KI-Richtlinien für Mitarbeitende - Grundlage für verantwortungsvollen und effizienten Einsatz künstlicher Intelligenz

Executive Summary Dieser Deep Dive bietet einen umfassenden Überblick über KI-Richtlinien in Unternehmen, einschließlich ihrer Bedeutung, Kernelemente und Implementierungsstrategien. Er erläutert die Unterschiede zwischen KI-Richtlinien und KI-Governance, diskutiert die Vorteile für Unternehmen und Mitarbeiter und präsentiert zehn Kernelemente für die erfolgreiche Umsetzung von KI-Richtlinien. Ebenso werden verschiedene juristische und organisatorische Formen der Integration von KI-Richtlinien im Unternehmen vorgestellt sowie potenzielle Risiken bei fehlenden Richtlinien aufgezeigt. Was sind KI-Richtlinien und wofür benötige ich sie? KI-Richtlinien vs. KI-Governance: Ähnliche Ziele, unterschiedliche Ansätze Mit den wachsenden Einsatzmöglichkeiten von KI in Unternehmen steigt auch der Bedarf an klaren Regeln und Strukturen für den Umgang mit dieser Technologie. KI-Richtlinien bilden hierfür eine wichtige Grundlage. Sie definieren Standards und Prinzipien für den Einsatz von KI und tragen dazu bei, dass dieser verantwortungsvoll, effizient und im Einklang mit ethischen und rechtlichen Vorgaben erfolgt. Im besten Fall bilden sie hinsichtlich der Nutzung von KI regulatorische Leitplanken sowohl für die Mitarbeiter als auch für die Unternehmensinteressen. In der Praxis unterscheiden sich KI-Richtlinien in einzelnen Unternehmen sowohl hinsichtlich ihrer Inhalte und Regelungsbereiche als auch hinsichtlich ihres Umfangs erheblich. Während einige der Dokumente eine hohe Regelungstiefe aufweisen, kommen andere mit zwei oder drei Seiten und einem eher deklaratorischen Stil aus. Wie eine solche Richtlinie in Ihrem Unternehmen aussieht, hat viel mit der Unternehmenskultur, aber auch mit der Umsetzung zu tun. Denn eine Betriebsvereinbarung ist naturgemäß umformuliert als eine Dienstanweisung oder eine eher philosophische Beschreibung der Unternehmensstrategie. Unterschied zwischen KI-Richtlinien und KI-Governance Um die Bedeutung von KI-Richtlinien zu verstehen, lohnt zunächst ein Blick auf die Unterschiede zwischen KI-Richtlinien und KI-Governance. Beide Konzepte verfolgen ähnliche Ziele, setzen jedoch unterschiedliche Schwerpunkte in der Umsetzung. KI-Richtlinien legen konkrete Regeln und Standards für den Einsatz von KI fest. Sie zielen darauf ab, Transparenz zu schaffen, die rechtskonforme Nutzung der neuen Technologie zu gewährleisten und klare Verantwortlichkeiten zu definieren. KI-Governance hingegen beschreibt den übergeordneten Rahmen zur Steuerung und Kontrolle von KI-Aktivitäten in einem Unternehmen oder einer Organisation. Hier geht es um die konkreten Prozesse, Strukturen und Mechanismen zur praktischen Umsetzung der in den Richtlinien festgelegten Prinzipien. KI-Governance umfasst also die gesamte organisatorische und technische Infrastruktur, die nötig ist, um KI-Systeme gemäß den definierten Richtlinien zu entwickeln, einzusetzen und zu überwachen. KI-Richtlinien und KI-Governance ergänzen sich also in der Praxis. Die Richtlinien bilden die schriftlich fixierte inhaltliche Grundlage, während die Governance-Strukturen für deren Umsetzung und Einhaltung sorgen. Gemeinsam tragen sie dazu bei, dass der Einsatz von KI kontrolliert und verantwortungsvoll im Rahmen der Compliance-Vorgaben erfolgt. Warum benötige ich KI-Richtlinien? Die Bedeutung von KI-Richtlinien für Unternehmen lässt sich anhand mehrerer zentraler Aspekte verdeutlichen: Rechtliche Sicherheit und Compliance sind wichtige Gründe für die Einführung von KI-Richtlinien. Zwar gibt es in einigen Ländern bereits gesetzliche Vorgaben für den Einsatz von KI oder diese befinden sich in der Entwicklung. Dennoch ist die Rechtsunsicherheit nach wie vor groß und dieser Zustand wird von vielen Unternehmen auch als eines der größten Hemmnisse bei der Einführung und Nutzung von generativer KI bezeichnet. Klare interne Richtlinien helfen Unternehmen, diese externen Anforderungen zu erfüllen und rechtliche Risiken zu minimieren. Sie bieten einen Rahmen, der sicherstellt, dass alle KI-bezogenen Aktivitäten im Einklang mit geltendem Recht stehen. Gleichzeitig hilft dieser Rahmen auch den Mitarbeitern, im Rahmen von eindeutigen Vorgaben Sicherheit bei der erlaubten Nutzung zu gewinnen. Mit dem Inkrafttreten des weltweit ersten umfassenden KI-Gesetzes, des EU AI Act (auch KI-Verordnung genannt), ist am 2. August 2024 ein wichtiger Meilenstein in der Regulierung von KI erreicht worden. Dessen Regelungen bieten mit ihren empfindlichen Strafen für Verstöße einen idealen Anlass, KI-Richtlinien als „first line of defence“ im Unternehmen zu etablieren. Hintergrund: EU AI Act und der Bezug zu KI-Richtlinien Der AI Act, auch KI-Verordnung (KIVO) genannt, enthält zwar keine direkten Vorgaben zur Erstellung von unternehmensinternen KI-Richtlinien. Das Gesetzeswerk legt aber Rahmenbedingungen fest, die bei der Entwicklung solcher internen Vereinbarungen berücksichtigt werden sollten. Diese umfassen unter anderem den risikobasierten Ansatz der KIVO, Transparenzpflichten, Anforderungen an die Datenqualität, Dokumentationspflichten, die Notwendigkeit menschlicher Aufsicht oder das Festlegen von Verantwortlichkeiten. Unternehmen sollten diese Aspekte in ihren internen Richtlinien berücksichtigen, um Compliance mit dem AI Act sicherzustellen und eine verantwortungsvolle KI-Nutzung zu fördern. Obwohl nicht explizit vorgeschrieben, empfiehlt es sich zudem, ethische Aspekte der KI-Nutzung in die Richtlinien einzubeziehen. Durch die Integration dieser Elemente können Unternehmen eine solide Grundlage für die Einhaltung des AI Acts schaffen und gleichzeitig eine innovative und gesetzeskonforme KI-Nutzung ermöglichen. Risikoklassen des EU AI Acts Transparenz und Vertrauen sind weitere wichtige Aspekte. Durch die Definition klarer Regeln für den Einsatz von KI schaffen Unternehmen Transparenz – sowohl intern als auch extern. Mitarbeiter erhalten Einblick in die Prozesse und Entscheidungsgrundlagen beim Einsatz von KI-Systemen. Die Veröffentlichung der meist eher nach innen gerichteten KI-Richtlinie im Wortlaut ist nicht notwendig, eine Zusammenfassung der Kernpunkte fürs Intranet sowie eine Pressemitteilung können Vertrauen schaffen. Kunden und Geschäftspartner