EU-KI-Gesetz Artikel 10: Datenverwaltung

Was Artikel 10 erfordert

Hochrisikige KI-Systeme, die mit Daten trainiert werden, müssen auf der Grundlage von Trainings-, Validierungs- und Testdatensätzen entwickelt werden, die die Qualitätskriterien nach Artikel 10 erfüllen, wenn solche Datensätze verwendet werden.

Die Verpflichtung liegt beim Anbieter, und sie gilt für angemessene Datenverwaltungs- und -managementpraktiken über den gesamten Datenlebenszyklus — von Designentscheidungen und Erfassung bis zur Vorbereitung, Untersuchung und Minderung. Datenverwaltung nach Artikel 10 ist eine der Anforderungen, die die Anhang-IV-technische Dokumentation und das Artikel-17-QMS beschreiben und steuern müssen.

Datenqualitätskriterien

Trainings-, Validierungs- und Testdatensätze müssen Datenverwaltungspraktiken unterliegen, die für den beabsichtigten Zweck angemessen sind und insbesondere folgendes berücksichtigen:

• Relevanz und Repräsentativität — Datensätze müssen relevant, ausreichend repräsentativ und soweit möglich frei von Fehlern und vollständig im Hinblick auf den beabsichtigten Zweck sein
• Angemessene statistische Eigenschaften — einschließlich, soweit anwendbar, der statistischen Eigenschaften in Bezug auf die Personen oder Personengruppen, auf die das System angewendet werden soll
• Designentscheidungen und Herkunft — die relevanten Designannahmen und wie die Daten erhoben, ihre Herkunft und, für personenbezogene Daten, der ursprüngliche Erhebungszweck
• Datenvorbereitung — Annotation, Kennzeichnung, Reinigung, Aktualisierung, Anreicherung und Aggregation von Operationen müssen dokumentiert werden
• Kontextbezogene Abdeckung — die Daten müssen den geografischen, kontextbezogenen, verhaltensbezogenen oder funktionalen Rahmen berücksichtigen, in dem das hochrisikige System verwendet werden soll

Voreingenommenheitsuntersuchung, -minderung und Datenlücken

Artikel 10 verlangt ausdrücklich, dass Anbieter nach Voreingenommenheit und Datenlücken suchen und diese ansprechen:

• Untersuchung auf Voreingenommenheit, die wahrscheinlich die Gesundheit und Sicherheit beeinträchtigen, einen negativen Einfluss auf Grundrechte haben oder zu verbotener Diskriminierung führen — insbesondere, wenn Ausgaben Einfluss auf Eingaben für zukünftige Operationen haben (Rückkopplungsschleifen)
• Angemessene Minderungsmaßnahmen für jede identifizierte Voreingenommenheit anwenden
• Identifizierung und Ansprechen von Datenlücken und -mängeln, die die Einhaltung verhindern könnten, und Dokumentation, wie sie gehandhabt werden
• Dokumentation der Begründung, damit Voreingenommenheitsuntersuchung und -minderung überprüfbar sind und nicht nur durchgeführt werden

Besondere Kategorien personenbezogener Daten

Artikel 10 erlaubt die Verarbeitung besonderer Kategorien personenbezogener Daten, aber nur in dem strengen Umfang, der notwendig ist, um Voreingenommenheit zu erkennen und zu korrigieren, und unterliegt Sicherheitsvorkehrungen.

Das bedeutet, dass die Ausnahme nur gilt, wenn die Voreingenommenheitserkennung und -korrektur nicht mit synthetischen, anonymisierten oder anderen nicht besonderen Kategorien von Daten durchgeführt werden kann. Wenn besondere Kategorien personenbezogener Daten verwendet werden, müssen sie den angemessenen Sicherheitsvorkehrungen für die Rechte und Freiheiten der Personen unterliegen — einschließlich technischer Einschränkungen für die Weiterverwendung, staatlicher Sicherheits- und Datenschutzmaßnahmen, strenger Zugriffskontrollen und Dokumentation sowie Löschung, sobald die Voreingenommenheit korrigiert wurde oder die Daten das Ende ihrer Aufbewahrungsfrist erreicht haben.

Die Ausnahme für besondere Kategorien personenbezogener Daten nach Artikel 10 gilt neben der DSGVO, nicht an deren Stelle — die Bedingungen der DSGVO für die Verarbeitung besonderer Kategorien personenbezogener Daten gelten weiterhin.