Nachweisanforderungen für EU-KI-Gesetz-Untersuchungen

Am 1. September 2026 ging das European AI Office von der Politikgestaltung zur aktiven Durchsetzung über und richtete seine ersten formellen Auskunftsersuchen an über 30 Anbieter von General Purpose AI (GPAI)-Modellen. Laut einer rechtlichen Analyse dieser ersten Untersuchungen (Simmons & Simmons, 2026) konzentrieren sich die Anfragen auf die Modellsicherheit, die Ergebnisse von Adversarial Testing sowie die granularen Details der Überwachung nach dem Inverkehrbringen. Für Dateneigentümer und Käufer signalisiert dies, dass Compliance keine reine Formsache mehr ist, sondern ein dokumentenintensiver Beweisprozess.

Der Aufwand für die technische Dokumentation (Annex IV)

Gemäß Article 11 des EU AI Act müssen Anbieter von Hochrisiko-KI-Systemen und GPAI-Modellen eine umfassende technische Dokumentation führen. Bei einer Untersuchung wird das European AI Office die in Annex IV aufgeführten Artefakte anfordern. Dies ist keine Zusammenfassung, sondern ein tiefer Einblick in die Architektur des Systems. Sie müssen darauf vorbereitet sein, Folgendes bereitzustellen:

• Design-Spezifikationen: Detaillierte Beschreibungen der Methoden und Schritte, die für die Entwicklung des KI-Systems durchgeführt wurden, einschließlich der Logik der Algorithmen und der getroffenen Designentscheidungen.
• Systemarchitektur: Dokumentation darüber, wie das System mit anderer Software und der Hardware, auf der es ausgeführt werden soll, interagiert.
• Rechenressourcen: Offengelegte Zahlen zum Energieverbrauch und zur Rechenleistung, die für das erste Training und das Fine-Tuning verwendet wurden.

Für Datenkäufer ist es entscheidend, sicherzustellen, dass Ihr Anbieter über diese Artefakte verfügt. Sie sollten Priorität darauf setzen, seltene konforme Trainingsdaten für den EU AI Act zu erwerben, die bereits die erforderlichen Metadaten enthalten, um diese technischen Dateien zu befüllen.

Data Governance und Nachweise zur Datenherkunft

Article 10 des Gesetzes schreibt eine strenge Data Governance vor. Im Falle einer Untersuchung muss ein Dateneigentümer oder Käufer die Integrität der Trainings-, Validierungs- und Testdatensätze nachweisen. Das European AI Office verlangt Nachweise über die „Datenherkunft“ (Data Provenance), was den Ursprung der Daten, die Erhebungsmethoden und die Rechtsgrundlage für ihre Verwendung einschließt. Gemäß dem offiziellen Text des EU AI Act (Regulation (EU) 2024/1689) muss die Dokumentation Folgendes abdecken:

• Merkmale des Datensatzes: Informationen über die Dichte, Menge und Qualität der Daten.
• Bias Mitigation: Nachweise über die Maßnahmen zur Identifizierung und Behebung potenzieller Verzerrungen, insbesondere solcher, die die Gesundheit und Sicherheit von Personen oder Grundrechte beeinträchtigen.
• Rechteklärung: Eine Zusammenfassung der Richtlinien zum Urheberrecht und der spezifischen Datensätze, die zum Trainieren des Modells verwendet wurden.

Dateneigentümer, die ihre Vermögenswerte monetarisieren möchten, müssen „Herkunftsprotokolle“ (Provenance Logs) nun als Kernbestandteil des Produkts betrachten. Ein Datensatz ohne einen klaren Audit-Trail seines Lebenszyklus wird zunehmend als Haftungsrisiko statt als Vermögenswert angesehen.

Betriebsprotokolle und Adversarial Testing

Eine der strengsten Anforderungen für GPAI-Modelle mit systemischem Risiko ist die Bereitstellung von Ergebnissen aus dem Adversarial Testing. Die jüngsten Anfragen des European AI Office zielten speziell auf „Red-Teaming“-Berichte ab. Die Ermittler werden nach Beweisen suchen, dass das Modell gegen bösartige Prompts, Jailbreaking-Versuche und Data Poisoning getestet wurde. Article 12 verlangt, dass Hochrisiko-KI-Systeme über ihren gesamten Lebenszyklus hinweg automatisch Protokolle erstellen. Diese Protokolle müssen eine chronologische Aufzeichnung des Systembetriebs liefern und die Rückverfolgbarkeit von Ausgaben zu spezifischen Eingaben und Verarbeitungsschritten ermöglichen.

Finanzielle Risiken und Durchsetzungsmaßstäbe

Die Risiken bei Nichtbereitstellung dieser Nachweise sind beispiellos. Der EU AI Act legt eine gestaffelte Bußgeldstruktur fest. Die Nichteinhaltung der Data-Governance-Anforderungen (Article 10) kann zu Verwaltungsgeldbußen von bis zu 15 million € oder 3% des gesamten weltweiten Jahresumsatzes führen, je nachdem, welcher Betrag höher ist. Für die Bereitstellung irreführender oder falscher Informationen an die Aufsichtsbehörden während einer Untersuchung kann die Geldbuße 7.5 million € oder 1% des Umsatzes erreichen (Article 99, Regulation (EU) 2024/1689). Dies macht die „Kosten der Beweisführung“ zu einem wichtigen Posten in jedem KI-Projektbudget.

Was das für Sie bedeutet

Für Dateneigentümer hängt Ihre Monetarisierungsstrategie nun von der Dokumentation ab. Sie verkaufen nicht mehr nur Rohinformationen; Sie verkaufen ein „konformes Datenpaket“, das Herkunftszertifikate und Bias-Audit-Berichte enthält. Hochwertige, vorab geprüfte Assets können in unserem Datensatzkatalog gelistet werden, um Käufer anzuziehen, die gezielt Audit-Risiken des EU AI Act mindern möchten. Für Datenkäufer dienen die Durchsetzungsmaßnahmen vom 1. September als Warnung: Die Due Diligence muss über die Modellleistung hinaus auf den Beweispfad der Daten ausgeweitet werden, auf denen es basiert. Wenn Sie die Protokolle nicht vorlegen können, können Sie das Modell nicht einsetzen.