Zoom auf die Cybersecurity-Anforderungen für KI-Systeme
Die Künstliche Intelligenz (KI) ist zu einem entscheidenden Faktor in der modernen Technologie geworden. Mit der Einführung des AI Act, dem weltweit ersten umfassenden Rechtsrahmen für die Regulierung von KI, der am 1. August 2024 in Kraft trat, sind spezifische Anforderungen an die Cybersecurity für hochriskante KI-Systeme festgelegt worden.
Cybersecurity-Anforderungen für hochriskante KI-Systeme
Laut Artikel 15 des AI Act müssen hochriskante KI-Systeme so gestaltet und entwickelt werden, dass sie ein angemessenes Maß an Genauigkeit, Robustheit und Cybersecurity erreichen. Dies bedeutet, dass diese Systeme während ihres gesamten Lebenszyklus konsistent funktionieren müssen.
Die technischen Maßnahmen zur Gewährleistung der Cybersecurity sollten angemessen für die relevanten Umstände und Risiken sein. Zu den technischen Lösungen gehören unter anderem:
- Datenvergiftung: Bedrohungsakteure manipulieren die Trainingsdaten.
- Modellvergiftung: Manipulation der vortrainierten Komponenten, die im Training verwendet werden.
- Modellvermeidung: Eingabedaten manipulieren, um das Modell zu täuschen.
Risikobewertungen für hochriskante KI-Systeme
Der AI Act verpflichtet Anbieter hochriskanter KI-Systeme zur Durchführung einer Risikobewertung, bevor das System auf den Markt gebracht oder in Betrieb genommen wird. Diese Bewertung muss die potenziellen Risiken für Gesundheit, Sicherheit und grundlegende Rechte identifizieren und analysieren.
Die Risikobewertung muss regelmäßig während des Lebenszyklus des KI-Systems aktualisiert werden, um sicherzustellen, dass alle Sicherheitsaspekte berücksichtigt werden.
Der Cyber Resilience Act (CRA)
Der Cyber Resilience Act (CRA) ergänzt die Cybersecurity-Anforderungen für KI-Systeme. Der CRA fordert von Produkten mit digitalen Elementen, wie verbundenen Geräten und IoT-Geräten, spezifische Sicherheitsmaßnahmen, um unbefugten Zugriff zu verhindern.
Warum Cybersecurity für alle KI-Systeme relevant ist
Obwohl der AI Act spezifische Anforderungen für hochriskante KI-Systeme festlegt, bedeutet dies nicht, dass andere KI-Systeme von Cybersecurity-Überlegungen ausgeschlossen sind. Alle KI-Systeme, die Daten verarbeiten oder mit Benutzern interagieren, können Cybersecurity-Bedrohungen ausgesetzt sein.
Best Practices für Anbieter von KI-Systemen
Anbieter von KI-Systemen sollten einen risikobasierten Ansatz verfolgen, der Sicherheitsmaßnahmen in den Design- und Entwicklungsprozess integriert. Regelmäßige Risikobewertungen und die Implementierung geeigneter technischer und organisatorischer Maßnahmen sind unerlässlich.
Die Einhaltung bestehender Gesetze und Vorschriften, wie der Allgemeinen Datenschutzverordnung (GDPR) und des Digital Operational Resilience Act (DORA), ist ebenfalls von großer Bedeutung.
Fazit
Cybersecurity ist ein entscheidendes Kriterium für hochriskante KI-Systeme unter dem AI Act und ein wichtiger Aspekt für alle KI-Systeme. Anbieter sollten Sicherheitsmaßnahmen von Anfang an in den Entwicklungsprozess integrieren, um Vertrauen, Reputation und Wettbewerbsfähigkeit zu gewährleisten.
