Dieses EU-Gesetz zum KI-Einsatz stellt hohe Anforderungen an die Datenhaltung, welche sich nur mit geeigneten Plattformen effizient umsetzen lassen – Cloudian rät zur Eindämmung des „Datenwildwuchses“ und zur Wiedergewinnung der Kontrolle über die Daten zu modernen Daten- und Storage-Systemen.
Wenn auch die EU mit ihrem „Digital Omnibus“ einige Fristen des „EU AI Act“ verschiebt, sollten sich die Verantwortlichen in den Betrieben besser nicht entspannt zurücklehnen. Cloudian weist in einer aktuellen Stellungnahme warnend darauf hin, dass solange dieser Aufschub noch nicht final beschlossen ist, durchaus die ursprünglichen Fristen gelten – und diese laufen teilweise im August 2026 ab. Zudem stelle dieses Gesetz zum Einsatz Künstlicher Intelligenz (KI) hohe Anforderungen an die Datenhaltung, welche sich nur mit geeigneten Plattformen effizient umsetzen ließen. Cloudian führt aus, worauf IT- und Datenverantwortliche jetzt achten sollten.
„EU AI Act“ macht strenge Vorgaben für sogenannte Hochrisiko-KI
Mehr und mehr Unternehmen entwickeln offenbar eigene KI-Systeme – sei es, um optimale Resultate in ihren ganz individuellen „Use Cases“ zu erzielen, eine bessere Kontrolle über die Entscheidungen der KI zu haben oder die Unabhängigkeit von externen Anbietern zu stärken.
Damit fielen allerdings auch mehr und mehr Unternehmen unter den „EU AI Act“, welcher bekanntlich strenge Vorgaben für sogenannte Hochrisiko-KI macht. Die Verantwortung dafür verteilt sich über mehrere Rollen – von „Compliance“ und „Datenschutz“ über die „KI-Teams“ bis hin zum „Storage- und Infrastruktur-Management“, welches die passende Dateninfrastruktur bereitstellt.
Da sich aber die Vorgaben des EU AI Act nur teilweise auf Modell- und Anwendungsebene erfüllen lassen, braucht es laut Cloudian geeignete Storage-Plattformen, um die Umsetzung zu erleichtern. Der vielerorts bestehende „Datenwildwuchs“ mit weit verteilten Datenbeständen – gar von unterschiedlichen Plattformen verwaltet – sei jedenfalls eher hinderlich. Bei der Modernisierung ihrer „Daten- und Storage-Landschaften“ müssten IT- und Datenverantwortliche daher vor allem auf „Data Governance“ über den gesamten Datenlebenszyklus hinweg achten.
Hochwertige und repräsentative Daten für das KI-Training erforderlich
Der „EU AI Act“ verlangt ausdrücklich hochwertige und repräsentative Daten für das Training, die Validierung und das Testen von KI-Modellen (s. Artikel 10). Um geeignete Daten auswählen und aufbereiten zu können, sollten Unternehmen also schon genau wissen, über welche Daten sie überhaupt verfügen, wo diese liegen, aus welchen Quellen sie stammen und wie ausgewogen und sinnvoll sie für den konkreten Anwendungsfall sind.
Erst mit Hilfe von solchen Plattformen, welche Metadaten, Versionierung und „Data Lineage“ unterstützen, ließen sich Herkunft und Änderungen über den gesamten Datenlebenszyklus hinweg nachvollziehen, Bias-Prüfungen vornehmen und optimale „Data Sets“ zusammenstellen.
Im Übrigen unterstützten solche Plattformen auch dabei, gezielt einzelne Datensätze mit persönlichen Daten zu identifizieren und zu entfernen, wenn eben Betroffene von ihrem Recht auf Löschung gemäß DSGVO Gebrauch machen – und das, ohne das gesamte „Data Set“ beziehungsweise das damit trainierte KI-Modell zu beeinträchtigen.
Audit-Trails für den KI-Betrieb müssen belastbar und unveränderlich sein
Um das Verhalten der KI überprüfen und den Behörden eine Kontrolle ermöglichen zu können, müssten Unternehmen automatisch Logs mit allen relevanten Vorkommnissen aufzeichnen – und zwar über den vollständigen Lebenszyklus des KI-Systems hinweg (s. Artikel 12).
Wirklich belastbar seien diese Logs allerdings nur, wenn sichergestellt sei, dass sie nicht mutwillig oder versehentlich verändert wurden.
Unternehmen benötigten somit Plattformen mit sogenannter WORM-Funktionalität („Write Once, Read Many“) – denn schließlich sei ist ein Audit-Trail nur dann vertrauenswürdig, wenn er unveränderlich – mithin manipulationssicher – ist.
Absicherung der KI-Trainingsdaten vor Manipulationen
Ein KI-Modell kann immer nur so gut sein, wie die zum Training verwendeten Daten. Dabei komme allerdings nicht nur der Auswahl geeigneter Trainingsdaten eine besondere Bedeutung zu, sondern auch deren Schutz, denn durch Manipulationen könnten Cyberkriminelle dafür sorgen, dass die KI ungenaue oder falsche Ergebnisse liefert.
