Was sind die Hauptziele und Kernprinzipien des KI-Gesetzes?
Das EU-KI-Gesetz, das formell im April 2021 vorgeschlagen und am 1. August 2024 in Kraft trat, schafft einen einheitlichen Rechtsrahmen für KI-Systeme in der gesamten EU. Es gleicht Innovation mit der Notwendigkeit des Schutzes von Grundrechten und personenbezogenen Daten aus.
Hauptziele:
- Schutz der Grundrechte: Stellt sicher, dass KI-Systeme die grundlegenden EU-Rechte respektieren, mit einem Fokus auf ethische Überlegungen.
- Förderung von Innovation: Fördert die Entwicklung und den Einsatz vertrauenswürdiger KI-Technologien.
- Förderung von Vertrauen: Baut das öffentliche Vertrauen in KI-Systeme auf.
Kernprinzipien:
Das KI-Gesetz verfolgt einen risikobasierten Ansatz, bei dem KI-Systeme anhand ihres potenziellen Risikolevels kategorisiert werden. Dieser Ansatz bestimmt das Maß an regulatorischer Aufsicht und Compliance-Anforderungen.
- Risikokategorisierung:
- Unannehmbares Risiko: KI-Systeme, die gegen grundlegende EU-Rechte verstoßen, sind verboten.
- Hohes Risiko: Systeme, die Auswirkungen auf Gesundheit, Sicherheit oder Grundrechte haben, erfordern Konformitätsbewertungen und fortlaufende Überwachung.
- Begrenztes Risiko: Es gelten Transparenzanforderungen, wie z. B. die Offenlegung der KI-Interaktion.
- Minimales Risiko: Keine besonderen Anforderungen.
- Allgemeinzweck-KI (GPAI): Eine zusätzliche Kategorie für KI-Modelle, die auf großen Datensätzen trainiert wurden und in der Lage sind, verschiedene Aufgaben auszuführen. Für GPAI-Modelle, die als „systemisches Risiko“ gelten, gelten erhöhte Verpflichtungen.
Darüber hinaus erkennt das KI-Gesetz verschiedene Rollen innerhalb der KI-Wertschöpfungskette an, darunter Anbieter, Anwender, Händler, Importeure und Bevollmächtigte. Jede Rolle hat unterschiedliche Verantwortlichkeiten und Compliance-Anforderungen.
Interne Auditoren sollten die Risikokategorie jedes KI-Systems und die Rolle ihrer Organisation in der Wertschöpfungskette verstehen, um die Einhaltung des KI-Gesetzes sicherzustellen. Diese Rollen können sich weiterentwickeln und Compliance-Verpflichtungen beeinflussen.
Wie sollten Organisationen die Erreichung und Aufrechterhaltung der Compliance mit den verschiedenen Verpflichtungen des KI-Gesetzes angehen?
Das KI-Gesetz führt einen risikobasierten Ansatz ein, der KI-Systeme in unannehmbare, hohe, begrenzte und minimale Risikostufen sowie in eine Kategorie für KI für generelle Zwecke (GPAI) einteilt. Die Compliance-Bemühungen müssen auf diese Risikokategorien und die spezifische Rolle zugeschnitten sein, die eine Organisation in der KI-Wertschöpfungskette spielt (Anbieter, Anwender usw.). Hier ist eine Aufschlüsselung für Legal-Tech-Experten, Compliance-Beauftragte und Policy-Analysten:
Verständnis Ihrer Rolle und Ihres Risikoprofils
Zunächst müssen Organisationen feststellen, welche Rolle sie für jedes von ihnen verwendete KI-System einnehmen, und die zutreffende Risikokategorie bestimmen. Vorsicht: Ein Anwender wird zum Anbieter, wenn er wesentliche Änderungen an der KI vornimmt oder sie unter seiner eigenen Marke umbenennt. Die Anforderungen variieren je nachdem, ob Sie sich in der EU oder außerhalb der EU befinden, ein Anbieter, Anwender, Händler oder Vertreter sind.
Etablierung grundlegender Compliance-Maßnahmen
Zur Vorbereitung können interne Auditoren die Einhaltung des KI-Gesetzes wie jedes andere Compliance-Projekt angehen – jedoch mit dem Schwerpunkt auf der Bewertung, Prüfung und Governance von eindeutigen KI-Prozessen. Beachten Sie die bevorstehenden Fristen:
- 2. Februar 2025: Konzentrieren Sie sich auf KI-Alphabetisierungsschulungen für Mitarbeiter, erstellen Sie ein Inventar von KI-Systemen, klassifizieren Sie Systeme nach Risiko und stellen Sie die Verwendung/Entfernung von KI mit inakzeptablem Risiko ein.