können nachvollziehen, wie das Unternehmen mit KI umgeht. Diese Offenheit fördert das Vertrauen in die Technologie und das Unternehmen insgesamt. KI-Richtlinien ermöglichen es, ethische Prinzipien für die Entwicklung und Nutzung von KI festzulegen. Sie unterstreichen die soziale Verantwortung des Unternehmens, indem sie etwa Fairness, Nichtdiskriminierung oder den Schutz der Privatsphäre als Grundsätze verankern. Das ist besonders wichtig, da KI-Systeme oft sensible Entscheidungen treffen oder beeinflussen können: Die Familien zweier inzwischen verstorbener ehemaliger Versicherter von UnitedHealth haben Ende 2023 in den USA eine Klage gegen das Gesundheitsunternehmen eingereicht. Sie werfen UnitedHealth vor, wissentlich einen fehlerhaften künstlichen Intelligenz-Algorithmus eingesetzt zu haben, um älteren Patienten die von ihren Ärzten als notwendig erachtete erweiterte Pflege zu verweigern. Die Kläger behaupten, dass UnitedHealth medizinisch notwendige Leistungen unter den Medicare Advantage-Plänen verweigert hat, indem es ein von NaviHealth entwickeltes KI-Modell namens "nH Predict" verwendete, das eine Entscheidungsquote von 90 Prozent zugunsten des Unternehmens aufweist. Das führte dazu, dass ältere Menschen vorzeitig aus Pflegeeinrichtungen entlassen wurden oder ihre Ersparnisse aufbrauchen mussten. UnitedHealth bestreitet die Vorwürfe und behauptet, dass die KI nur als Leitfaden dient und die endgültigen Entscheidungen auf den rechtlichen Kriterien und den Bedingungen des Versicherungsplans basieren.– CBS News Das Verfahren wirft wichtige Fragen zur Ethik und Rechtmäßigkeit des Einsatzes von KI-Systemen im Gesundheitswesen und darüber hinaus auf, insbesondere wenn diese Systeme Entscheidungen treffen, die direkte Auswirkungen auf Patienten oder Kunden haben. Zwar ist die Definition von ethischen Werten im Unternehmenskontext nicht immer einfach (welche Position bezieht Ihr Unternehmen etwa zum Thema Fairness?), dennoch diktieren sie den zukünftigen Umgang mit KI, gerade in der öffentlichen Wahrnehmung. Innovation und Effizienz werden durch KI-Richtlinien im Idealfall ebenfalls gefördert. Ein klar definierter Rahmen für den Einsatz von KI ermöglicht es Mitarbeitern, das Potenzial dieser Technologie optimal und weitgehend angstfrei zu nutzen. Sie wissen, innerhalb welcher Grenzen sie agieren können und wo Spielraum für innovative Lösungen besteht. Dies kann die Entwicklung neuer Anwendungen beschleunigen und die Effizienz von Prozessen steigern. Klare Verantwortlichkeiten sind ein weiterer wichtiger Aspekt von KI-Richtlinien. Sie regeln, wer für die Implementierung, Nutzung und Überwachung von KI-Systemen zuständig ist. Das verhindert Unklarheiten und ermöglicht eine effektive Kontrolle. Gleichzeitig schafft es Ansprechpartner für Fragen oder Probleme im Zusammenhang mit KI-Anwendungen. Notwendig ist – gerade für KMU – in diesem Kontext auch die Frage, wer im Unternehmen für die Vergabe von Lizenzen verantwortlich ist und wie diese vergeben werden. Viele Mitarbeiter sind an der Nutzung von KI interessiert, erhalten jedoch keinen oder nur unzureichenden Zugang zu aktuellen Tools, was zu Frust führt oder dazu, dass sie unkontrolliert ihre eigenen Tools verwenden, etwa das kostenlose ChatGPT. Diese Frage sollte im Rahmen von internen Regelungen beantwortet werden. Grundsätzlich ist es sinnvoll, dass alle Mitarbeiter zumindest ein Grundverständnis der Richtlinien haben. Dies schafft ein gemeinsames Bewusstsein für den verantwortungsvollen Umgang mit KI im Unternehmen. Welche Vorteile bieten sich durch KI-Richtlinien für Ihre Mitarbeitenden? Die Einführung von KI-Richtlinien bringt auch für die Mitarbeitenden selbst zahlreiche Vorteile mit sich: Klarheit und Sicherheit im Arbeitsalltag sind wichtige Aspekte. Durch klar definierte Richtlinien wissen Mitarbeiter, was beim Einsatz von KI erlaubt ist und was nicht. Das schafft Handlungssicherheit und reduziert Unsicherheiten im Umgang mit neuen Technologien. Mitarbeiter können KI-Tools mit gutem Gewissen nutzen, ohne befürchten zu müssen, gegen interne Regeln oder externe Vorschriften zu verstoßen. Klare Regeln helfen daher auch gegen die überraschend weitverbreitete Angst der Mitarbeiter vor Nutzung von KI und Überforderung, oder der sogenannten ℹ️ „KI-Scham“: dass KI verwendet wird, aber nicht darüber gesprochen wird. Das widerspricht diametral den Zielen, die mit der Integration von generativer KI in Arbeitsprozesse einhergehen. Wie wir in unserem Deep Dive zum ℹ️ Prompt Engineering ausführlich dargelegt haben, ist ein wichtiger Teil der erfolgreichen Einführung von KI-Prozessen das gegenseitige Teilen von Prompts und Erfolgen, sowie der Austausch über die Möglichkeiten und die Entstehung solcher KI-Prozesse. KI-Richtlinien schützen zudem die Rechte und Privatsphäre der Mitarbeiter. Sie legen fest, wie mit persönlichen Daten der Mitarbeiter umgegangen wird, die möglicherweise von KI-Systemen verarbeitet werden. Sie definieren Grenzen für die Überwachung oder Leistungsbewertung durch KI und stellen sicher, dass die Privatsphäre der Mitarbeiter gewahrt bleibt. Das schafft Vertrauen in die eingesetzten Technologien und das Unternehmen insgesamt. Schulungs- und Weiterbildungsmaßnahmen sollten die Einführung von KI-Richtlinien begleiten. Das ermöglicht es Mitarbeitern, ihre Fähigkeiten aufzubauen, kontinuierlich zu erweitern und mit der technologischen Entwicklung Schritt zu halten. Die Notwendigkeit von solchen Fortbildungen legt auch die europäische KI-Verordnung fest. Sie enthält in Artikel 4 spezifische Anforderungen hinsichtlich der Fortbildung von Mitarbeitern. Die Vorschrift verpflichtet Anbieter und Anwender von KI-Systemen dazu, sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Schulungen sollen auf das technische Wissen, die Erfahrung, die Ausbildung und spezifische Rollen von Mitarbeitenden abgestimmt sein und den Kontext berücksichtigen, in dem die KI-Systeme eingesetzt werden. Die Förderung einer Arbeitskultur der Transparenz und des Vertrauens ist ein weiterer positiver Effekt von KI-Richtlinien. Indem für alle Mitarbeiter verbindliche Regeln aufgestellt werden, ist der Umgang mit KI unbeschwert und produktiv. Mitarbeiter fühlen sich ernst genommen und einbezogen, wenn sie über die Grundsätze des KI-Einsatzes informiert werden