Wenn Unternehmen mit dem EU-KI-Gesetz in Konflikt geraten, liegt das Problem meist nicht am ausgeklügelten KI-Modell selbst, sondern an den dazugehörigen Unterlagen. Die häufigste Schwachstelle ist die fehlende Nachweisbarkeit, wie die KI entwickelt wurde und mit welchen Daten sie trainiert wurde. Dieser Leitfaden bietet eine leicht verständliche Checkliste, die sich auf die Daten und das Training Ihrer KI konzentriert und anschließend erläutert, was die einzelnen Punkte für die Daten selbst, für Ihr Unternehmen und für die Kunden, die von Ihrer KI betroffen sind, bedeuten.
Die kurze Version
- Nach diesem Gesetz gilt: Wer seine Arbeit nicht vorlegen kann, kann auch nicht beweisen, dass er die Regeln eingehalten hat.
- Die Daten, die der KI zugrunde liegen, müssen fair und für die jeweilige Aufgabe geeignet sein und auf offensichtliche Probleme überprüft werden.
- Sie benötigen klare Aufzeichnungen darüber, wie jedes wichtige System aufgebaut, geschult und getestet wurde.
- Bei Systemen mit hohem Einsatz müssen Aktivitätsprotokolle geführt werden – in der Regel für mindestens sechs Monate.
- Die Nutzung fremder KI entbindet Sie nicht von der Verantwortung für deren Verwendung.
- Wer eine zugekaufte KI grundlegend verändert oder umbenennt, kann rechtlich zum Hersteller werden.
Warum die Daten der eigentliche Test sind
Künstliche Intelligenz lernt aus Daten, daher legt der Gesetzgeber großen Wert auf deren Korrektheit. Konkret bedeutet das: Die Trainingsdaten einer KI mit weitreichenden Folgen müssen relevant für die jeweilige Aufgabe sein, die realen Menschen, die davon betroffen sein werden, repräsentieren und so weit wie möglich auf Fehler und Verzerrungen geprüft werden. Ein System kann noch so brillant entwickelt sein und dennoch scheitern, wenn niemand die Herkunft seiner Daten erklären oder deren Fairness nachweisen kann.
Trainingsdaten (in einfachen Worten): Die Beispiele, aus denen eine KI lernt. Sind diese Beispiele einseitig oder voreingenommen, wird auch die KI voreingenommen sein – weshalb das Gesetz so großen Wert auf korrekte Daten legt.
Die Checkliste
Arbeiten Sie diese Punkte durch und bewahren Sie unbedingt die Beweise auf. Nach diesem Gesetz wird eine Kontrolle, die Sie nicht nachweisen können, so behandelt, als ob sie nicht existierte.
1. Ihre Daten sortieren
- Notieren Sie, woher die einzelnen Trainingsdatensätze stammen und wie Sie diese erhalten haben.
- Wenn es sich um personenbezogene Daten handelt, dokumentieren Sie, dass Sie das Recht hatten, diese zu verwenden.
- Prüfen Sie, ob die Daten die realen Menschen, die von der KI betroffen sein werden, angemessen repräsentieren.
- Achten Sie auf Vorurteile, die die Gesundheit, Sicherheit oder Rechte einer Person unrechtmäßig beeinträchtigen könnten – und notieren Sie, was Sie dagegen unternommen haben.
- Bewahren Sie verschiedene Versionen Ihrer Daten auf, damit Sie im Falle eines späteren Problems die Ursache nachvollziehen können.
2. Aufschreiben, wie die KI aufgebaut wurde
- Beschreiben Sie in einfachen Worten, wozu die KI dient und wie sie konzipiert wurde.
- Beachten Sie, wie es trainiert wurde und welche Daten verwendet wurden.
- Dokumentieren Sie, wie gut es funktioniert, wie genau es ist und wo seine Grenzen liegen.
- Bewahren Sie Ihre Testergebnisse auf und aktualisieren Sie die Aufzeichnungen, sobald Sie eine größere Änderung vornehmen.
3. Dokumentation während des Betriebs
- Richten Sie das System so ein, dass es automatisch protokolliert, was es tut.
