



Volljurist und Compliance-Experte
06 Jan 2026
5 Minuten
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
Hochwertige Datenannotation ist die Grundlage für KI-Act-konforme Trainingsdaten.
Hochwertige Datenannotation ist die Grundlage für KI-Act-konforme Trainingsdaten.
Unklare Labeling-Regeln erzeugen systematischen Bias in KI-Modellen.
Gute Annotation schützt Unternehmen vor rechtlichen und ethischen Risiken.
Stellen Sie sich vor, Sie entwickeln eine KI für das Recruiting. Das System ist effizient, schnell – und sortiert systematisch weibliche Bewerberinnen aus, weil die Trainingsdaten aus einer Zeit stammten, in der die Branche männerdominiert war.
Vor wenigen Jahren war das „nur“ ein PR-Desaster und ein ethisches Problem. Mit dem Inkrafttreten des EU AI Acts wird daraus ein rechtliches Risiko, das empfindliche Strafen nach sich ziehen kann.
Für Unternehmen, die KI entwickeln oder einsetzen, hat sich die Spielregel geändert: Datenqualität ist nicht mehr nur eine technische Metrik, sondern eine Compliance-Anforderung. Doch wie übersetzt man abstrakte Gesetzestexte in praktische Arbeitsschritte für Annotatoren? Wie stellt man sicher, dass ein Datensatz „frei von Fehlern“ und „repräsentativ“ ist?
In diesem Leitfaden tauchen wir tief in den Maschinenraum der KI-Entwicklung ein. Wir zeigen Ihnen, wie Sie Ihre Daten-Annotationsprozesse so gestalten, dass sie nicht nur leistungsstarke Modelle hervorbringen, sondern auch den strengen Anforderungen des EU AI Acts standhalten.
Lange Zeit galt in der KI-Entwicklung das Prinzip „Garbage In, Garbage Out“ (Schlechte Daten rein, schlechte Ergebnisse raus). Unter dem neuen EU-Regelwerk wandelt sich dieses Prinzip zu „Garbage In, Fines Out“.
Artikel 10 des AI Acts legt die Messlatte für sogenannte Hochrisiko-KI-Systeme extrem hoch. Trainings-, Validierungs- und Testdatensätze müssen strengen Qualitätskriterien genügen. Es reicht nicht mehr, Daten einfach nur zu sammeln und zu labeln. Sie müssen nachweisen können, wie diese Daten entstanden sind, wer sie annotiert hat und welche Maßnahmen ergriffen wurden, um Bias (Voreingenommenheit) zu verhindern.
Das Ziel ist klar: KI-Systeme sollen fair, transparent und sicher sein. Der Weg dorthin führt zwangsläufig über den Annotationsprozess.
Bevor wir in die Praxis einsteigen, lassen Sie uns die Begriffe klären. Datenannotation ist der Prozess, bei dem Rohdaten (Bilder, Texte, Audio) mit Labels versehen werden, damit eine Maschine Muster erkennen kann. Ein Mensch markiert beispielsweise auf einem Bild alle Fußgänger, damit ein autonomes Fahrzeug lernt, diese zu erkennen.
Der EU AI Act fordert in Artikel 10 Absatz 3 spezifisch, dass Trainingsdatensätze „relevant, repräsentativ, fehlerfrei und vollständig“ sein müssen.
Das klingt auf dem Papier gut, wirft aber in der Praxis Fragen auf:
Um Konformität zu erreichen, müssen wir den Annotationsprozess professionalisieren. Es geht weg von „schnell und schmutzig“ hin zu „strukturiert und dokumentiert“. Hier sind die wichtigsten Bausteine für eine AI-Datenqualität, die Auditoren überzeugt.
Der häufigste Grund für schlechte Datenqualität ist nicht Inkompetenz, sondern Ambiguität. Wenn zwei Annotatoren dasselbe Bild unterschiedlich interpretieren, liegt das Problem meist in der Anleitung.
Für den AI Act müssen Ihre Guidelines:
Menschlicher Bias ist unvermeidbar, aber managebar. Ein divers aufgestelltes Annotationsteam ist oft der beste Schutz gegen unbewusste Voreingenommenheit. Wenn Ihr Team nur aus einer demografischen Gruppe besteht, werden deren blinde Flecken Teil Ihres Datensatzes.
Schulen Sie Ihr Team nicht nur auf die Tools, sondern sensibilisieren Sie es für den Kontext der Daten. Annotatoren müssen verstehen, warum ihre Entscheidung ethische Konsequenzen haben kann.
