Vorbereitung auf das EU-KI-Gesetz: Konkrete Schritte, die 2024 zu ergreifen sind

Freitag, den 8. Dezember 2023, markierte die entscheidende Bestätigung für eine vertrauenswürdige KI in der Europäischen Union. Nachdem das Gesetz der Europäischen Union über künstliche Intelligenz (EUAIA) durch die abschließenden Triloge seinen endgültigen Stand erreicht hat, wurden mehrere Fragen und Unklarheiten abgerundet und für die gesamte EU bestätigt. Angesichts der Tatsache, dass die Europäische Kommission, der Rat und das Parlament diese monumentale Einigung erzielt haben, fragen sich viele Unternehmen: „Was bedeutet das für mich?“

‍

Daher ist Calvin stolz darauf, seinen schrittweisen Makro-Leitfaden zur Vorbereitung Ihres Unternehmens auf die EUAIA im Jahr 2024 zu veröffentlichen!

‍

Schritt 1: KI-Inventar erstellen

Für den Erfolg der EUAIA müssen Unternehmen einen strukturierten Prozess einleiten, der alle KI-Modelle und Anwendungsfälle berücksichtigt. Dazu gehören die Katalogisierung aller KI-Systeme, die Erfassung ihrer Funktionen, die Organisation der Trainingsdaten, die Zuweisung von Rollen und die Erstellung der relevanten Dokumentation für jeden Punkt. Dies kann mithilfe von Tools wie der Calvin-Software geschehen, die Ihre KI-Portfolioerstellung.

‍

‍

Schritt 2: Expertenbewertung des KI-Risikoniveaus (EUAIA-Kategorisierung)

Die EUAIA verfolgt einen risikobasierten Ansatz und organisiert Verpflichtungen und Berichtspflichten in die folgenden Risikobereiche, denen jeder Anwendungsfall zugeordnet werden muss:

‍

Verbotenes Risiko

KI-Systeme, deren Einsatz als inakzeptabel angesehen wird, da sie die Werte und Grundrechte der Union verletzen. Zu diesen Verboten gehören Praktiken mit einem erheblichen Potenzial zur Manipulation von Personen durch unterschwellige Techniken, die über ihr Bewusstsein hinausgehen. Darüber hinaus befassen sie sich mit der Ausnutzung von Schwachstellen in bestimmten Gruppen, wie Kindern oder Menschen mit Behinderungen, mit dem Ziel, ihr Verhalten erheblich zu verzerren und ihnen oder anderen möglicherweise psychischen oder physischen Schaden zuzufügen.

‍

Hohes Risiko

Solche Systeme beziehen sich auf Modelle mit erheblichem Schweregrad und Umfang menschlicher Aktivitäten, einschließlich privater und öffentlicher Funktionen. Die jüngsten Diskussionen im Trilog haben das bestätigt Finanzen und Versicherungen die Verpflichtung der Branche, neben anderen Anforderungen eine verbindliche Bewertung der Auswirkungen ihrer Anwendungsfälle auf die Grundrechte zu erfüllen. Modelle, die die finanziellen Aspekte des Lebens von Einzelpersonen beeinflussen, wie etwa Algorithmen zur Bonitätsprüfung und zur Bewertung von Versicherungen, dürften im Rahmen der neuen Verordnung als risikoreich eingestuft werden.

‍

Daher werden die KI-Anforderungen mit hohem Risiko in drei Klassen eingeteilt: Allgemeine Anforderungen (gelten für alle), Anbieteranforderungen und Anforderungen für Bereitsteller/Importeure (abhängig vom Benutzertyp).