Dieses „Data Poisoning“ müssen Unternehmen verhindern, so der „EU AI Act“ in Artikel 15. Plattformen mit WORM-Funktionalität könnten auch hierbei helfen, die Unveränderlichkeit und damit die Vertrauenswürdigkeit des Trainingsmaterials sicherzustellen. Zugleich könnten Unternehmen die Trainings- und Input-Daten auf diese Weise vor der Verschlüsselung durch Ransomware schützen.
Rollenbasierte Zugriffskontrollen, Multifaktor-Authentifizierung und Monitoring-Funktionen sorgten überdies dafür, dass nur autorisierte Nutzer auf das Datenmaterial zugreifen können und alle Zugriffe nachvollziehbar dokumentiert sind. Idealerweise sollten die Kontrollen auf Infrastrukturebene durchgesetzt werden.
Lokale Datenhaltung für Compliance und Kostenkontrolle des KI-EInsatzes
Zwar mache der „EU AI Act“ keine Vorgaben, wo Unternehmen die Daten für KI speichern müssen, doch „on-premises“ ließen sich die Anforderungen an „Data Governance“, „Record-Keeping“ sowie Robustheit und Cybersecurity deutlich einfacher umsetzen.
Gleichzeitig erleichtere die lokale Datenhaltung auch die Einhaltung von Pflichten, welche sich aus DSGVO, NIS 2 und „Cyber Resilience Act“ ergeben – die gemeinsam mit dem „EU AI Act“ einen umfassenden EU-Rechtsrahmen für sichere, resiliente und vertrauenswürdige IT-Systeme schaffen sollen.
Zudem könnten nicht zuletzt Unternehmen mit Infrastrukturen „on-premises“ an digitaler Souveränität und Kostenkontrolle gewinnen, da in der „Public Cloud“ oft überraschende Kostensteigerungen drohten und inzwischen 84 Prozent der Unternehmen ihre Budgets für Cloud-Speicher überschritten. Es gebe somit einen klaren „Business-Case“ für die Repatriation von Daten zurück ins eigene Rechenzentrum.
Frage nach KI-Dateninfrastruktur hat Priorität
Sascha Uhl, „Senior Solutions Architect, Technical Alliances“ bei Cloudian, kommentiert abschließend: „Der ,EU AI Act’ führt dazu, dass Unternehmen sich mehr Gedanken darüber machen, wo ihre Daten liegen, wer darauf zugreifen kann und wie sie genutzt werden – und das ist gut so!“
Er rät: „Wollen Storage-Manager den ,Datenwildwuchs’ eindämmen und die Kontrolle über Daten zurückgewinnen, benötigen sie moderne Daten- und Storage-Plattformen.“
Abschließend gibt Uhl zu bedenken: „Diese sollten aber nicht unter Zeitdruck oder erst dann aufgebaut werden, wenn KI-Projekte bereits laufen. Die Frage nach der Dateninfrastruktur müssen die Verantwortlichen mit als Erstes beantworten, wenn es um die Entwicklung und den Einsatz eigener KI-Systeme geht.“
Zentrale Erkenntnisse der DS-Redaktion
- Solange die Fristverlängerung im Kontext des „Digitalen Omnibus“ der EU nicht offiziell ist, müssen die Verantwortlichen die bestehenden ambitionierten Zeitvorgaben ins Kalkül ziehen.
- Insbesondere der „EU AI Act“ erfordert es jetzt, evtl. vorhandenem „Datenwildwuchs“ methodisch zu begegnen.
- Es gibt viele gute Gründe zur Repatriation von Daten zurück ins eigene Rechenzentrum – neben der Regelkonformität z.B. auch die Datensouveränität.
- Von der „Pflicht“ zur „Kür“: Eine Daten-Inventur, d.h. Erfassung aller betrieblichen Daten und deren Klassifizierung u.a. nach Art, Menge und Güte sowie Speicherort, ist eine Voraussetzung für belastbare Datensicherheitskonzepte.
- KI-Systeme sollten als nützlich virtuelle Werkzeuge verstanden und eingesetzt werden – ihre Qualität basiert auf zielführenden Trainingsdaten.
Fazit
Unternehmen sollten keinesfalls auf eine mögliche Fristverlängerung des „Digitalen Omnibus“ warten. Der EU AI Act macht einen strukturierten Umgang mit Daten zur Priorität. Erst eine belastbare Daten-Inventur schafft Transparenz, stärkt die Datensicherheit und ermöglicht somit eine souveräne Datenhaltung. Wer seine Daten heute ordnet und beherrscht, schafft zugleich die Grundlage für einen sicheren und wirksamen KI-Einsatz.
Weitere Informationen
datensicherheit.de, 02.08.2026
Entwicklung zur verlässlichen Geschäftstechnologie: KI-Kennzeichnung gemäß EU AI Act erst der Anfang
datensicherheit.de, 02.08.2026
AI Act: Ab 2. August 2026 weitere Regeln in Kraft – indes noch viele offene Fragen
datensicherheit.de, 22.07.2026
KI-Dilemma: EU AI Act – Bremsklotz oder Erfolgsbooster
