Verantwortung für Künstliche Intelligenz (KI) Was die Lieferkette für die Compliance bei KI bedeutet

Anbieter zum Thema

Fsas Technologies GmbH

INFOMOTION GmbH

Unternehmen und Behörden setzen sich aktuell unter Hochdruck mit dem möglichen Einsatz von KI-Anwendungen auseinander. Allerdings sind in dem dynamischen Umfeld tragfähige Bewertungen schwierig. Das gilt nicht nur für Trainingsdaten und den Datenschutz bei KI. Es kommt erschwerend hinzu, dass die gesamte Lieferkette für eine KI-Anwendung betrachtet werden muss. Wir geben einen Überblick.

78 Prozent der deutschen Industrieunternehmen sind überzeugt, dass der Einsatz von KI künftig entscheidend für die Wettbewerbsfähigkeit der deutschen Industrie sein wird, so eine Bitkom-Umfrage. Doch KI bereitet auch Sorgen: Ein KI-Einsatz bei der Arbeit wird nicht von allen Beschäftigten begrüßt, viele haben Bedenken.

Wie eine andere Umfrage des Digitalverbandes Bitkom zeigt, erklären 71 Prozent der Befragten, dass aufgrund des KI-Einsatzes unklar werde, wer für einen Fehler die Verantwortung trägt. 66 Prozent haben Sorge, dass sich die Menschen künftig zu sehr auf KI verlassen, und 63 Prozent halten es für unklar, an wen die Daten gehen, die für KI genutzt werden.

Offensichtlich spielt Transparenz und Nachvollziehbarkeit bei KI eine große Rolle für die Akzeptanz und den Erfolg. Es ist also mehr als sinnvoll, wenn genau eine solche Transparenz für die KI-Compliance erforderlich ist. Ohne Transparenz könnte die KI-Nutzung zu einem Risiko für ein Unternehmen und die Betroffenen werden.

Transparenz bei KI betrifft nicht nur die Daten

Die Datenschutzaufsichtsbehörden haben in ihrer aktuellen Orientierungshilfe zu KI und Datenschutz erklärt: Der Einsatz von KI-Anwendungen stellt Verantwortliche hinsichtlich ihrer Informations- und Transparenzpflichten in mehrfacher Hinsicht vor besondere Herausforderungen.

Sofern Verantwortliche eine KI-Anwendung nicht selbst entwickeln, müssen sie darauf achten, dass ihnen vom Anbieter ausreichend Informationen zur Verfügung gestellt werden, um die Transparenzanforderungen der DSGVO (Datenschutz-Grundverordnung) umsetzen zu können.

Ebenso müssen die Transparenzanforderungen der neuen Verordnung über Künstliche Intelligenz (kurz: KI-Verordnung) berücksichtigt werden. Wenn also ein Unternehmen oder eine Behörde bestimmte eigene Daten zum Training einer KI verwendet, reicht es nicht etwa, eine Dokumentation anzulegen, welche Daten für das Training genutzt wurden. Vielmehr muss die komplette KI-Verwendung transparent erfolgen. Damit aber muss der Lieferant der KI-Applikation und die komplette Lieferkette in den Fokus genommen werden. Dazu gehört zum Beispiel auch die Cloud, in der eine KI betrieben wird.

Den kompletten Workflow der KI in den Blick nehmen

Wenn KI-Werkzeuge zum Einsatz kommen, wird ein kompletter Workflow durchlaufen, und dieser ganze Workflow muss unter dem Gesichtspunkt der Transparenz und der Verantwortung betrachtet werden. So müssen insbesondere alle Tools von Dritten, die im Workflow genutzt werden, geprüft und bewertet werden, es muss klar werden, was mit den Daten von wem zu welchem Zweck gemacht wird.

Das gilt für die Datenvorbereitung (wie Datenextraktion, -transformation und -laden, ETL), für die KI-Algorithmen, für das Training, die genutzten Rechenressourcen, GPUs und IT-Umgebungen, die Phase der Inferenz, die Analytik und die Integration in Business-Anwendungen, um einige der Bereiche zu nennen. Überall dort müssen die genutzten Tools und Bibliotheken von Drittanbietern nach Schwachstellen, aber auch nach der genauen Verarbeitung der Daten untersucht werden.

KI darf keine Blackbox bleiben

Die Anzahl von verfügbaren KI-Systemen wächst stetig und die zugrundeliegenden Technologien entwickeln sich rasant weiter, erklärt auch das BSI (Bundesamt für Sicherheit in der Informationstechnik). Bei den meisten Systemen handele es sich aber um eine Blackbox. Nach außen sind lediglich die Eingaben in das System und die Ausgaben des Systems sichtbar, wie das BSI betont. Wie das System zur Ausgabe gelangt, bleibe meist unklar und sei häufig nicht nachvollziehbar.

Zudem ist der Wahrheitsgehalt der Ausgaben oft nicht nachprüfbar, warnt die IT-Sicherheitsbehörde. Die zunehmende Komplexität der Systeme sowie fehlende oder mangelhafte Informationen darüber macht sowohl eine Einschätzung per Augenschein als auch die Beurteilung der Ausgaben hinsichtlich deren Vertrauenswürdigkeit nur schwer möglich, so das BSI.

Durch Transparenz sollen die Interessenträger (wie Verbraucher oder Entwickler) von KI-Systemen dazu befähigt sein, eigenständig zu entscheiden, ob ein System für ihre Bedarfe und Ziele geeignet ist. Dabei spielen unter anderem das Vermeiden von Urheberrechtsverletzungen, der Schutz der persönlichen Daten oder die IT-Sicherheit eine wesentliche Rolle.

Das BSI hat in einem Whitepaper den Begriff der Transparenz im Kontext von KI-Systemen für unterschiedliche Interessenträger definiert: Transparenz von KI-Systemen ist die Bereitstellung von Informationen über den gesamten Lebenszyklus eines KI-Systems sowie über dessen Ökosystem. Transparenz forciert die Zugänglichkeit zu Informationen, die eine Einschätzung des Systems hinsichtlich unterschiedlicher Bedarfe und Ziele ermöglichen, für alle Interessenträger.

Dabei schließt die vorliegende Definition explizit Informationen über das Ökosystem (wie den Anbieter oder den Entwicklungsprozess) mit ein und betrachtet so Transparenz über das eigentliche KI-System hinaus. Damit rückt das BSI gezielt die Lieferkette von KI mit in den Gegenstand der Untersuchung.

Es zeigt sich: Compliance-Anforderungen insbesondere aus Datenschutz-Grundverordnung (DSGVO) und KI-Verordnung (KI-VO) machen nicht nur die Transparenz bei der eigenen KI-Nutzung und hinsichtlich der genutzten Daten notwendig, sondern die komplette Lieferkette der KI muss betrachtet und ausreichend transparent gemacht werden.

Das hilft dann auch bei der Frage, warum ein bestimmter Fehler aufgetreten ist. Es reicht allerdings nicht, den Fehler zuordnen zu können, im Rahmen der Verantwortung muss man auch alles tun, damit Fehler in der genutzten Lieferkette nicht auftreten. Kein einfaches Unterfangen in dem komplexen KI-Ökosystem, aber ein notwendiges Unterfangen. Sonst kann KI keine Akzeptanz und keine Compliance erreichen und damit keinen Erfolg.

(ID:50150614)