Freitag, der 8. Dezember 2023, markierte einen entscheidenden Meilenstein für vertrauenswürdige KI in der Europäischen Union. Mit dem Abschluss der Trilog-Verhandlungen zum EU AI Act (EUAIA) wurden zahlreiche offene Fragen geklärt und die Anwendung für die gesamte EU bestätigt. Nach dieser wegweisenden Einigung von Europäischer Kommission, Rat und Parlament stellen sich viele Unternehmen die Frage: „Was bedeutet das für mich?“

‍

Calvin freut sich daher, seinen Schritt-für-Schritt-Leitfaden zur Vorbereitung Ihres Unternehmens auf den EUAIA im Jahr 2024 zu veröffentlichen!

‍

Schritt 1: Erstellung eines KI-Inventars

Für den Erfolg unter dem EUAIA müssen Unternehmen einen strukturierten Prozess zur Erfassung aller KI-Modelle und Anwendungsfälle initiieren. Dies umfasst die Katalogisierung sämtlicher KI-Systeme, die Dokumentation ihrer Funktionalitäten, die Organisation der Trainingsdaten, die Zuweisung von Verantwortlichkeiten sowie die Erstellung relevanter Unterlagen für jeden Punkt. Dies lässt sich mit Tools wie der Calvin-Software umsetzen, die Ihre Erstellung des KI-Portfoliosoptimieren kann.

‍

‍

Schritt 2: Expertenbewertung des KI-Risikolevels (EUAIA-Kategorisierung)

Der EUAIA verfolgt einen risikobasierten Ansatz und unterteilt Verpflichtungen sowie Berichtsanforderungen in die folgenden Risikokategorien, denen jeder Anwendungsfall zugeordnet werden muss:

‍

Unannehmbares Risiko

KI-Systeme, deren Nutzung als inakzeptabel gilt, da sie gegen die Werte der Union und Grundrechte verstoßen. Diese Verbote betreffen Praktiken mit erheblichem Potenzial, Personen durch unterschwellige Techniken zu manipulieren, die deren Bewusstsein umgehen. Zudem adressieren sie die Ausnutzung von Schwachstellen bestimmter Gruppen, wie etwa Kinder oder Menschen mit Behinderungen, mit dem Ziel, deren Verhalten wesentlich zu beeinflussen und ihnen oder anderen potenziell psychischen oder physischen Schaden zuzufügen.

‍

Hohes Risiko

Hierbei handelt es sich um Systeme, die erhebliche Auswirkungen auf menschliche Aktivitäten haben, sowohl im privaten als auch im öffentlichen Bereich. Die jüngsten Trilog-Diskussionen haben den Bereich Finanz- und Versicherungswesen Verpflichtung des Sektors, unter anderem eine obligatorische Bewertung der Auswirkungen ihrer Anwendungsfälle auf die Grundrechte durchzuführen. Modelle, die finanzielle Aspekte im Leben von Einzelpersonen beeinflussen, wie etwa Kredit-Scoring- oder Versicherungsalgorithmen, werden unter der neuen Verordnung wahrscheinlich als Hochrisiko-Systeme eingestuft.

‍

Daher sind die Anforderungen für Hochrisiko-KI in drei Kategorien unterteilt: Allgemeine Anforderungen (für alle geltend), Anbieteranforderungen sowie Anforderungen für Betreiber/Importeure (abhängig vom Nutzertyp).

