Verwendung von ISO 42001 & NIST AI RMF zur Unterstützung des EU KI-Gesetzes
Die Einführung von KI-Technologien hat in den letzten Jahren stark zugenommen. Im Jahr 2019 nutzten 58 % der Organisationen KI für mindestens eine Geschäftsoperation; bis 2024 stieg diese Zahl auf 72 %. Die Nutzung von generativer KI (genAI) verdoppelte sich fast von 2023 auf 2024, von nur 33 % auf 65 %.
Was ist das EU KI-Gesetz?
- Der Europäische Union Künstliche Intelligenz Act (KI-Gesetz) Verordnung (EU) 2024/1689 ist eine EU-Verordnung, die Künstliche Intelligenz (KI) betrifft.
- Es wird ein gemeinsamer regulatorischer und rechtlicher Rahmen für KI innerhalb der Europäischen Union (EU) geschaffen.
- Das Gesetz trat am 1. August 2024 in Kraft.
- Es umfasst alle Arten von KI in verschiedenen Sektoren, mit Ausnahme von KI-Systemen, die ausschließlich für militärische, nationale Sicherheits-, Forschungs- und nicht-professionelle Zwecke verwendet werden.
- Es ist darauf ausgelegt, in verschiedenen KI-Anwendungen und -Kontexten anwendbar zu sein.
- Das Gesetz enthält spezifische Compliance-Anforderungen.
Das wegweisende EU KI-Gesetz schafft ein ausgewogenes Verhältnis zwischen Innovation und Sicherheit im Bereich der Künstlichen Intelligenz. Durch die Festlegung klarer Richtlinien für das Risikomanagement, die fortlaufende Systemüberwachung und die menschliche Aufsicht wird eine Grundlage für KI geschaffen, der Menschen vertrauen können.
Das Gesetz schützt grundlegende Rechte wie die Privatsphäre und stellt sicher, dass KI-Systeme nicht unfair diskriminieren. Vielleicht am wichtigsten ist, dass es KI-Entwicklern und -Unternehmen einen einheitlichen regulatorischen Rahmen in ganz Europa bietet – und ihnen die Klarheit gibt, die sie benötigen, um selbstbewusst zu innovieren und gleichzeitig die Interessen der Verbraucher zu schützen.
Wer wird betroffen sein?
- Organisationen, die KI nutzen und innerhalb der EU tätig sind.
- Organisationen außerhalb der EU, die Geschäfte in der EU tätigen (Entwicklung oder Nutzung von KI-Systemen).
Wer wird nicht betroffen sein?
Es ist wichtig zu verstehen, was nicht unter den Anwendungsbereich des KI-Gesetzes fällt. Die Verordnung verfolgt einen zurückhaltenden Ansatz für militärische und nationale Sicherheitsanwendungen, unabhängig davon, ob sie von öffentlichen oder privaten Organisationen entwickelt werden. Ebenso genießen KI-Systeme, die ausschließlich der wissenschaftlichen Forschung und Entwicklung gewidmet sind, von diesen Regeln eine Ausnahme. Dies gibt Forschern die Freiheit, ohne regulatorische Einschränkungen zu innovieren. Das entscheidende Prinzip ist, dass das Gesetz nur greift, wenn KI-Systeme bereitgestellt oder kommerzialisiert werden – während der Entwicklung bleiben diese Regeln inaktiv.
Bußgelder gemäß dem EU KI-Gesetz
- Bei Nichteinhaltung der verbotenen KI-Praktiken können Organisationen mit bis zu EUR 35.000.000 oder 7% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bestraft werden.
- Für die Nichteinhaltung der Anforderungen für Hochrisiko-KI-Systeme können Organisationen mit bis zu EUR 15.000.000 oder 3% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bestraft werden.
- Die Bereitstellung falscher, unvollständiger oder irreführender Informationen an die Behörden kann dazu führen, dass Organisationen mit bis zu EUR 7.500.000 oder 1% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, bestraft werden.
