AI Act: Warum die KI-Compliance an der IT hängen bleibt

. Seit der Bundestag im Juni die Zuständigkeiten geklärt hat, ist die BaFin auch für die Ka I Aufsicht im Finanzsektor zuständig, und die Ausrede, man warte noch auf Klarheit, zieht nicht mehr. Schulungen und Dokumentation können HR und GRC übernehmen. Das Ka I Inventar, die Risikoklassifizierung und die Frage, ob ein Institut durch Anpassungen plötzlich selbst zum Anbieter wird, landen aber bei der Ai Tieh. Die gute Nachricht: Die nötigen Prozesse kennt sie im Prinzip schon. [speaker-prosody pitch=“high“]von Erena Langley, Navex.[/speaker-prosody]. Ein Teil der Umsetzung des EU AI Act dürfte bei HR- und GRC Teams angesiedelt sein. Viele Aufgaben werden jedoch zwangsläufig von der Ai Tieh verantwortet werden müssen. So gelten beispielsweise Schulungsanforderungen für Ai Tieh Mitarbeitende und andere Beschäftigte, deren Organisation und Dokumentation zentral durch HR und GRC erfolgen kann. Die technische Erfassung und Katalogisierung der im Unternehmen eingesetzten Ka I Systeme erfordert dagegen die aktive Führung durch die Ai Tieh. [speaker-prosody pitch=“low“]IT Abteilungen müssen ihre Ka I Prozesse anpassen![/speaker-prosody]. . Für jedes eingesetzte oder entwickelte Ka I System müssen Unternehmen relevante Informationen dokumentieren, den Verwendungszweck festhalten, die Risikokategorie bewerten und die vorgeschriebenen Transparenzanforderungen erfüllen. Auch wenn viele Unternehmen entsprechende Prozesse bereits teilweise etabliert haben, müssen Ai Tieh Abteilungen sicherstellen, dass diese den konkreten Anforderungen des regulatorischen Rahmens entsprechen. Eine wichtige Grundlage dafür ist ein strukturiertes Ka I Inventar. Eine einfache Liste, beispielsweise in einer Tabellenkalkulation, wird der Komplexität moderner Ai Tieh Landschaften jedoch kaum gerecht.[speaker-prosody pitch=“medium“]Ka I gelangt heute nicht nur durch die gezielte Beschaffung neuer Systeme ins Unternehmen. Neue Ka I Funktionen können mit einem regulären Software Update eingeführt oder unbemerkt Bestandteil einer bereits genehmigten Cloud Anwendung werden.“[/speaker-prosody]Statt lediglich eine statische Bestandsaufnahme zu erstellen, sollten Ai Tieh Abteilungen vorhandene Informationsquellen einbeziehen. Dazu gehören beispielsweise Software- und Website Changelogs sowie Deployment- und Versionsinformationen aus CI/CD Systemen. Ein GRC System sollte für jedes Ka I System definierte Richtlinien enthalten, anhand derer relevante Änderungen erkannt und bewertet werden können. Dieses Vorgehen ist Ai Tieh Teams grundsätzlich vertraut: Für Informationssicherheit, Backups und Datenaufbewahrung bestehen bereits vergleichbare Richtlinien und Kontrollen. Diese Prozesse müssen nun um Ka I spezifische Anforderungen ergänzt werden. Auch Beschaffungsprozesse sollten entsprechend erweitert werden, um den unkontrollierten Einsatz von „Shadow AI“ zu verhindern. [speaker-prosody pitch=“low“]Risiken nach dem EU AI Act steuern![/speaker-prosody]. . Wie wichtig eine kontinuierliche Erfassung ist, zeigt die Risikoklassifizierung. Der EU AI Act unterscheidet Systeme unter anderem anhand ihres Verwendungszwecks. Als Hochrisiko Ka I gelten insbesondere Anwendungen, die Entscheidungen über den Zugang von Menschen zu wesentlichen Dienstleistungen oder Chancen beeinflussen. Im Finanzsektor betrifft dies beispielsweise Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen, zur Risiko- und Preisbewertung bei Lebens- und Krankenversicherungen oder für bestimmte Personalentscheidungen.