Qualitätssicherung (QA) darf kein nachträglicher Gedanke sein. Sie muss in den Workflow integriert werden.
Ein KI Act-konformer Workflow nutzt oft das „Human-in-the-Loop“-Prinzip mit mehreren Sicherheitsnetzen:
Der AI Act verlangt explizit Maßnahmen zur Prüfung auf mögliche Verzerrungen (Bias).
Wenn die Prozesse stehen, folgt der Schritt, der für Auditoren am wichtigsten ist: Der Nachweis. Sie können den besten Prozess der Welt haben – wenn er nicht dokumentiert ist, existiert er für den Gesetzgeber nicht.
Verlassen Sie sich nicht nur auf einfache „Accuracy“. Um die Anforderungen an Fehlerfreiheit und Vollständigkeit zu erfüllen, benötigen Sie differenzierte Metriken.
Ihre technische Dokumentation muss die gesamte "Data Lineage" nacherzählen können. Woher kommen die Daten? Welche Annotation-Tools wurden genutzt? Welche QA-Schritte wurden durchgeführt?
Für viele Unternehmen ist die manuelle Pflege dieser Dokumentation eine massive Hürde. Hier kann spezialisierte EU AI Act Compliance Software helfen, die diese Nachweise automatisiert und zentralisiert verwaltet, anstatt sie in unzähligen Excel-Tabellen zu vergraben.
Artikel 10 Absatz 5 erlaubt unter strengen Bedingungen die Verarbeitung sensibler personenbezogener Daten (z.B. ethnische Herkunft), wenn dies ausschließlich zur Bias-Erkennung und -Korrektur notwendig ist. Dies ist eine Gratwanderung zwischen AI Act und DSGVO. Hier sind Pseudonymisierung und strenge Zugriffskontrollen ("Need-to-know"-Prinzip) bei der Annotation Pflicht.
Die Anforderungen wirken auf den ersten Blick einschüchternd. Doch sehen Sie es so: Bessere Datenannotationsprozesse führen nicht nur zu Compliance, sondern zu besseren, robusteren Produkten.
Beginnen Sie mit einer Bestandsaufnahme:
Die Sicherstellung der Datenqualität ist ein fortlaufender Prozess, kein einmaliges Projekt. Mit den richtigen Strukturen wird aus der regulatorischen Hürde ein Qualitätsmerkmal, das Vertrauen bei Ihren Kunden schafft.
Der Begriff „fehlerfrei“ im Gesetzestext sorgt oft für Verwirrung. In der Praxis ist absolute Fehlerfreiheit bei komplexen Daten kaum möglich. Der Gesetzgeber erwartet jedoch, dass Sie Fehler kennen, dokumentieren und Maßnahmen ergriffen haben, um die Fehlerquote so weit wie möglich zu senken. Es geht um Sorgfaltspflicht, nicht um übermenschliche Perfektion.
Artikel 10 bezieht sich spezifisch auf Hochrisiko-KI-Systeme (z.B. in HR, kritischer Infrastruktur, Bildung). Für andere Systeme gelten weniger strenge Regeln, aber: Die DSGVO gilt immer, und gute Datenqualität ist auch für nicht-kritische KI der Schlüssel zum Erfolg. Transparenz ist auch hier ein Wettbewerbsvorteil.
Sie sollten protokollieren, welche Hypothesen zu möglichem Bias Sie aufgestellt haben (z.B. "Unser Datensatz könnte Frauen benachteiligen"), wie Sie dies getestet haben (Statistische Analyse der Trainingsdaten) und welche Maßnahmen Sie ergriffen haben (z.B. Nachsammlung von Daten unterrepräsentierter Gruppen).
Ja, aber Sie bleiben als Anbieter des KI-Systems verantwortlich. Sie müssen sicherstellen, dass auch der Dienstleister nach Ihren Guidelines und Qualitätsstandards arbeitet. Dies sollte vertraglich und durch Audits abgesichert sein.

Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Die häufigsten Fragen zum Thema

Der VDA ISA Katalog schreibt 300+ Fragen vor. Erfahren Sie, welche Anforderungen konkret hinter den sieben Kapiteln stecken: von Informationssicherheit über Datenschutz bis Prototypenschutz.

Viele Webseiten verfügen über eine Datenschutzerklärung. Aber benötigt wirkliche jede Internetseite eine Datenschutzerklärung? Muss auch die Homepage einer Privatperson eine Datenschutzerklärung haben? Die SECJUR-Datenschutzexperten klären auf.

ISO 27001 oder BSI IT-Grundschutz? Vergleich der beiden Ansätze, Zertifizierungswege und eine praxisnahe Zuordnungstabelle.