und diese mitgestalten können. Das kann die Akzeptanz von KI-Technologien fördern und Ängste oder Vorbehalte abbauen. Sind regelmäßige Überprüfungen und Anpassungen empfehlenswert? KI-Richtlinien sollten als „lebendiges Dokument“ betrachtet werden, das regelmäßig überprüft und an neue Entwicklungen angepasst wird. Durch geeignete Feedback-Kanäle können Mitarbeitende ihre Praxiserfahrung im Umgang mit der Richtlinie rückmelden. Ebenfalls sollten Erfahrungen mit KI in internen Kanälen (etwa Chats) geteilt werden. Gerade bei größeren Unternehmen ist ein Expertengremium zu empfehlen, das sich regelmäßig trifft und die Vorgaben auf Basis seines Fachwissens und des Feedbacks von Mitarbeitenden aktualisiert. Nur so können Unternehmen sicherstellen, dass ihre Richtlinien mit dem rasanten technologischen Fortschritt Schritt halten und relevant und wirksam bleiben. Zudem sollten Unternehmen bei der Entwicklung ihrer KI-Richtlinien alle relevanten Stakeholder einbeziehen – von der Geschäftsführung über die IT-Abteilung und den Betriebsrat bis zu den Mitarbeitern, die täglich mit KI-Systemen arbeiten. Aufgrund ihrer Rolle sollten auch der Datenschutz- und der Informationssicherheitsbeauftragte hinzugezogen werden. Das gewährleistet, dass die Richtlinien praxisnah sind und von allen Beteiligten mitgetragen werden. Was sind Kernelemente einer KI-Richtlinie? Die 10 wichtigsten Punkte, die Sie bei der Umsetzung von KI-Richtlinien beachten sollten Nun zum praktischen Teil: Wie kann ich eine KI-Richtlinie in meinem Unternehmen erfolgreich umsetzen? Die folgenden zehn Kernelemente inkludieren Empfehlungen des ISO/IEC 42001:2023, des internationalen Standards für KI-Managementsysteme (KIMS), sowie eigene Erfahrungswerte im KMU-Umfeld: 1. Grundlagen und Strategie: Etablierung einer KI-Richtlinie durch das Top-Management: Das Top-Management sollte die KI-Richtlinie initiieren und unterstützen, um ihre Bedeutung klarzumachen. Ohne diese Rückendeckung fehlt es an Autorität und Durchsetzungskraft. Es ist entscheidend, dass Führungskräfte aktiv die Einführung und Einhaltung der Richtlinie wie auch die Einführung von KI fördern. Ausrichtung an Unternehmenszweck, -strategie, -werten und -kultur: Die KI-Richtlinie muss eng mit dem Unternehmenszweck und den strategischen Zielen verknüpft sein. Das stellt sicher, dass der Einsatz von KI zur Erreichung der Unternehmensziele beiträgt und im Einklang mit den Unternehmenswerten und der ‑kultur steht. Eine solche Ausrichtung fördert die Akzeptanz und Integration von KI in die bestehenden Arbeitsprozesse. Festlegung eines Rahmens für KI-Ziele und kontinuierliche Verbesserung: Der Rahmen sollte klare Ziele für den Einsatz von KI definieren (KPIs) und Mechanismen zur Überprüfung und Anpassung dieser Ziele enthalten. Das ermöglicht eine kontinuierliche Verbesserung und Anpassung an sich ändernde Bedingungen und Technologien. Regelmäßige Überprüfungen helfen, die Effektivität der KI-Richtlinie zu bewerten und notwendige Anpassungen vorzunehmen. 2. Dokumentation und Kommunikation: Verfügbarkeit der Richtlinie als dokumentierte Information: Die KI-Richtlinie muss schriftlich festgehalten und leicht zugänglich sein. Dies stellt sicher, dass alle Mitarbeiter jederzeit darauf zugreifen können. Eine zentrale Ablage, beispielsweise im Intranet, ist zu empfehlen. Interne Kommunikation und Verfügbarkeit für relevante Interessengruppen: Es ist wichtig, die Richtlinie effektiv intern zu kommunizieren, damit alle relevanten Interessengruppen informiert sind. Regelmäßige Schulungen und Updates helfen, das Bewusstsein und das Verständnis für die Richtlinie zu erhöhen. Transparente Kommunikation fördert die Einhaltung und Akzeptanz der Richtlinie. Benennung von Ansprechpartnern für Fragen und Unklarheiten: Es sollten klare Ansprechpartner benannt werden, an die sich Mitarbeiter bei Fragen oder Unklarheiten wenden können. Diese Personen sollten gut geschult und in der Lage sein, kompetente Auskünfte zu geben. Das erleichtert die Implementierung und Einhaltung der Richtlinie. Zu empfehlen sind auch sogenannte „KI-Botschafter“, die KI-Technologie und ihre praktische Anwendung in die einzelnen Bereiche und Teams tragen. 3. Rechtliche und ethische Aspekte: Verpflichtung zur Einhaltung geltender rechtlicher Anforderungen: Die Richtlinie muss sicherstellen, dass alle KI-Aktivitäten im Einklang mit den geltenden Gesetzen und Vorschriften stehen. Das umfasst auch internationale Regelungen, sofern das Unternehmen global tätig ist. Regelmäßige rechtliche Überprüfungen sind notwendig, um Compliance sicherzustellen, primär im Hinblick auf die Weiterentwicklungen der eingesetzten Tools und KI-Modelle. Urheberrecht am Beispiel von KI-Bildgeneratoren: Die Richtlinie sollte zudem festlegen, wie mit urheberrechtlich geschütztem Material umgegangen wird. Auch der Umgang mit KI-generierten Inhalten muss geregelt werden, da diese in der Regel nicht urheberrechtlich geschützt sind. Ganz praktisch muss die Nutzung KI-generierter Inhalte insbesondere im Rahmen externer Dokumente geregelt werden. Das gilt auch für Inhalte, die von Externen erstellt werden. Ein wichtiger Punkt dabei ist die Kennzeichnungspflicht. Hier muss der Verwender der Richtlinie entscheiden, wie er das insbesondere bei Texten umsetzen will. Beispiel: Bei Bild-KI empfiehlt sich ein Hinweis, etwa in der Form "Erstellt von Midjourney durch Unternehmen/Mitarbeiter", oder die Einhaltung eines Branchenstandards wie C2PA. An dieser Stelle ist aber auch festzulegen, ob eine Nutzung von KI-Inhalten bei der Kommunikation nach außen überhaupt gewünscht ist. Für eine umfassende Betrachtung des Themas ℹ️ KI und Urheberrecht empfehlen wir den verlinkten Deep Dive. Berücksichtigung datenschutzrechtlicher Vorgaben, insbesondere für sensible Daten: Datenschutz ist besonders wichtig, wenn es um KI geht, die personenbezogene Daten verarbeitet. Die Richtlinie sollte klare Vorgaben zum Schutz und zur Verarbeitung dieser Daten enthalten. Besonders sensible Daten, etwa Informationen über Erkrankungen, biometrische Daten oder politische Ansichten, müssen besonders geschützt werden, um rechtliche Probleme zu vermeiden. Festlegung ethischer Prinzipien für alle KI-bezogenen Aktivitäten: Ethische Prinzipien sollten den Rahmen für den Einsatz von KI-Technologien bilden. Das kann