Welche Ansätze werden verwendet, um eine größere Konsistenz und Interoperabilität im KI-Risikomanagement zu fördern?
Mit zunehmender Reife der KI-Governance entstehen zahlreiche Risikomanagement-Frameworks und -Standards. Um Fragmentierung zu verhindern und eine effektive Umsetzung von vertrauenswürdiger KI sicherzustellen, wird ein Vorstoß für mehr Konsistenz und Interoperabilität unternommen. Dies beinhaltet die Zusammenarbeit zwischen staatlichen und nichtstaatlichen Akteuren, sowohl im Inland als auch international, mit Schwerpunkt auf KI-Risikomanagement, Design (z. B. „Vertrauenswürdigkeit durch Design“) und Folgenabschätzungen.
Wichtige Ansätze zur Interoperabilität:
- Framework-Mapping: Der Vergleich und die Abbildung verschiedener KI-Risikomanagement-Frameworks ist ein grundlegender Schritt. Ziel ist es, Bereiche funktionaler Äquivalenz und Divergenz zwischen diesen Frameworks zu identifizieren.
- Gemeinsame Risikomanagement-Schritte: Die meisten Frameworks stimmen mit vier übergeordneten Schritten überein: „DEFINIEREN“ (Umfang, Kontext und Kriterien), „BEWERTEN“ (Risiken auf individueller, aggregierter und gesellschaftlicher Ebene), „BEHANDELN“ (Risiken zur Minderung negativer Auswirkungen) und „VERWALTEN“ (Risikomanagementprozesse). Diese Schritte bilden eine gemeinsame Struktur für die Interoperabilität.
- Umgang mit Governance-Unterschieden: Frameworks unterscheiden sich oft darin, wie sie die Funktion „VERWALTEN“ handhaben. Einige beinhalten explizit Governance-Aktivitäten, während andere sie über den gesamten Risikomanagementprozess verteilen oder ganz weglassen. Die Harmonisierung der Governance-Ansätze ist entscheidend.
- Konzeptionelle und terminologische Angleichung: Die Analyse von Schlüsselkonzepten und Terminologie in verschiedenen Initiativen ist unerlässlich. Die Identifizierung von Bereichen mit Konsens und inkompatiblen Komponenten kann dazu beitragen, Debatten über Konzepte wie Transparenz, Erklärbarkeit und Interpretierbarkeit zu klären.
- Due-Diligence-Frameworks: Die Nutzung bestehender Due-Diligence-Frameworks, wie z. B. der OECD-Leitsätze für die Erfüllung der Sorgfaltspflicht zur Förderung verantwortungsvollen unternehmerischen Handelns (OECD DDG), zur Entwicklung bewährter Praktiken für verantwortungsvolle KI ist ein vielversprechender Weg.
- Angleichung der Zertifizierungssysteme: Die Erforschung und Analyse der Angleichung von KI-Zertifizierungssystemen an die OECD-Leitsätze für verantwortungsvolles unternehmerisches Handeln (RBC) und KI-Standards kann die Qualität, Vergleichbarkeit und Interoperabilität dieser Systeme verbessern.
- Interaktive Tools: Die Entwicklung von Online-Tools, die es Organisationen und Stakeholdern ermöglichen, Frameworks zu vergleichen und durch bestehende Methoden, Tools und bewährte Praktiken für das KI-Risikomanagement zu navigieren, kann die Interoperabilität erleichtern.
Obwohl die allgemeinen Ansätze übereinstimmen, bestehen vor allem bei der Funktion „VERWALTEN“ Unterschiede auf hoher Ebene. Auch der Umfang der einzelnen Frameworks führt zu Inkonsistenzen. Zum Beispiel berücksichtigt die OECD DDG Risiken im Zusammenhang mit Geschäftsbeziehungen umfassender, während sich ISO 31000, NIST AI RMF, HUDERIA, EU AIA, AIDA und IEEE 7000-21 auf eher produktzentrierte oder wertgetriebene Ansätze für das Management von KI-Risiken konzentrieren. Die Bewältigung dieser Unterschiede wird der Schlüssel zur Förderung eines konsistenten und interoperablen KI-Risikomanagements sein.
