Artikel 10 der Verordnung (EU) 2024/1689 — Daten und Daten-Governance. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 10 der Verordnung (EU) 2024/1689 (die KI-Verordnung), der sich in Titel III, Kapitel 2 befindet, legt verbindliche Daten-Governance-Anforderungen für Anbieter von Hochrisiko-KI-Systemen fest. Der Artikel gilt für Trainings-, Validierungs- und Testdatensätze, die bei der Entwicklung solcher Systeme verwendet werden.
Nach Artikel 10(2) müssen Daten-Governance-Praktiken folgendes adressieren: die Designentscheidungen hinter der Datenerhebung; Datenvorbereitungsoperationen einschließlich Annotation, Kennzeichnung, Bereinigung, Anreicherung und Aggregation; die Formulierung relevanter Annahmen bezüglich des beabsichtigten Verwendungszwecks; sowie eine Untersuchung möglicher Verzerrungen, die Gesundheit, Sicherheit oder Grundrechte beeinflussen könnten.
Artikel 10(3) verlangt, dass Trainings-, Validierungs- und Testdatensätze angemessenen Datenverwaltungspraktiken unterliegen und im Hinblick auf den beabsichtigten Verwendungszweck relevant, repräsentativ, fehlerfrei und vollständig sind. Wo eine vollständige Fehlerfreiheit nicht erreichbar ist, müssen Anbieter Restfehler und ihre potenziellen Auswirkungen dokumentieren.
Artikel 10(4) befasst sich mit der Verarbeitung besonderer Kategorien personenbezogener Daten — wie in Artikel 9 der Verordnung (EU) 2016/679 (DSGVO) und Artikel 10 der Verordnung (EU) 2018/1725 definiert — und schränkt eine solche Verarbeitung strikt auf die Überwachung und Korrektur von Verzerrungen ein, vorbehaltlich angemessener Schutzmaßnahmen. Artikel 10(5) sieht vor, dass Mitgliedstaaten spezifische Bedingungen für die Verarbeitung sensibler personenbezogener Daten im öffentlichen Interesse für KI-Entwicklungszwecke festlegen können, vorbehaltlich strenger Bedingungen. Artikel 10(6) stellt klar, dass Datensatzanforderungen proportional für Anbieter gelten, die bereits bestehende Datensätze verwenden, die sie ursprünglich nicht erhoben haben, soweit eine solche Prüfung technisch machbar ist.
Was dies in der Praxis bedeutet
Artikel 10 legt jeder Organisation, die ein Hochrisiko-KI-System in der EU entwickelt oder betreibt, konkrete Pflichten auf. In der Praxis erfordert die Einhaltung die Einrichtung und Aufrechterhaltung eines strukturierten Daten-Governance-Programms, das den gesamten Entwicklungslebenszyklus umspannt.
Für einen Anbieter, der ein KI-gestütztes Recruiting-Screening-Tool entwickelt (ein System nach Anhang III, Punkt 4), verlangt Artikel 10 die Dokumentation, warum bestimmte Datensätze ausgewählt wurden, welche Vorverarbeitungsschritte angewendet wurden und wie die Datensätze die demografische Vielfalt des vorgesehenen Bewerberpools abdecken. Wenn die Trainingsdaten Bewerber aus bestimmten regionalen oder ethnischen Hintergründen unterrepräsentieren, muss der Anbieter diese Lücke identifizieren, das Verzerrungsrisiko für die Gleichbehandlung bewerten und entweder den Datensatz korrigieren oder technische Maßnahmen umsetzen — alles rückverfolgbar in der nach Artikel 11 erforderlichen technischen Dokumentation.
Für einen Anbieter, der ein KI-Modell oder einen Datensatz eines Drittanbieters integriert, verlangt Artikel 10(6) dennoch eine bestmögliche Prüfung der Eigenschaften der vorgefertigten Daten im Hinblick auf den beabsichtigten Anwendungsfall. Es reicht nicht aus, sich allein auf das Datenblatt des vorgelagerten Lieferanten zu stützen; nachgelagerte Anbieter müssen validieren, dass die Dateneigenschaften mit ihrem spezifischen Einsatzkontext übereinstimmen.