‍

Allgemeine Anforderungen schließen Sie Folgendes ein:

‍

- Angemessene KI-Risiko- und Qualitätsmanagementsysteme

- Effektive Datenverwaltung/Qualität der Datensätze, die das System versorgen, um Risiken und diskriminierende Folgen zu minimieren

- Protokollierung der Aktivitäten zur Sicherstellung der Rückverfolgbarkeit der Ergebnisse

- Detaillierte Dokumentation mit allen notwendigen Informationen über das System und seinen Zweck, damit die Behörden die Einhaltung der Vorschriften beurteilen können

- Klare und angemessene Informationen für den Benutzer

- Angemessene menschliche Aufsichtsmaßnahmen zur Risikominimierung

- Einhaltung der EUAIA-Standards für Robustheit, Sicherheit und Genauigkeit

- Registrierung von KI-Systemen mit hohem Risiko in der EU-Datenbank vor dem Einsatz

‍

Anforderungen des Anbieters umfassen die folgenden zusätzlichen Verpflichtungen und Verpflichtungen nach dem Inverkehrbringen:

‍

- Eine Konformitätsbewertung, um zu prüfen, ob die oben genannten Anforderungen erfüllt wurden

- Aufbewahrung von Protokollen, die von relevanten Systemen mit hohem Risiko generiert wurden, für einen Zeitraum von mindestens 6 Monaten

- Überwachung und Berichterstattung über die Leistung und Sicherheit von KI-Systemen während ihrer gesamten Lebensdauer mit kontinuierlicher aktiver Konformität mit der EUAIA

‍

Für Bereitsteller/Importeure Wenn KI in ihren Unternehmen aktiv Hochrisikosysteme einsetzt, ist zusätzlich Folgendes erforderlich:

‍

- Durchführung relevanter Prüfungen (z. B. Folgenabschätzungen zu den Grundrechten (FRIA) und Datenschutz-Folgenabschätzungen (somit DSGVO-konform)

- Implementierung menschlicher Aufsicht und Sicherstellung, dass die Eingabedaten für die Systemnutzung relevant sind

- Störungsmanagement, einschließlich Schadensbegrenzung und Berichterstattung

- Sicherstellen, dass alle relevanten Unterlagen nachgewiesen sind und den Anforderungen der EUAIA entsprechen

‍

Minimales Risiko

Die von der EU definierte Restkategorie, für die über die anfängliche Bewertung und die Transparenzverpflichtungen hinaus keine weiteren Verpflichtungen gelten. Für diese KI-Modelle gibt es nur einen sehr begrenzten Umfang und nur einen sehr begrenzten Risikoschwerpunkt mit nur geringen Auswirkungen auf den Menschen. Arbeitgeber, die solche KI einsetzen, werden jedoch von der EU ermutigt, sich freiwillig zur Einhaltung von Verhaltenskodizes zu verpflichten

‍

Allzweck-KI

Es ist wichtig zu beachten, dass im Rahmen des jüngsten Trilogs auch die Unterkategorie General Purpose AI (GPAI) fertiggestellt wurde: zusätzliche Transparenzanforderungen sind erforderlich für diese Modelle, die nämlich generative KI Funktionen mit „unendlichen“ Ausgängen (d. h. sie können von jeder Branche angenommen werden, da ihre Funktion nicht definitiv ist, wie LLM-Chatbot-Modelle). Derzeit liegen nur begrenzte Informationen zu den Kriterien für die Einstufung von GPAI-Modellen als besonders wirkungsvoll vor. Die EU legte den anfänglichen quantitativen Schwellenwert für den Rechenaufwand beim Training auf Floating Point Operations per Second (FLOPs) von > 10~25 fest. Die EU erkannte die Möglichkeit an, den FLOP-Schwellenwert bis zum Inkrafttreten der AIA zu aktualisieren, und erteilte der Kommission die entsprechende Befugnis.

‍

Insbesondere GPAI-Modelle mit hohem Risiko unterliegen den folgenden zusätzlichen Anforderungen:

‍

- Modellevaluierungen, Bewertungen und Minderung systemischer Risiken

- Durchführung von kontradiktorischen Tests

- Berichte an die Kommission über schwerwiegende Zwischenfälle

- Gewährleistung der Cybersicherheit und Berichterstattung über ihre Energieeffizienz.