Aspekte wie Fairness, Transparenz und Verantwortlichkeit umfassen. Eine klare ethische Grundlage hilft, Vertrauen in KI-Systeme zu stärken und Missbrauch zu verhindern. Während es keine Notwendigkeit ist, ethische Prinzipien in eine KI-Richtlinie aufzunehmen, sollten sie ein wichtiger Bestandteil einer holistischen KI-Governance sein. 4. Einsatzbereiche und Einschränkungen: Klare Definition erlaubter und nicht erlaubter Einsatzbereiche von KI im Unternehmen: Legen Sie genau fest, in welchen Bereichen KI eingesetzt werden darf und in welchen nicht. Diese Klarheit hilft, Missverständnisse und Fehleinsätze zu vermeiden. Spezifische Regeln für den Einsatz von KI-Bildgeneratoren und in der Programmierung: Für spezialisierte KI-Anwendungen, wie Bildgeneratoren oder Programmierhilfen, sollten spezifische Nutzungsregeln festgelegt werden. Diese Regeln stellen sicher, dass solche Tools verantwortungsvoll und im Einklang mit den Unternehmenszielen eingesetzt werden. Beispiel: Eine Studie von Checkmarx zeigt, dass trotz Verbots durch 15 Prozent der Unternehmen 99 Prozent der Entwickler KI-Tools zur Codegenerierung verwenden. Nur 29 Prozent der Unternehmen haben eine Governance für den Einsatz solcher Technologien etabliert, während in 70 Prozent der Fälle Ad-hoc-Entscheidungen getroffen werden. Die Studie offenbart wachsende Sicherheitsbedenken, da 80 Prozent der Befragten Sicherheitsrisiken durch KI-Nutzung fürchten. – The Decoder Vorgaben zum Umgang mit Geschäftsgeheimnissen und sensiblen Informationen: Unbedingt erforderlich ist ein eindeutiger Hinweis darauf, dass keine Geschäftsgeheimnisse ihren Weg in das Training von ChatGPT & Co. finden dürfen. Dafür ist erneut wichtig, dass die Tool-Frage geklärt ist und die Mitarbeitenden im besten Fall mit Tools arbeiten, die die KI-Modelle über API ansteuern, was sicherstellt, dass künftige KIs nicht mit dem Input trainiert werden. Zudem muss definiert werden, was in den Bereich Geschäftsgeheimnisse fällt, etwa vertrauliche Umsatzzahlen, Firmeninterna oder Kundeninformationen. Beispiel: Samsung hat die Nutzung von generativen KI-Tools wie ChatGPT, Bard und Bing-Chat intern verboten, nachdem Mitarbeitende höchst vertrauliche Daten in solche Tools eingegeben hatten. Das Verbot erstreckt sich auf alle vom Unternehmen bereitgestellten Geräte und das interne Netzwerk, wobei Verstöße zur Entlassung führen können. Samsung befürchtet, dass eingegebene Daten auf externen Servern gespeichert und weitergegeben werden könnten. Zurzeit arbeitet Samsung an Sicherheitsrichtlinien und an eigenen KI-Modellen, um die Produktivität zu steigern, sowie an einer Sperrfunktion für generative KI. – The Decoder 5. Lizenzen und Anbieter: Beschränkung auf geprüfte und freigegebene KI-Anbieter und -Lizenzen: Die Richtlinie muss die Frage klären, was genau unter KI im Unternehmen verstanden wird und wie – und auch von wem -- diese genutzt werden soll. An dieser Stelle sollten die Mitarbeiter auch vor der Nutzung ihrer privaten Accounts für dienstliche Zwecke gewarnt werden. Zwar ist die Beschäftigung mit neuen Technologien grundsätzlich zu begrüßen. Aber aus Sicht des Datenschutzes und der Compliance ist die Nutzung sogenannter „Schatten-KI“ risikoreich. So können vertrauliche Daten ins Trainingsmaterial künftiger KI-Modelle gelangen, es gibt aber auch keine Möglichkeit, die Qualität der Arbeit mit KI zu prüfen oder sicherzustellen, etwa über eine Team-Prompt-Bibliothek und die jeweils besten KI-Modelle für die jeweilige Aufgabe. Ohnehin ist es Aufgabe des Unternehmens, die benötigten Tools zur Verfügung zu stellen. Schließlich kann es, gerade bei kleineren Unternehmen, sinnvoll sein, eine Whitelist für die Nutzung von KI-Angeboten zu erstellen, welche die Mitarbeiter nutzen dürfen. Diese sind vorab rechtlich geprüft, sodass eine unproblematische Nutzung für den betrieblichen Einsatz möglich ist. Für die Nutzung zusätzlicher Software sollte ein technischer und juristischer Freigabeprozess definiert werden. Vermeidung unkontrollierter Nutzung verschiedener KI-Software durch Mitarbeiter: Die Richtlinie sollte klare Regeln zur Nutzung von KI-Software durch Mitarbeiter festlegen. Unkontrollierte Nutzung kann zu Sicherheitsrisiken und rechtlichen Problemen führen. Eine zentrale Verwaltung und Freigabe von KI-Software helfen, diese Risiken zu minimieren. Ebenfalls hilfreich ist eine „Do’s und Don’ts“-Liste mit greifbaren Beispielen. 6. Umgang mit externen Parteien: Regelungen zur Weitergabe oder Veröffentlichung von KI-generierten Inhalten an Dritte: Legen Sie klare Regeln fest, wie und welche KI-generierten Inhalte veröffentlicht oder an externe Parteien weitergegeben werden dürfen. So behalten Sie die Kontrolle über Qualität, Nutzung und Verbreitung solcher Inhalte. Beispiele: Ergebnisse von KI-Anwendungen müssen kritisch geprüft und dürfen nie ungeprüft verwendet werden. Diskriminierende Inhalte im generierten Text müssen manuell entfernt werden. Bekannte oder lizenzpflichtige Inhalte im Output dürfen nicht genutzt werden, um Urheberrechtsverletzungen zu vermeiden. Personenbezogene Daten im generierten Text müssen vor der Nutzung gelöscht werden, außer sie betreffen Personen des öffentlichen Lebens. Diese Daten müssen besonders genau geprüft werden, um Fehler oder Falschmeldungen auszuschließen. Vorgaben für den Empfang von KI-Inhalten von Dienstleistern: Auch beim Empfang von KI-generierten Inhalten von externen Dienstleistern sollten klare Vorgaben gemacht werden. Dadurch stellen Sie sicher, dass die erhaltenen Inhalte den internen Standards sowie rechtlichen Anforderungen entsprechen. Eine sorgfältige Prüfung der erhaltenen Inhalte ist notwendig, um Compliance zu gewährleisten. 7. Kennzeichnung und Transparenz: Festlegung von Voraussetzungen für die Kennzeichnungspflicht KI-generierter Inhalte: Legen Sie fest, ob und in welchem Umfang Sie die Verwendung von KI-Tools oder die Veröffentlichung KI-generierter Inhalte transparent machen. Diese Kennzeichnungspflicht sollte in der Richtlinie festgelegt werden. Transparenz in der Nutzung von KI kann das Vertrauen und die Akzeptanz bei den Stakeholdern erhöhen – allerdings auch verringern, wenn die Zielgruppe dem Einsatz von KI, etwa im Journalismus, sehr kritisch gegenübersteht. In diesem Fall kann es ausreichen, an einer gesonderten Stelle auf der Webseite allgemein den Umgang mit KI zu beschreiben und die eigenen Qualitätsrichtlinien in den Vordergrund zu stellen. 