‍

Allgemeine Anforderungen umfassen Folgendes:

‍

- Angemessene Risikomanagement- und Qualitätsmanagementsysteme für KI

- Effektive Daten-Governance bzw. Qualität der Datensätze, mit denen das System gespeist wird, um Risiken und diskriminierende Ergebnisse zu minimieren

- Protokollierung der Aktivitäten zur Gewährleistung der Rückverfolgbarkeit von Ergebnissen

- Detaillierte Dokumentation, die alle notwendigen Informationen über das System und seinen Zweck bereitstellt, damit Behörden die Einhaltung der Vorschriften bewerten können

- Klare und angemessene Informationen für den Nutzer

- Geeignete Maßnahmen zur menschlichen Aufsicht, um Risiken zu minimieren

- Einhaltung der EUAIA-Standards für Robustheit, Sicherheit und Genauigkeit

- Registrierung von Hochrisiko-KI-Systemen in der EU-Datenbank vor deren Inbetriebnahme

‍

Anbieteranforderungen umfassen die folgenden zusätzlichen Verpflichtungen sowie Pflichten nach dem Inverkehrbringen:

‍

- Eine Konformitätsbewertung zur Prüfung, ob die oben genannten Anforderungen erfüllt wurden

- Aufbewahrung der von relevanten Hochrisikosystemen generierten Protokolle für einen Zeitraum von mindestens 6 Monaten

- Überwachung und Berichterstattung zur Leistung und Sicherheit von KI-Systemen während ihrer gesamten Lebensdauer bei kontinuierlicher aktiver Einhaltung des EU-KI-Gesetzes

‍

Für Anwender/Importeure von KI, die Hochrisikosysteme aktiv in ihren Unternehmen einsetzen, ist zusätzlich Folgendes erforderlich:

‍

- Durchführung relevanter Bewertungen (z. B. Folgenabschätzungen für Grundrechte (FRIA) und Datenschutz-Folgenabschätzungen (und damit Einhaltung der DSGVO))

- Implementierung menschlicher Aufsicht und Sicherstellung, dass die Eingabedaten für die Systemnutzung relevant sind

- Vorfallmanagement, einschließlich Schadensbegrenzung und Meldepflichten

- Sicherstellung, dass alle relevanten Unterlagen nachgewiesen werden und dem EU-KI-Gesetz entsprechen

‍

Minimales Risiko

Die von der EU definierte Restkategorie, für die über die anfängliche Bewertung und die Transparenzpflichten hinaus keine weiteren Verpflichtungen bestehen. Diese KI-Modelle haben einen sehr begrenzten Anwendungsbereich und ein geringes Risikopotenzial mit kaum Auswirkungen auf den Menschen; die EU ermutigt Arbeitgeber, die solche KI einsetzen, jedoch dazu, sich freiwillig zu Verhaltenskodizes zu verpflichten

‍

KI für allgemeine Zwecke

Es ist wichtig zu beachten, dass im Rahmen des jüngsten Trilogs auch die Unterkategorie der General Purpose AI (GPAI) finalisiert wurde: zusätzliche Transparenzanforderungen sind erforderlich für diese Modelle, die insbesondere generative KI Funktionen mit „unendlichen“ Ausgaben umfassen (d. h. sie können von jeder Branche übernommen werden, da ihre Funktion nicht festgelegt ist, wie etwa LLM-Chatbot-Modelle). Derzeit gibt es nur begrenzte Informationen zu den Kriterien für die Einstufung von GPAI-Modellen als Modelle mit hohem Risiko. Die EU hat den anfänglichen quantitativen Schwellenwert für die beim Training verwendete Rechenleistung auf Floating Point Operations per Second (FLOPs) > 10^25 festgelegt. Die EU hat erkannt, dass der FLOPs-Schwellenwert bis zum Inkrafttreten des AIA möglicherweise aktualisiert werden muss, und hat der Kommission die Befugnis dazu erteilt.

‍

Insbesondere für GPAI-Modelle mit hohem Risiko gelten die folgenden zusätzlichen Anforderungen:

‍

- Modellevaluierungen, Bewertungen und Minderung systemischer Risiken

- Durchführung von Adversarial Testing

- Meldung schwerwiegender Vorfälle an die Kommission

- Gewährleistung der Cybersicherheit und Berichterstattung über die Energieeffizienz.

