OMB-Memorandum M-25-21

Was gilt als „High-Impact-KI“?

M-25-21, herausgegeben am 3. April 2025, hat die früheren Kategorien „Rechte beeinträchtigend“ und „Sicherheitsrisiken bergend“ aus M-24-10 durch eine einzige Kategorie ersetzt: High-Impact-KI (hochgradig folgenschwere KI). Ein KI-Anwendungsfall gilt dann als High-Impact, wenn seine Ergebnisse als wesentliche Grundlage für Entscheidungen oder Maßnahmen dienen, die Rechte, Sicherheit, den Zugang zu staatlichen Dienstleistungen oder den Betrieb bedeutender Behörden maßgeblich beeinflussen. Diese Konsolidierung hat einen praktischen Nutzen: Behörden führen nun ein einziges Bewertungsverfahren und einen einheitlichen Satz von Mindestpraktiken durch, anstatt zwei parallele Klassifizierungspfade pflegen zu müssen.

Was müssen Behörden tun?

• Einen Chief AI Officer ernennen. Erforderlich bis zum 30. Juni 2025. Bei Behörden, die dem CFO Act unterliegen, muss diese Rolle auf der Ebene des Senior Executive Service, des Scientific and Professional Service oder einer gleichwertigen Ebene angesiedelt sein – ausgestattet mit realer Budget- und Entscheidungskompetenz.

• Eine KI-Strategie veröffentlichen und ein öffentliches Verzeichnis der KI-Anwendungsfälle führen.

• Mindestpraktiken für das Risikomanagement auf High-Impact-KI anwenden. Diese umfassen Tests vor der Bereitstellung, fortlaufendes Monitoring, Transparenz und menschliche Aufsicht – sowohl vor der Einführung als auch kontinuierlich danach.

• Nicht-konforme Anwendungsfälle einstellen. Ein High-Impact-Anwendungsfall, der die Mindestpraktiken nicht einhalten kann, muss gestoppt werden.

• Ausnahmeregelungen (Waivers) sind möglich, jedoch nur durch eine schriftliche Feststellung des CAIO, falls die Einhaltung selbst das Risiko für die Sicherheit oder Rechte erhöhen oder ein unzumutbares Hindernis für den Betrieb darstellen würde.

Wer fällt in den Anwendungsbereich?

M-25-21 ist für Bundesbehörden der Exekutive bindend. Nationale Sicherheitssysteme sind davon ausgenommen. Die Reichweite der Richtlinie erstreckt sich jedoch über die Regierung hinaus, da Anbieter, die KI an Bundesbehörden verkaufen, die Nachweispflicht erben. Eine Behörde kann ein High-Impact-System nicht klassifizieren und überwachen, wenn sie keine Einsicht darin hat. Daher gehen die Dokumentationsanforderungen auf die Anbieter über.

Wie verhält sich M-25-21 zu M-25-22?

M-25-22 ist das Begleitmemorandum, das die Beschaffung von KI regelt. M-25-21 steuert, wie Behörden KI nutzen, und M-25-22 regelt, wie sie diese erwerben. Anbieter kommen in der Regel zuerst bei den Beschaffungsbedingungen mit M-25-22 in Berührung und danach mit M-25-21 im Rahmen der fortlaufenden Nachweise, die ihr Behördenkunde kontinuierlich erbringen muss. Beide zielen auf dieselbe grundlegende Anforderung ab: eine lückenlose Dokumentation darüber, was jedes KI-System tut, wer die Verantwortung trägt und welche Tests dies belegen. Dies ist ebenso sehr eine Herausforderung für das KI-Risikomanagement von Drittanbietern wie für das interne Risikomanagement.