- Stellen Sie sicher, dass diese Protokolle nicht unbemerkt verändert werden können.
- Die Protokolle sind mindestens sechs Monate lang aufzubewahren (länger, falls dies gesetzlich vorgeschrieben ist).
- Nutzen Sie die Protokolle, um Probleme frühzeitig zu erkennen, nicht nur, um sie im Nachhinein zu erklären.
4. Personen, Rollen und laufende Aufgaben
- Stellen Sie sicher, dass eine reale Person die KI-Systeme mit hohem Einsatz überwachen und bei Bedarf eingreifen kann.
- Machen Sie sich klar, ob Sie der Hersteller oder nur ein Benutzer des jeweiligen Systems sind – die Aufgaben unterscheiden sich.
- Systeme mit hohem Einsatz müssen gegebenenfalls vor der Markteinführung registriert werden.
- Schwerwiegende Probleme sollten den Behörden umgehend gemeldet werden – in der Regel innerhalb von 15 Tagen.
- Überprüfen Sie Ihre Risikoanalysen und -aufzeichnungen regelmäßig, nicht nur einmal.
Was das für Unternehmen bedeutet: Hersteller vs. Nutzer
Eine häufige und kostspielige Überraschung: Der Kauf eines zertifizierten KI-Tools überträgt nicht die gesamte Verantwortung auf den Verkäufer. Die Dokumentation des Herstellers belegt zwar die korrekte Herstellung, aber nicht Ihre korrekte Anwendung. Sie haben weiterhin Ihre Pflichten – die Überwachung, die Protokollierung und die rechtmäßige Nutzung. Die Tabelle zeigt die Zuständigkeiten:
| Verantwortung | Wenn Sie der Hersteller sind | Wenn Sie der Benutzer sind |
|---|---|---|
| Die Daten richtig erfassen | Hauptsächlich Ihre Aufgabe | Prüfen Sie, ob es für Ihren Zweck geeignet ist. |
| Aufzeichnungen darüber, wie es gebaut wurde | Du erstellst und bewahrst sie | Besorgen Sie sich die wichtigsten Dokumente vom Hersteller. |
| Offizielle Freigabe vor dem Verkauf | Erforderlich | Nicht erforderlich |
| Menschliche Aufsicht | Bauen Sie die Fähigkeit ein | Tun Sie es tatsächlich jeden Tag. |
| Führen von Aktivitätsprotokollen | Protokollierung ermöglichen | Protokolle aufbewahren (mindestens 6 Monate) |
| Meldung schwerwiegender Probleme | Meldung an die Behörden | Melden Sie den Vorfall dem Hersteller. |
Eine Falle, vor der man sich hüten sollte: Wer eine gekaufte KI stark verändert oder unter eigener Marke verkauft, kann rechtlich zum „Hersteller“ werden – und damit alle damit verbundenen Aufgaben übernehmen. Stellen Sie sich ein Lieferunternehmen vor, das eine fertige KI zur Routenplanung nimmt, sie mit eigenen Daten trainiert und unter eigener Marke vertreibt. Dieser eine Schritt kann das Unternehmen über Nacht vom Nutzer zum Hersteller machen.
Was das für Endkunden bedeutet
All diese Formalitäten mögen wie reine Pflichterfüllung klingen, aber sie dienen dem Wohl derjenigen, die die Daten erhalten. Die Datenrichtlinien legen fest, dass eine KI, die Ihren Kreditantrag prüft oder Ihren Scan auswertet, anhand von Daten getestet wird, die auch Menschen wie Sie betreffen. Die Protokollierungsrichtlinien gewährleisten, dass im Falle einer Fehlentscheidung der KI ein Protokoll zur Untersuchung existiert. Und die Richtlinie zur menschlichen Kontrolle stellt sicher, dass Sie nicht mit einer Maschine diskutieren müssen, die sich nicht abschalten lässt. Eine verantwortungsvolle Datenverwaltung ist keine Bürokratie – sie sorgt dafür, dass KI-Entscheidungen über echte Menschen fairer und nachvollziehbarer sind.
