Die Rechtsvorschriften und Regelungen im Bereich der künstlichen Intelligenz entwickeln sich schneller, als die meisten Unternehmen ihre Compliance-Prozesse anpassen können. Für jede neue Vorschrift einen eigenen Prozess einzurichten, ist ein Wettlauf, den Sie verlieren werden.
Das EU-KI-Gesetz tritt Schritt für Schritt in Kraft, branchenspezifische Vorschriften folgen, und die Aufsichtsbehörden schärfen ihre Erwartungen mit jeder neuen Generation von KI-Modellen weiter. Diese Beschleunigung ist nicht vorübergehend. Solange sich KI-Modelle selbst rasant weiterentwickeln, ändern sich auch die damit verbundenen Vorschriften entsprechend.
Für Plattformentwickler in regulierten Branchen (Rechtswesen, Finanzwesen, Versicherungswesen und Wirtschaftsprüfung) bedeutet dies beispielsweise, dass Compliance als zentraler Bestandteil Ihrer Produktentwicklung besondere Aufmerksamkeit erfordert. Mit den richtigen Rahmenbedingungen behalten Sie in einem sich schnell wandelnden Umfeld leichter die Kontrolle. Doch wie stellen Sie als Informations- und Sicherheitsabteilung sicher, dass Ihr Unternehmen dies im Griff behält?
Compliance als Rahmenbedingungen gestalten
In unserer Branche wird eine wichtige Unterscheidung zu selten getroffen: Compliance als „Polizei des Verbots“ im Gegensatz zu Compliance als Rahmen, der gerade bei schnellen Veränderungen Spielraum bietet. Ein Team, das genau weiß, was erlaubt ist und was nicht, handelt schneller als ein Team, das bei jeder Entscheidung erst nachfragen muss, ob etwas zulässig ist.
Das stellt jedoch gewisse Anforderungen an die Organisation: klare Rahmenbedingungen im Vorfeld statt vereinzelter Genehmigungen im Nachhinein. Bei Blinqx lasse ich dieses Prinzip auch in unserer eigenen Plattformarchitektur zum Tragen kommen, sodass Teams innerhalb eines festgelegten Rahmens selbstständig arbeiten können, ohne für jeden Schritt eine Compliance-Prüfung beantragen zu müssen.
Wie baut man ein eigenes Kontroll-Framework auf, das neue KI-Gesetzgebung problemlos integrieren kann?
Der Kern meines Ansatzes lässt sich einfach formulieren:
Schauen Sie zunächst, was Sie bereits haben, und nicht, was Sie alles tun müssen
Ermitteln Sie zunächst, welche Kontrollmaßnahmen Ihr Unternehmen bereits anwendet, bevor Sie sich mit den externen Rahmenbedingungen befassen. Erst danach vergleichen Sie diese Kontrollmaßnahmen mit der neuen DSGVO, dem DORA, dem KI-Gesetz und anderen Vorschriften und prüfen, wo bereits eine Abdeckung besteht und wo Ergänzungen erforderlich sind. Auf diese Weise vermeiden Sie unnötige bzw. doppelte Kontrollmaßnahmen.
Integrieren Sie neue Regeln in Ihr bestehendes Framework
Ohne ein eigenes Rahmenwerk müssen Sie für jedes neue Gesetz einen separaten Prozess aufbauen, obwohl vier oder fünf dieser Prozesse in der Praxis nahezu denselben Sachverhalt abdecken. Mit einem eigenen Rahmenwerk können Sie eine neue Vorschrift in eine Aktualisierung einer bestehenden Kontrollmaßnahme umsetzen, anstatt einen komplett neuen Prozess zu durchlaufen.
Berichten Sie über Risiken und Trends statt über Schwachstellen oder Compliance-Checklisten
In regulierten Branchen, in denen mehrere Aufsichtsbehörden gleichzeitig Anforderungen stellen, schreckt diese Arbeit Führungskräfte mitunter ab. Mein Punkt ist jedoch gerade, dass Sie als CISO, indem Sie zunächst selbst definieren, was Ihnen wichtig ist, die Kontrolle über einen ständig wachsenden Berg externer Anforderungen behalten, anstatt davon überwältigt zu werden. Berichten Sie dies so, dass ein Vorstandsmitglied ohne technischen Hintergrund den Kern der Sache nachvollziehen kann.