8. Risikomanagement: Berücksichtigung der Risikobereitschaft der Organisation: Erfordert die eigene Branche einen besonders risikominimierenden Umgang mit KI, etwa weil Sie im sogenannten „Hochrisikobereich“ arbeiten, der im AI Act definiert ist? Dazu gehören: kritische Infrastrukturen, die das Leben und die Gesundheit von Menschen gefährden könnten allgemeine oder berufliche Bildung, die den Zugang zu Bildung und den beruflichen Werdegang einer Person bestimmen kann Sicherheitskomponenten von Produkten Beschäftigung, Management von Arbeitnehmern und Zugang zur Selbstständigkeit Wesentliche private und öffentliche Dienstleistungen (z. B. Kreditbewertung, die Menschen die Möglichkeit verwehrt, einen Kredit zu erhalten) Strafverfolgung, die in die Grundrechte der Menschen eingreifen kann Migrations-, Asyl- und Grenzkontrollmanagement Justizverwaltung und demokratische Prozesse Bewertung des Risikoniveaus der eingesetzten KI-Systeme: Unternehmen müssen das Risikoniveau der eingesetzten KI-Systeme regelmäßig bewerten, um potenzielle Gefahren frühzeitig zu erkennen und geeignete Maßnahmen zu ergreifen. Das ist besonders in Bezug auf die risikobasierten Regularien des EU AI Acts wichtig. Durchführung von Folgenabschätzungen für KI-Systeme: Folgenabschätzungen helfen, die potenziellen Auswirkungen von KI-Systemen auf das Unternehmen, aber auch die Stakeholder oder Kunden zu verstehen und gegebenenfalls passende Maßnahmen zu ergreifen. Diese Bewertungen müssen je nach Risikogruppe des EU AI Acts, in die die KI-Nutzung Ihres Unternehmens fällt, regelmäßig durchgeführt und dokumentiert werden. 9. Ressourcen und Entwicklung: Management von KI-Ressourcen und -Assets: Eine effektive Verwaltung der KI-Ressourcen und -Assets ist entscheidend für den erfolgreichen und qualitativen Einsatz von KI im Unternehmen. Das umfasst die Pflege und Aktualisierung der eingesetzten Systeme, beispielsweise auch die Prompts, die regelmäßig für bestimmte Prozesse angewendet werden. Richtlinien für die Entwicklung von KI-Systemen (soweit zutreffend auf den Unternehmenskontext): Diese Richtlinien sollten Best Practices und Standards enthalten, die bei der Entwicklung und Implementierung zu beachten sind. Zum Beispiel kann eine standardmäßige Überprüfung von KI-Modellen auf Voreingenommenheit (bias) mit Tools wie IBM AI Fairness 360, Microsofts Fairlearn, oder dem Open-Source-Toolkit Aequitas Teil dieser Richtlinie sein. 10. Überwachung und Anpassung: Prozesse für den Umgang mit Abweichungen und Ausnahmen: Klare Prozesse für den Umgang mit Abweichungen und Ausnahmen von der Richtlinie stellen sicher, dass solche Fälle systematisch und transparent behandelt werden. Eine klare Dokumentation und Nachverfolgung helfen, die generelle Einhaltung der Richtlinie zu gewährleisten – Ausnahmen bestätigen also die Regel. Überwachung der Einhaltung der Vorgaben: Das sollte durch interne Audits und Kontrollen erfolgen. Eine kontinuierliche Überwachung hilft, Abweichungen frühzeitig zu erkennen und Korrekturmaßnahmen umzusetzen. Festlegung von Sanktionen bei Verstößen: Klare Sanktionen für Verstöße gegen die KI-Richtlinie sind wichtig, da die Richtlinie sonst beliebig und damit sinnlos wird. Diese Sanktionen müssen transparent und konsequent angewendet werden, um die Einhaltung der Richtlinie zu fördern. Eine unmissverständliche Kommunikation der Sanktionen hilft, das Bewusstsein für die Bedeutung der Richtlinie zu stärken. Je nach Unternehmensbereich und IT-Richtlinie könnte etwa die Verwendung des kostenlosen ChatGPT, bei dem standardmäßig Trainingsmaterial gesammelt wird, mit einer Abmahnung geahndet werden. Wie integriere ich KI-Richtlinien im Unternehmen? Die KI-Richtlinie sollte die Entwicklung, den Kauf, den Betrieb und die Nutzung von KI-Systemen leiten. Dementsprechend kann es sinnvoll sein, mehrere Integrationsformen zu wählen. Juristische Form der Umsetzung Für die Umsetzung und Verankerung einer KI-Richtlinie im Unternehmen gibt es verschiedene rechtliche Möglichkeiten. Welche man davon wählt, ist von mehreren Gesichtspunkten abhängig. Möchten Sie eher eine verbindliche und belastbare Regelung nach innen finden, an die sich Mitarbeitende halten sollen? Dann empfiehlt sich eine mit dem Betriebsrat abgestimmte Betriebsvereinbarung. Nachteil dieser Regelung: Sie ist unflexibel und Anpassung sowie Erstellung sind meist mit hohem Aufwand verbunden. Wollen Sie hingegen eher eine nach außen gerichtete Policy, die weniger die Mitarbeiter ansprechen soll, sondern die Öffentlichkeit, kann das in Form einer einfachen Veröffentlichung, etwa einer Pressemitteilung, erfolgen. Hier die wichtigsten Regelungsformen in der Übersicht: Dienstanweisungen: Arbeitgeber können verbindliche Dienstanweisungen zum Umgang mit KI-Systemen erlassen. Sie regeln detailliert, wie Mitarbeiter KI-Technologien im Arbeitsalltag einsetzen sollen und welche Vorgaben zu beachten sind. Dienstanweisungen sind ein flexibles Instrument, das einseitig vom Arbeitgeber angeordnet werden kann. Sie berücksichtigen allerdings nicht die bei der Einführung von KI meist notwendige betriebliche Mitbestimmung, sofern ein Betriebs- oder Personalrat besteht. Betriebsvereinbarungen: Für eine breitere Akzeptanz und Legitimation bieten sich Betriebsvereinbarungen an, die zwischen Arbeitgeber und Betriebsrat ausgehandelt werden, und sie haben normative Wirkung für alle Beschäftigten. Betriebsvereinbarungen können umfassende Regelungen zum Einsatz von KI, zu Schulungen, Datenschutz und Kontrollmechanismen enthalten. Ihr Nachteil: Sie sind wenig flexibel und eine Anpassung ist mit einem aufwendigen Prozess verbunden. Arbeitsvertragliche Regelungen: Für neue Mitarbeiter oder bei Vertragsänderungen sollten KI-bezogene Klauseln direkt in die Arbeitsverträge aufgenommen werden. Das schafft individuelle Verbindlichkeit, ist allerdings recht unflexibel und ohne größeren Aufwand auch nur bei neu eingestellten Mitarbeitenden möglich. Hier könnten allgemeine Grundregeln Eingang finden, etwa, dass keine KI-Tools verwendet werden dürfen, die nicht ausdrücklich zugelassen wurden (siehe Whitelist weiter oben). Compliance-Richtlinien: Die KI-Richtlinie kann als Teil des unternehmensweiten