Welche Hauptunterschiede lassen sich zwischen verschiedenen AI-Risikomanagement-Frameworks beobachten?
AI-Risikomanagement-Frameworks nähern sich einem Kernbestand an Prinzipien an, aber es bestehen weiterhin erhebliche Unterschiede in ihrem Ansatz. Diese Diskrepanzen drehen sich hauptsächlich um die Funktion „GOVERN“, die Elemente wie Überwachung, Kommunikation, Dokumentation, Beratung und die Verankerung von Risikomanagementpraktiken umfasst.
Während die meisten Frameworks versuchen, AI-Risiken zu „DEFINIEREN“, „BEWERTEN“ und „BEHANDELN“, gehen die Methoden zur Steuerung dieser Prozesse erheblich auseinander.
Governance-Ansätze: Unterschiedliche Schwerpunkte
Einige Frameworks integrieren diese Governance-Aktivitäten explizit unter einer eigenen „GOVERN“-Funktion, während andere sie über den gesamten Risikomanagement-Lebenszyklus verteilen oder ganz weglassen.
Zum Beispiel:
- Der EU AI Act (EU AIA) und der Canada AI and Data Act (AIDA) verpflichten Anbieter von risikoreichen AI-Systemen, Risiken zu identifizieren, zu analysieren und zu mindern. Beratung und die Verankerung des Risikomanagements in der Unternehmenskultur fehlen jedoch.
- Der Entwurf des Europarats für eine Risiko- und Folgenabschätzung für Menschenrechte, Demokratie und Rechtsstaatlichkeit (HUDERIA) ist teilweise angepasst, Elemente im Zusammenhang mit GOVERN sind jedoch nicht vorhanden.
- ISO/IEC Guide 51 zielt darauf ab, die Entwicklung von Produktsicherheitsstandards zu unterstützen, und beinhaltet nicht die Verankerung von Risikomanagementrichtlinien und die Beratung von Interessengruppen.
Umfang und Fokus: Eine Frage der Perspektive
Frameworks unterscheiden sich auch in ihrem Umfang, ihrer Zielgruppe und ihrer Risikolandschaft, was zu unterschiedlichen Governance-Ansätzen führt.
- OECD DDG: Ein breiterer Umfang umfasst Risiken im Zusammenhang mit Geschäftsbeziehungen. Sie empfiehlt die Risikominderung beim Verkauf und Vertrieb von Waren.
- ISO 31000: Ein engerer Umfang berücksichtigt Risiken und Auswirkungen auf die Organisation.
- NIST AI RMF: Konzentriert sich auf Schäden für Menschen, Organisationen und Ökosysteme.
- HUDERIA: Behandelt Risiken für Menschenrechte, Demokratie und Rechtsstaatlichkeit.
- EU AIA & AIDA: Verfolgt einen Produktsicherheitsansatz
- IEEE 7000-21: Integriert wertebasierte Überlegungen und die Ansichten von Interessengruppen in das Produkt- oder Dienstleistungsdesign.
- Zielgruppe: Die OECD DDG- und ISO-Standards richten sich an Organisationsveränderungen auf Vorstandsebene. Die anderen bieten Empfehlungen auf Vorstandsebene, die Umsetzung erfolgt jedoch hauptsächlich auf technischer Ebene.
Der EU AIA und AIDA beinhalten auch ein einzigartiges regulatorisches Merkmal, bei dem Regulierungsbehörden definieren, was ein „risikoreiches“ System ausmacht, wodurch die Risikomanagementbemühungen für Unternehmen effektiv priorisiert werden.
Welche zukünftigen Maßnahmen sind zur Verbesserung der AI-Risikomanagementpraktiken geplant?
