Wie man Datensätze für die Konformität mit dem EU AI Act für Hochrisikoanwendungen prüft

Das European AI Office hat vor kurzem seinen ersten delegierten Rechtsakt im Rahmen des EU AI Act veröffentlicht und damit die lang erwarteten technischen Spezifikationen für Datenqualität, Governance und Dokumentation bereitgestellt. Für Dateneigentümer und Käufer verschiebt dieser Schritt die Compliance von einer rechtlichen Abstraktion hin zu einer konkreten operativen Anforderung. Wenn Ihr Datensatz für die Verwendung in „hochriskanten“ KI-Systemen vorgesehen ist – wie sie beispielsweise in der Personalrekrutierung, bei der Kreditwürdigkeitsprüfung oder in kritischen Infrastrukturen eingesetzt werden –, ist die Erfüllung dieser Standards nicht mehr optional; sie ist die Voraussetzung für den Markteintritt.

Identifizierung von Anforderungen an „hochriskante“ Daten

Gemäß dem EU AI Act wird die Einstufung als „hochriskant“ durch die Anwendung bestimmt, nicht durch die Daten selbst. Die Beweislast liegt jedoch schwerpunktmäßig bei den Trainingsdaten. Nach Artikel 10 des EU AI Act müssen Datensätze, die für das Training, die Validierung und das Testen von Hochrisiko-KI verwendet werden, strengen „Daten-Governance- und Managementpraktiken“ unterliegen. Dies umfasst alles von den ursprünglichen Designentscheidungen bis hin zur abschließenden Prüfung auf Voreingenommenheit.

Für einen Dateneigentümer bedeutet dies, dass der Wert seines Vermögenswerts nun untrennbar mit seinem Audit-Trail verknüpft ist. Für einen Käufer stellt der Erwerb nicht konformer Daten für eine Hochrisikoanwendung eine katastrophale Haftung dar. Die Nichteinhaltung kann zu Verwaltungsgeldstrafen von bis zu €35,000,000 oder 7% des gesamten weltweiten Jahresumsatzes (artificialintelligenceact.eu) führen, je nachdem, welcher Betrag höher ist. Folglich ist die Fähigkeit, seltene, konforme Trainingsdaten gemäß dem EU AI Act zu erwerben, zu einer primären strategischen Priorität für KI-Labore geworden.

Die Artikel 10 Compliance-Checkliste

Um einen Datensatz für Hochrisiko-Anwendungsfälle vorzubereiten, müssen Organisationen ein mehrschichtiges Governance-Framework implementieren. Die folgenden Kriterien sind nun für jeden Datensatz, der in die Hochrisiko-Lieferkette gelangt, obligatorisch:

• Designentscheidungen und Datenerhebung: Sie müssen die Gründe für die Datenauswahl und die spezifischen Erhebungsmethoden dokumentieren. Dies schließt die Überprüfung der Rechtsgrundlage für die Verarbeitung ein, insbesondere gemäß GDPR.
• Datenverarbeitungsvorgänge: Jeder Schritt – Bereinigung, Transformation und Kennzeichnung – muss dokumentiert werden. In Hochrisikoszenarien ist die „Provenienz“ eines Labels (wer es unter welchen Richtlinien zugewiesen hat) ebenso wichtig wie das Label selbst.
• Repräsentativität und Lückenanalyse: Der EU AI Act verlangt, dass Datensätze „relevant, repräsentativ und so weit wie möglich fehlerfrei“ sind. Dies erfordert eine formale Lückenanalyse, um fehlende demografische Merkmale oder Grenzfälle zu identifizieren, die zu einem Systemausfall führen könnten.
• Erkennung und Minderung von Voreingenommenheit: Dies ist die technisch anspruchsvollste Anforderung. Dateneigentümer müssen statistische Tests durchführen, um Verzerrungen zu erkennen, die zu verbotener Diskriminierung führen könnten. Wenn eine Voreingenommenheit festgestellt wird, muss der Datensatz „neu gewichtet“ oder die Voreingenommenheit vor dem Verkauf durch technische Mittel gemindert werden.

Die Kosten der Compliance vs. Marktprämie

Die Vorbereitung eines Datensatzes auf die Einhaltung der Hochrisiko-Compliance ist ressourcenintensiv. Die erste Folgenabschätzung der European Commission schätzte, dass die Compliance-Kosten für SME zwischen €6,000 und €7,000 (veröffentlichter Wert: digital-strategy.ec.europa.eu) liegen könnten, speziell für die Daten-Governance-Anforderungen von Hochrisikosystemen. Branchenanalysten gehen jedoch mittlerweile davon aus, dass bei komplexen multimodalen Datensätzen die Kosten für ein vollständiges Artikel 10 Audit den Betrag von €50,000 pro Asset übersteigen können.

Obwohl diese Kosten erheblich sind, schaffen sie einen „Compliance-Schutzwall“. Daten, die vorab geprüft und „bereit für den Hochrisiko-Einsatz“ sind, erzielen auf dem Sekundärmarkt einen deutlichen Aufpreis. Wir beobachten, dass „Artikel 10-bereite“ Datensätze für das Gesundheitswesen und Finanzdienstleistungen zum 2x bis 3x des Preises von standardmäßigen, nicht geprüften Alternativen in unserem kuratierten Datensatzkatalog gehandelt werden.

Dokumentation: Der „Datenpass“

Die letzte Anforderung ist die Erstellung einer umfassenden technischen Dokumentation. Dieser „Datenpass“ muss es einem externen Auditor ermöglichen, genau nachzuvollziehen, wie mit den Daten umgegangen wurde. Er muss die Herkunft der Daten, ihre Merkmale und die Maßnahmen enthalten, die ergriffen wurden, um sicherzustellen, dass sie den Qualitätsstandards des European AI Office entsprechen. Ohne diese Dokumentation sind die Daten für jeden Entwickler von Hochrisiko-KI praktisch „toxisch“, da er seine eigenen Transparenzpflichten gemäß dem Gesetz nicht erfüllen kann.

Was das für Sie bedeutet

Für Dateneigentümer ist die Botschaft klar: Die Ära des Verkaufs von „Rohdaten“ an sensible Branchen ist vorbei. Um den Wert Ihrer Vermögenswerte zu maximieren, müssen Sie in die Governance-Ebene investieren. Ein geprüfter Datensatz ist nicht mehr nur eine Sammlung von Punkten; er ist ein zertifizierter finanzieller Vermögenswert.

Für Datenkäufer muss sich der Fokus von der Quantität auf eine „Governance-First“-Beschaffung verlagern. Verlangen Sie vor der Unterzeichnung eines Lizenzvertrags den Artikel 10 Audit-Bericht. Wenn ein Anbieter keinen klaren Herkunftsnachweis und keinen Bericht zur Minderung von Voreingenommenheit vorlegen kann, stellen die Daten ein Haftungsrisiko dar, das zur zwangsweisen Stilllegung Ihres KI-Modells durch europäische Regulierungsbehörden führen könnte.