- 2. August 2025: Behandeln Sie die GPAI-Compliance, einschließlich des Verständnisses relevanter Aufsichtsbehörden und der Einrichtung von Transparenzmechanismen. (Hinweis: Die Compliance wird für bereits bestehende GPAI-Systeme auf 2027 verschoben).
- 2. August 2026: Implementieren Sie Risikobewertungs-, Management- und Rechenschaftspflichtsysteme für KI mit hohem Risiko sowie Transparenzrichtlinien für Systeme mit begrenztem Risiko.
- 2. August 2027: Wenden Sie GPAI-Maßnahmen auf alle Systeme an und stellen Sie sicher, dass integrierte KI-Komponenten die Verpflichtungen für KI mit hohem Risiko erfüllen.
Wichtige Verpflichtungen und Anforderungen
Je nach KI-Modelltyp gelten verschiedene Verpflichtungen:
- KI-Alphabetisierung: Stellen Sie sicher, dass die Personen, die mit KI-Systemen zu tun haben, über ausreichende KI-Kenntnisse verfügen.
- KI-Register: Unternehmen müssen ein KI-Register aufbauen, das alle KI-Systeme enthält, die sie verwenden oder auf den Markt bringen. KI-Systeme mit hohem Risiko müssen an ein zentrales KI-Repository übermittelt werden.
- KI-Risikobewertung: Alle KI-Systeme im KI-Register sollten gemäß der im KI-Gesetz verwendeten Risikoklassifizierungsmethode einer Risikobewertung unterzogen werden. Es sollte beachtet werden, dass die Klassifizierungsmethode im KI-Gesetz vorgeschrieben ist.
Für KI-Systeme mit hohem Risiko müssen Organisationen robuste Risikomanagementsysteme implementieren, sich auf Daten und Data Governance konzentrieren, technische Dokumentationen führen und Maßnahmen zur Aufzeichnung und Transparenz implementieren. Menschliche Aufsicht muss in die Gestaltung integriert sein. Es ist unerlässlich, dass Genauigkeit, Ausfallsicherheit und Cybersicherheitsmaßnahmen die erforderlichen Standards erfüllen, um konsistente KI-Ergebnisse zu gewährleisten.
Organisationen müssen für KI-Systeme mit hohem Risiko Bevollmächtigte außerhalb der EU benennen. Es müssen auch eine Konformitätsbewertung und eine CE-Kennzeichnung der Konformität durchgeführt werden.
KI-Systeme mit begrenztem Risiko unterliegen Transparenzpflichten, die die Nutzer darüber informieren, dass sie mit einer KI interagieren. Generierte Ausgaben (synthetische Audio-, Bild-, Video- oder Textinhalte) müssen maschinenlesbar sein und offenlegen, dass der Inhalt künstlich erzeugt wurde.
Ähnlich wie bei begrenztem Risiko erfordern auch KI-Modelle für generelle Zwecke Transparenzpflichten für Anbieter, um betroffene natürliche Personen darüber zu informieren, dass sie mit einem KI-System interagieren. Sie müssen GPAI-Modelle auch mit systemischem Risiko klassifizieren.
Die Rolle der internen Revision
Interne Revisionsabteilungen sollten Rahmenbedingungen entwickeln, um die KI-Nutzung innerhalb der Organisation zu bewerten, Empfehlungen zur Bereitstellung von Vorteilen und zur Minderung von Risiken abzugeben und mit gutem Beispiel voranzugehen, indem sie ihre eigene KI-Nutzung bewerten. Auditfähigkeiten werden in der Regel durch interne und externe Schulungen sowie durch Wissensaustausch sichergestellt. Es ist wichtig, dass die Revisionsabteilungen gezielte Schulungsaktivitäten planen und durchführen, um sicherzustellen, dass sie ausreichend qualifiziert sind, um Zusicherungen zu KI zu geben.
Berücksichtigung umfassenderer EU-Gesetzgebung
KI-Systeme können auch unter andere EU-Gesetzgebung fallen, wie z. B. DORA und CSRD/CSDDD, insbesondere in Bezug auf Drittanbieter, Umweltauswirkungen und Cybersicherheitsresilienz. Berücksichtigen Sie, wie die KI-Systeme das Unternehmen möglicherweise dazu verpflichten, eine breitere Palette von Vorschriften einzuhalten.