- Schließlich müssen sich GPAIs mit systemischem Risiko bis zur Veröffentlichung harmonisierter EU-Standards möglicherweise auf Verhaltenskodizes stützen, um die Verordnung einzuhalten

‍

‍

Schritt 3: Erstellung eines strategischen Plans zur Bewältigung des einzigartigen Risikoprofils Ihres Unternehmens und Stärkung des KI-Risikomanagements durch Investitionen in KI-Governance

Danach sollte ein Unternehmen seinen strategischen Plan in Bezug auf das jeweilige Risikoprofil festlegen; Unternehmen halten einen hohen Prozentsatz von KI mit hohem Risiko Sie sollten in eine KI-Risikomanagement- und Governance-Suite investieren — ob intern oder über externe Dritte (wie Calvin Risk). Auf diese Weise können die Modelle kontinuierlich bewertet und zur Überprüfung zur Verfügung gestellt werden, sodass unbeabsichtigte Verstöße vermieden werden, ähnlich den über 1000 Strafen, die es bisher im Rahmen der DSGVO gab.

‍

‍

Schritt 4: Vorbereitung auf das EUAIA-Audit

Nach der „aktiven“ Verwaltung des eigenen KI-Portfolios (wie in Schritt 3 erwähnt) kann sich das Unternehmen dann auf die EUAIA-Audits vorbereiten. In der Regel kann dieser Prozess ziemlich umständlich werden; es kann sein, dass mehrere Mitarbeiter zusammen mit dem Prüfer oder der Prüfungsstelle ein langer Zeitaufwand für den Prozess (und Überarbeitungen) erforderlich sind. Da der Vorgang in erheblichem Maße manuell erfolgt, kann eine technologische Optimierung in diesem Schritt von erheblichem wirtschaftlichem Nutzen sein.

‍

Daher bietet Calvin ein KI-Managementsystem (EMS) an, um diesen Prozess voranzutreiben. Es ermöglicht das effiziente Hochladen von Beweisstücken in jedes KI-Modellprofil, die Verfolgung des Grades der Auditgenehmigung und die Digitalisierung des gesamten Revisionsprozesses.

‍

‍

Schritt 5: Interne Überprüfung und Prüfung

Nachdem die entsprechenden Unterlagen für jeden Artikel im KI-Portfolio verwaltet wurden, werden diese an die jeweiligen Behörden weitergeleitet (einschließlich der neuen Europäisches KI-Büro) und Prüfungsbehörden für jedes Land. Bei Systemen mit hohem Risiko wird die eigenständige KI in einer EU-Datenbank registriert. Darüber hinaus muss eine Konformitätserklärung unterzeichnet werden, sodass die Systeme die CE-Kennzeichnung (Conformité Européenne) tragen.

‍

Zwar werden sich die Einzelheiten der Rücküberweisung voraussichtlich 2024 zeigen, doch Unternehmen müssen sicherstellen, dass die Einhaltung der Vorschriften in ihrem gesamten Bestand einem allumfassenden Standard entspricht. Je nach Schweregrad liegen die Kosten bei Nichteinhaltung der Vorschriften zwischen 7,5 Mio. € oder 1,5% des Umsatzes bis 35 Mio. € oder 7% des weltweiten Umsatzes (je nachdem, welcher Wert für jeden Schwellenwert höher ist).

‍

‍

Schritt 6: Diskussion von Compliance und Risiko zu Beginn des Projekts, Bewertung von ROI und VaR

Ein optionaler, aber sehr empfehlenswerter letzter Schritt besteht darin, die Effizienz und das quantifizierte Risikoniveau des KI-Portfolios zu bewerten. Da Calvin den ROI und den VaR für das gesamte Portfolio regelmäßig aktualisiert, können Manager die rentabelsten (und am wenigsten) rentabelsten Modelle evaluieren und die Anwendungsfälle auf der Grundlage ihrer Risikoprofile verfeinern.

‍

‍

Folglich geht die Einhaltung der Vorschriften mit der Optimierung Ihres Portfolios einher, und der Prozess wird keine Ausgabe, sondern eine Chance.

‍

Sind Sie also bereit, Ihre KI-Qualität und Compliance vor der Konkurrenz in Angriff zu nehmen? Vereinbaren Sie noch heute einen Demoanruf mit uns!