko-KI-Systemen, deren Modelle mit Daten trainiert werden, zur Verwendung von Trainings-, Validierungs- und Testdatensätzen, die definierten Qualitätskriterien entsprechen. Die Daten-Governance muss dokumentierte Verfahren zur Datenerhebung, Datenherkunft, Datenaufbereitung, Formulierung von Annahmen, Vorab-Bewertung der Datenverfügbarkeit und -eignung sowie Maßnahmen zur Erkennung und Korrektur von Verzerrungen umfassen. Diese Anforderungen gelten über den gesamten Lebenszyklus des KI-Systems.

Trainings-, Validierungs- und Testdatensätze müssen nach Artikel 10 Absatz 3 folgende Kriterien erfüllen: Sie müssen für den Verwendungszweck relevant sein, hinreichend repräsentativ, so weit wie möglich fehlerfrei und vollständig. Sie müssen die geeigneten statistischen Merkmale aufweisen, auch bezüglich der Personen oder Personengruppen, für die das System bestimmt ist. Besonders wichtig ist die Berücksichtigung geografischer, kontextueller und verhaltensbezogener Besonderheiten der geplanten Einsatzumgebung.

Artikel 10 Absatz 2 lit. f verlangt die Untersuchung möglicher Verzerrungen, die Gesundheit, Sicherheit oder Grundrechte beeinträchtigen könnten. Wenn die Bias-Erkennung die Verarbeitung besonderer personenbezogener Daten erfordert (z. B. Rasse, Gesundheit, sexuelle Orientierung), gelten strenge Zusatzbedingungen nach Absatz 5: Alternative Daten müssen nachweislich unwirksam sein, technische Schutzmaßnahmen wie Pseudonymisierung sind erforderlich, Weitergabe an Dritte ist verboten, und die Daten müssen nach der Bias-Korrektur gelöscht werden.

Der EU AI Act unterscheidet drei Datensatztypen: Trainingsdaten dienen der Modellentwicklung und Parameterkalibrierung. Validierungsdaten prüfen während der Entwicklung, ob das Modell korrekt generalisiert, und ermöglichen Feinabstimmung. Testdaten bewerten das fertige System unabhängig vor dem Inverkehrbringen. Alle drei Datensatztypen müssen die Qualitätskriterien des Artikel 10 erfüllen. Bei KI-Systemen ohne Trainingstechnik, etwa regelbasierten Systemen, gelten die Anforderungen nur für Testdatensätze.

Anbieter müssen die Daten-Governance umfassend dokumentieren: Beschreibung der Datenerhebungsmethoden und -quellen, Angaben zur Datenherkunft und Datenlinage, Beschreibung der Aufbereitungsprozesse (Annotation, Labeling, Bereinigung), Dokumentation der Annahmen bezüglich Datenanforderungen, Bewertung der Datenverfügbarkeit und -eignung, sowie Beschreibung der Bias-Erkennungs- und Korrekturmaßnahmen. Diese Dokumentation ist Teil der technischen Dokumentation nach Artikel 11 und muss bei Marktüberwachungskontrollen vorgelegt werden können.

DSGVO und EU AI Act gelten parallel und ergänzen sich. Die DSGVO regelt die datenschutzrechtliche Grundlage für die Verarbeitung personenbezogener Daten im KI-Training, Rechtsgrundlage, Zweckbindung, Datenminimierung, Betroffenenrechte. Der EU AI Act stellt zusätzliche Anforderungen an Datenqualität, Repräsentativität und Bias-Freiheit. Artikel 10 Absatz 5 erlaubt unter strengen Voraussetzungen die Verarbeitung besonderer Kategorien personenbezogener Daten zur Bias-Erkennung, eine Regelung, die über die DSGVO hinausgeht.

Unternehmen sollten sechs Schritte umsetzen: Erstens eine Dateninventur durchführen, welche Daten werden für welche KI-Systeme verwendet. Zweitens Daten-Governance-Verfahren etablieren, Verantwortlichkeiten, Prozesse, Qualitätsstandards. Drittens Datenqualitätsprüfungen implementieren, Vollständigkeit, Repräsentativität, Fehlerfreiheit. Viertens Bias-Erkennungsmechanismen einrichten, statistische Tests auf Verzerrungen in allen Datensatztypen. Fünftens lückenlose Dokumentation aufbauen, von Datenherkunft bis Datenverwendung. Sechstens kontinuierliche Überwachung einrichten, Datenqualität im laufenden Betrieb sicherstellen.