Wichtige Akteure gemäß dem EU KI-Gesetz
Risikoansatz des EU KI-Gesetzes
1. Unacceptable risks:
KI-Systeme, die Manipulation, Ausbeutung und soziale Kontrollpraktiken ermöglichen, gelten als inakzeptabel riskant.
Beispiel: Der Einsatz von subliminalen, manipulativen oder täuschenden Techniken, die Ausbeutung von Schwachstellen in Bezug auf Alter, Behinderung oder sozioökonomische Umstände, soziale Bewertung, Echtzeit-Fernbiometrie-Identifikation (RBI), Zusammenstellung von Datenbanken zur Gesichtserkennung.
KI-Systeme mit inakzeptablen Risiken / verbotene KI-Systeme dürfen nicht auf dem EU-Markt eingesetzt werden.
2. Hochrisiken:
KI-Systeme, die negative Auswirkungen auf die Sicherheit oder grundlegende Rechte haben, werden als hochriskant angesehen.
Beispiel: Biometrie, kritische Infrastrukturen, z.B. Wasserversorgung, Strafverfolgung, gerichtliche und demokratische Prozesse.
Ein Risikomanagementsystem einrichten, Datenverwaltung durchführen und ein Qualitätsmanagementsystem einrichten, um die Compliance sicherzustellen / Hochrisiko-KI-Systeme können auf dem EU-Markt eingesetzt werden, nachdem die Risiken gemindert wurden.
3. Eingeschränkte Risiken:
Einige KI-Systeme, die für die Interaktion mit natürlichen Personen oder zur Generierung von Inhalten gedacht sind, qualifizieren sich möglicherweise nicht unbedingt als hochriskante KI-Systeme, können jedoch Risiken der Identitätsübernahme oder Täuschung mit sich bringen. Dazu gehören die Ausgaben der meisten generativen KI-Systeme.
Beispiel: Chatbots und Deepfakes.
Unterliegen leichteren Transparenzpflichten. Sicherstellen, dass Endbenutzer wissen, dass sie mit KI interagieren / Eingeschränkte Risiko-KI-Systeme können auf dem EU-Markt mit menschlicher Aufsicht und Monitoring-Aktivitäten eingesetzt werden.
4. Minimale Risiken:
Das KI-Gesetz definiert diese Kategorie nicht. Sie umfasst KI-Systeme, die nicht in anderen Kategorien enthalten sind, wie KI-gestützte Videospiele oder Spamfilter.
Beispiel: KI-gestützte Videospiele und Spamfilter.
Unreguliert auf dem EU-Markt / Minimale Risiko-KI-Systeme können auf dem EU-Markt eingesetzt werden.
Verständnis des NIST AI Risk Management Framework (RMF) & ISO/IEC 42001
- Entwickelt, um einen strukturierten Ansatz zur Verwaltung der Risiken im Zusammenhang mit KI-Technologien bereitzustellen.
- Gewährleistet verantwortungsvolle, ethische, vertrauenswürdige Entwicklung, Bereitstellung und Nutzung von KI-Systemen.
Was ist ISO/IEC 42001:2023?
- ISO/IEC 42001 ist ein internationaler Standard, der Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines Künstlichen Intelligenz-Managementsystems (AIMS) innerhalb von Organisationen festlegt.
- Entwickelt für Organisationen, die KI-basierte Produkte oder Dienstleistungen bereitstellen oder nutzen, um eine verantwortungsvolle Entwicklung und Nutzung von KI-Systemen zu gewährleisten.
- Gilt für Organisationen jeder Größe, die an der Entwicklung, Bereitstellung oder Nutzung von KI-basierten Produkten oder Dienstleistungen beteiligt sind. Er ist in allen Branchen anwendbar und relevant für öffentliche Einrichtungen sowie Unternehmen oder gemeinnützige Organisationen.
- Entwickelt, um in verschiedenen KI-Anwendungen und -Kontexten anwendbar zu sein.