Compliance-Systems implementiert werden, um die Bedeutung der Einhaltung rechtlicher und ethischer Standards beim KI-Einsatz zu unterstreichen. Ethik-Kodex: Ein Ethik-Kodex für KI kann als Leitlinie für alle Mitarbeiter dienen und ethische Prinzipien für die Entwicklung und Nutzung von KI-Systemen festlegen. Allerdings beschränkt sich diese Umsetzung auch auf diesen Bereich, was weitere Regelungen erforderlich macht. Die gewählten Instrumente sollten flexibel genug sein, um auf zukünftige Entwicklungen und Anpassungen der Technologie, insbesondere aber auch der KI-Regulierung, reagieren zu können. Eine regelmäßige Überprüfung und Aktualisierung der implementierten Maßnahmen ist ratsam, um mit dem schnellen technologischen Fortschritt und den sich entwickelnden rechtlichen Rahmenbedingungen Schritt zu halten. Organisatorische Form der Umsetzung Mögliche Verantwortliche: Folgende Personen oder Abteilungen sollten in den Erstellungsprozess involviert sein: Datenschutzbeauftragter IT-Abteilung Rechtsabteilung Personalabteilung Vertreter der Fachabteilungen: Die Mitarbeiter aus den Fachabteilungen, in denen KI eingesetzt wird, bringen ihre spezifischen Anforderungen und Erfahrungen ein. Geschäftsführung: Die Geschäftsführung gibt die strategische Ausrichtung vor und trägt die letztendliche Verantwortung für die Umsetzung der Richtlinie. Mögliche Vorgehensweisen Arbeitsgruppe: Es wird eine interdisziplinäre Arbeitsgruppe gebildet, die die Richtlinie gemeinsam erarbeitet. Externe Beratung: Ein externes Beratungsunternehmen wird hinzugezogen, um die Erstellung der Richtlinie zu unterstützen und sicherzustellen, dass alle relevanten Aspekte berücksichtigt werden. Kombination: Eine Kombination aus beiden Ansätzen kann sinnvoll sein, um sowohl internes Know-how als auch externe Expertise zu nutzen. Aktualisierung und Pflege Es gibt keine allgemeingültige Antwort auf die Frage, wie oft eine KI-Richtlinie aktualisiert werden sollte. Ein jährlicher Überprüfungsprozess ist in der Regel empfehlenswert, allerdings verändert sich der Markt derzeit teilweise täglich. In schnelllebigen Branchen und besonders bei komplexen KI-Anwendungen sollte deutlich öfter aktualisiert werden. Beispiel: Mit GPT-4o brachte OpenAI die Konversationsfähigkeit über Sprache in Echtzeit in sein LLM-Angebot (heute GPT-5). Wer bisher in seinen KI-Richtlinien nur Text oder Bild behandelt hat, muss diese Richtlinien nun überarbeiten, da das zugrundeliegende Modell weite Verbreitung hat und möglicherweise von Mitarbeitenden eingesetzt wird, selbst wenn Audio bislang keine oder nur eine untergeordnete Rolle im Unternehmen spielte. Folgende Optionen können bei der Wahl helfen: Regelmäßige Überprüfung, etwa in geplanten Intervallen Ereignisgesteuerte Anpassungen: Bei wesentlichen Änderungen (etwa neue Gesetze, neue KI-Anwendungen, Updates) sollte die Richtlinie umgehend angepasst werden. Mitarbeiter-Feedback: Die Mitarbeiter sollten regelmäßig um Feedback zur Richtlinie gebeten werden, um möglichen Anpassungsbedarf zu identifizieren. Schadenspotenziale ohne KI-Richtlinie Unternehmen, die Künstliche Intelligenz einsetzen, stehen vor einer Vielzahl von Risiken, die von rechtlichen und finanziellen bis zu operativen und reputationsbezogenen Herausforderungen reichen. Ohne klare Regeln drohen Bußgelder und Schadensersatzforderungen wegen Verstößen gegen Gesetze wie die Datenschutz-Grundverordnung (DSGVO) und künftig auch gegen den EU AI Act. Die Strafen sind drakonisch: Bis zu 35 Millionen Euro oder 7 Prozent des gesamten weltweiten Vorjahresumsatzes können bei verbotenen Praktiken und Verletzungen von Datenanforderungen anfallen. 15 Millionen Euro oder 3 Prozent werden bei anderen Verstößen fällig und 7,5 Millionen Euro oder 1,5 Prozent bei falschen oder irreführenden Angaben an die Behörden. Ein weiteres Risiko ist der Reputationsverlust. Fehltritte beim Einsatz von KI können das Ansehen eines Unternehmens erheblich schädigen und Kunden abschrecken. Hier spielt ganz besonders das Thema Verantwortung rein: KI ist ein Werkzeug und das muss von einem Menschen benutzt werden. Es ist kein Automat für faule Menschen oder sparwütige Unternehmen. Verantwortung hat immer einen Namen. Operative Risiken entstehen durch unzuverlässige oder fehlerhaft programmierte KI-Systeme, die betriebliche Abläufe stören und Schäden verursachen können. Auch die Unsicherheit und das Fehlverhalten von Mitarbeitern stellen ein Risiko dar. Ohne klare Richtlinien wissen Mitarbeiter nicht, wie sie mit KI umgehen sollen, was zu erhöhtem Fehlverhalten führen kann, oder die KI wird aus Unsicherheit nicht eingesetzt – auch das wäre nicht hilfreich. Ein weiteres Risiko ist die Urheberrechtsverletzung. Lesen Sie dazu unseren ℹ️ umfassenden Deep Dive, der alles abhandelt, was Sie dazu wissen müssen. Fazit Abseits populärer Boulevardthemen über die Unzulänglichkeiten und Verfehlungen generativer KI (oder vielleicht viel eher ihrer Nutzenden) zeigen sich signifikante Effizienz- und Qualitätsgewinne in der systematischen und strategischen Nutzung von KI im Unternehmen. Bei den heise-Unternehmen hat etwa die Nutzung reiner Text-KI seit September 2023 mehrere Vollzeitjahresstellen an Ressourcen freigemacht. „Damit wird dann auch klar: Die Implementierung einer KI-Richtlinie ist für Unternehmen, die KI-Technologien einsetzen oder planen einzusetzen, von entscheidender Bedeutung. Sie bildet das Fundament für einen verantwortungsvollen, effizienten und rechtskonformen Umgang mit KI und hilft, potenzielle Risiken in einem sehr dynamischen Umfeld zu minimieren. Die konkrete Ausgestaltung der Richtlinie muss dabei individuell auf die Bedürfnisse, die Struktur und die Kultur des jeweiligen Unternehmens zugeschnitten sein. Es gibt keine „One-size-fits-all“-Lösung. Vielmehr sollte die Richtlinie die spezifischen Anforderungen und Ziele des Unternehmens widerspiegeln. Angesichts der rasanten Entwicklung im Bereich der KI und der zunehmenden regulatorischen Anforderungen, etwa durch den EU AI Act, ist es für Unternehmen ratsam, die Entwicklung und Implementierung einer KI-Richtlinie zügig umzusetzen. Ein proaktiver Ansatz ermöglicht es, frühzeitig Strukturen und Prozesse zu etablieren, die den sicheren und effizienten Einsatz von KI fördern. Gleichzeitig positioniert sich das Unternehmen als