KI-Gesetz der EU KI-Governance am Beispiel eines Risikomanagement-Systems

Anbieter zum Thema

Eviden

Mein Videotermin Suite | Voigtmann GmbH

SysEleven GmbH

veenion GmbH

Um die Compliance mit dem KI-Gesetz der EU sicherzustellen, empfiehlt es sich, frühzeitig eine interne KI-Governance zu implementieren. Wie dies unbürokratisch und effizient geschehen kann, zeigt dieser Beitrag anhand eines Risikomanagementsystems.

Die Implementierung des KI-Gesetzes der EU hat begonnen, schrittweise werden gesetzliche Rahmenbedingungen und Anforderungen konkretisiert. Besonders betroffen sind Organisationen, die sogenannte hochriskante Systeme betreiben. Diese umfassen unter anderem Systeme, die automatisiert Profile von Personen erstellen und personenbezogene Daten verarbeiten, um Aspekte wie Arbeitsleistung, Gesundheit oder Vorlieben zu bewerten.

Die Nutzung in Branchen wie kritische Infrastrukturen, Justiz oder auch Bildungswesen führt in mehreren Fällen (Artikel 6) zu einer Klassifizierung als Hochrisikosystem. Verstöße gegen die Verpflichtungen des KI-Gesetzes können zu Strafen von bis zu 15 Millionen Euro oder drei Prozent des globalen Jahresumsatzes von System-Providern führen.

Die KI-Governance als Kerngerüst der Compliance

Betroffene Stellen sollten sich daher bereits heute auf das Inkrafttreten des KI-Gesetzes vorbereiten, um frühzeitig Handlungssicherheit zu schaffen sowie zukünftige Strafzahlungen zu vermeiden. Der wesentliche Aufwand liegt dabei in der Implementierung einer effizienten KI-Governance innerhalb der Organisation.

KI-Strategien der öffentlichen Verwaltungen

Wieso es nicht ohne KI-Governance geht

KI-Governance ist ein System aus Richtlinien, Prozessen und Werkzeugen, das im Kontext des KI-Gesetzes der EU die Compliance mit den gesetzlichen Anforderungen sicherstellt. Sie sorgt beispielsweise für die Übersetzung gesetzlicher Anforderungen in organisationsinternen Richtlinien und deren Einhaltung. Sie definiert z.B. auch, wer die Verantwortung für die Risikobewertung der einzelnen KI-Systeme der Organisation trägt.

Unser Modell für eine Governance orientiert sich am Lebenszyklus von KI-Systemen, folgt den Anforderungen des KI-Gesetzes der EU und berücksichtigt sowohl organisationsintern als auch -extern Rahmenbedingungen. Eine KI-Governance realisiert sich also insbesondere in den betroffenen organisationsinternen Prozessen wie dem Qualitätsmanagement. Für jede Lebensphase eines KI-Systems finden mehrere Aktionen aus verschiedenen Prozessen statt. Vor der Einführungsphase muss z.B. eine Auswertung der Auswirkungen auf Grundrechte erfolgen (Artikel 27).

Fokus: Die Implementierung des KI-Risikomanagementsystems der KI-Governance

Die Autoren zeigen am Beispiel des Risikomanagementsystems (RMS), wie die Skizzierung und Implementierung eines Anteiles der KI-Governance unbürokratisch und effizient erfolgt. Gemäß Artikel 9 des KI-Gesetzes der EU muss für KI-Systeme mit hohem Risiko ein RMS eingerichtet, umgesetzt, dokumentiert und aufrechterhalten werden. Das System soll insb. die folgenden Schritte umfassen:

• Ermittlung und Analyse der bekannten und vernünftigerweise vorhersehbaren Risiken, die das KI-System für die Gesundheit, Sicherheit oder Grundrechte darstellen kann.

• Abschätzung und Bewertung der Risiken, die beim Einsatz des Hochrisiko-KI-Systems entstehen können.

• Verabschiedung geeigneter und gezielter Risikomanagementmaßnahmen, um diese Risiken zu mindern.

