AI Act: Was Unternehmen jetzt wissen müssen

Leider ist das nicht so. Warum? Die erste Regel, die scharfgeschalten wird, besagt, dass ab 2. 2. keine verbotene KI eingesetzt werden darf. Daher müssen Unternehmer jetzt abklären, welche KI sie bereits einsetzen. Doch es gibt durchaus Unternehmen, die experimentierfreudig sind. Daher kann es sein, dass auch verbotene KI zum Einsatz kommt. Also müssen Unternehmen die Zeit bis Februar nutzen, um zu identifizieren, ob nicht doch kritische KI verwendet wird. Das ist dann einzustellen oder entsprechend zu adaptieren.

Was ist verbotene KI?

Das klassische Beispiel ist Social Scoring. Das kommt in Österreich Gott sei Dank tatsächlich nicht vor. Dabei werden Daten über Personen gespeichert, bewertet, und dann werden daraus Schlüsse gezogen. In China kommt das zum Einsatz. Dort geht es um die Regulierung des Kollektivs. In Europa hingegen stehen Menschenrechte und das Individuum im Vordergrund. Daher gibt es bei uns einen breiten Verbotskatalog. So sind Anwendungen von Emotionserkennung kritisch zu sehen. Sei es bei Emotionserkennung am Arbeitsplatz wie etwa über Hotlines. Wenn zum Bespiel im Gespräch das Personal unfreundlich reagiert und Programme das verarbeiten, fällt es unter das Verbot.

Es gibt auch Programme, die bei Video-Calls das Gespräch im Hintergrund automatisch zusammenfassen, die Stimmungen der Teilnehmer analysieren, dabei erkennen, ob jemand verärgert oder erfreut ist. Und dann werden entsprechende Handlungsempfehlungen daraus abgeleitet.

Gerade in der Sales-Analyse, beim Verkauf, kann man KI sehr gut einsetzen. Die Redezeit des Kunde und des Verkäufers werden analysiert. Es wird festgehalten, worauf der Käufer besonders reagiert hat. Dann kann der Verkäufer aus der KI-Analyse ein Mail nachschicken, mit dem man Defizite ausgleichen oder Themen verstärken kann. Das gibt es bereits, und damit werden auch bessere Abschlusszahlen erzielt. Dennoch ist es hinterfragenswert.

Anders als bei der DSGVO, bei der man für gewisse Konstellationen eine Person bestimmen muss, die für die Einhaltung der Gesetzesbestimmungen verantwortlich ist, gibt es das im AI Act nicht. Dennoch sollte man überlegen, Verantwortlichkeiten zu schaffen. Es macht Sinn, eine Person zu designieren, die für AI Compliance zuständig ist. Ein Compliance Officer für künstliche Intelligenz ist ein Signal nach außen, um zu zeigen, dass das Thema sehr ernst genommen wird.

Was wären die Aufgaben?

Der AI Compliance Officer würde im Unternehmen die Einhaltung des AI Acts und der verschiedenen Pflichten, insbesondere die Abstimmung mit den Stakeholdern, vorantreiben. Es gibt innerhalb von kurzen Abständen relativ viel zu tun, weil der AI Act stufenweise anwendbar wird. Beinahe alle sechs Monate treten neue Verpflichtungen in Kraft, und der AI Officer sollte die Einhaltung überwachen. Der erste Schritt wäre, zu identifizieren, ob es verbotene KI-Praktiken im Unternehmen gibt. Diese müssen bereits mit Februar 2025 eingestellt werden. Der zweite Schritt wäre, eine KI-Strategie für das Unternehmen zu entwickeln. Warum setzt man AI ein? Wofür? Und welche Risiken sind damit verbunden? Der nächste Schritt wäre dann die Einsetzung einer AI-Policy – und darauf aufbauend dann auch konkrete Arbeitsanweisungen für Mitarbeiter zu entwickeln. Am Beispiel von Chat GPT müsste darin festgehalten werden: Darf man Chat GPT einsetzen? Ja? Nein? Wird die allgemeine oder eine individuell programmierte Version eingesetzt? Wo werden Daten und Informationen gespeichert? Bleiben sie im Unternehmen oder wandern sie in einen weltweiten Datenpool? Wie weise ich intern aus, ob ich Chat GPT verwendet habe?

