ISO 42001 und KI-Einsatz ISO 42001: Mehr KI-Transparenz, weniger Risiko?

Anbieter zum Thema

G DATA CyberDefense AG

bb-net media GmbH

Impossible Cloud GmbH

Die zukünftigen Debatten rund um KI-Technologien werden maßgeblich von der verantwortungsvollen Entwicklung entsprechender Anwendungen geprägt sein. Dabei spielen der eingeführte AI Act sowie die neue Norm ISO 42001 eine zentrale Rolle als unterstützende Instrumente.

Neulich in der S-Bahn standen mir zwei etwa zehnjährige Jungen gegenüber und sprachen über die Schule. Der eine sagte, dass die Hausaufgaben schwer seien. Der andere meinte: „Das war nicht so schlimm, habe es mit ChatGPT gemacht. Hat gepasst.“ Das zeigt: Schon mit der öffentlichen und einfach bedienbaren Lösung von ChatGPT sind für jeden Anwender als „gut“ bewertete Ergebnisse in schnellster Zeit möglich. Und wenn Schüler ChatGPT nutzen, werden es sicherlich in allen denkbaren Organisationen auch die Angestellten einsetzen. Der nächste große Technologiesprung ist zweifellos die KI mit Auswirkungen auf sehr viele Berufe, Geschäftsmodelle, Umwelt, Verwaltung und Demokratie, um nur einige Beispiele zu nennen.

Damit einher gehen einerseits eine Reihe von Vorteilen, andererseits drohen Risiken in der Nutzung. Denn der Einsatz von KI kommt auch in Bereichen vor, für die sie aus vielen Gründen an sich nicht geeignet ist, da sich Probleme zur Vertraulichkeit und Risiken für Daten und sogar für Leib und Leben ergeben. Klar ist: Es gibt Fragen in der Anwendung. Was darf ich als Unternehmen wo und wie tun? Was ist gesetzlich zugelassen? Wie kann ich Risiken vermeiden? Bei der Beantwortung dieser Fragen helfen zwei Dokumente: Die KI-Verordnung der EU und die Norm ISO 42001. Im Beitrag möchte ich Ihnen einen Überblick verschaffen und einen Weg durch den Dschungel der Normen bahnen. Betrachten wir zunächst die KI-Verordnung, um den Rechtsrahmen zu klären.

KI-Verordnung als Regulatorik

Der Gesetzgeber hat gemeinsam mit vielen Fachleuten eine Regulatorik zur Nutzung von KI entwickelt, um bei der Umsetzung derselben zu helfen: Die KI-Verordnung (AI Act) soll mehr Klarheit in die Bedingungen der Nutzung sowie deren Grenzen bringen. Eine Verordnung ist ein verbindlicher Rechtsakt, den alle EU-Länder in vollem Umfang umsetzen müssen. Der AI Act ist der weltweit erste umfassende Rechtsrahmen für KI. Ziel der neuen Vorschriften ist es, vertrauenswürdige KI in Europa und darüber hinaus zu fördern, indem sichergestellt wird, dass KI-Systeme die Grundrechte, die Sicherheit und die ethischen Grundsätze achten und die Risiken sehr leistungsfähiger und wirkungsvoller KI-Modelle reduzieren. Dabei ist es relevant, dass es sich bei der KI-Verordnung um eine Produktregulierung handelt, die sich nicht auf Forschungs- und Entwicklungsaktivitäten bezieht. Ein Ökosystem rund um den AI Act beginnt sich bereits herauszubilden. So hat der TÜV SÜD eine spezielle Organisation (AI Procured) gegründet und will mit der dynamischen Plattform die Beschaffungsteams in Unternehmen unterstützen, KI-Lösungen effizient zu beschaffen, zu betreiben und Sicherheit im Rechtsrahmen zu gewährleisten.