Die Skizzierung eines KI-bezogenen RMS erfolgt entlang der folgenden drei Etappen:

• 1. IST-Analyse: Die SOLL-Governance-Struktur soll bestehende Strukturen bei Möglichkeit nutzen und sich optimal in die Organisation integrieren. Hierfür ist eine ganzheitliche IST-Analyse der Standards, Prozesse und Tools unabdingbar. Folgende Aktivitäten werden vorgenommen: Untersuchung der bestehenden RMS, insbesondere im Kontext DevOps.; Benchmarking-Analysen zu KI-RMS auf dem Markt; Sammlung von Best Practices zum Umgang mit KI-bezogenen Risiken; …

• 2. SOLL-Skizze des neuen KI-RMS: Erstellung eines Prozessmodells; Orientierung am NIST-Framework; Verwendung und Anpassung bestehender Strukturen (PM-Büro, IT-Recht-Spezialisten, etc.); Definition von Verantwortlichkeiten entlang der RACI-Matrix; BPMN-Modellierung; …

• 3. Ausgestaltung der Prozessinhalte: Definition von KPIs zur Risikobewertung, z.B. orientiert am KI-Prüfkatalog der Fraunhofer IAIS; Entwicklung von standardisierten technischen Vorgaben für die Entwickler; Aufbau und zentrale Bereitstellung von Templates (z.B. für die Meldung zum zentralen Register der EU); …

Regelwerk für Künstlichen Intelligenz

Europarat verabschiedet KI-Konvention

Nach der Ausgestaltung der Prozesse müssen Maßnahmen zur Schulung, Verankerung und Verbesserung der Prozesse im Sinne eines PDCA-Zyklus vorgenommen werden:

• Kurzfristig: Verfeinerung der Templates; Einführung der Projektleiter in die Prozesse durch das PMO.

• Mittelfristig: Etablierung von Feedback-Kanälen; Durchführung von technischen Schulungen durch Fachexperten.

• Langfristig: Erhebung von KPIs (Process Mining); kontinuierliche Verbesserung des Prozesses; ISO-Zertifizierung des RM-Systems.

Während des gesamten Projektverlaufs ist die Einbindung eines breiten Spektrums an Stakeholdern (auch nicht KI-bezogener) entscheidend: HR, die Rechtsabteilung, Softwareentwickler, etc.

Best Practices bei der Implementierung einer KI-Governance

Folgende vier Prinzipien leiten unseren Ansatz zur Implementierung einer KI-Governance:

1. Integration in die Organisation: Die Governance soll sich nahtlos in die bestehenden Organisationsstrukturen integrieren und das Erreichen der Organisationsziele unterstützen, auch die, die nicht KI-bezogen sind.

2. Schlanke und unbürokratische Strukturen: Obwohl die Governance einen strukturellen Rahmen bietet, soll sie den operativen Alltag nicht behindern. Sie muss mit begrenztem Aufwand funktionieren, bestehende Organisationsformate nutzen und sich problemlos in die täglichen Abläufe integrieren.

3. Verknüpfung von Data- und KI-Governance: Eine enge Verbindung zwischen Data- und KI-Governance ist entscheidend. Wenn die Data Governance verbesserungswürdig ist, sollte das Datenmanagement eine Priorität der KI-Governance werden.

4. Aktualität und Anpassungsfähigkeit: Die Governance muss stets auf dem neuesten Stand bleiben, indem sie ethische, politische und gesetzliche Entwicklungen verfolgt und sich an diese anpasst. Dies schließt die regelmäßige Veröffentlichung von Standards und Templates durch die EU-Kommission wie das EU-Marktmonitoring, vsl. im Q4 2025, mit ein.

Diese Prinzipien stellen sicher, dass die KI-Governance unbürokratisch und effizient ist und dabei stets aktuell bleibt.

Die Implementierung dieser Governance erfolgt unter klar definierten Rahmenbedingungen, die auf der linken Seite der Abbildung dargestellt sind (PMO, Steuerungskreise, etc.). Besonders hervorzuheben ist die Begleitung der Veränderungen durch ein strukturiertes Veränderungsmanagement nach dem ADKAR-Modell, um deren Nachhaltigkeit sicherzustellen.

Dies stellt sicher, dass die Implementierung der KI-Governance strukturiert und nachhaltig erfolgt. Eviden unterstützt Ihre Organisation dabei, die gesetzlichen Anforderungen zu erfüllen und gleichzeitig die strategischen Ziele zu erreichen.

Sicherheit und Innovation

Ein KI-Büro in der EU-Kommission

(ID:50142796)