KI-Compliance - auf der sicheren Seite

Die europäische KI-Verordnung (AI Act) ist die zentrale Gesetzgebung, gegen deren Anforderungen ihr euren konkreten KI-Anwendungsfall (AI Use Cases) prüfen müsst. Zu diesem Zweck haben wir ein (toolgestütztes) KI-VO-Bewertungsschema (AI Act Assessment) entwickelt, mit dessen Hilfe wir Punkt für Punkt abfragen, welche konkreten Rechte und Pflichten sich für euch aus der Verordnung ableiten lassen und welcher der vierstufigen Risikokategorien der Anwendungsfall unterliegt. Auf diese Weise wird ermittelt, ob euer Unternehmen im Sinne der Verordnung als "Anbieter" oder "Betreiber" einzustufen ist.

In die Zusammenarbeit bringen wir unsere fachliche KI-Expertise zur Auslegung und Intension der KI-VO ebenso mit ein wie vertieftes Wissen zu Datenschutz und Informationssicherheit im Umgang mit KI.

Je nach inhaltlichem Schwerpunkt der organisatorischen wie technischen Ausrichtung eurer KI-Compliance, aber auch für die -Strategie und die -Governance beschreiben Standards und Leitfäden konkrete Maßnahmen zu deren Ausgestaltung. Die Anwendung der Standards und Leitfäden schafft eine solide Grundlage für einen ethisch-vertretbaren, sicheren und rechtskonformen Umgang mit KI.

Unsere Experten helfen euch, sich bei Bedarf an diesen Standards und Leitfäden für den jeweils von euch verfolgten Zweck zu orientieren und die im Zusammenhang stehenden Empfehlungen und Maßnahmen umzusetzen.

Die Zertifizierung von Künstlicher Intelligenz wäre eine Möglichkeit, den Einsatz von KI-Systemen zu fördern. Eine solche Zertifizierung könnte dazu beitragen, das gesellschaftliche Nutzenpotenzial vieler KI-Systeme sicher und zum Wohle der Allgemeinheit zu nutzen. Zudem erhöht eine Zertifizierung die Vergleichbarkeit von KI-Systemen, so dass ein fairer und transparenter Wettbewerb entsteht.

Es gibt derzeit noch keine Zertifizierung für Künstliche Intelligenz (Stand Juli 2024). Es ist jedoch geplant, den Kriterienkatalog AIC4 des Bundesamts für Sicherheit in der Informationstechnik (BSI) mittelfristig in einer Zertifizierung zu überführen, um die Aussagekraft, die Qualität und die Vergleichbarkeit von Prüfungen weiter zu erhöhen.

Wir begleiten euch auf eurem Weg in die Zertifizierung und unterstützen euch bei der Erfüllung der Compliance-Voraussetzungen.

Für beaufsichtigte Unternehmen wie beispielsweise dem Finanzmarkt oder dem Gesundheitswesen ist perspektivisch eine jeweils branchenspezifische KI-Regulierung zu erwarten. Schon heute hat etwa die deutsche Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) in Prinzipienpapieren und anderen Publikationen ihre Perspektive auf die Verwendung von Algorithmen, großer Datenmengen ("big data") und maschinellem Lernen postuliert. Zudem stellen die Mindestanforderungen an das Risikomanagement (MaRisk) seit der siebten Novelle konkrete Vorgaben zum Umgang mit KI-Modellen. Zudem hat die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) ein öffentliches Statement zum Einsatz von KI abgegeben.
Wir helfen euch bei der Auslegung und Anwendung, beispielsweise im Kontext der Ausgestaltung von KI-Strategie, -Governance und -Risikomanagement.

Die KI-Compliance soll sicherstellen, dass KI den geltenden Datenschutzgesetzen und -richtlinien entspricht, indem sie den Schutz personenbezogener Daten und die Einhaltung von Sicherheitsstandards gewährleistet.

Wir evaluieren mit euch Mechanismen zur Datenanonymisierung, -verschlüsselung und -zugriffssteuerung, um die Integrität und Vertraulichkeit der Daten zu überwachen und zu wahren. Außerdem unterstützen wir bei Audits und Risikobewertungen, um potenzielle Datenschutzverletzungen frühzeitig zu erkennen und zu verhindern.

Belastbarkeit, Qualität und Vertrauen der erzeugten Entscheidungen und Ergebnisse hängen entscheidend davon ab, auf welche Datenhaushalte das KI-Modell zugreifen darf. Neben den unternehmensinternen kommen auch öffentliche Datenquellen in Betracht. Dabei stehen, datenschutz-, haftungs- und urheberrechtliche Aspekte im Vordergrund.

Wir unterstützen euch bei der Konzeption und Konfiguration der Modelle und entwickeln mit euch Vorgaben für ein regelkonformes Prompting. Dabei gilt es auch zu berücksichtigen, inwiefern vertriebliche "Versprechen" des Anbieters sich auch in seinen Vertragsbestimmungen ("product and legal Terms") wiederfinden. Wenn personenbezogene Daten zur Disposition stehen, kann die Durchführung einer Datenschutzfolge-Abschätzung (DSFA) erforderlich sein, bei der wir euch ebenfalls begleiten.

Im Kontext der KI-Compliance sollten KI-Benutzerrichtlinien (AI User Guidelines) herausgeben werden, um sicherzustellen, dass die Implementierung und Nutzung von KI im Unternehmen transparent, ethisch und rechtlich korrekt erfolgt.

Wir helfen bei der Ausarbeitung dieser Richtlinien, um Missbrauch zu verhindern, Risiken zu minimieren und das Vertrauen der Nutzer in die KI-Technologien zu stärken.

Ob und inwieweit euer Unternehmen die Auflagen im Umgang mit KI erfüllt, kann Gegenstand einer extern bzw. intern veranlassten Prüfung werden. Neben den spezialgesetzlichen Vorgaben aus der KI-Verordnung (AI Act) kommen dabei auch selbst auferlegte Richtlinien u. ä. in Betracht, deren Umsetzung die zuständigen Aufsichtsbehörden, die internen Revision oder der Abschlussprüfer bewerten könnte.

Wir unterstützen euch in der Vor- und Nachbereitung, stehen aber auch während der laufenden Prüfung selbst an eurer Seite (AI Audit Support). Dabei verfolgen wir einen risikoorientierten Ansatz, der insbesondere auf die Ordnungsmäßigkeit von Entwicklung, Betrieb und Nutzung der KI-Systeme und -Modelle fokussiert.