Die Risikoklassen

Im AI Act werden unter anderem harmonisierte Vorschriften für das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen in der Europäischen Union festgelegt, zudem Anforderungen, harmonisierte Transparenzvorschriften für bestimmte KI-Systeme sowie Vorschriften für die Marktüberwachung, dessen Governance und Durchsetzung definiert. Insbesondere wird ein Rahmen für das Risikomanagement geschaffen. Die Gesetzgebung verfolgt einen risikobasierten Ansatz mit vier Stufen. Die Konsequenzen aus der Einstufung reichen von der freien Nutzung bis zum Verbot. Hier ein Überblick:

• Unakzeptable Systeme

Unakzeptabel und daher verboten sind alle KI-Systeme, die als eindeutige Bedrohung für die Sicherheit, den Lebensunterhalt und die Rechte von Menschen angesehen werden - ein Beispiel wäre etwa ein Social Scoring-System.

• Hochrisiko-Systeme

Diese Systeme umfassen KI-Technologie, die etwa in kritischen Infrastrukturen wie dem Verkehr, eingesetzt wird, und das Leben und die Gesundheit der Bürger gefährden könnte. Solche Technologie unterliegt strengen Verpflichtungen, bevor sie auf den Markt gebracht werden kann. Dabei muss unter anderem auf angemessenes Risikomanagement geachtet werden. Ein Beispiel ist eine benötigte, hohe Qualität der Datensätze, um Risiken sowie diskriminierende Ergebnisse zu minimieren. Eine Protokollierung der Tätigkeiten zur Gewährleistung der Rückverfolgbarkeit der Ergebnisse ist ebenso nötig wie ausführliche Unterlagen, die alle erforderlichen Informationen über das System und seinen Zweck enthalten, damit die Behörden ihre Einhaltung bewerten können. „Es sind angemessene Aufsichtsmaßnahmen zur Minimierung des Risikos erforderlich, ein Mindestmaß an Robustheit, Sicherheit und Genauigkeit ist erforderlich.“ Diese Nutzungen unterliegen der Genehmigung durch eine gerichtliche oder andere unabhängige Stelle.

• Systeme mit begrenzten Risiken

Diese Systeme haben Risiken, die mit mangelnder Transparenz bei der KI-Nutzung verbunden sind. Das KI-Gesetz führt Transparenzverpflichtungen ein, um sicherzustellen, dass Menschen über die KI-Nutzung informiert werden. Die Nutzer sollen einschätzen können, ob sie mit einer KI zu tun haben oder nicht.

• Systeme mit geringem Risiko

Diese bergen keine wesentlichen Gefahren und können frei verwendet werden.

Zusammenfassend können wir festhalten, dass aus den vier Klassen die „Hochrisiko-Klasse“ den meisten Aufwand verursachen wird. Das liegt vor allem an den für die Zulassung nötigen Dokumentationen.

Die Norm ISO 42001

Etwa zeitgleich mit dem AI Act kam Ende 2023 die ISO/IEC 42001:2023-12 als erste Managementsystemnorm für KI-Systeme zur Veröffentlichung. Sie ist bahnbrechend und wurde zusammen von der International Organization for Standardization (ISO) und der International Electrotechnical Commission (IEC) veröffentlicht. Ziel dieser Norm ist es, sicherzustellen, dass KI-Systeme verantwortungsbewusst entwickelt und genutzt werden. Sie fördert die transparente Entwicklung, das Risikomanagement und die Rechenschaftspflicht von KI-Systemen. Die ISO/IEC 42001 kann somit in der Praxis als Grundlage für die Umsetzung der Regulatorik im Managementsystem dienen, insbesondere für die Abbildung des Risikomanagements. So können Organisationen diese Norm nutzen, um ihre KI-Systeme verantwortungsbewusst zu entwickeln und gleichzeitig die Anforderungen der EU-KI-Verordnung zu erfüllen. Zudem kann diese in einem integrierten Managementsystem eingegliedert werden, um die Effizienz und Handhabung des Gesamtsystems zu fördern.

Voraussichtlich wird (wie auch bei den anderen 01er Normen) eine Zertifizierung gemäß ISO/IEC 42001 möglich sein. Es steht zu erwarten, dass es nur eine Frage der Zeit ist, bis eine Zertifizierung durchführbar ist.