Mehrere strategische Initiativen sind in Vorbereitung, um das AI-Risikomanagement zu stärken, wobei der Schwerpunkt auf der Förderung von Interoperabilität und praktischer Umsetzung liegt. Hier ist ein Überblick über die wichtigsten Bereiche:
Harmonisierung von AI-Terminologie und -Konzepten
Der nächste unmittelbare Schritt beinhaltet ein tiefes Eintauchen in die Gemeinsamkeiten und Unterschiede in der Sprache und den Konzepten, die in verschiedenen AI-Folgenabschätzungs- und Risikomanagement-Frameworks verwendet werden. Dies wird Folgendes umfassen:
- Identifizierung von Definitionen und Konzepten, die einen breiten Konsens haben.
- Herausfiltern potenziell inkompatibler oder unklarer Bereiche, die die praktische Umsetzung behindern könnten. Zum Beispiel Debatten über die Bedeutung von Transparenz, Erklärbarkeit und Interpretierbarkeit.
- Entwicklung eines gemeinsamen Verständnisses der AI-Wertschöpfungskette, einschließlich der verschiedenen beteiligten Akteure und der verschiedenen Risiken in jeder Phase.
Entwicklung von Good Practices für verantwortungsvolles unternehmerisches Verhalten im Bereich der KI
Ein vielversprechender Ansatz zur Umsetzung des AI-Risikomanagements ist die Nutzung der bestehenden Rahmenbedingungen für verantwortungsvolles unternehmerisches Handeln. Dies würde die Angleichung spezifischer AI-Terminologie und -Frameworks an die Grundsätze der OECD-Leitsätze für multinationale Unternehmen (MNE) und die Due-Diligence-Anleitung (DDG) umfassen. Zu den Ergebnissen könnten Workshops und umsetzbare Richtlinien gehören, die verdeutlichen, wie die Grundsätze der Due-Diligence-Anleitung für verantwortungsvolles unternehmerisches Handeln speziell auf KI angewendet werden könnten.
Angleichung von Zertifizierungssystemen an RBC- und AI-Standards
Um die Qualität, Vergleichbarkeit und Interoperabilität von Zertifizierungsstandards und -initiativen zu verbessern, entwickelt die OECD ein Alignment-Assessment-Verfahren, um die Angleichung von Initiativen an die Empfehlungen der OECD-DDG zu bewerten. Dieser Schritt bereitet den Weg für die Abgabe konkreter Empfehlungen zur Umsetzung und Angleichung von AI-Praktiken an Responsible Business Conduct (RBC)-Praktiken und umgekehrt:
Entwicklung eines interaktiven Online-Tools
Ein interaktives Online-Tool würde erstellt, um Organisationen und Interessengruppen beim Vergleich von Frameworks zu unterstützen. Dieses Tool wird sowohl Vergleichs-Frameworks umfassen, die aus den zuvor genannten Schritten abgeleitet wurden, als auch Benutzern helfen, sich in bestehenden Methoden, Tools und Good Practices zur Identifizierung, Bewertung, Behandlung und Steuerung von AI-Risiken zurechtzufinden. Dies würde mit dem Katalog von Tools und Metriken für vertrauenswürdige KI verknüpft.
Wenn es um die Steuerung von KI-Risiken geht, ist eine wichtige Erkenntnis aus einem aktuellen OECD-Bericht, dass, während verschiedene KI-Risikomanagement-Frameworks im Allgemeinen auf hoher Ebene übereinstimmen – DEFINIEREN, BEWERTEN, BEHANDELN und STEUERN –signifikante Unterschiede in der Art und Weise auftreten, wie sie die „STEUERN“-Funktion angehen. Dies beeinträchtigt die Interoperabilität dieser Frameworks.
Wesentliche Unterschiede in der Steuerung
Hier ist eine Aufschlüsselung der Kernbereiche, in denen die Steuerungsansätze auseinandergehen:
- Explizite vs. Verteilte Steuerung: Einige Frameworks beinhalten explizit Steuerungsaktivitäten unter einer bestimmten „STEUERN“-Funktion, während andere sie über den Risikomanagementprozess verteilen oder weglassen.
