AI Act: Ein Regelwerk für viele Risiken und Rollen, Interview mit Alexander Hönsch Carpio, EQS Group

Business Circle: Sehr geehrter Herr Hönsch, gehen wir gleich in medias res: Was wäre aus Ihrer Sicht ein realistischer erster Schritt für ein Industrieunternehmen, das den AI Act ernst nehmen will, aber weder eine große Rechtsabteilung noch ein eigenes KI-Governance-Team hat?

Alexander Hönsch Carpio: Zunächst muss die Zuständigkeit festgestellt werden. Wer im Unternehmen soll die KI- Governance verantworten? Das könnte z. B. der Datenschutzbeauftragte, Compliance- Beauftragte oder die IT sein. Weiterhin ist die KI-Verordnung eine risikobasierte Regulierung. D. h. es kommt nicht auf die Branche oder auf das KI-System an sich an, sondern zu welchem Zweck ich ein System konkret einsetze. Folglich wäre der nächste Schritt eine Bestandsaufnahme (u. a. um "Schatten-KI" zu vermeiden): welche Tools zu welchem Zweck eingesetzt werden. Also ein KI-Inventar erstellen, um im Anschluss die einzelnen Use Cases nach Risiko zu klassifizieren.

BC: Nachdem die vorige Frage sich eher auf KMU bezieht, jetzt eine für große Konzerne: Bevor ein Unternehmen Risiken steuern kann, muss es wissen, welche KI-Systeme es überhaupt verwendet und wie diese einzustufen sind. Wie gelingt eine vollständige Bestandsaufnahme gerade in großen Industrieunternehmen mit vielen Standorten, Fachbereichen und unterschiedlichen IT-Systemen?

Hönsch Carpio: Ein gangbarer Weg wäre eine interne Umfrage zu starten. Diese kann anonym erfolgen und verpflichtend sein, entweder via E-Mail oder über ein Umfragetool. Sehr gut aufgestellte Organisationen haben im Zweifel ein Monitoring über die Software, die auf den verschiedenen Endgeräten läuft. Diese könnte auch dazu dienen, Schnittstellen zu KI-Anwendungen zu erkennen und in das Inventar aufzunehmen. In einigen Fällen bietet es sich an, eine Schulung über den EU AI Act intern durchzuführen, um zunächst für das Thema zu sensibilisieren, bevor die Umfrage startet.

Das Inventar endet jedoch nicht mit der ersten Umfrage, denn neue Tools und Use Cases kommen laufend dazu. Es braucht deshalb Prozesse, Verantwortliche und regelmäßige Kontrollen bzw. erneute Überprüfungen. Wer bereits ein Verarbeitungsverzeichnis führt, lehnt das erforderliche Inventar für KI-Systeme idealerweise daran an.

BC: Gerade in der Industrie kann KI in unterschiedlichen Bereichen eingesetzt werden: von der vorausschauenden Wartung über Qualitätskontrollen bis zur Personalplanung. Ist es da möglich, ein einheitliches, effizientes Regelwerk aufzustellen?

Hönsch Carpio: Die KI-Verordnung setzt klare Anforderungen an die verschiedenen Akteure der Wertschöpfungskette: je nach Rolle muss man verschiedene Pflichten erfüllen. Wichtig ist demnach nicht nur die Zwecke der Nutzung und deren Risiko zu identifizieren, sondern auch die Rolle festzustellen. Sobald man diese drei Informationen gesammelt hat, ergeben sich klare Pflichten, die systematisch in der Verordnung beschrieben sind. Intern bedeutet das: ein Verfahren für alle Bereiche, dass pro Use Case Zweck, die oben genannten Angaben erfasst. Ein Regelwerk, unterschiedliche Pflichten.  

BC: Datenschutzbeauftragte und Compliance-Abteilungen gibt es nun schon seit einiger Zeit. Braucht es auch eine neue Funktion wie einen AI Officer?

Hönsch Carpio:Das kommt darauf an. In vielen Fällen bringen die genannten Abteilungen schon das „Know-how“ mit. Es gibt aber Grenzen: sobald der Umfang bzw. die Anzahl der KI-Systeme nicht mehr zu bewältigen ist und/oder das KI-System technisch zu komplex ist, sollte man sich überlegen, diese neue Position zu besetzen.

Die Rolle von KI-Governance

BC: Der „Human in the Loop“ ist ein wichtiges Prinzip der KI-Regulierung. Wie verhindert man, dass Mitarbeiter nach dem Prinzip „Computer sagt ja“ Entscheidungen eines KI-Systems lediglich bestätigen, weil sie dessen Ergebnisse weder ausreichend verstehen noch die Zeit haben, sie kritisch zu prüfen?

Hönsch Carpio: Die menschliche Aufsicht soll sicherstellen, dass eine Person Hochrisiko-KI wirksam kontrollieren und Risiken begrenzen kann. Dafür braucht sie ausreichende Kompetenz, Ausbildung und tatsächliche Entscheidungsbefugnis, sodass diese Aufgabe ausschließlich der verantwortlichen Person für KI-Governance im Unternehmen obliegt.

BC: Abschließend: Wenn Sie auf Ihre bisherige Erfahrung mit dem AI Act blicken: Was müsste sich in der Zusammenarbeit von Gesetzgebern, Aufsichtsbehörden und Unternehmen ändern, damit Regulierung in der Praxis besser funktioniert?

Hönsch Carpio:Ob sich die Zusammenarbeit ändern muss, bleibt abzuwarten, da die KI-Verordnung noch nicht in ihrer Gesamtheit in Kraft getreten ist. Jedoch kann man aus vorherigen EU-Gesetzgebungen einige Lehren ziehen: Frühzeitig die Verordnung beachten und operative Prozesse anpassen, Leitfäden und Whitepaper der EU-Kommission und andere Stellen nutzen sowie die Mitarbeitende entsprechend schulen. Aus der DSGVO kennen wir die Rechenschaftspflicht: Entscheidungen müssen dokumentiert werden. Das gilt auch für KI. Wer Inventar, Rollen und Risikoeinstufung von Anfang an dokumentiert, ist auf einem guten Weg, eine Governance nach der Verordnung gewährleisten zu können.

BC: Vielen dank für diese detaillierten Praxiseinsichten. Wir freuen uns schon auf den Auftritt von EQS auf der PriSec und der "Compliance now!".

Weiterführender Link: EQS Privacy Cockpit

‍