Wo Shaip hineinpasst
Der Großteil dieser Checkliste lässt sich auf eines reduzieren: gute Daten zu haben und diese auch belegen zu können. Das ist unsere Kernaufgabe. Datenanmerkungsdienste von Shaip Sie müssen gut dokumentierte Trainingsdaten mit klaren Aufzeichnungen über deren Herkunft und Prüfverfahren bereitstellen – die Nachweise, die dieses Gesetz verlangt. Dies gilt insbesondere für KI, die mit Bildern und Videos arbeitet. Shaips Computer-Vision-Datenlösungen Wir helfen Ihnen sicherzustellen, dass die Daten korrekt sind und die Vielfalt der realen Welt angemessen abbilden. Kurz gesagt: Wir unterstützen Sie beim Aufbau von KI auf Basis von Daten, zu deren Entstehung Sie stehen können, wenn Sie nach deren Entstehung gefragt werden.
Unter dem Strich
Eine Checkliste für Daten gemäß EU-KI-Gesetz lässt sich auf eine einfache Regel reduzieren: Wer nicht nachweisen kann, wie seine Daten ausgewählt, verarbeitet und getestet wurden, kann nicht belegen, dass er das Gesetz eingehalten hat. Ordnen Sie Ihre Daten, dokumentieren Sie die Entwicklung Ihrer KI, bewahren Sie alle Unterlagen auf und klären Sie die Verantwortlichkeiten. Unternehmen, die eine sorgfältige Dokumentation als integralen Bestandteil der KI-Entwicklung betrachten – und nicht erst im Nachhinein –, sind bestens gerüstet, wenn die Gesetze greifen, und die von ihrer KI betroffenen Menschen profitieren von einem besseren Schutz.
Was bereitet den meisten Unternehmen bei der Umsetzung des EU-Gesetzes über künstliche Intelligenz Probleme?
Fehlende Dokumentation. Das häufigste Problem besteht darin, nicht nachweisen zu können, wie eine KI entwickelt wurde und welche Daten sie verwendet hat. Viele Organisationen setzen KI ein, ohne die Datenquellen oder die Testmethoden transparent zu dokumentieren. Dies macht den Nachweis der Konformität unmöglich.
Was erwartet der Gesetzgeber von Trainingsdaten?
Dass die Daten, die einer KI mit hohem Einsatz zugrunde liegen, für die Aufgabe relevant sind, die Menschen, die davon betroffen sein werden, angemessen repräsentieren und so weit wie vernünftigerweise möglich auf Fehler und Voreingenommenheit geprüft wurden – und dass dies durch Aufzeichnungen belegt werden kann.
Wie lange muss ich die Aktivitätsprotokolle der KI aufbewahren?
Für Nutzer von Systemen mit hohem Einsatz gilt in der Regel eine Aufbewahrungsfrist von mindestens sechs Monaten, gegebenenfalls auch länger, wenn andere Gesetze dies vorschreiben. Die Protokolle sollten automatisch und manipulationssicher erstellt werden, damit Probleme nachverfolgt werden können.
Bin ich aus dem Schneider, wenn ich ein zertifiziertes KI-Tool kaufe?
Nein. Die Zertifizierung des Verkäufers belegt zwar die ordnungsgemäße Installation, aber Sie haben weiterhin Ihre Pflichten – die Überwachung, die Protokollierung und die rechtmäßige Nutzung. Die Verantwortung für die Nutzung der KI liegt weiterhin bei Ihnen.
Kann ich durch die Nutzung fremder KI zu deren „Schöpfer“ werden?
Ja – wenn Sie es stark verändern oder unter Ihrer eigenen Marke verkaufen, können Sie rechtlich zum Hersteller werden und die damit verbundenen Aufgaben übernehmen, einschließlich der vollständigen Dokumentation des Bau- und Testprozesses.
Wann finden diese Datenregeln tatsächlich Anwendung?
Nach den Änderungen von 2026 gelten ab Dezember 2027 die strengsten Regeln für eigenständige, risikoreiche KI-Systeme und ab August 2028 für in Produkte integrierte KI. Eine frühzeitige Ordnung Ihrer Datensätze erspart Ihnen später teure Probleme.
