Wie man Datensätze für die Konformität mit dem EU AI Act für Hochrisikoanwendungen prüft

Das European AI Office hat vor Kurzem seinen ersten delegierten Rechtsakt im Rahmen des EU AI Act veröffentlicht und damit die lang erwarteten technischen Spezifikationen für Datenqualität, Governance und Dokumentation bereitgestellt. Für Dateneigentümer und -käufer verschiebt dieser Schritt die Compliance von einer rechtlichen Abstraktion hin zu einer konkreten betrieblichen Anforderung. Wenn Ihr Datensatz für die Verwendung in „hochriskanten“ KI-Systemen vorgesehen ist – wie sie beispielsweise in der Personalrekrutierung, beim Credit Scoring oder in kritischen Infrastrukturen eingesetzt werden –, ist die Erfüllung dieser Standards nicht mehr optional; sie ist die Voraussetzung für den Markteintritt.

Identifizierung von Anforderungen für „hochriskante“ Daten

Unter dem EU AI Act wird die Einstufung als „hochriskant“ durch die Anwendung bestimmt, nicht durch die Daten selbst. Die Beweislast liegt jedoch schwerpunktmäßig bei den Trainingsdaten. Gemäß Artikel 10 des EU AI Act müssen Datensätze, die für das Training, die Validierung und das Testen von Hochrisiko-KI verwendet werden, strengen „Daten-Governance- und Managementpraktiken“ unterliegen. Dies umfasst alles von den anfänglichen Designentscheidungen bis hin zur abschließenden Prüfung auf Verzerrungen (Bias).

Für einen Dateneigentümer bedeutet dies, dass der Wert seines Vermögenswerts nun untrennbar mit seinem Audit-Trail verknüpft ist. Für einen Käufer stellt der Erwerb nicht konformer Daten für eine Hochrisikoanwendung ein katastrophales Haftungsrisiko dar. Nichteinhaltung kann zu Verwaltungsgeldstrafen von bis zu €35,000,000 oder 7% des gesamten weltweiten Jahresumsatzes (https://artificialintelligenceact.eu/fines/) führen, je nachdem, welcher Betrag höher ist. Folglich ist die Fähigkeit, seltene, konforme Trainingsdaten gemäß dem EU AI Act zu erwerben, zu einer primären strategischen Priorität für KI-Labore geworden.

Die Compliance-Checkliste für Artikel 10

Um einen Datensatz für Hochrisiko-Anwendungsfälle vorzubereiten, müssen Organisationen ein mehrschichtiges Governance-Framework implementieren. Die folgenden Kriterien sind nun für jeden Datensatz obligatorisch, der in die Hochrisiko-Lieferkette gelangt:

• Designentscheidungen und Datenerhebung: Sie müssen die Gründe für die Datenauswahl und die spezifischen Erhebungsmethoden dokumentieren. Dies schließt die Überprüfung der Rechtsgrundlage für die Verarbeitung ein, insbesondere gemäß GDPR.
• Datenverarbeitungsvorgänge: Jeder Schritt – Bereinigung, Transformation und Kennzeichnung – muss dokumentiert werden. In Hochrisikoszenarien ist die „Provenienz“ eines Labels (wer es unter welchen Richtlinien zugewiesen hat) ebenso wichtig wie das Label selbst.
• Repräsentativität und Gap-Analyse: Der AI Act verlangt, dass Datensätze „relevant, repräsentativ und nach bestem Wissen fehlerfrei“ sind. Dies erfordert eine formale Gap-Analyse, um fehlende demografische Merkmale oder Randfälle zu identifizieren, die zu einem Systemversagen führen könnten.
• Erkennung und Minderung von Verzerrungen: Dies ist die technisch anspruchsvollste Anforderung. Dateneigentümer müssen statistische Tests durchführen, um Verzerrungen zu erkennen, die zu verbotener Diskriminierung führen könnten. Wenn ein Bias gefunden wird, muss der Datensatz „neu ausbalanciert“ oder die Verzerrung vor dem Verkauf durch technische Mittel gemildert werden.

Compliance-Kosten vs. Markt-Prämie

Die Vorbereitung eines Datensatzes auf die Hochrisiko-Compliance ist ressourcenintensiv. Die erste Folgenabschätzung der Europäischen Kommission schätzte, dass die Compliance-Kosten für KMU zwischen €6,000 und €7,000 liegen könnten (veröffentlichter Wert: https://digital-strategy.ec.europa.eu/en/library/impact-assessment-report-and-executive-summary-proposal-laying-down-harmonised-rules-artificial), speziell für die Daten-Governance-Anforderungen von Hochrisikosystemen. Branchenanalysten gehen jedoch mittlerweile davon aus, dass bei komplexen multimodalen Datensätzen die Kosten für ein vollständiges Audit nach Artikel 10 den Betrag von €50,000 pro Asset übersteigen können.

Obwohl diese Kosten erheblich sind, schaffen sie einen „Compliance-Vorsprung“. Daten, die vorab geprüft und „bereit für den Hochrisiko-Einsatz“ sind, erzielen auf dem Sekundärmarkt einen deutlichen Aufpreis. Wir beobachten, dass „Artikel 10-bereite“ Datensätze für das Gesundheitswesen und Finanzdienstleistungen zum 2x- bis 3x-fachen Preis von standardmäßigen, nicht geprüften Alternativen in unserem kuratierten Datensatzkatalog gehandelt werden.

Dokumentation: Der „Datenpass“

Die letzte Anforderung ist die Erstellung einer umfassenden technischen Dokumentation. Dieser „Datenpass“ muss es einem externen Auditor ermöglichen, genau nachzuvollziehen, wie mit den Daten umgegangen wurde. Er muss die Herkunft der Daten, ihre Merkmale und die Maßnahmen enthalten, die ergriffen wurden, um sicherzustellen, dass sie den Qualitätsstandards des European AI Office entsprechen. Ohne diese Dokumentation sind die Daten für jeden Entwickler von Hochrisiko-KI praktisch „toxisch“, da dieser seine eigenen Transparenzpflichten gemäß dem Gesetz nicht erfüllen kann.

Was das für Sie bedeutet

Für Dateneigentümer ist die Botschaft klar: Die Ära des Verkaufs von „Rohdaten“ an sensible Branchen ist vorbei. Um den Wert Ihrer Vermögenswerte zu maximieren, müssen Sie in die Governance-Ebene investieren. Ein geprüfter Datensatz ist nicht mehr nur eine Sammlung von Punkten; er ist ein zertifizierter finanzieller Vermögenswert.

Für Datenkäufer muss sich der Fokus von der Quantität auf eine „Governance-First“-Beschaffung verlagern. Verlangen Sie vor der Unterzeichnung eines Lizenzvertrags den Audit-Bericht nach Artikel 10. Wenn ein Anbieter keinen klaren Herkunftsnachweis und keinen Bericht zur Minderung von Verzerrungen vorlegen kann, stellen die Daten ein Haftungsrisiko dar, das zur zwangsweisen Stilllegung Ihres KI-Modells durch europäische Regulierungsbehörden führen könnte.