Welche wesentlichen Anforderungen sind mit der Nutzung und Prüfung von KI-Systemen in Organisationen verbunden?
Das EU-KI-Gesetz führt einen abgestuften Rahmen von Anforderungen für Organisationen ein, die KI-Systeme nutzen, wobei die Strenge von dem mit der jeweiligen KI verbundenen Risikograd abhängt. Interne Auditoren werden daher eine integrale Rolle bei der Sicherstellung der Compliance ihrer Unternehmen mit den neuen Vorschriften spielen.
Risikobasierte Verpflichtungen:
Folgendes beinhalten die verschiedenen Risikostufen:
- Unannehmbares Risiko: KI-Systeme, die als Verletzung grundlegender EU-Rechte und -Werte gelten, sind verboten. Dazu gehören KI, die zur Manipulation von Einzelpersonen, zur Verursachung erheblichen Schadens oder zur Erzeugung diskriminierender Ergebnisse eingesetzt wird.
- Hohes Risiko: KI-Systeme, die sich auf Gesundheit, Sicherheit oder grundlegende Rechte auswirken, unterliegen strengen Anforderungen. Anbieter müssen Risikomanagementsysteme einrichten, Datenqualität und Governance sicherstellen, technische Dokumentationen führen und Bereitstellern Transparenz bieten. Menschliche Aufsicht und Cybersicherheitsresilienz sind ebenfalls unerlässlich.
- Begrenztes Risiko: Chatbots oder KI-gestützte Content-Generatoren (Text oder Bilder) fallen in diese Kategorie. Hier sind Transparenzanforderungen von zentraler Bedeutung, um Benutzer darüber zu informieren, dass sie mit einem KI-System interagieren.
- Minimales Risiko: KI-gestützte Videospiele oder Spamfilter – es gelten keine besonderen Anforderungen.
Über diese Kategorien hinaus unterliegen Allzweck-KI-Modelle (GPAI), die grundlegend für andere Systeme sind, besonderen Transparenzanforderungen. Wenn GPAI-Modelle als „systemisches Risiko“ eingestuft werden (basierend auf Rechenleistung oder Auswirkungen), unterliegen sie zusätzlichen Kontrollen, einschließlich Modellbewertungen und Cybersicherheitsmaßnahmen.
Rollenbasierte Verpflichtungen in der KI-Wertschöpfungskette:
Die Verpflichtungen variieren auch je nach der Rolle einer Organisation:
- Anbieter: Diejenigen, die KI-Systeme entwickeln und auf dem EU-Markt anbieten, tragen die größte Verantwortung. Sie stellen die Einhaltung der strengen Anforderungen des KI-Gesetzes sicher.
- Bereitsteller: Organisationen, die KI-Systeme nutzen, sind für die ordnungsgemäße Nutzung und Einhaltung der Richtlinien der Anbieter verantwortlich, einschließlich der Sicherstellung der menschlichen Aufsicht und der Aufrechterhaltung der Datenqualität.
Wichtige Maßnahmen für interne Auditoren:
Um eine umfassende Einhaltung des KI-Gesetzes zu gewährleisten, gibt es kritische Punkte, die interne Auditoren beachten sollten:
- KI-Kompetenz: Stellen Sie sicher, dass die Mitarbeiter über ausreichende KI-Kompetenz verfügen, um den Betrieb und die Nutzung von KI-Systemen angemessen zu verstehen.
- KI-Inventar: Erstellen und pflegen Sie ein umfassendes KI-Register der in der gesamten Organisation, einschließlich der Tochtergesellschaften, verwendeten Systeme.
- Risikoklassifizierung: Klassifizieren Sie alle KI-Systeme gemäß den im KI-Gesetz definierten Risikokategorien.
- Folgenabschätzungen: Führen Sie Folgenabschätzungen zu den Grundrechten für bestimmte KI-Systeme durch, die potenzielle Schäden und Minderungsstrategien aufzeigen.
- Überwachung nach dem Inverkehrbringen: Implementieren Sie einen Plan für die kontinuierliche Datenerfassung, Dokumentation und Analyse der KI-Systemleistung.
Letztendlich ist die Integration der entsprechenden Verfahren der Schlüssel zur Bewältigung von Risiken und zur Sicherstellung der Compliance Ihrer Organisation.