- Schließlich müssen sich GPAIs mit systemischem Risiko bis zur Veröffentlichung harmonisierter EU-Normen möglicherweise auf Verhaltenskodizes stützen, um die Verordnung einzuhalten

‍

‍

Schritt 3: Erstellung eines strategischen Plans zur Bewältigung des individuellen Risikoprofils Ihres Unternehmens und Festigung des KI-Risikomanagements durch Investitionen in KI-Governance

Anschließend sollte ein Unternehmen seinen strategischen Plan in Bezug auf das vorliegende Risikoprofil festlegen; Unternehmen mit einem hohen Anteil an KI mit hohem Risiko sollten in eine Suite für KI-Risikomanagement und Governance investieren – sei es intern oder über externe Drittanbieter (wie Calvin Risk). Dadurch können Modelle kontinuierlich bewertet und für Überprüfungen bereitgestellt werden, um unbeabsichtigte Verstöße zu vermeiden, ähnlich den bisher über 1000 Strafen im Rahmen der DSGVO.

‍

‍

Schritt 4: Vorbereitung auf das EUAIA-Audit

Nach der „aktiven“ Verwaltung des eigenen KI-Portfolios (wie in Schritt 3 erwähnt) kann sich das Unternehmen auf die Vorbereitung der EUAIA-Audits konzentrieren. Dieser Prozess kann sich als recht mühsam erweisen; oft sind mehrere Mitarbeiter sowie ein erheblicher Zeitaufwand für den Prozess (und die Überarbeitungen) mit dem Auditor oder der Prüfstelle erforderlich. Aufgrund der weitgehend manuellen Natur dieses Vorgangs kann eine technologische Optimierung in diesem Schritt von erheblichem wirtschaftlichem Nutzen sein.

‍

Daher bietet Calvin ein KI-Managementsystem (EMS) an, um diesen Prozess voranzutreiben. Es ermöglicht das effiziente Hochladen von Nachweisen für jedes KI-Modellprofil, die Nachverfolgung des Audit-Status sowie die Digitalisierung des gesamten Revisionsprozesses.

‍

‍

Schritt 5: Interne Überprüfung und Auditierung

Nachdem die relevante Dokumentation für jedes Element im KI-Portfolio verwaltet wurde, wird diese an die zuständigen Behörden (einschließlich des neuen Europäischen Büro für Künstliche Intelligenz) sowie an die Prüfstellen der jeweiligen Länder übermittelt. Für Hochrisikosysteme müssen eigenständige KI-Anwendungen in einer EU-Datenbank registriert werden. Zudem muss eine Konformitätserklärung unterzeichnet werden, wodurch die Systeme die CE-Kennzeichnung (Conformité Européenne) erhalten.

‍

Während die Einzelheiten zur Übermittlung voraussichtlich 2024 bekannt gegeben werden, müssen Unternehmen sicherstellen, dass ihre Compliance einen umfassenden Standard für ihr gesamtes Inventar erfüllt; je nach Schweregrad reichen die Kosten bei Nichteinhaltung von 7,5 Millionen Euro oder 1,5 % des Umsatzes bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes (je nachdem, welcher Betrag höher ist, entsprechend der jeweiligen Schwelle).

‍

‍

Schritt 6: Erörterung von Compliance und Risiko zu Projektbeginn unter Bewertung von ROI und VaR

Ein optionaler, aber sehr empfehlenswerter letzter Schritt ist die Bewertung der Effizienz und des quantifizierten Risikos Ihres KI-Portfolios. Dank der regelmäßig aktualisierten ROI- und VaR-Daten für das gesamte Portfolio können Manager die profitabelsten (und am wenigsten profitablen) Modelle bewerten und die Anwendungsfälle basierend auf ihren Risikoprofilen verfeinern.

‍

‍

Dadurch geht Compliance mit der Optimierung Ihres Portfolios einher, wodurch der Prozess zu einer Chance statt zu einem Kostenfaktor wird.

‍

Sind Sie bereit, die Qualität und Compliance Ihrer KI-Systeme anzugehen und der Konkurrenz einen Schritt voraus zu sein? Vereinbaren Sie noch heute einen Demo-Termin mit uns!

‍