Zwar verschiebt die EU mit dem „Digital Omnibus“ einige Fristen des EU AI Act, doch entspannt zurücklehnen können sich die Verantwortlichen trotzdem nicht. Zum einen gelten, solange der Aufschub nicht final beschlossen ist, die ursprünglichen Fristen, die teilweise im August 2026 ablaufen. Zum anderen stellt das KI-Gesetz hohe Anforderungen an die Datenhaltung, die sich nur mit geeigneten Plattformen effizient umsetzen lassen. Cloudian erklärt, worauf IT- und Datenverantwortliche achten müssen.

Mehr und mehr Unternehmen entwickeln eigene KI-Systeme – sei es, um optimale Resultate in ihren ganz individuellen Use Cases zu erzielen, eine bessere Kontrolle über die Entscheidungen der KI zu haben oder die Unabhängigkeit von externen Anbietern zu stärken. Damit fallen allerdings auch mehr und mehr Unternehmen unter den EU AI Act, der strenge Vorgaben für Hochrisiko-KI macht. Die Verantwortung dafür verteilt sich über mehrere Rollen – von Compliance und Datenschutz über die KI-Teams bis hin zum Storage- und Infrastruktur-Management, das die passende Dateninfrastruktur bereitstellt.

Da sich die Vorgaben des EU AI Act nur teilweise auf Modell- und Anwendungsebene erfüllen lassen, braucht es geeignete Storage-Plattformen, die die Umsetzung erleichtern. Der vielerorts bestehende Datenwildwuchs mit weit verteilten Datenbeständen, die von unterschiedlichen Plattformen verwaltet werden, ist jedenfalls eher hinderlich. Bei der Modernisierung ihrer Daten- und Storage-Landschaften müssen IT- und Datenverantwortliche daher vor allem auf Folgendes achten:

Data Governance über den gesamten Datenlebenszyklus hinweg

Der EU AI Act verlangt nach hochwertigen und repräsentativen Daten für das Training, die Validierung und das Testen von KI-Modellen (Artikel 10). Um geeignete Daten auswählen und aufbereiten zu können, müssen Unternehmen also genau wissen, über welche Daten sie verfügen, wo sie liegen, aus welchen Quellen sie stammen und wie ausgewogen und sinnvoll sie für den konkreten Use Case sind. Erst mit Plattformen, die Metadaten, Versionierung und Data Lineage unterstützen, lassen sich Herkunft und Änderungen über den gesamten Datenlebenszyklus hinweg nachvollziehen, Bias-Prüfungen vornehmen und optimale Data Sets zusammenstellen. Im Übrigen unterstützen solche Plattformen auch dabei, gezielt einzelne Datensätze mit persönlichen Daten zu identifizieren und zu entfernen, wenn Betroffene von ihrem Recht auf Löschung nach der DSGVO Gebrauch machen – und das, ohne das gesamte Data Set beziehungsweise das damit trainierte KI-Modell zu beeinträchtigen.

Um das Verhalten der KI überprüfen und den Behörden eine Kontrolle ermöglichen zu können, müssen Unternehmen automatisch Logs mit allen relevanten Events aufzeichnen – über den vollständigen Lebenszyklus des KI-Systems hinweg (Artikel 12). Wirklich belastbar sind diese Logs allerdings nur, wenn sichergestellt ist, dass sie nicht mutwillig oder versehentlich verändert wurden. Unternehmen benötigen somit Plattformen, die WORM-Funktionalität (Write Once, Read Many) bieten, denn letztlich ist ein Audit-Trail nur vertrauenswürdig, wenn er unveränderlich – sprich: manipulationssicher – ist.

Schutz der Trainingsdaten vor Manipulationen

Ein KI-Modell ist immer nur so gut, wie die Daten mit denen es trainiert wurde. Dabei kommt allerdings nicht nur der Auswahl geeigneter Trainingsdaten eine besondere Bedeutung zu, sondern auch deren Schutz, denn durch Manipulationen können Cyberkriminelle dafür sorgen, dass die KI ungenaue oder falsche Ergebnisse liefert. Dieses Data Poisoning müssen Unternehmen verhindern, gibt der EU AI Act vor (Artikel 15). Plattformen mit WORM-Funktionalität helfen auch hier, die Unveränderlichkeit und damit die Vertrauenswürdigkeit des Trainingsmaterials sicherzustellen. Zugleich können Unternehmen die Trainings- und Input-Daten auf diese Weise vor der Verschlüsselung durch Ransomware schützen. Rollenbasierte Zugriffskontrollen, Multifaktor-Authentifizierung und Monitoring-Funktionen sorgen überdies dafür, dass nur autorisierte Nutzer auf das Datenmaterial zugreifen können und alle Zugriffe nachvollziehbar dokumentiert sind. Idealerweise werden die Kontrollen auf Infrastrukturebene durchgesetzt.

Zwar macht der EU AI Act keine Vorgaben, wo Unternehmen die Daten für KI speichern müssen, doch on-premises lassen sich die Anforderungen an Data Governance, Record-Keeping sowie Robustheit und Cybersecurity deutlich einfacher umsetzen. Gleichzeitig erleichtert die lokale Datenhaltung auch die Einhaltung von Pflichten, die sich aus DSGVO, NIS 2 und Cyber Resilience Act ergeben, die gemeinsam mit dem EU AI Act einen umfassenden EU-Rechtsrahmen für sichere, resiliente und vertrauenswürdige IT-Systeme schaffen sollen. Und nicht zuletzt gewinnen Unternehmen mit Infrastrukturen on-premises an digitaler Souveränität und Kostenkontrolle, da in der Public Cloud oft überraschende Kostensteigerungen drohen und inzwischen 84 Prozent der Unternehmen ihre Budgets für Cloud-Speicher überschreiten. Es gibt somit einen klaren Business-Case für die Repatriation von Daten zurück ins eigene Rechenzentrum.

„Der EU AI Act führt dazu, dass Unternehmen sich mehr Gedanken darüber machen, wo ihre Daten liegen, wer darauf zugreifen kann und wie sie genutzt werden – und das ist gut so“, betont Sascha Uhl, Senior Solutions Architect, Technical Alliances bei Cloudian. „Wollen Storage-Manager den Datenwildwuchs eindämmen und die Kontrolle über Daten zurückgewinnen, benötigen sie moderne Daten- und Storage-Plattformen. Diese sollten aber nicht unter Zeitdruck oder erst dann aufgebaut werden, wenn KI-Projekte bereits laufen. Die Frage nach der Dateninfrastruktur müssen die Verantwortlichen mit als Erstes beantworten, wenn es um die Entwicklung und den Einsatz eigener KI-Systeme geht.“