verantwortungsvoller Akteur im Bereich der KI-Nutzung. Die Erstellung und Umsetzung einer KI-Richtlinie müssen als kontinuierlicher Prozess verstanden werden, der regelmäßige Überprüfungen und Anpassungen erfordert. Nur so kann die Richtlinie mit den technologischen Fortschritten und sich ändernden rechtlichen Rahmenbedingungen Schritt halten. Unternehmen, die jetzt handeln und eine fundierte KI-Richtlinie etablieren, schaffen nicht nur die Voraussetzungen für eine sichere und effiziente Nutzung von KI, sondern gewinnen auch einen Wettbewerbsvorteil in einer zunehmend KI-getriebenen Geschäftswelt. Anhang Checkliste für KI-Richtlinien Grundlagen und Strategie Ist die KI-Richtlinie durch das Top-Management initiiert und unterstützt? Ist die Richtlinie mit dem Unternehmenszweck, der -strategie, den -werten und der -kultur abgestimmt? Gibt es einen festgelegten Rahmen für KI-Ziele und Mechanismen zur kontinuierlichen Verbesserung? Dokumentation und Kommunikation Ist die KI-Richtlinie schriftlich festgehalten und leicht zugänglich (etwa im Intranet)? Wird die Richtlinie effektiv intern kommuniziert und sind regelmäßige Schulungen und Updates vorgesehen? Gibt es benannte Ansprechpartner für Fragen und Unklarheiten? Rechtliche und ethische Aspekte Stellt die Richtlinie sicher, dass alle KI-Aktivitäten im Einklang mit geltenden rechtlichen Anforderungen stehen? Gibt es klare Vorgaben zum Umgang mit urheberrechtlich geschütztem Material und KI-generierten Inhalten? Werden datenschutzrechtliche Vorgaben, insbesondere für sensible Daten, berücksichtigt? Sind ethische Prinzipien für alle KI-bezogenen Aktivitäten festgelegt? Einsatzbereiche und Einschränkungen Sind erlaubte und nicht erlaubte Einsatzbereiche von KI im Unternehmen klar definiert? Gibt es spezifische Regeln für den Einsatz von KI-Bildgeneratoren und in der Programmierung? Existieren Vorgaben zum Umgang mit Geschäftsgeheimnissen und sensiblen Informationen? Lizenzen und Anbieter Gibt es eine Beschränkung auf geprüfte und freigegebene KI-Anbieter und -Lizenzen? Werden Regeln zur Vermeidung unkontrollierter Nutzung verschiedener KI-Software durch Mitarbeiter festgelegt? Umgang mit Veröffentlichungen und externen Parteien Sind Regelungen zur Veröffentlichung und Weitergabe von KI-generierten Inhalten an Dritte definiert? Bestehen Vorgaben für den Empfang von KI-Inhalten von Dienstleistern? Kennzeichnung und Transparenz Sind Voraussetzungen für die Kennzeichnungspflicht KI-generierter Inhalte festgelegt? Risikomanagement Wird die Risikobereitschaft der Organisation bei der Entwicklung und Implementierung von KI-Richtlinien berücksichtigt? Wird das Risikoniveau der eingesetzten KI-Systeme regelmäßig bewertet? Werden Folgenabschätzungen für KI-Systeme regelmäßig durchgeführt und dokumentiert? Ressourcen und Entwicklung Gibt es ein effektives Management von KI-Ressourcen und -Assets? Bestehen klare Richtlinien für die Entwicklung von KI-Systemen, sofern zutreffend? Überwachung und Anpassung Sind Prozesse für den Umgang mit Abweichungen und Ausnahmen von der Richtlinie festgelegt? Wird die Einhaltung der KI-Richtlinie regelmäßig überwacht und überprüft? Sind Sanktionen bei Verstößen klar festgelegt und wird deren Anwendung transparent kommuniziert? Linksammlung zum Thema KI-Richtlinien https://musterformulare.wko.at/digitalisierung/ki-guidelines https://www.horizont.net/planung-analyse/nachrichten/richtlinien-warum-ki-guidelines-fuer-unternehmen-sinnvoll-sind-213539 https://www.dihk.de/de/themen-und-positionen/wirtschaft-digital/digitalisierung/was-unternehmen-beim-umgang-mit-generativen-ki-anwendungen-beachten-sollten-94832 https://digitalisierungsrecht.eu/braucht-mein-unternehmen-eine-ki-richtlinie/ Der Weg zu einer holistischen KI-Governance: 7 Anforderungen an vertrauenswürdige KI 1. Menschliche Kontrolle und Aufsicht Ein Kernelement jeder KI-Richtlinie ist die Sicherstellung menschlicher Kontrolle und Aufsicht über KI-Systeme. KI soll den Menschen unterstützen und ergänzen, ihn aber nicht vollständig ersetzen. Besonders bei Entscheidungen mit weitreichenden Konsequenzen sind eine menschliche Überprüfung und Letztentscheidung unerlässlich und nach der KI-Verordnung (EU AI Act) sowie der DSGVO auch rechtlich vorgeschrieben. Konkret bedeutet das, dass KI-Systeme so gestaltet sein müssen, dass Menschen jederzeit eingreifen und die Kontrolle übernehmen können. Das kann durch verschiedene Mechanismen erreicht werden: Human-in-the-Loop: Der Mensch ist in jeden Entscheidungszyklus des KI-Systems eingebunden und kann direkt eingreifen. Human-on-the-Loop: Der Mensch überwacht das laufende KI-System und kann bei Bedarf eingreifen. Human-in-Command: Der Mensch behält die Gesamtverantwortung und entscheidet, wann und wie das KI-System eingesetzt wird. Zudem sollten klare Eskalationswege und „Notaus-Schalter“ definiert sein, um KI-Systeme bei Problemen schnell stoppen zu können. Regelmäßige Überprüfungen und Audits durch Menschen sind ebenfalls wichtig. In der Richtlinie sollte festgelegt werden, für welche Anwendungsfälle welches Maß an menschlicher Kontrolle erforderlich ist. Je höher die potenziellen Auswirkungen auf Menschen, desto stärker muss die menschliche Aufsicht sein. Grundsätzlich nicht erlaubt ist es, einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die dem Betroffenen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Dies regelt Artikel 22 der DSGVO. Umfasst sind davon auch Entscheidungen durch die KI, beispielsweise bei der Kreditvergabe. Die dabei entstehenden Ergebnisse müssen immer noch einer finalen Kontrolle durch einen Menschen unterliegen. 2. Technische Robustheit und Sicherheit Ein weiteres zentrales Element ist die Gewährleistung der technischen Robustheit und Sicherheit von KI-Systemen. Diese müssen zuverlässig funktionieren und widerstandsfähig gegen Störungen oder Angriffe sein. Dazu gehören folgende Aspekte: Genauigkeit und Zuverlässigkeit: KI-Systeme müssen konsistent korrekte Ergebnisse liefern. Die Genauigkeit sollte kontinuierlich überwacht und verbessert werden. Ausfallsicherheit: Es müssen Backup-Systeme und Notfallpläne existieren, falls ein KI-System ausfällt. IT-Sicherheit: Robuste Schutzmaßnahmen gegen Cyberangriffe, unbefugten Zugriff oder Manipulation der Daten und Algorithmen sind unerlässlich. Stabilität: KI-Systeme müssen auch bei veränderten Umgebungsbedingungen oder neuen Daten stabil funktionieren. Reproduzierbarkeit: Die Ergebnisse müssen nachvollziehbar und reproduzierbar sein. Die Richtlinie sollte konkrete Maßnahmen zur Sicherstellung der technischen Robustheit festlegen, wie regelmäßige Sicherheitstests, Penetrationstests und die Einrichtung von „Red Teams“ zur Überprüfung der Systeme. Auch ein kontinuierliches Monitoring der Performance ist wichtig. 