Dieses Mal geht Europa voran. Mit dem EU AI Act hat die Europäische Union das weltweit erste Gesetz für einen sicheren, fairen und transparenten Einsatz von Künstlicher Intelligenz geschaffen. Er bildet den Auftakt für weitere KI-Regelwerke auf europäischer Ebene sowie nationalen Vorschriften und Standards der einzelnen Mitgliedstaaten. So denkt beispielsweise Deutschland mit dem Siegel „AI made in Germany“ bereits über eine Art KI-TÜV nach. Aber auch weltweit werden aktuell Richtlinien und Gesetze für den Einsatz von Künstlicher Intelligenz diskutiert und auf den Weg gebracht. Sie werden kommen und für alle Unternehmen relevant sein, die in den jeweiligen Ländern aktiv sind.

Der weltweite Trend, Künstliche Intelligenz in einen regulatorischen Ordnungsrahmen einzubetten, ist erfreulich, denn auf diese Weise entsteht eine verbindliche Vorstellung davon, welche KI wir wollen und welche nicht. Davon profitieren auch die Unternehmen. Wenn klar ist, was sie mit KI tun dürfen und was nicht, steigt das Sicherheitsgefühl ihrer Mitarbeiter und Kunden, weil sie darauf vertrauen können, dass ihre Rechte nicht verletzt werden.

Unterschiedliche Typologien von KI haben spezifische regulatorische Anforderungen

Für Unternehmen bedeutet diese Entwicklung konkret, dass sie an den richtigen Stellen für Transparenz sorgen müssen. Sie ist der mit Abstand wichtigste Aspekt des EU AI Act und wird es auch bei allen künftigen Vorgaben bleiben, ist aber nicht per se beim Einsatz von Künstlicher Intelligenz gefordert. Es gilt zu berücksichtigen und methodisch zu trennen, das wir es bei dem Phänomen Künstliche Intelligenz mit sehr unterschiedlichen Typologien von KI zu tun haben, die ganz eigene Charakteristika und damit auch spezifische regulatorische Anforderungen und Tücken aufweisen. Ob Transparenz eine kritische Anforderung ist, hängt davon ab, welche Art von KI für welchen Zweck eingesetzt wird.

Wenn ein Unternehmen beispielsweise prädiktive KI für seine Produktionsanlagen nutzt, um damit automatisiert Serviceintervalle für seine Maschinen zu ermitteln, ist das unkritisch, weil davon keine Grundrechte von Menschen betroffen sind. Dasselbe gilt, wenn sich Unternehmen von einer Process AI ihre Prozesse analysieren und sich Verbesserungsvorschläge machen lassen oder analytische KI dafür einsetzen, um aus einer Rechnung automatisch eine Überweisung zu generieren. In allen diesen Fällen ist es völlig unerheblich, wie genau die KI zu ihren Ergebnissen kommt. Wichtig ist nur, dass sie am Ende von Menschen geprüft und validiert werden.

Drohen Fehlinformationen, Diskriminierung oder Verstöße gegen den Datenschutz ist Transparenz kritisch

Kritisch ist Transparenz dagegen beispielsweise beim Einsatz von generativer KI. Unternehmen müssen wissen, auf welcher Basis diese KI faktenbezogene Texte erstellt, um gegen die so genannten Halluzinationen gewappnet zu sein. Wenn generative KI gar nicht über die erforderlichen Daten und Informationen verfügt, um auf eine Frage eine richtige Antwort zu geben, meldet sie das nicht zurück sondern erzeugt trotzdem eine Antwort. Sie „halluziniert“ und erfindet einfach Fakten, weil sie von Grund auf darauf ausgelegt ist, Texte zu generieren. Die Antworten klingen dabei meist schlüssig und sind auch formal fehlerfrei, so dass ihre inhaltlichen Mängel für Kunden oder Mitarbeiter oft gar nicht erkennbar sind. Das kann dazu führen, dass sie Fehlinformationen aufsitzen und falsche Entscheidungen treffen.

