Skip to main content

Artikel 10: Daten-Governance für Hochrisiko-KI

EU AI Act Artikel 10: Qualitätskriterien und Daten-Governance für Trainings-, Validierungs- und Testdaten von Hochrisiko-KI-Systemen sowie die Regel des Artikels 4a zur Bias-Korrektur.

Anbieter von Hochrisiko-KI-Systemen, die KI-Modelle trainieren, müssen Trainings-, Validierungs- und Testdatensätze verwenden, die Qualitätskriterien erfüllen (Artikel 10 Absatz 1). Diese Datensätze unterliegen Daten-Governance-Praktiken, etwa der Prüfung auf Verzerrungen (Bias) (Artikel 10 Absatz 2).

Die Regel gilt ab dem 2. Dezember 2027 für Systeme nach Anhang III (aufgelistete Hochrisiko-Verwendungen). Für Produkte nach Anhang I gilt sie ab dem 2. August 2028 (Artikel 113 Buchstabe c). Produkte nach Abschnitt B sind ausgenommen (Artikel 2 Absatz 2). Geldbußen für Verstöße betragen bis zu 15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Nächster Schritt: Halten Sie die Herkunft jedes Datensatzes und Ihre Prüfungen auf Verzerrungen fest.

Artikel 10 Absatz 2 nennt acht Praktiken, hier in fünf Bereichen gruppiert

Konzeptionelle Entscheidungen und Herkunft der Daten

Die Praktiken müssen die einschlägigen konzeptionellen Entscheidungen, die Art der Datenerhebung, die Herkunft der Daten und bei personenbezogenen Daten den ursprünglichen Erhebungszweck erfassen (Artikel 10 Absatz 2 Buchstaben a und b).

Datenaufbereitung

Regeln Sie Annotation, Kennzeichnung, Bereinigung, Aktualisierung, Anreicherung und Aggregierung (Artikel 10 Absatz 2 Buchstabe c).

Annahmen und Eignung

Legen Sie dar, was die Daten erfassen und darstellen sollen, und bewerten Sie, ob genügend geeignete Daten verfügbar sind (Artikel 10 Absatz 2 Buchstaben d und e).

Untersuchung auf Verzerrungen und Maßnahmen

Untersuchen Sie die Daten auf Verzerrungen (Bias), die Gesundheit oder Sicherheit beeinträchtigen, die Grundrechte berühren oder zu verbotener Diskriminierung führen könnten. Ergreifen Sie Maßnahmen, um sie zu erkennen, zu verhindern und abzuschwächen (Artikel 10 Absatz 2 Buchstaben f und g).

Datenlücken und Mängel

Ermitteln Sie Lücken oder Mängel, die der Einhaltung der Verordnung entgegenstehen, und wie sie sich beheben lassen (Artikel 10 Absatz 2 Buchstabe h).

Trainiert ein Hochrisiko-KI-System keine KI-Modelle, gelten diese Regeln nur für seine Testdatensätze (Artikel 10 Absatz 6).

Die Datensätze müssen drei Qualitätskriterien erfüllen

Relevant, repräsentativ, fehlerfrei, vollständig

Datensätze müssen relevant, hinreichend repräsentativ und im Hinblick auf die Zweckbestimmung so weit wie möglich fehlerfrei und vollständig sein (Artikel 10 Absatz 3).

Passende statistische Merkmale

Sie brauchen geeignete statistische Merkmale, auch in Bezug auf die Personen oder Personengruppen, bei denen das System eingesetzt werden soll (Artikel 10 Absatz 3).

Passend zum Einsatzumfeld

Sie müssen das geografische, kontextbezogene, verhaltensbezogene oder funktionale Umfeld des Einsatzes abbilden, soweit die Zweckbestimmung es erfordert (Artikel 10 Absatz 4).

Vier Engineering-Praktiken, die Nachweise für Artikel 10 liefern

Artikel 10 schreibt keine Werkzeuge vor. Diese vier Praktiken sind Vorschläge, um Ihre Daten-Governance zu dokumentieren.

Datensatz-Dokumentation als Code

Führen Sie Spezifikationen der Datensätze, Erhebungsmethoden und Aufbereitungsschritte in versionierten Dateien neben dem Code Ihres KI-Systems.

Bias- und Drift-Tests in CI/CD

Führen Sie in der Pipeline Bias-Prüfungen für jede Datensatz-Version und Tests auf Daten-Drift durch.

Nachverfolgung der Datenherkunft

Verfolgen Sie Quellen, Umwandlungen und Versionen, damit Sie belegen können, woher jeder Datensatz stammt (Artikel 10 Absatz 2 Buchstabe b).

