Risk Management bei KI EU AI Act als Wegweiser für sichere KI-Systeme

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

Der EU AI Act definiert Anforderungen für die Sicherheit von KI-Systemen je nach Risikoklasse. Mark Thirlwell, Managing Director bei der British Standards Institution (BSI), beleuchtet, welche konkreten Maßnahmen Unternehmen ergreifen müssen, um die Vorgaben zu erfüllen. Zudem zeigt er die Herausforderungen bei der Umsetzung auf und erläutert, wie der AI Act als Chance für sichere Innovationen genutzt werden kann.

Nach dem „International AI Maturity Model“ der British Standards Institution (BSI) ist Deutschland in Europa Vorreiter bei Künstlicher Intelligenz. Die Analyse, die im Rahmen des BSI-Berichts „Trust in AI“ veröffentlicht wurde, zeigt, dass Deutschland optimistisch sein kann: 91 Prozent der Führungskräfte sind zuversichtlich, dass ihr Unternehmen die Vorteile von KI nutzen kann. Die Hälfte der Unternehmen plant in diesem Jahr zudem höhere Investitionen in KI. Ganze 99 Prozent der Befragten stimmen zu, dass eine KI-Regulierung oder internationale Richtlinien für die sichere, ethische und verantwortungsvolle Entwicklung von KI in ihrer Branche wichtig sind. Dies ist angesichts der Veröffentlichung des EU AI Acts im Amtsblatt der EU (OJEU) besonders von Bedeutung. Was müssen deutsche Unternehmen nun wissen, um sich auf den AI Act vorzubereiten?

Die Spielregeln

Es ist der weltweit erste rechtliche Rahmen für KI und ein bedeutender Meilenstein für die EU. Mit der Regulierung von KI soll ein Rahmen geschaffen werden, der den Schutz der Rechte und Werte des Einzelnen gewährleistet und gleichzeitig Innovation fördert. Durch die Festlegung klarer Leitlinien und Standards soll dieser Ansatz die Verantwortlichkeit stärken und die Risiken minimieren, um für alle ein sichereres Umfeld zu schaffen.

Der Regulierungsansatz der EU zeichnet sich dadurch aus, dass er sich auf den Schutz der Menschenrechte bzw. Grundrechte konzentriert. Diese Rechte sind in der EU-Grundrechtecharta und anderen verbindlichen Rechtsvorschriften wie der Datenschutz-Grundverordnung (DSGVO) verankert. Da die Technologie zu einem immer zentraleren Bestandteil der Gesellschaft wird, legt die EU großen Wert auf Vertrauen in KI. Verbraucher müssen sich darauf verlassen können, dass die Produkte und Dienstleistungen sicher, vertrauenswürdig und ethisch vertretbar sind. Dafür legen rechtliche Vorschriften die grundlegenden „Spielregeln“ fest und geben den Verbrauchern die Gewissheit, dass Produkte oder Dienstleistungen aus unbekannten Quellen diese Regeln einhalten.

KI-Systeme haben unterschiedliche Risiken

Es ist wichtig zu verstehen, dass nicht alle KI-Technologien, die im Rahmen des AI Acts als „KI-System“ definiert werden, denselben Verpflichtungen unterliegen. Dennoch sollten wir das Risiko berücksichtigen, das sie für die Gesundheit, Sicherheit und die Grundrechte des Einzelnen darstellen.

Die EU ist der Ansicht, dass ein risikobasierter Ansatz wichtig ist, um sicherzustellen, dass die regulatorischen Eingriffe verhältnismäßig sind. Zu diesem Zweck wird im AI Act zwischen mehreren KI-Kategorien unterschieden: (i) inakzeptables Risiko, (ii) hohes Risiko, (iii) begrenztes Risiko und (iv) geringes oder minimales Risiko. Die Kommission, die das Gesetz vorgeschlagen hat, beurteilt den Grad des Risikos nach der Wahrscheinlichkeit, dass das System die Gesundheit und Sicherheit bestimmter Personen beeinträchtigen und/oder deren Grundrechte verletzen könnte.