[speaker-prosody pitch=“medium“]Für Hochrisiko Systeme gelten erhöhte Anforderungen an Dokumentation, Tests, menschliche Aufsicht und Protokollierung, sodass einzelne Entscheidungen nachvollzogen werden können.“[/speaker-prosody]IT Abteilungen müssen deshalb nicht nur erfassen, welche Ka I Systeme eingesetzt werden. Sie benötigen auch Prozesse, die relevante Änderungen an einem System oder seinem Verwendungszweck erkennen. Denn eine solche Änderung kann zu einer neuen Risikoklassifizierung führen, und damit zusätzliche Compliance Pflichten auslösen. [speaker-prosody pitch=“low“]Wann aus einem Betreiber ein Anbieter wird![/speaker-prosody]. . Der Umfang der Pflichten hängt außerdem davon ab, ob ein Unternehmen nach dem EU AI Act als „Anbieter“ oder als „Betreiber“ eines Ka I Systems gilt. Banken und Versicherer setzen häufig Systeme ein, die von Dritten entwickelt wurden, und agieren damit grundsätzlich als Betreiber. Zu ihren Pflichten gehören unter anderem die bestimmungsgemäße Nutzung des Systems, die Sicherstellung menschlicher Aufsicht, die Aufbewahrung relevanter Protokolle und die Überwachung des Betriebs.[speaker-prosody pitch=“medium“]Für Anbieter gelten umfangreichere Anforderungen. Dazu können Konformitätsbewertungen, technische Dokumentation zur Funktionsweise des Systems und zusätzliche Testpflichten gehören.“[/speaker-prosody]IT Verantwortliche müssen daher genau beobachten, ob Änderungen an einem eingekauften System dazu führen, dass das Institut regulatorisch selbst zum Anbieter wird. Dies kann beispielsweise relevant werden, wenn ein Unternehmen ein System unter eigenem Namen oder eigener Marke anbietet, dessen Zweckbestimmung wesentlich verändert oder es unter bestimmten Voraussetzungen mit eigenen Daten weitertrainiert. [speaker-prosody pitch=“low“]KI Transparenz muss technisch nachweisbar sein![/speaker-prosody]. . Auch bei den Ergebnissen von Ka I Systemen spielen Transparenzanforderungen eine wichtige Rolle. Unternehmen müssen beispielsweise sicherstellen, dass relevante Ka I generierte Inhalte entsprechend gekennzeichnet werden und Kunden erkennen können, wenn sie etwa im Kundenservice mit einem Ka I System statt mit einem Menschen interagieren.[speaker-prosody pitch=“medium“]Für Ai Tieh Abteilungen bedeutet Compliance deshalb nicht nur, technische Kontrollen einzuführen.“[/speaker-prosody]Sie müssen auch nachweisen können, dass diese Kontrollen funktionieren. Klare Richtlinien, dokumentierte Verantwortlichkeiten und nachvollziehbare Compliance Maßnahmen schaffen die notwendige Evidenz gegenüber der Aufsicht. Die Umsetzung des EU AI Act ist mit erheblichem Aufwand verbunden.[speaker-prosody pitch=“medium“]Gut aufgestellte Ai Tieh Abteilungen verfügen jedoch bereits über wichtige Voraussetzungen: Sie kennen die Anforderungen der BaFin und haben Erfahrung damit, Software über ihren gesamten Lebenszyklus zu beschaffen, zu verwalten und zu überwachen.“[/speaker-prosody]Entscheidend ist nun, diese bestehenden Kompetenzen und Prozesse systematisch auf Ka I auszuweiten. Wer Ka I Governance nicht als zusätzliches Einzelprojekt, sondern als Erweiterung etablierter Ai Tieh, Risiko- und Compliance Prozesse versteht und dafür geeignete GRC Werkzeuge nutzt, schafft eine deutlich bessere Grundlage, um regulatorische Anforderungen dauerhaft und nachweisbar zu erfüllen. [speaker-prosody pitch=“high“]Sie hörten einen Beitrag von „Erena Langley, Navex“[/speaker-prosody]

 
Sie finden diesen Artikel im Internet auf der Website:
https://itfm.link/252228

• teilen 
• teilen 
• teilen 
• teilen 
• teilen 
• RSS-feed 
• E-Mail 
• drucken