Praktisch gesehen sollten Compliance-Teams: einen Datenverwaltungsplan pro System pflegen; Datenliniendatensätze einführen; dokumentierte Verzerrungsanalys- und Repräsentativitätsbewertungen in den Trainings-, Validierungs- und Testphasen durchführen; und sicherstellen, dass jede Verwendung sensibler personenbezogener Daten zur Verzerrungskorrektur auf einer Rechtsgrundlage beruht und durch geeignete Zugriffskontrollen abgesichert ist. Diese Aufzeichnungen sind Teil der technischen Dokumentation, die nationalen zuständigen Behörden auf Anfrage zur Verfügung gestellt werden muss.
Wesentliche Pflichten
- Daten-Governance-Rahmen: Dokumentierte Daten-Governance- und Datenverwaltungspraktiken einrichten, die alle Phasen — Training, Validierung und Tests — abdecken, bevor ein Hochrisiko-KI-System in Verkehr gebracht wird.
- Datensatzqualitätskriterien: Sicherstellen, dass Datensätze vier kumulative Qualitätskriterien erfüllen: Relevanz für den beabsichtigten Verwendungszweck, Repräsentativität des Einsatzkontexts, Fehlerfreiheit (oder dokumentierte Restfehlerquoten) und Vollständigkeit.
- Verzerrungsuntersuchung: Eine Untersuchung der Datensätze auf Verzerrungen, die zu Diskriminierung oder Risiken für Gesundheit, Sicherheit oder Grundrechte führen könnten, durchführen und dokumentieren sowie Korrekturmaßnahmen anwenden, wenn Verzerrungen festgestellt werden.
- Dokumentation der Datenvorbereitung: Alle Datenvorbereitungsoperationen — Annotation, Kennzeichnung, Bereinigung, Anreicherung und Aggregation — sowie die Annahmen und Designentscheidungen, die sie geprägt haben, aufzeichnen.
- Eingeschränkte Verwendung sensibler Daten: Besondere Kategorien personenbezogener Daten nur zur Erkennung und Korrektur von Verzerrungen verarbeiten, vorbehaltlich DSGVO-entsprechender Schutzmaßnahmen, und nur wenn dies streng notwendig und verhältnismäßig ist.
- Datensätze von Drittanbietern und bereits bestehende Datensätze: Eine verhältnismäßige, technisch machbare Prüfung aller bereits bestehenden oder von Drittanbietern stammenden Datensätze durchführen, um zu verifizieren, dass diese die für den spezifischen Anwendungsfall des Anbieters relevanten Anforderungen erfüllen.
Verhältnis zu anderen Artikeln
Artikel 10 steht im Mittelpunkt des Anforderungsrahmens für Hochrisiko-KI und ist direkt mit mehreren anderen Bestimmungen verknüpft. Artikel 9 (Risikomanagementsystem) fließt in Artikel 10 ein: Durch Daten-Governance identifizierte Risiken — wie Datensatzverzerrungen — müssen durch den iterativen Risikomanagementprozess gemanagt werden. Artikel 11 (technische Dokumentation) und Anhang IV verlangen von Anbietern, Daten-Governance-Entscheidungen und Datensatzcharakteristika als Teil der Konformitätsdokumentation aufzuzeichnen, die von notifizierten Stellen überprüft oder einer Selbstbewertung unterzogen wird.
Artikel 13 (Transparenz und Bereitstellung von Informationen) stützt sich auf Datendokumentation, um aussagekräftige Gebrauchsanweisungen zu ermöglichen, insbesondere im Hinblick auf bekannte Einschränkungen, die sich aus Datenlücken ergeben. Artikel 17 (Qualitätsmanagementsystem) verlangt, dass Daten-Governance in den breiteren Qualitätsprozessen des Anbieters institutionalisiert wird.
Für Systeme, die personenbezogene Daten verarbeiten, überschneidet sich Artikel 10 mit DSGVO-Pflichten — Artikel 5 (Grundsätze der Datenqualität) und Artikel 25 (Datenschutz durch Technikgestaltung) sind komplementäre Anforderungen, die Anbieter gleichzeitig erfüllen müssen. Artikel 10(4) verweist ausdrücklich auf die Verordnung (EU) 2016/679 und die Verordnung (EU) 2018/1725, um die zulässige Verarbeitung sensibler Daten abzugrenzen.