3. Datenschutz und Datenqualität Der Umgang mit Daten, insbesondere mit persönlichen Informationen, ist ein kritischer Aspekt bei KI-Systemen. Eine KI-Richtlinie muss klare Regeln für den Datenschutz und die Datenqualität definieren: Datenschutz: Einhaltung geltender Datenschutzgesetze wie der DSGVO Keine Eingabe von personenbezogenen Daten wie Namen oder Adressen. Keine Ausgabe von derartigen Daten durch die KI (z. B. Erstellung von Listen mit potenziellen Kundendaten) Keine Weitergabe von Ein- und Ausgaben an den KI-Anbieter, insbesondere sofern dieser in den USA sitzt (technische Einstellungen beachten) Zeitnahes Löschen der Eingabe-History. Bei Mehrpersonen-Accounts sollte diese Funktion abgeschaltet werden. Verwendung von Funktions-Accounts, damit die Mitarbeiter nicht ihre persönlichen Daten bei der Anmeldung eingeben müssen. Unverzügliche Meldung von Datenschutzvorfällen oder Verdachtsfällen im Zusammenhang mit KI an die zuständige Stelle im Unternehmen Datensparsamkeit und Zweckbindung bei der Datenerhebung Sichere Speicherung und Übertragung von Daten Schutz personenbezogener Daten durch Anonymisierung oder Pseudonymisierung Einholung notwendiger Einwilligungen zur Datenverarbeitung Gewährleistung von Betroffenenrechten (Auskunft, Löschung etc.) Datenqualität: Verwendung hochwertiger, aktueller und relevanter Trainingsdaten Vermeidung von synthetischen Daten (bei Möglichkeit) Prüfung auf Vollständigkeit und Repräsentativität der Daten Vermeidung von Verzerrungen (Bias) in den Daten Regelmäßige Datenbereinigung und -aktualisierung Nachvollziehbare Dokumentation der Datenherkunft und -verarbeitung 4. Transparenz und Erklärbarkeit Transparenz und Erklärbarkeit sind essenziell, um Vertrauen in KI-Systeme zu schaffen. Eine KI-Richtlinie sollte daher Folgendes festlegen: Offenlegung des KI-Einsatzes: Nutzer müssen informiert werden, wenn sie mit einem KI-System interagieren. Nachvollziehbarkeit von Entscheidungen: Es muss erklärt werden können, wie eine KI zu bestimmten Ergebnissen oder Empfehlungen kommt. Interpretierbarkeit der Modelle: Komplexe Deep-Learning-Modelle sollten so weit wie möglich verständlich gemacht werden. Dokumentation: Der gesamte KI-Lebenszyklus von der Datensammlung bis zum Deployment muss dokumentiert werden. Informationspflichten: Nutzer müssen über Fähigkeiten und Grenzen des KI-Systems aufgeklärt werden. Kennzeichnung von KI-Inhalten: Von KI generierte Inhalte sollten als solche gekennzeichnet werden. Die Richtlinie sollte verschiedene Methoden zur Erklärung von KI-Entscheidungen vorsehen, wie Feature-Importance-Analysen oder kontrafaktische Erklärungen. Auch sollten Prozesse definiert werden, um die Funktionsweise der Systeme gegenüber Auditoren oder Aufsichtsbehörden offenzulegen. 5. Fairness und Nicht-Diskriminierung KI-Systeme dürfen keine diskriminierenden Entscheidungen treffen oder bestehende Vorurteile verstärken. Eine KI-Richtlinie muss daher Maßnahmen zur Förderung von Fairness und Nichtdiskriminierung enthalten: Definition von Fairness: Es muss klar definiert werden, was im jeweiligen Kontext als fair gilt. Überprüfung auf Bias: Regelmäßige Tests auf unfaire Verzerrungen in Daten und Modellen. Diversität in Entwicklerteams: Diverse Teams können potenzielle Diskriminierung eher erkennen. Repräsentative Trainingsdaten: Die Daten sollten die Vielfalt der Gesellschaft abbilden. Fairness-Metriken: Einsatz quantitativer Metriken zur Messung von Fairness. Korrekturmaßnahmen: Prozesse zur Behebung erkannter Diskriminierung. Barrierefreiheit: KI-Systeme sollten für Menschen mit Behinderungen zugänglich sein. Die Richtlinie sollte festlegen, wie unterschiedliche Fairness-Definitionen gegeneinander abgewogen werden. Auch sollten Prozesse zur Einbindung potenziell betroffener Gruppen definiert werden. 6. Gesellschaftliches und ökologisches Wohlergehen KI-Systeme sollten positive Auswirkungen auf Gesellschaft und Umwelt haben. Eine KI-Richtlinie sollte daher folgende Aspekte berücksichtigen: Gesellschaftliche Auswirkungen: Abschätzung der Folgen für Arbeitsplätze und Kompetenzen Förderung von Weiterbildung und Umschulung Vermeidung negativer Auswirkungen auf vulnerable Gruppen Schutz demokratischer Prozesse vor Manipulation Förderung des Gemeinwohls durch KI-Anwendungen Ökologische Nachhaltigkeit: Bewertung des ökologischen Fußabdrucks von KI-Systemen Energieeffizienz in Training und Betrieb Nutzung erneuerbarer Energien für Rechenzentren Einsatz von KI zur Lösung von Umweltproblemen Die Richtlinie sollte Prozesse zur Folgenabschätzung und Stakeholder-Konsultation vorsehen. Auch sollten Ziele zur Verringerung negativer Auswirkungen definiert werden. 7. Verantwortlichkeit und Rechenschaftspflicht Klare Verantwortlichkeiten und Rechenschaftspflichten sind essenziell für einen vertrauenswürdigen KI-Einsatz. Eine KI-Richtlinie sollte daher folgende Punkte adressieren: Haftung: Es muss klar geregelt sein, wer für Fehler oder Schäden durch KI-Systeme haftet. Governance-Strukturen: Festlegung von Rollen und Verantwortlichkeiten für KI-Systeme. Risikomanagement: Prozesse zur Identifikation und Minderung von Risiken. Dokumentation: Lückenlose Dokumentation von Design- und Betriebsentscheidungen. Audits: Regelmäßige interne und externe Überprüfungen der KI-Systeme. Beschwerdemechanismen: Möglichkeiten für Betroffene, Probleme zu melden. Kontinuierliche Verbesserung: Lernen aus Fehlern und Anpassung der Systeme. Die Richtlinie sollte die Einrichtung eines AI-Ethikrats oder ähnlicher Gremien zur Überwachung vorsehen. Auch Prozesse für Whisteblowing und den Umgang mit ethischen Bedenken sollten definiert werden.

KI-Richtlinien für Mitarbeitende - Grundlage für verantwortungsvollen und effizienten Einsatz künstlicher Intelligenz

Executive Summary

heise KI PROKI VERSTEHEN UND ANWENDEN

heise KI PRO
KI VERSTEHEN UND ANWENDEN