Anbieter und Betreiber von KI-Systemen müssen sicherstellen, dass ihr Personal und alle sonstigen eingebundenen Personen, Dienstleister, Freelancer oder andere Dritte, die im Geschäftsalltag mitwirken, über ausreichende Kompetenz verfügen. Sie müssen die Grenzen des KI-Systems verstehen und wissen, wie sie damit umgehen sollen. Diese Fähigkeiten werden im AI Act aber nicht genau definiert. Es gibt keine Verpflichtung zu Schulungen und zu Herausgabe von Arbeitsanweisungen. Das hat den Grund, dass jede Abteilung unterschiedliche Kompetenzen benötigt. Eine PR-Abteilung muss über andere Kompetenzen bei Anwendungen von KI-Systemen verfügen als eine IT-Abteilung. Deswegen ist das nicht granular reguliert. Eine Zertifizierung ist gesetzlich auch nicht notwendig, obwohl es sehr viele Schulungsangebote für Zertifizierungen zum AI Compliance Manager gibt. Davon sind viele mit einer gewissen Vorsicht zu genießen. Man sollte zuerst hinterfragen: Was brauche ich? In welchen Abteilungen setze ich künstliche Intelligenz wie ein? Danach kann man gezielt Fortbildungskonzepte aufbauen oder zukaufen, die für bestimmte Fachabteilungen oder für die gesamte Belegschaft, etwa im Umgang mit Chat GPT, notwendig sind.

Betrifft das nur die Mitarbeiter im Unternehmen?

Man muss das Thema auch entlang einer gesamten Wertschöpfungskette betrachten. Es reicht nicht, dass ich die Mitarbeiter verpflichte, sondern es müssen sich auch Subdienstleister oder sonstige Personen, die zum Beispiel Daten zuliefern oder bereinigen, dazu verpflichten, über solche Fähigkeiten zu verfügen, damit immer qualifiziertes Personal eingesetzt wird.

Es gibt bereits eine Reihe von Zertifizierungsanbietern.

Es gibt keine Vorgaben für Zertifizierungsinhalte. Es tritt hier eine Reihe von Dienstleistern auf, die in dem Bereich nicht wirklich viel Know-how hat. Man sollte die Angebote kritisch hinterfragen und schauen, wie lange die Anbieter in dem Bereich schon aktiv sind. Chat GPT ist nicht so lange am Markt, aber das Thema AI gibt es schon länger. Und jemand, der sich ernsthaft damit befasst hat, sollte auch vor drei Jahren schon etwas in dem Bereich gemacht haben, nicht erst jetzt.

Aber viele, vor allem kleinere und mittlere, Unternehmen sind bei dem Thema KI noch überfordert.

Viele Unternehmen sind im Moment noch in der Schwebe, was sie tun sollen. Dabei ist das Allerallerwichtigste die Schaffung von Medienkompetenz. Das ist bei AI, aber auch bei den schon viel früher aufgetretenen Social Media der springende Punkt. Man muss Medienkompetenz erlernen. Wie gehe ich mit solchen Tools um? Verstehe ich, was sie eigentlich tun und wie ich sie einsetze? Wie wahr darf man das nehmen? Damit sollten sich viele Unternehmen als Allererstes auseinandersetzen.

Im AI Act ist festgehalten, dass KI auszuweisen ist. Derzeit steht auch bei jeder Software KI dabei, weil es eben modern ist. KI-enabled, KI embedded usw. Das kann aber dazu führen, dass KI draufsteht, aber keine KI drinnen ist. Das heißt aber, dass man sich nicht darauf verlassen kann. Man muss nach der Definition des AI Acts selber jedes Mal die Prüfung machen: Liegt KI vor oder nicht? Das ist jedoch schwierig, weil die OECD-Definition von KI sehr schwammig ist. Als erste Anhaltspunkte dienen natürlich die Angaben auf der Verpackung, aber letztendlich muss man selber die Einordnung treffen. Der AI Act nimmt dabei die ganze Wertschöpfungskette in die Pflicht – vom Erfinder über den Programmierer bis zum Betreiber, der sie einsetzt. Jeder hat seine Pflichten zu Transparenz und Offenlegung.

Der AI Act sieht unterschiedliche Rollen vor. Am strengsten wird der Anbieter in die Pflicht genommen. Dann der Betreiber und danach alle weiteren Akteure, also Importeure, Händler usw. Wenn etwa kleine und mittelständische Unternehmen KI zukaufen, sind sie Betreiber, weil sie das Produkt einfach weiter nutzen. Doch die Rollen von Anbieter und Betreiber können auch verschwimmen. Denn KI-Systeme funktionieren nur dann, wenn man sie laufend mit Daten füttert, trainiert und finetuned. Aber sobald man das macht, ändert man auch etwas am Produkt. Wenn aber zu viel an dem Produkt verändert wird, kann es sein, dass sich auch die Rolle ändert und man plötzlich zum Anbieter wird. Darauf muss man achten, weil man dann plötzlich wesentlich mehr Pflichten hat.

Wie kann man erkennen, dass man vom Betreiber zum Anbieter wird?

Durch die Dokumentation der Entscheidungen und der Prozesse. Die IT muss dokumentieren, wie sich das Programm verändert, wenn bestimmte Daten eingespeist und Gewichtungen verändert werden. Zusätzlich muss der Dienstleister gefragt werden, ob an dem System überhaupt etwas verändert werden kann, wenn es mit eigenen Daten trainiert und weiter ausgebaut wird.