Behalten Sie die Kontrolle, indem Sie Risiken einkalkulieren.
Ich möchte an dieser Stelle auch eine Rahmenbedingung ansprechen, die Plattformentwickler oft übersehen: Ermitteln Sie, welche Anbieter oder Technologien Ihren Dienstbetrieb stören könnten, und legen Sie im Voraus fest, wie lange Sie ohne einen von ihnen auskommen könnten. Dies berührt dasselbe Thema wie die KI-Compliance: Behalten Sie Ihre eigenen Schwachstellen im Griff, bevor ein externer Akteur diese für Sie aufdeckt.
Warum dies im Zeitalter der KI funktioniert
Die wichtigste Erkenntnis ist, dass Sie mit KI-Vorschriften nicht Schritt halten können, wenn Sie reaktiv bleiben. Plattformentwickler, die jedes Mal warten, bis ein neues Gesetz vollständig verabschiedet ist, bevor sie einen Prozess entwickeln, hinken strukturell den Entwicklungen hinterher. Wer zunächst ein eigenes Kontrollrahmenwerk etabliert, muss bei einem neuen Gesetz lediglich festlegen, wo dieses daran anknüpft.
Möchten Sie sich näher damit befassen? Ich habe darüber in „Tech TalQX“ gesprochen, dem Podcast von Blinqx, in dem wir regelmäßig mit Kollegen über KI in regulierten Branchen diskutieren.
Häufig gestellte Fragen
Da sich KI-Modelle selbst schneller verändern als zuvor und sich die damit verbundenen Vorschriften im gleichen Tempo weiterentwickeln. Der KI-Gesetz, Branchenvorschriften und Anforderungen der Aufsichtsbehörden folgen schneller aufeinander, als Unternehmen ihre internen Prozesse anpassen können, sodass ein reaktives Vorgehen nicht mehr realisierbar ist.
Ein eigenes Kontrollrahmenwerk ist eine Reihe von Kontrollmaßnahmen, die Sie selbst auf der Grundlage der für Ihre Organisation wichtigen Aspekte definieren, unabhängig von externen Vorschriften. Anschließend ordnen Sie jedes externe Gesetz einer bestehenden Kontrollmaßnahme zu, anstatt für jedes Gesetz eine neue Checkliste zu erstellen. Dadurch vermeiden Sie, dass Sie mehrere Prozesse einrichten, die in der Praxis denselben Sachverhalt abdecken.
Indem über Risiken und Trends berichtet wird, anstatt über technische Details oder die Anzahl der Sicherheitslücken. Ein Führungskraft muss nicht wissen, wie eine Kontrollmaßnahme technisch funktioniert, sondern welchiges Risiko damit für die Organisation verbunden ist und ob dieses Risiko zunimmt oder abnimmt.
Es besteht die Gefahr, dass Ihre Organisation ins Stocken gerät, sobald das nächste Gesetz in Kraft tritt. Compliance im Bereich KI ist ein fortlaufender Prozess und kein einmaliger Vorgang, den man abschließt und dann hinter sich lässt. Wer dies als Projekt betrachtet, gerät bereits bei der nächsten Gesetzesänderung ins Hintertreffen.
Eine größere Rolle, als den meisten Plattformentwicklern bewusst ist. Wenn eine Technologie oder ein Anbieter, auf die bzw. den sich Ihre Dienstleistungen stützen, wegfällt oder ausländischen Vorschriften unterliegt, möchten Sie im Voraus wissen, wie lange Sie ohne diese auskommen können und welche Alternativen Ihnen zur Verfügung stehen. Dies gehört ebenso zur Compliance wie die Einhaltung des KI-Gesetzes selbst.
