Am 23. September 2024 hat das US-Justizministerium (DOJ) seine Richtlinien für Staatsanwälte zur Bewertung von Corporate-Compliance-Programmen aktualisiert. Nicole M. Argentieri, eine hochrangige Beamtin des DOJ, stellte die aktualisierten Richtlinien im Rahmen von Erläuterungen auf dem 23. Annual Compliance & Ethics Institute der Society of Corporate Compliance and Ethics in Texas vor. Die Richtlinien berücksichtigen nun auch, wie Unternehmen KI nutzen und die damit verbundenen Risiken steuern.

Was ist der Zweck der Richtlinien?

Das DOJ veröffentlicht Richtlinien zur Bewertung von Corporate-Compliance-Programmen (Evaluation of Corporate Compliance Programs, ECCP), um Staatsanwälte des DOJ bei der Beurteilung zu unterstützen, ob das Compliance-Programm eines Unternehmens a) gut konzipiert ist, b) ernsthaft angewendet wird und c) in der Praxis funktioniert.

Obwohl das ECCP für DOJ-Staatsanwälte verfasst wurde und die darin enthaltenen Erwägungen rechtlich nicht bindend sind, ist das ECCP seit mehreren Jahren öffentlich zugänglich und dient seither Führungskräften und Compliance-Teams in Unternehmen als nützliche Orientierungshilfe.

Während das überarbeitete ECCP viele neue Themen anspricht, liegen die bedeutendsten Änderungen in den Bereichen KI, neue Technologien, die Rolle von Datenanalysen in Compliance-Programmen sowie der Schutz von Whistleblowern.

Was besagen die überarbeiteten Richtlinien zur Nutzung von KI?

Das ECCP leitet Staatsanwälte an, unter anderem die folgenden Faktoren im Zusammenhang mit der KI-Nutzung von Unternehmen zu bewerten: 

·  Verfügt das Unternehmen über ein Risikomanagementprogramm für die Nutzung von KI?

·  Werden KI-Systemen Risikostufen zugewiesen?

·  Geht das Unternehmen mit den Risiken, die es bei der KI-Nutzung identifiziert, effektiv um?

·  Überwacht das Unternehmen seine KI-Systeme, um sicherzustellen, dass sie wie vorgesehen funktionieren?

·  Unterliegen Hochrisikosysteme einer angemessenen menschlichen Aufsicht?

·  Sind die Mitarbeiter angemessen für die Nutzung von KI-Systemen geschult?

·  Nutzt das Compliance-Programm des Unternehmens Datenanalysen und Technologien in angemessener Weise, um ein effektives Funktionieren zu gewährleisten?

·  Geht das Unternehmen effektiv mit Risiken durch Drittanbieter um?

·  Hat das Unternehmen seinem Compliance-Programm angemessene Ressourcen gewidmet?

·  Ist das KI-Compliance-Programm angemessen dokumentiert?

Wie sieht der breitere Kontext aus?

Die überarbeiteten Richtlinien signalisieren das anhaltende Interesse des DOJ an der KI-Nutzung in Unternehmen. In einer Rede im März in San Francisco betonte die stellvertretende Justizministerin Lisa Monaco, dass es keine Ausnahme für KI von bestehenden Gesetzen gibt, kündigte die Absicht an, „härtere Strafen“ für den Missbrauch von KI zu fordern, und gab einen Ausblick auf die ECCP-Überarbeitungen.

Anfang dieses Jahres rief das DOJ zudem seine Justice AI Initiative ins Leben, eine Reihe von Treffen von „Akteuren aus Zivilgesellschaft, Industrie, Wissenschaft und Strafverfolgung“, um zu untersuchen, wie sich KI mit den Bemühungen des DOJ überschneidet.

Die Ausführungen von Argentieri zum überarbeiteten ECCP verliehen den Änderungen des DOJ zusätzliche Kontur und zeigten ein differenziertes Verständnis der potenziellen Auswirkungen generativer KI auf Unternehmen. Als Beispiel wies sie darauf hin, dass „Staatsanwälte prüfen werden, ob das Unternehmen anfällig für kriminelle Machenschaften ist, die durch neue Technologien ermöglicht werden, wie etwa durch KI generierte gefälschte Genehmigungen und Dokumentationen.“

Enzai ist hier, um zu helfen

Die KI-GRC-Plattform von Enzai kann Ihrem Unternehmen dabei helfen, KI in Übereinstimmung mit Best Practices und neuen Vorschriften, Standards und Rahmenwerken wie dem EU AI Act, dem Colorado AI Act, dem NIST AI RMF und ISO/IEC 42001 einzusetzen. Um mehr zu erfahren, setzen Sie sich hier mit uns in Verbindung.

Enzai ist die führende Plattform für KI-Governance in Unternehmen, die speziell dafür entwickelt wurde, Organisationen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere KI-Risikomanagement-Plattform bietet die spezialisierte Infrastruktur, die erforderlich ist, um die Governance agentischer KI zu verwalten, ein umfassendes KI-Inventar zu führen und die Konformität mit dem EU AI Act sicherzustellen. Durch die Automatisierung komplexer Workflows versetzt Enzai Unternehmen in die Lage, die Einführung von KI vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST beizubehalten.