AI Compliance
Die Verwendung von Künstlicher Intelligenz kann in der heutigen Zeit den entscheidenden Wettbewerbsvorteil für Unternehmen bringen. Dies kann jedoch nur gelingen, wenn die KI-Kompetenz der Mitarbeitenden nicht nur in technischer Hinsicht, sondern auch aus der Compliance-Perspektive gefördert wird. Nur wenn die Organisation gewisse Leitplanken und Hilfestellungen basierend auf den rechtlichen Vorgaben zur Verfügung stellt, können Mitarbeitende KI-Kompetenzen entwickeln.
Die wichtigsten EU-Vorgaben für KI
Die relevantesten Gesetze innerhalb der EU hinsichtlich Künstlicher Intelligenz sind einerseits die Datenschutz-Grundverordnung (DSGVO, engl. GDPR) sowie die nationalen Datenschutzgesetze, die diese europäische Verordnung ergänzen, und die KI-Verordnung (KI-VO, engl. AI Act).
Während die DSGVO allgemeine Vorgaben zum Schutz personenbezogener Daten enthält, bezieht sich der AI Act auf das Inverkehrbringen und Betreiben von KI-Systemen. Weitere Verordnungen, die ebenfalls den Umgang mit Daten innerhalb der EU regeln, sind der Data Act und der Data Governance Act. Diese beiden Verordnungen haben allerdings nicht die Künstliche Intelligenz im Fokus.
Risiken beim Einsatz von KI
Der Vorgaben des AI Acts zielen darauf ab, die Risiken beim Einsatz von Künstlicher Intelligenz zu reduzieren. Allerdings können nicht alle Risiken durch gesetzliche Regelungen minimiert werden, weshalb zu empfehlen ist, über die Vorgaben des AI Acts hinaus auch weitere Risiken zu identifizieren, zu bewerten und Maßnahmen zu definieren. Risiken beim Einsatz von KI sind u.a.:
- Datenschutzverletzungen: Die Verarbeitung von personenbezogenen Daten bedarf immer einer Rechtsgrundlage (z.B. Einwilligung, Vertrag, etc.). Außerdem ist es möglich, dass KI-Systeme personenbezogene Daten sammeln, ohne dass es Anwender:innen bewusst ist.
- Mangel an Transparenz: Meist sind Entscheidungen und Ergebnisse, die durch KI-Systeme getroffen werden, schwierig nachzuvollziehen. Auch die Umsetzung von Betroffenenrechte der DSGVO (z.B. Recht auf Löschung) kann möglicherweise nicht von allen KI-Systemen uneingeschränkt umgesetzt werden.
- Diskriminierung und Bias: Wenn KI-Systeme mit voreingenommenen Daten trainiert werden, können diese Vorurteile und Diskriminierungen verstärken.
- Fehlfunktionen und Fehler: KI-Systeme sind nicht fehlerfrei, sodass Ergebnisse nicht ungeprüft übernommen werden sollten.
- Sicherheitsrisiken: KI-Systeme können sowohl für Cyberangriffe verwendet werden als auch von Cyberangriffen betroffen werden, sodass die Daten- und Infrastruktursicherheit in Gefahr sein kann.
- Ethik und Moral: Insbesondere die Entscheidungsfindung in kritischen Situationen wirft ethische und moralische Fragen auf.
Der AI Act: Ein risikobasierter Ansatz für die Nutzung von KI
Der am 1. August 2024 in Kraft getretene AI Act gilt sowohl für Entwickler und Anbieter von KI-Systemen in der Europäischen Union als auch für Betreiber von KI-Systemen innerhalb der EU. Unter dem Begriff “Betreiber” wird jede natürliche oder juristische Person verstanden, die ein KI-System in eigener Verantwortung verwendet. Ausgenommen davon ist die Verwendung von KI-Systemen im Rahmen einer persönlichen und nicht beruflichen Tätigkeit.
Die Anforderungen und Vorgaben des AI Acts verfolgen einen risikobasierten Ansatz, indem KI-Systeme in vier Risikokategorien eingeordnet werden.
Artikel 5 des AI Acts nennt explizit verbotene Praktiken im KI-Bereich, wie z.B. KI-Systeme, die eine Vulnerabilität oder Schutzbedürftigkeit einer natürlichen Person aufgrund ihres Alters, einer Behinderung oder bestimmten sozialen oder wirtschaftlichen Situation ausnutzt.
Hochrisiko-KI-Systeme werden in Artikel 6 des AI Acts beschrieben sowie in Anhang 3 ausdetailliert. Ein Beispiel für ein Hochrisiko-KI-System, das für viele Organisationen in der Zukunft relevant sein könnte, sind KI-Systeme, die für Entscheidungen bezüglich Bedingungen von Arbeitsverhältnissen, Beförderungen oder Kündigungen verwendet werden. Für diese Art von KI-Systemen schreibt der AI Act besondere Anforderungen vor, um sowohl die Risiken zu überwachen als auch die Dokumentation sowie die menschliche Aufsicht zu gewährleisten.
Die dritte Stufe der KI-Systeme mit besonderen Transparenzverpflichtungen betrifft hauptsächlich die direkte Interaktion von KI-Systemen mit natürlichen Personen (z.B. Chatbots) und die Generierung von Audio-, Bild-, Video- und Textinhalten (Art. 50 AI Act).
Die unterste Stufe der KI-Modelle mit allgemeinem Verwendungszweck stellen ein geringeres Risiko dar, weshalb es für die Betreiber (Nutzer) dieser KI-Modelle keine besonderen Pflichten gibt. Für Anbieter dieser KI-Modelle gibt es jedoch auch hier Pflichten, die in Artikel 51 AI Act aufgeführt sind.
AI Compliance mit EFS Consulting: Ihr Partner für rechtskonforme KI
EFS Consulting stellt eine effiziente und rechtskonforme Verwendung von KI-Systemen in Unternehmen sicher und baut mit Kund:innen gemeinsam eine AI Governance auf. Dabei wird eine organisationsspezifische KI-Strategie definiert, Compliance-Anforderungen abgeleitet sowie Prozesse und Verantwortlichkeiten festgelegt. Darüber hinaus begleitet EFS Consulting bei der Steigerung der Awareness im Unternehmen und betrachtet dabei stets die aktuellen technologischen und gesetzlichen Entwicklungen.
