Kommentar von Florian Disson, Solita EU AI Act – wie Unternehmen effektiv KI-Governance-Richtlinien umsetzen

Anbieter zum Thema

INFOMOTION GmbH

QUNIS GmbH

Am 13. März 2024 hat das Europäische Parlament mit dem AI Act den ersten rechtlich verbindlichen Rahmen zur nachhaltigen Entwicklung und Einsatz von KI-Systemen verabschiedet. Er formuliert Mindestanforderungen an Künstliche Intelligenz, um negative Auswirkungen auf Gesundheit, Umwelt, Sicherheit und Grundrechte (Demokratie, Rechtsstaatlichkeit) zu unterbinden. KI-Systeme werden demnach in vier Risikokategorien aufgeteilt, die alle mit spezifischen Anforderungen verbunden sind.

Sofort tauchten die ersten Fragen auf: Was bedeutet das für meine Organisation? Sind wir bereits konform oder müssen wir Änderungen vornehmen? Und wenn, wann ist der richtige Zeitpunkt und was wäre der erste Schritt? Aktion tut Not, denn bei Nichteinhaltung der Anforderungen drohen neben Rufschädigung und möglicher zivilrechtlicher Haftung auch Bußgelder, je nach Verstoß zwischen 7,5 und 35 Millionen Euro bzw. zwischen ein und sieben Pro-zent des weltweiten Jahresumsatzes.

Alle Organisationen, die KI-Systeme in der EU entwickeln oder einsetzen, müssen sich also vorbereiten. Ganz gleich, ob sie mit diesen Systemen Dokumente effizienter bearbeiten wollen, sie als Add-on in ihr HR-System integrieren, einen Co-Piloten für internen Gebrauch einrichten oder Chatbots auf ihrer Webseite anbieten wollen.

In den meisten Fällen wird es nicht viel brauchen, um dem Gesetz zu entsprechen, nicht selten aber geht es um größere organisatorische Veränderungen. Den Königsweg, um AI-Act-compliant zu werden, gibt es dabei jedoch nicht. Es wird immer auf eine individuelle Mischung aus Festlegung interner Rollen und Verantwortlichkeiten, Definition von Prozessen, Erstellung eines KI-Systemkatalogs und Coaching in ethischer KI hinauslaufen.

Erste Schritte

Zunächst ist herauszufinden, welche Prozesse/Anwendungen im Unternehmen bereits eingesetzt werden, die nach AI-Act-Maßstäben zu bewerten wären.

1. Unter den Anwendungsbereich des Gesetzes fällt jedes maschinenbasierte System, das mit einem gewissen Autonomiegrad arbeitet, anpassungsfähig ist und welches für (explizite oder implizite) Ziele aus den ihm zugeführten Eingaben ableitet, wie es Ausgaben (Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen) generieren kann, die seine physische oder virtuelle Umwelt beeinflussen kann. Eine nicht ganz trennscharfe Definition, aber das Erfordernis der Autonomie dürfte das wesentliche Unterscheidungskriterium zu anderen IT-Systemen sein. Abseits der spezifischen technischen Details hilft ein Blick in die Praxis: Wie wird das System dort tatsächlich genutzt?

Anschließend ist sicherzustellen, dass es Prozesse und Verantwortlichkeiten gibt, um diese Systeme korrekt zu identifizieren und sie den richtigen gesetzlichen Vorgaben und internen Umsetzungsrichtlinien zuzuordnen.

2. Im zweiten Schritt gilt es, die Risikokategorie und die spezifischen Anforderungen, die für das KI-System gelten, zu bestimmen. Systeme mit inakzeptablen Risiken, wie z. B. die Erkennung von Emotionen, wie sie in China gang und gäbe sind (Social Scoring) müssen frühzeitig erkannt werden, da sie verboten sind und mit höchsten Sanktionen belegt werden. Systeme mit hohem Risiko (für die Verwaltung kritischer Infrastrukturen, Bildung, Beschäftigung oder Arbeitsplatzmanagement), erfordern Maßnahmen zur Einhaltung der Vorschriften. Transparenzanforderungen gelten für bestimmte KI-Systeme mit allgemeinem Verwendungszweck (GPAI).

3. Im dritten Schritt ist die eigene Rolle in Bezug auf das KI-System zu bewerten: Ist man Anbieter, Bereitsteller, vielleicht beides, oder hat man noch eine andere Rolle in der KI-Lieferkette, z. B. als Importeur oder Händler? Die Rolle bestimmt, welche Anforderungen gelten und welche man beim Kauf von KI-Systemen oder -Komponenten von Dritten in der Lieferkette verlangen muss. Sie kann sich zudem während des Lebenszyklus des KI-Systems ändern.

Von Compliance zu Kompetenz

Nach diesen ersten drei Schritten ist eine solide rechtliche Grundlage für die angestrebte KI-Governance gelegt. Nun kann der Horizont erweitert und dafür gesorgt werden, dass aus Compliance Kompetenz wird. Dazu sind Strukturen für eine ganzheitliche KI-Governance zu schaffen.

Um AI-Act-compliant zu werden, müssen zunächst Rollen und Verantwortlichkeiten in Bezug auf die Nutzung von KI und die Umsetzung von KI-Projekten im Unternehmen festgelegt werden. Jede Organisation muss an ihrer KI-Kompetenz arbeiten, um sicherzustellen, dass ihre Beschäftigten mit ausreichenden Fähigkeiten ausgestattet sind, um KI in einer konformen Weise zu nutzen – so fordert es explizit Artikel 4 des AI Act.

Niemand traut sich, KI zu entwickeln oder einzusetzen, wenn sich dabei etwas fragwürdig anfühlt oder man sich über die Auswirkungen auf andere oder auf die eigene Arbeit unsicher ist. Genau um diese Bedenken auszuräumen, braucht es geeignete interne Richtlinien zur Umsetzung der gesetzlichen Vorgaben. Ganzheitliche KI-Governance geht über die Einhaltung von Vorschriften hinaus und stellt sicher, dass KI-Systeme den erwarteten Nutzen auf ethisch, wirtschaftlich, sozial und ökologisch nachhaltige Weise erbringen.

Während man also an der Einhaltung der Vorschriften arbeitet, sollten zugleich die Prozesse so gestaltet werden, dass nachhaltige Innovationen von Beginn an unterstützt werden. Dazu gehören der Entwurf einer KI-Richtlinie, der Aufbau eines Verständnisses für ethische KI und die Nutzung von KI zur Förderung der eigenen strategischen Ziele und Visionen – all dies unter Berücksichtigung einer ganzheitlichen Risiko- und Folgenabschätzung.

(ID:50026470)