Daten-Governance: Definition und rechtliche Bedeutung (AI Act / Data Act)

Art. 10 Abs. 1 verpflichtet Anbieter, Daten-Governance-Verfahren mit angemessener Datenwahl, -erhebung und -verarbeitung für Trainings-, Validierungs- und Prüfdaten zu implementieren. Abs. 3 konkretisiert die Qualitätsanforderungen: Die Daten müssen für den Zweck relevant, hinreichend repräsentativ und — soweit erforderlich — frei von Fehlern und vollständig sein. Abs. 2 verlangt Vorverarbeitung und relevante Datenprüfung, einschließlich statistischer Eigenschaften. Die Anforderungen passen sich an, soweit die Daten nicht direkt kontrolliert werden können (z. B. bei GPAI-Daten).

Art. 10 Abs. 2 lit. f verlangt ausdrücklich die Prüfung auf mögliche Verzerrungen (Bias), die zu Vorhersagen führen könnten, die die Gesundheit/Sicherheit/Grundrechte beeinträchtigen. Anbieter müssen geeignete Maßnahmen zur Erkennung, Minderung und Korrektur von Bias ergreifen und dies dokumentieren. In der Praxis: Aufbau von Bias-Metriken, regelmäßige Audits an repräsentativen Untergruppen, Feedback-Schleifen aus dem Feldeinsatz. Das ist die datenrechtliche Klammer zur Nicht-Diskriminierung (AGG, Art. 22 DSGVO).

Sollen hochrisiko-KI mit besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO: Gesundheitsdaten, ethnische Herkunft, politische Meinungen etc.) trainiert werden, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO Voraussetzung. Sie dient der Erkennung und Minderung möglicher Diskriminierung. Diese Schnittstelle macht Daten-Governance zu einem gemeinsam mit dem Datenschutzbeauftragten zu gestaltenden Prozess — nicht zu einer rein technischen Aufgabe.