Zudem müssen Unternehmen darauf achten, dass in die Prompts von öffentlichen GenAI-Tools keine personenbezogenen Daten eingegeben werden. Was vielen nicht bewusst ist: Die Anbieter dieser Tools trainieren ihre KI-Modelle nicht nur mit im Internet frei verfügbaren Informationen, sondern auch den Eingaben der Nutzer. Daten, die man selbst eingibt, könnten so den Weg in die Antworten anderer Nutzer finden. Handelt es sich dabei um personenbezogene Informationen drohen Verstöße gegen Datenschutzvorgaben.

Kritisch ist Transparenz auch immer dann, wenn prädiktive KI dafür eingesetzt wird, um Entscheidungen zu unterstützen oder sogar selbst zu treffen, bei denen ein Risiko besteht, dass Menschen diskriminiert werden oder es zu Verstößen gegen den Datenschutz kommt. Ein Paradebeispiel dafür ist die KI-gestützte Kreditvergabe bei Banken. Hier müssen im Zweifelsfall alle entscheidungsrelevanten Fakten auf den Tisch. Eine Bank muss jederzeit nachweisen können, warum ein Kunde einen Kredit zu genau diesen Konditionen erhalten hat oder eben nicht ­– und dass sie dabei kein Profiling betrieben und Aspekte wie Geschlecht oder soziale Faktoren berücksichtigt hat. Ein solches Transparenz-Niveau ist in allen Fällen erforderlich, in denen Banken KI für Geschäftsentscheidungen einsetzen und dabei Daten verarbeiten, die Regularien der DSGVO oder Verbraucherschutzgesetzen unterliegen.

Dreiklang aus Werteorientierung, Normenbindung und Regelerfüllung

Grundsätzlich gilt für Banken – ebenso wie alle anderen Unternehmen – beim Umgang mit Künstlicher Intelligenz ein Dreiklang aus Werteorientierung, Normbindung und Regelerfüllung. Die Werteorientierung legt dabei die maßgeblichen ethischen Faktoren fest, die für den Einsatz von KI verbindlich gelten sollen. Damit liefert sie den Überbau für Normenkataloge wie ihn beispielsweise der EU AI Act darstellt. Aus den Normenkatalogen wiederum lassen sich dann die Rahmenbedingungen für Unternehmen in Form von handlungsweisenden praktischen Regeln ableiten.

Wie könnten solche praktischen Regeln aussehen? Banken sollten zunächst einmal in allen fraglichen Bereichen die eingesetzten KI-Verfahren auf den Prüfstand stellen. Viele Machine-Learning- und Deep-Learning-Methoden sind von Haus aus intransparent und machen es deshalb unmöglich, ihre Entscheidungen nachzuvollziehen. Solche Verfahren sollten Banken ausschließen.

Für ihre kritischen Entscheidungsprozesse können sie zudem spezielle KI-Plattformen nutzen, die gezielt auf Transparenz ausgelegt sind. Solche Plattformen ermöglichen es Mitarbeitern von Banken, Entscheidungsstrategien zu modellieren. Sie können die Entscheidungswege aus einzelnen Bausteinen selbst zusammenstellen und bekommen dabei aufgezeigt, welche Einflussfaktoren mit welcher Gewichtung in das KI-Modell einfließen. Bei Bedarf können sie dann die Gewichtung von Faktoren verändern oder einzelne Faktoren auch ganz ausschließen.

Den Einsatz von normkonformer KI auch später noch nachweisen

Durch diese Verfahren können Banken nicht nur sicherstellen, dass beispielsweise die Kriterien bei einer Kreditvergabe fair und normkonform ausgewählt wurden, sondern dies auch nachweisen. Geeignete KI-Plattformen bieten ihnen eine automatische Auditierbarkeit, die es ihnen ermöglicht, auch noch lange Zeit später jederzeit aufzuzeigen, wie eine Entscheidung zustande kam. Es gibt Lösungen auf dem Markt, die bis auf die Ebene einzelner Datenfelder nachweisen können, was wann wie mit welchem KI-Modell entschieden wurde. Prüfungen von Aufsichtsbehörden wie EBA oder Bafin können Banken dadurch ebenso gelassen entgegensehen wie eventuellen Klagen oder gerichtlichen Auseinandersetzungen.