Zeitplan für die Compliance
Die KI-Verordnung trat am 1. August 2024 in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt der EU (ABl. L 2024/1689, 12. Juli 2024). Artikel 10 folgt dem gestaffelten Anwendungsplan für Hochrisiko-KI-Systeme:
- 2. Februar 2025: Verbote von KI-Praktiken mit unannehmbarem Risiko (Artikel 5) wurden durchsetzbar; keine unmittelbare Pflicht nach Artikel 10 zu diesem Zeitpunkt.
- 2. August 2025: GPAI-Modellanforderungen (Titel VIII) wurden anwendbar; nationale Marktüberwachungsbehörden übernahmen operative Verantwortung für die Aufsicht über Hochrisiko-Systeme.
- 2. August 2026: Artikel 10 wird vollständig durchsetzbar für in Anhang III aufgeführte Hochrisiko-KI-Systeme (allgemeine Hochrisiko-Anwendungen, einschließlich biometrischer Identifizierung, kritischer Infrastrukturen, Bildung, Beschäftigung, grundlegender Dienste, Strafverfolgung, Migration und Justiz). Anbieter müssen zu diesem Datum eine konforme Daten-Governance dokumentiert und eingerichtet haben.
- 2. August 2027: Artikel 10 wird durchsetzbar für Hochrisiko-KI-Systeme, die unter Anhang I reguliert werden (Produktsicherheitsgesetzgebung, einschließlich Maschinen, Medizinprodukte, Fahrzeuge und Luftfahrt). Diese Systeme müssen alle Daten-Governance-Anforderungen innerhalb ihrer Produktkonformitätsbewertungen bis zu dieser verlängerten Frist erfüllen.
Anbietern wird dringend empfohlen, Lückenanalysen der Daten-Governance weit vor der anwendbaren Frist zu beginnen, da die Behebung von Trainingsdatensätzen und die Beschaffung konformer Drittanbieterdaten erhebliche Vorlaufzeiten erfordern können.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Artikel 10 verlangt von Anbietern von Hochrisiko-KI-Systemen, Daten-Governance- und Datenverwaltungspraktiken einzuführen, die Trainings-, Validierungs- und Testdatensätze abdecken. Dies umfasst die Sicherstellung, dass Datensätze relevant, repräsentativ, fehlerfrei und vollständig im Hinblick auf den beabsichtigten Verwendungszweck sind. Anbieter müssen auch Daten auf potenzielle Verzerrungen prüfen und Datenerhebungs- und -verarbeitungsentscheidungen dokumentieren.
Artikel 10 gilt für Anbieter — natürliche oder juristische Personen, die Hochrisiko-KI-Systeme entwickeln oder entwickeln lassen, um sie unter ihrem eigenen Namen oder Warenzeichen in Verkehr zu bringen oder in Betrieb zu nehmen. Er erfasst jedes in Anhang III oder in sektoriellen Regulierungsanhängen aufgeführte Hochrisiko-KI-System, unabhängig davon, ob der Anbieter innerhalb oder außerhalb der EU niedergelassen ist.
Für Open-Source-Modelle bestehen begrenzte Ausnahmen, aber Anbieter, die Hochrisiko-KI-Systeme unter Verwendung von Open-Source-Komponenten auf dem EU-Markt in Verkehr bringen, bleiben für die Einhaltung von Artikel 10 in Bezug auf die von ihnen genutzten oder für dieses System kuratierten Trainings-, Validierungs- und Testdaten verantwortlich.
Artikel 10 gilt für Hochrisiko-KI-Systeme nach Anhang III (mit Ausnahme von Kreditinstituten) ab dem 2. August 2026. Für Hochrisiko-KI-Systeme, die unter spezifische Harmonisierungsvorschriften der Union gemäß Anhang I reguliert sind, verlängert sich die Frist auf den 2. August 2027. Die nationalen Marktüberwachungsbehörden übernahmen ab dem 2. August 2025 operative Aufsichtsverantwortung.
Die Verordnung definiert keinen festen statistischen Schwellenwert. Anbieter müssen durch dokumentierte Analyse belegen, dass die Trainingsdaten die beabsichtigten geografischen, demografischen, kontextuellen und operativen Einsatzbedingungen abdecken. Repräsentationslücken müssen identifiziert, auf Verzerrungsrisiken bewertet und durch technische Maßnahmen oder kompensierende Schutzmaßnahmen gemindert werden, die in der technischen Dokumentation aufgeführt sind.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.