Artificial Intelligence

Artificial Intelligence (AI) bzw. Künstliche Intelligenz (KI) und maschinelles Lernen (ML) definieren die Arbeitsweise von Unternehmen gänzlich neu. Die Macht der Daten beeinflusst wesentliche Funktionen wie Kundenservice, Marketing, Preisgestaltung, Sicherheit und Betrieb. Unternehmen in fast allen Branchen setzen zunehmend KI und ML ein, um mit bestehenden Wettbewerbern und neuen digitalen Marktteilnehmern Schritt zu halten. Gleichzeitig müssen sie die neuen und vielfältigen Risiken im Blick haben, die durch KI und ihre rasante Entwicklung entstehen.

KI ist eine Allzwecktechnologie, die ein breites Spektrum an Technologien, Datenquellen und Anwendungen abdeckt. Die Breite der KI macht sie zu einer einzigartigen Herausforderung für das Risikomanagement in der Informationstechnologie. Schlecht gemachte KI sind mit hohen Kosten verbunden. In der EU und in Kanada werden Rechtsvorschriften diskutiert, die strenge Strafen für Verstöße gegen die Anforderungen für die Entwicklung und Nutzung von KI vorsehen.

Die USA geht einen etwas anderen Weg. Das National Institute of Standards & Technology (NIST) in den USA hat am 26. Januar 2023 eine erste Version seines Artificial Intelligence Risk Management Framework (AI-RMF) veröffentlicht. Das NIST ist Teil des US-Handelsministeriums mit Sitz in Gaithersburg und für Standardisierungsprozesse zuständig. 

Die Entwicklung der AI-RMF ergibt sich aus dem National Artificial Intelligence Initiative Act von 2020. Das AI-RMF folgt der Vorlage früherer Rahmenwerke für das Informationsrisikomanagement und Governance des NIST, dem 2014 veröffentlichten Cybersecurity Framework und dem 2020 veröffentlichten Privacy Framework. Während die EU ihre KI-Verordnung ihr Regulierungsvorhaben äußerst detailliert auszuformulieren versucht, verfolgen die USA mit dem AI-RMF einen iterativen Ansatz: Der Risikomanagementrahmen wird durch permanente Wiederholungen verbessert und zur Anwendungsfähigkeit gebracht. Zu Beginn des Entwicklungsprozesses steht mit der Version 1.0 ein Anwendungsrahmen, der sukzessive erweitert und verbessert wird.

Risikomanagementrahmen 

Das AI-RMF soll ein "lebendes Dokument" sein. Es ist "freiwillig, rechteerhaltend, nicht sektorspezifisch und anwendungsunabhängig". Der Rahmen kann an alle Arten und Größen von Organisationen angepasst werden. Für die Implementierung wird der Rahmen unterteilt in Kernfunktionen, Unterkategorien und Implementierungsprofile. 

Die AI-RMF führt eine sozio-technische Dimension in den Risikomanagementansatz ein. Ziel ist es, den Ansatz für die ganze Breite der "gesellschaftlichen Dynamiken und des menschlichen Verhaltens" zu öffnen (S. 9). Die Diskussion zur KI und deren Vor- und Nachteile läuft auf Hochtouren, wie das jüngste Beispiel ChatGBT zeigt. Es werden Bedenken hinsichtlich der verzerrter KI-Trainingsdaten und -Ergebnissen geäußert. Sorgen bereitet auch die Frage, was verlässliche und vertrauenswürdige KI ausmacht und wie diese Probleme gelöst werden können. 

Heute gibt es unzählige prinzipienbasierte Rahmenwerke, die sich dieser Fragen auch annehmen, wie beispielsweise das "Model AI Governance Framework" aus 2020 oder das "Responsible AI Global Policy Framework" von 2022. Das AI-RMF eröffnet zwei andere Blickwinkel: 

1. Der Rahmen bietet einen konzeptionellen Fahrplan für die Identifizierung von Risiken im KI-Kontext. Es werden allgemeine Arten und Quellen von Risiken im Zusammenhang mit KI skizziert. Dass NIST identifiziert sieben Schlüsseleigenschaften vertrauenswürdiger KI (sicher, geschützt und belastbar, erklärbar und interpretierbar, datenschutzfreundlich, fair und mit schädlichen Verzerrungen umgehen, rechenschaftspflichtig und transparent, gültig und zuverlässig) (Abb. 1). 
2. Zudem offeriert der Rahmen eine Reihe von organisatorischen Prozessen und Aktivitäten zur Bewertung und zum Management von Risiken. Auf diese Weise sollen die sozio-technischen Dimensionen von KI mit den Phasen im Lebenszyklus eines KI-Systems und den beteiligten Akteuren verbunden werden. Die Schlüsselelemente für diese Prozesse und Aktivitäten sind "Test, Evaluierung, Verifizierung und Validierung (TEVV)". Die Prozesse und Aktivitäten werden in Kernfunktionen unterteilt (regeln, abbilden, messen und verwalten). Jede dieser Funktionen wird in Unterkategorien mit Möglichkeiten zur Ausführung dieser Funktionen unterteilt. Eine weitere Untergliederung dieser Funktionen wird nicht vorgenommen, um die Implementierung nicht einzuschränken. 

Abb. 01: Lebenszyklus und Schlüsseldimensionen eines AI-Systems [Quelle: NIST (2023, S. 10)]

Mit der Veröffentlichung des AI-RMF wird ein "Playbook" eingeführt. Hierbei handelt es sich um ein auf GitHub gehostetes Tool. Es gibt dem Anwender zusätzliche Vorschläge für Maßnahmen, Referenzen und Dokumentation für die Funktionen und Unterkategorien an die Hand.

Die Behörde möchte bis 2028 eine Version 2.0 des Rahmens entwickeln. In der Zwischenzeit wird das NIST jedoch fortlaufend Kommentare zum Playbook entgegennehmen und diese halbjährlich überprüfen und integrieren. 

Der iterative Ansatz hat den Vorteil, das AI-RMF an die Veränderungen mit Bezug auf die KI-Technologie und das Verständnis der damit verbundenen Probleme anzupassen. Der Rahmen beschreibt einzelne Schritte auf dem Weg zu vertrauenswürdiger KI. Die Organisationen, die das AI-RMF anwenden, leisten einen wesentlichen Beitrag zu deren Weiterentwicklung. Ihr Feedback fließt wiederum in den AI-RMF auf dem Weg zur Version 2.0.