Die Dauer der Einführung der ISO/IEC 42001 hängt von der jeweiligen Organisation ab. Es ist ratsam, dass Unternehmen, die KI-Systeme entwickeln oder nutzen, die Norm so bald wie möglich implementieren und die Grundlagen für eine Zertifizierung schaffen und damit auch den AI Act unterstützen. Denn die KI-Entwicklung geht so schnell, dass hier nicht abgewartet werden kann!

Die Zusammenhänge zwischen ISO/IEC 27001, 9001 und 42001

Nicht verzweifeln! Wem vor lauter Normen der Kopf raucht: Alle genannten Normen spielen eine wichtige Rolle im Bereich der Organisationsstandards und Informationssicherheit. Weitere kommen hier aber nicht hinzu, versprochen.

Die ISO/IEC 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Sie legt die Anforderungen fest, die Unternehmen erfüllen müssen, um ihre eigene Organisation sicherer zu machen und letztlich je nach Bedarf auch nach ISO 27001 zertifiziert werden zu können. Ihr Fokus liegt auf der Sicherheit von Informationsressourcen, einschließlich Menschen, Prozessen und IT-Systemen, die Unternehmen implementieren die ISO 27001, um ihre sensiblen Unternehmensinformationen zu schützen und Risiken zu minimieren. Diese Sicherheitsthemen spielen auch im AI Act eine Rolle.

Die ISO 9001 ist die Norm für Qualitätsmanagementsysteme, und zwar unabhängig von der Branche. Sie hat gerade mit Blick auf die Prozesse, Qualität von Daten für die KI sowie die langfristige Sicherstellung eine gewisse Berechtigung.

Die ISO 42001 ist konkret auf KI ausgerichtet und ein bahnbrechender Standard für KI-Managementsysteme. Sie konzentriert sich auf die Organisation, Einführung und Verwaltung künstlicher Intelligenzsysteme. Ihr Ziel ist es, einen umfassenden Rahmen für die KI-Governance zu schaffen, der die ethische Nutzung, Transparenz und Rechenschaftspflicht bei KI-Operationen beschreibt. Sie geht über traditionelle Sicherheitsmaßnahmen hinaus und führt KI-spezifische Kontrollen und Überlegungen ein.

Kurz gesagt legt die ISO 27001 den Grundstein für die Sicherheit von Informationssystemen, die ISO 9001 unterstützt die Qualitätsmanagementaufgaben. Die ISO 42001 baut auf dieser Grundlage auf und konzentriert sich auf die einzigartigen Risiken und ethischen Überlegungen im Zusammenhang mit KI-Technologien.

Wie ISO 42001 beim Thema KI zur Anwendung kommt

Der Einsatz der Norm kann die Unternehmen dabei unterstützen, möglichst einfach und effizient die Organisation der KI-Nutzung umzusetzen. Denn insbesondere die Hochrisiko-Systeme haben hohe Anforderungen die Unternehmen, was die Dokumentation sowie das Risikomanagement betrifft. Dank der Norm kann ein Unternehmen darauf aufbauen und muss nicht alles selbst gestalten. In der praktischen Anwendung helfen sich die Norm und die Regulatorik gegenseitig.

Der AI-Act setzt den Rahmen für die Regulatorik und – ähnlich wie die ISO/IEC 27001 für die Informationssicherheit . bietet die ISO/IEC 42001 Verfahren, Regeln, Definitionen und Leitlinien für das Management von Risiken und betrieblichen Aspekten der KI.

Was ist also zu tun?

Unternehmen sollten beide Normen implementieren, um ihre Informationsressourcen zu schützen, ethisch verantwortungsvolle KI-Systeme zu entwickeln und die Komplexität der KI zu beherrschen. Dies kann im Rahmen eines integrierten Managementsystem unter Integration der ISO-Normen 27001 mit der 42001 effizient und einfach erfolgen. Organisationen können damit Risiken minimieren und rechtliche und regulatorische Anforderungen auf Basis der EU-KI-Verordnung besser erfüllen.

Kommentar von Josep Prat und Francesco Tisiot, Aiven

Souveräne KI ist der Schlüssel zu Europas Wettbewerbsfähigkeit und Sicherheit

(ID:50265394)