- Einbindung von Stakeholdern: Bestimmte Vorschriften, wie der vorgeschlagene EU AI Act (EU AIA) und der Canada AI and Data Act (AIDA), können Konsultationsanforderungen mit internen und externen Stakeholdern vermissen lassen – ein wichtiger Aspekt der „STEUERN“-Funktion gemäß den OECD-Leitlinien zur Interoperabilität.
- Einbettung des Risikomanagements: In ähnlicher Weise wird die Einbettung des Risikomanagements in die Organisationskultur – ein weiteres „STEUERN“-Element – nicht immer explizit in den vorgeschlagenen Gesetzen angesprochen.
Regulatorische Überlegungen
Mehrere wichtige regulatorische Nuancen wirken sich auf die „STEUERN“-Funktion aus:
- EU AI Act und AIDA: Obwohl diese vorgeschlagenen Gesetze die Identifizierung, Analyse und Minderung von Risiken für KI-Systeme mit hohem Risiko erfordern, scheinen sie einige „STEUERN“-Risikomanagementmaßnahmen aus dem Interoperabilitäts-Framework zu vermissen, wie z. B. die Konsultation von Stakeholdern. Artikel 17 des EU AI Act erfordert jedoch ein „Qualitätsmanagementsystem“, um die Einhaltung sicherzustellen, das möglicherweise Risikomanagement und Rechenschaftspflicht beinhaltet.
- HUDERIA: Der Entwurf des Europarats für eine Risikobewertung in Bezug auf Menschenrechte, Demokratie und Rechtsstaatlichkeit (HUDERIA) ist teilweise ausgerichtet, scheint aber Elemente aus dem Interoperabilitäts-Framework in Bezug auf STEUERN zu vermissen, wie z. B. die öffentliche Kommunikation über die Einhaltung von Standards und die Einbeziehung der Führungskräfte in die Einbettung des Risikomanagements im gesamten Unternehmen.
- NIST AI RMF: Obwohl das Dokument die Unterelemente von STEUERN innerhalb seiner Schritte enthält, sind diese in die verschiedenen Frameworks integriert.
Praktische Auswirkungen
Für Fachleute in den Bereichen KI-Steuerung und Compliance haben diese Diskrepanzen in der „STEUERN“-Funktion erhebliche Auswirkungen:
- Komplexität und Kosten: Ein Mangel an Interoperabilität zwischen den Frameworks kann die Implementierung einer vertrauenswürdigen KI verkomplizieren und die damit verbundenen Kosten erhöhen.
- Wirksamkeit und Durchsetzbarkeit: Nicht interoperable Frameworks können die Wirksamkeit und Durchsetzbarkeit von KI-Risikomanagementbemühungen verringern.
- Anpassung ist der Schlüssel: Der Kontext der ISO 31000-Norm empfiehlt, sie an jedes Unternehmen und seine spezifischen Kontexte anzupassen.
Handlungsaufforderung
Um eine effektive KI-Steuerung zu gewährleisten, sollten Rechtstechnologie-Experten, Compliance-Beauftragte und Politikanalysten sich für Folgendes einsetzen:
- Kooperation und Koordination: Förderung der Zusammenarbeit zwischen den Entwicklern von Standards und Frameworks, sowohl im Inland als auch international.
- Klare Metriken: Priorisierung klarer Metriken und Definitionen, um eine konsistente Risikomanagement-Implementierung über verschiedene Anwendungsfälle hinweg zu gewährleisten.
- Angleichung an breitere Geschäftspraktiken: Verknüpfung der KI-Steuerung mit Frameworks für verantwortungsvolles Geschäftsverhalten wie der OECD Due Diligence Guidance.
Für die Zukunft sollte der Schwerpunkt auf der Harmonisierung der KI-Steuerungsansätze und der Gewährleistung der Interoperabilität für ein praktisches und durchsetzbares KI-Risikomanagement liegen.
