Management KI-Gesetz: Wie sich Unternehmen vorbereiten sollten

Anbieter zum Thema

Pegasystems GmbH

CADFEM Germany GmbH

xSuite Group GmbH

Esker Software Entwicklungs-und Vertrieb

Ein Gesetz soll künftig den Einsatz Künstlicher Intelligenz in der EU regeln. KI-Systeme sollen sicher, fair, transparent und nachvollziehbar arbeiten. Doch was bedeutet das für Unternehmen, und wie können sie sich auf die neuen Spielregeln im KI-Gesetz vorbereiten?

Der AI Act der Europäischen Union kommt. Unternehmen sollten jetzt Governance-Strukturen aufbauen, die verhindern, dass sie KI-Systeme entwickeln oder einsetzen, die verboten sind oder aufwendig angepasst werden müssen.

Die Entwicklung Künstlicher Intelligenz ist rasant vorangeschritten. Und immer stärker zeigt sich, dass der Einsatz von KI mit Risiken verbunden ist. Die Europäische Union will deshalb mit einem Gesetz sicherstellen, dass in ihren Mitgliedsstaaten eingesetzte KI-Systeme sicher, fair und transparent arbeiten. Vor kurzem einigten sich Unterhändler des Europaparlaments und der EU-Staaten auf den „AI Act“. Jetzt müssen lediglich noch technische Details geklärt werden und das Parlament sowie die Mitgliedsstaaten der EU müssen dem vereinbarten Rechtsrahmen zustimmen. Das gilt aber als reine Formsache.

Das KI-Gesetz kommt.

Unternehmen müssen sich ab sofort mit den Grundzügen des Gesetzes auseinandersetzen, damit sie seine Anforderungen umsetzen können. Schließlich ist der Aufbau der benötigten Kontrollstrukturen, -prozesse und -systeme aufwendig und nicht im Schnellverfahren zu schaffen. Zudem können sie nur durch frühzeitiges Handeln sicherstellen, dass sie keine KI-Systeme mehr entwickeln oder anschaffen, die künftig verboten sind oder einer Anpassung bedürfen.

Verbote und Auflagen abhängig vom Risiko

Mit dem AI Act stuft die EU KI-Systeme in Risikokategorien ein, für die unterschiedliche Vorschriften gelten. Diejenigen, die eine Gefahr für Menschen darstellen, weil sie deren Verhalten manipulieren, sie nach sozialen Merkmalen bewerten (Social Scoring) oder in Echtzeit aus der Ferne biometrisch identifizieren (Videoüberwachung mit Gesichtserkennung), hält die EU für ein inakzeptables Risiko. Sie werden künftig verboten.

Systeme, die ein hohes Risiko für die Gesundheit und Sicherheit oder für die Grundrechte von Menschen darstellen, unterliegen strengen Auflagen. Sie müssen beispielsweise mit Daten trainiert werden, die gewissen Qualitätskriterien entsprechen, im Betrieb überwacht werden und erfordern ein spezielles Risikomanagementsystem. In diese Kategorie fallen solche für die die Produktsicherheitsvorschriften der EU gelten oder die in einen von acht definierten Bereichen fallen und deshalb in einer EU-weiten Datenbank registriert werden müssen. Dazu zählen Systeme für den Betrieb kritischer Infrastrukturen, in der Personalverwaltung oder für Kreditscorings.

KI-Systeme, die nur ein mittleres oder geringes Risiko darstellen, müssen nur wenige Auflagen erfüllen. In erster Linie handelt es sich um Informations- und Transparenzpflichten wie Hinweise, dass Inhalte von KI erstellt wurden oder ein Service-Chatbot auf der Website KI nutzt.

KI-Gesetz: Ohne Governance-Framework geht‘s nicht

Wollen Unternehmen den Vorgaben des Gesetzes nachkommen, benötigen sie ein Framework mit Richtlinien und Vorschriften für die Entwicklung, Bereitstellung und Nutzung von KI. Dazu gehört unbedingt ein Risikomanagementsystem. Das hilft, KI-Systeme nicht nur einmalig, sondern über ihren gesamten Lebenszyklus hinweg hinsichtlich möglicher Risiken zu überwachen und zu bewerten. Zudem müssen Unternehmen neue Stellen und Organisationseinheiten in den Bereichen Risikomanagement und Compliance schaffen, da mit den neuen Regelungen auch neue Rollen und Verantwortlichkeiten einhergehen. Das erfordert Anpassungen der internen Prozesse, damit die neuen Stellen und Einheiten reibungslos mit den bestehenden zusammenarbeiten und einen Mehrwert für das Unternehmen schaffen können.

Um festzustellen, welche Anwendungen und Services überhaupt unter das KI-Gesetz fallen oder zu welcher Kategorie gehören, müssen Firmen alle eingesetzten Tools und Dienste auf deren KI-Nutzung überprüfen. Eine gute technische Dokumentation der Anwendungs- und Servicelandschaft erleichtert die Aufgabe, und eine detaillierte Protokollierung hilft bei der Kontrolle von Prüfaktivitäten und -ergebnissen. Transparente Hinweise klären die Anwender über den KI-Einsatz in den von ihnen genutzten Werkzeugen auf.

Sobald die letzten Details des Gesetzes geklärt sind, gilt es sicherzustellen, dass die im Governance-Framework festgelegten Praktiken, Richtlinien und Rahmenbedingungen zur Verwaltung und Überwachung der KI-Entwicklung, -Bereitstellung und -Wartung den Anforderungen des Gesetzes entsprechen.

Darüber hinaus müssen Unternehmen sicherstellen, dass die für das Training, die Validierung und den Test von KI-Systemen verwendeten Datensätze zuverlässig sind, also relevant, repräsentativ, fehlerfrei und vollständig. Das geht nur mit menschlicher Aufsicht – dementsprechend werden erfahrene Mitarbeiter gebraucht, die die KI-Systeme überwachen und gegebenenfalls eingreifen, wenn sie Verstöße gegen die KI-Governance feststellen. Da die Trainingsdaten überdies meist ebenfalls verschiedenen Gesetzen und Richtlinien unterliegen, geht es für Unternehmen jedoch nicht nur darum, ihre KI-Systeme mit korrekten und unvoreingenommen Daten zu füttern. Vielmehr dürfen sie diese Daten nur mit ordnungsgemäßer Zustimmung der Betroffenen, Rechteinhaber und entsprechend allen relevanten Vorschriften erheben, speichern und verarbeiten.

Vertrauen sichert Wettbewerbsvorteile

Unternehmen, die sich unverzüglich mit dem KI-Gesetz auseinandersetzen und Kontrollstrukturen, -prozesse und -systeme etablieren, sichern sich das Vertrauen der Kunden in ihre Produkte und Services. In Zeiten, in denen KI-Tools und KI-basierte Anwendungen immer schneller aus dem Boden schießen, ist dies ein entscheidender Wettbewerbsvorteil. Außerdem können sie in Zukunft leichter auf Änderungen oder neue Gesetze reagieren, wenn etwa EU-Mitgliedsstaaten auf nationaler Ebene strengere Vorschriften oder Qualitätssiegel mit höheren Standards einführen. In Deutschland beispielsweise wird sogar über eine Art KI-TÜV und ein Siegel „AI made in Germany“ nachgedacht.