Versionierte Datensatz-Steckbriefe

Halten Sie für jede Version eines Datensatzes Zusammensetzung, Erhebungsmethode, bekannte Grenzen und Ergebnisse der Bias-Prüfung fest.

Artikel 4a erlaubt besondere Datenkategorien zur Bias-Korrektur unter strengen Bedingungen

Anbieter von Hochrisiko-KI-Systemen dürfen ausnahmsweise besondere Kategorien personenbezogener Daten verarbeiten, wenn dies zur Erkennung und Korrektur von Verzerrungen nach Artikel 10 Absatz 2 Buchstaben f und g unbedingt erforderlich ist (Artikel 4a Absatz 1). Alle Bedingungen müssen erfüllt sein. Dazu gehören: Andere Daten, auch synthetische oder anonymisierte, genügen nicht; die Daten unterliegen technischen Beschränkungen der Weiterverwendung und strengen Zugangskontrollen und werden nicht an Dritte weitergegeben; sie werden gelöscht, sobald die Verzerrung korrigiert ist oder die Speicherfrist endet. Diese Bedingungen gelten zusätzlich zur DSGVO. Artikel 4a Absatz 2 dehnt dies auf Betreiber von Hochrisiko-KI-Systemen sowie auf Anbieter und Betreiber anderer KI-Systeme und -Modelle aus, wenn die Verarbeitung unbedingt erforderlich ist und alle Bedingungen und Garantien nach Artikel 4a Absatz 1 erfüllt sind. Er begründet keine Pflicht, Verzerrungen zu erkennen oder zu korrigieren.

Artikel 4a wurde durch die Verordnung (EU) 2026/1744 eingefügt. Er ersetzt den früheren Artikel 10 Absatz 5.

Häufige Fragen zu Artikel 10

Gilt Artikel 10, wenn ich ein KI-Modell mit allgemeinem Verwendungszweck feinabstimme?

Ja, für die Datensätze, mit denen Sie Ihr Hochrisiko-KI-System trainieren, validieren und testen (Artikel 10 Absatz 1). Die Verordnung sagt nicht, ob Artikel 10 auch die ursprünglichen Trainingsdaten des Basismodells erfasst. Fragen Sie eine Rechtsberatung und fordern Sie die Informationen zum Modell an, die der Anbieter des KI-Modells mit allgemeinem Verwendungszweck für nachgelagerte Anbieter bereithalten muss (Artikel 53 Absatz 1 Buchstabe b).

Was bedeutet „hinreichend repräsentativ“?

Artikel 10 Absatz 3 verlangt, dass Datensätze für die Zweckbestimmung hinreichend repräsentativ sind und geeignete statistische Merkmale haben, auch in Bezug auf die Personen oder Personengruppen, bei denen das System eingesetzt wird. Artikel 10 Absatz 4 ergänzt das geografische, kontextbezogene, verhaltensbezogene oder funktionale Umfeld des Einsatzes. Die Verordnung nennt keinen Zahlenwert.

Muss ich synthetische Daten verwenden?

Nein. Synthetische Daten sind nicht vorgeschrieben. Artikel 4a Absatz 1 verlangt aber, dass sich Verzerrungen mit anderen Daten, auch synthetischen oder anonymisierten, nicht wirksam erkennen und korrigieren lassen, bevor Sie besondere Kategorien personenbezogener Daten verarbeiten.

Was gilt bei Datensätzen von Dritten?

Artikel 10 gilt für die Datensätze, die für Ihr System verwendet werden, unabhängig davon, wer sie erstellt hat. Dokumentieren Sie ihre Herkunft (Artikel 10 Absatz 2 Buchstabe b) und untersuchen Sie sie selbst auf Verzerrungen (Artikel 10 Absatz 2 Buchstabe f).

Wie verhält sich Artikel 10 zur DSGVO?

Artikel 10 gilt neben der DSGVO. Artikel 4a legt Bedingungen für die Verarbeitung besonderer Kategorien personenbezogener Daten zur Bias-Korrektur fest, zusätzlich zur DSGVO (Artikel 4a Absatz 1). Artikel 4a Absatz 2 dehnt die Ausnahme auf Betreiber und auf andere KI-Systeme und -Modelle aus.

Welche Geldbuße droht, wenn ein Anbieter gegen Artikel 10 verstößt?

Geldbußen für Verstöße gegen die Anbieterpflichten nach Artikel 16 betragen bis zu 15 Millionen EUR oder im Falle von Unternehmen bis zu 3 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Für KMU und kleine Midcap-Unternehmen gilt der niedrigere der beiden Beträge (Artikel 99 Absätze 6 und 6a).

Als Nächstes lesen: Risikomanagement, Dokumentation und Genauigkeit

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.