Überlegungen für Unternehmen

Beim AI Act handelt es sich um eine horizontale Rechtsvorschrift, die in verschiedenen Sektoren angewendet werden kann. Zum Beispiel in der Medizinproduktindustrie. Hier können die Anforderungen des AI Act an die Anforderungen der Medizinprodukteverordnung (MDR) angehängt werden, damit alle Elemente der bestehenden Gesetze sicher in die Produktion integriert werden. Jedes Unternehmen, das sein Medizinprodukt in Europa auf den Markt bringen möchte, muss bis zum Ende der Übergangsfrist, die für 2027 vorgesehen ist, die Anforderungen des AI Act erfüllen.

Mit dem AI Act werden auch Sektoren unter die Lupe genommen, die bisher keiner Regulierung unterlagen. Je nach Risikograd sieht das Gesetz unterschiedliche Verpflichtungen für KI-Anbieter und -Entwickler vor. Um dem Gesetz gerecht zu werden, müssen Unternehmen Folgendes berücksichtigen:

• 1. Die Verwendung eines KI-Managementsystems (AIMS), das eine Compliance-Strategie, Prozesse für Entwurf, Entwicklung, Datenverwaltung, Prüfung und Validierung von KI-Systemen, Risikomanagement, Monitoring und Reporting umfassen sollte.

• 2. Die technische Dokumentation muss ständig auf dem neuesten Stand gehalten werden. Unterliegt das KI-System den Dokumentationsverpflichtungen anderer EU-Rechtsvorschriften, können die Aspekte des AI Acts als dessen Teil behandelt werden.

• 3. Transparenz: Die Anbieter und Betreiber einiger KI-Systeme müssen Transparenzverpflichtungen erfüllen.

• 4. „Regulatorische Sandkästen“: Sogenannte „regulatorische Sandkästen“ werden von den zuständigen Behörden der Mitgliedstaaten eingerichtet. „Regulatorische Sandkästen“ sind kontrollierte Umgebungen, die die Entwicklung, Schulung, Prüfung und Validierung von KI-Systemen erleichtern. KI-Systeme können „regulatorische Sandkästen“ nutzen, bevor sie auf den Markt gebracht oder in Betrieb genommen werden.

• 5. Allgemein einsetzbare KI-Modelle (GPAI): Die wichtigste Aufsichtsbehörde für GPAIs ist das KI-Büro. Das Gesetz enthält Verpflichtungen für GPAI-Anbieter. Es gibt verschiedene Verpflichtungen für GPAI-Modelle mit systemischen Risiken, einschließlich der Bewertung der Modellleistung, der Maßnahmen zur Minderung systemischer Risiken und Cybersicherheit.

Innovation durch Regulierung

Der EU AI Act soll eindeutig, präskriptiv und flexibel sein. Unter anderem legt er je nach Risikoniveau Verpflichtungen für Anbieter und Betreiber fest und sorgt dafür, dass generative KI-Tools wie ChatGPT die Transparenzregeln sowie die oben erwähnten GPAI-Regeln einhalten.

Ziel dieser Regulierung ist es nicht, Innovationen nicht im Keim zu ersticken – im Gegenteil. Durch Klarheit und das damit verbundene Vertrauen soll die Entwicklung von KI gefördert sowie die öffentliche Akzeptanz erhöht werden, um die Nachfrage nach KI-gestützter Technologie zu steigern.

Unternehmen, für die KI eine zentrale Rolle spielt, können sich durch sorgfältige Planung der rechtlichen Anforderungen absichern, jedoch nicht nur, um diese schlicht zu erfüllen, sondern um KI sicher, vertrauenswürdig und ethisch vertretbar einzusetzen.

KI verändert das Leben und die Gesellschaft, aber ihr Einsatz ist nicht ohne Risiken. Das EU-Gesetz macht deutlich, dass weder eine Person noch eine Gruppe allein diese neuen Herausforderungen bewältigen kann. Um den Einsatz dieser Systeme effektiv zu kontrollieren, bedarf es gemeinsamer Bemühungen von Anbietern, Anwendern, der Kommission, den Mitgliedstaaten und allen anderen Akteuren.

Bei der Erweiterung des KI-Horizonts – in der Medizintechnik und darüber hinaus – ist es von entscheidender Bedeutung, dass wir Innovation und Fortschritt mit einem sicheren und ethischen Einsatz verknüpfen. Hier können Regulierungen eine entscheidende Rolle spielen.

Über den Autor: Mark Thirlwell ist Managing Director bei der British Standards Institution (BSI).

(ID:50207620)