Abgrenzung
Ein Produkt mit mehreren KI-Funktionen kann ein System sein oder viele, und die Antwort bestimmt, was Sie bewerten.
Risikostufe
Ob eine Verwendung hochriskant ist, hängt von Zweck und Umfeld ab, und die Grenze ist nicht immer klar.
Rolle
Entwicklung und Nutzung von KI bringen unterschiedliche Pflichten mit sich, und ein neuer Einsatzzweck kann Ihre Pflichten verschieben.
Die Gemeinsamkeiten
Nebeneinander gelesen verlangen die Regeln weitgehend dieselbe Arbeit. Das Framework des NIST fordert ein Inventar Ihrer KI-Systeme.1 Der EU AI Act verpflichtet Betreiber von Hochrisiko-KI-Systemen, geschulte Personen mit der Aufsicht zu betrauen und Protokolle mindestens sechs Monate lang aufzubewahren.2 In Texas hilft die Befolgung des NIST-Profils für generative KI sogar, eine Haftung zu vermeiden.3 Wer diese Arbeit einmal erledigt, ergänzt für jede neue Regel nur Details statt ein neues Programm aufzusetzen.
Welche dieser Vorschriften gelten für uns?
Das hängt davon ab, wo Ihre KI eingesetzt wird, worüber sie entscheidet und ob Sie sie entwickeln oder nutzen. Der EU AI Act kann Sie unabhängig von Ihrem Sitz betreffen, wenn Ihre KI oder deren Ergebnisse in der EU verwendet werden. Viele US-Bundesstaatsgesetze konzentrieren sich auf KI bei Entscheidungen über Menschen, etwa bei Einstellungen oder der Kreditvergabe. ISO 42001 und das NIST AI RMF sind freiwillig. Beginnen Sie mit einem Inventar und klassifizieren Sie dann jedes System.
Sollten wir warten, bis sich die Regeln gefestigt haben?
Bei manchen Hochrisiko-Anforderungen kann Abwarten vertretbar sein, da diese EU-Fristen auf Dezember 2027 und August 2028 verschoben wurden. Vieles andere gilt bereits: in der EU die verbotenen Praktiken und die Pflicht zur KI-Kompetenz, dazu Gesetze in Texas, Kalifornien und New York City. Auch Kunden verlangen Nachweise nach ihrem eigenen Zeitplan. Die Grundlagen sind in allen Regelwerken weitgehend gleich, ein früher Start ist also keine verlorene Mühe.
Deckt eine Zertifizierung nach ISO 42001 den EU AI Act ab?
Nein. Ein Zertifikat einer akkreditierten Zertifizierungsstelle zeigt Kunden und Partnern, wie Sie KI managen. Nach dem EU AI Act ergibt sich eine Konformitätsvermutung aus harmonisierten Normen, die im Amtsblatt der EU veröffentlicht sind, oder aus gemeinsamen Spezifikationen der EU. Beide überschneiden sich bei Risikobewertung, Rollen und Aufzeichnungen, sodass ein Programm beides abdecken kann. Prüfen müssen Sie dennoch jedes nach seinen eigenen Maßstäben.
Wie geht Enzai mit mehreren Frameworks um?
Jedes Framework läuft als eigene Bewertung eines KI-Systems in Ihrem Inventar, und die Risiken des Systems stehen in einem gemeinsamen Register. Starten Sie mit fertigen Frameworks wie dem EU AI Act und ISO 42001, oder erstellen Sie eigene, etwa für das NIST AI RMF oder ein Bundesstaatsgesetz. Wo zwei Frameworks dieselbe Frage stellen, entscheidet Ihr Team, ob eine Antwort für beide gilt.
