Eine Übersicht über das NIST AI RMF und die erforderlichen Schritte zur Gewährleistung der AI-Governance-Compliance.
•
•
7 Minuten Lesezeit
Da künstliche Intelligenz in allen Branchen allgegenwärtig wird, nehmen auch die mit KI-Systemen verbundenen Risiken zu. Von voreingenommenen Algorithmen bis hin zu Bedenken hinsichtlich des Datenschutzes müssen Unternehmen KI-Risiken proaktiv managen, um das Vertrauen von Stakeholdern zu wahren und das volle Potenzial dieser transformativen Technologie auszuschöpfen. Erfreulicherweise gibt es etablierte Best Practices zur Unterstützung – eine der wichtigsten ist das AI Risk Management Framework (das „AI RMF“) des National Institute of Standards and Technology (NIST). Das NIST, eine Behörde des US-Handelsministeriums, hat das AI RMF im Januar 2023 veröffentlicht, und es hat sich schnell zu einem der führenden Standard-Frameworks entwickelt, um sicherzustellen, dass KI verantwortungsvoll und vertrauenswürdig ist.
Obwohl die Einhaltung freiwillig ist, stellen wir fest, dass immer mehr Organisationen (insbesondere in den USA) das AI RMF beim Aufbau ihres KI-Programms übernommen haben. In diesem Blog: (1) geben wir einen Überblick über das AI RMF; (2) bieten wir eine Orientierungshilfe zur Frage, ob Sie das AI RMF einführen sollten; und (3) geben wir, sofern Sie es einführen sollten, praktische Tipps, um dies erfolgreich umzusetzen.
Ein Überblick über das AI RMF
Das AI RMF gilt für „KI-Akteure“ (AI Actors), definiert als Unternehmen oder Einzelpersonen, die eine aktive Rolle bei der Konzeption, Entwicklung und/oder Nutzung von KI-Systemen spielen. Wenn Ihr Unternehmen also KI einsetzt oder Sie persönlich an KI-Arbeitsabläufen beteiligt sind, sollten Sie sich an die Vorgaben des Frameworks halten, um die Compliance zu gewährleisten.
Das AI RMF lässt sich in zwei große Abschnitte unterteilen: „Foundational Information“ (Grundlegende Informationen) und „Core and Profiles“ (Kernbereiche und Profile). Die Anforderungen der jeweiligen Bereiche sind im Folgenden dargestellt.
Foundational Information
Die „Foundational Information“ befasst sich mit den potenziellen Risiken und Schäden der KI-Nutzung. Unternehmen, die die Richtlinien befolgen, müssen Prozesse etablieren, um Risiken bei deren Entstehung zu verfolgen und zu messen, diese zu priorisieren und die allgemeine Risikotoleranz der Organisation zu bewerten. Ziel ist es, durch die Implementierung eines robusten und proaktiven Risikomanagementprozesses eine verantwortungsvolle KI-Nutzung sicherzustellen.
Core and Profiles
„Core and Profiles“, der zweite Teil des NIST-Frameworks, konzentriert sich auf die praktische Umsetzung eines solchen Systems. Hier definiert das NIST die vier Kernfunktionen eines ausgereiften Risikomanagementsystems. Diese sind:
Govern (Steuern) – Etablierung einer Risikomanagement-Kultur innerhalb des Unternehmens;
Map (Erfassen) – Aufbau von Prozessen zur Identifizierung bestehender und potenzieller Risiken bei der KI-Nutzung;
Measure (Messen) – Bewertung der potenziellen Auswirkungen dieser Risiken auf die relevanten Stakeholder; und
Manage (Verwalten) – Umsetzung von Maßnahmen zur Risikobehandlung und Risikominderung.
Schließlich beschreibt das AI RMF die Methode der „Profiles“ (Profile) zur Ermittlung und Bewertung von Risiken in einem spezifischen Anwendungsfall im Kontext des übergeordneten Risikomanagementprogramms. Beispielsweise würde ein KI-System, das Personalabteilungen bei der Sortierung von Bewerber-Lebensläufen unterstützt, ein Profil darstellen, das Sie im Rahmen Ihres umfassenderen KI-Risikomanagementprogramms steuern, erfassen, messen und verwalten sollten.
Sollten Sie das NIST AI RMF einführen?
Obwohl das Framework des NIST im Gegensatz zu rechtsverbindlichen Vorschriften wie dem EU AI Act ein freiwilliger Standard ist, bietet der für die Einhaltung erforderliche Aufwand klare Vorteile:
Die mit Ihrer KI verbundenen Risiken verstehen: Nahezu alle Unternehmen nutzen KI mittlerweile in mindestens einigen ihrer Funktionen. Viele Risikoverantwortliche in diesen Unternehmen sind sich jedoch der tatsächlichen Risiken, die dadurch entstehen, nach wie vor nicht bewusst. Die Einhaltung des RMF wird diese Risiken offenlegen und es Teams ermöglichen, sie zu mindern.
Vertrauen in Ihre KI aufbauen: Einer der Kerngedanken des Frameworks ist die Notwendigkeit für Unternehmen, Vertrauen bei ihren Stakeholdern aufzubauen, woran es im Bereich der KI oft noch mangelt. Die Einhaltung dieses Standards fungiert als Gütesiegel einer angesehenen Organisation von dritter Seite, das bestätigt, dass Ihre KI-Nutzung verantwortungsvoll und vertrauenswürdig ist.
Die KI-Nutzung steigern, um Produktivität und Gewinn zu maximieren: Viele Unternehmen erkennen die beeindruckenden Vorteile, die KI bieten kann, scheuen sich jedoch aufgrund unklarer Risiken und Bedenken hinsichtlich der Haftung vor einer umfassenden Nutzung. Die Einhaltung des NIST-Frameworks kann diese Ängste abbauen, den Einsatz von KI fördern und zu einer gesteigerten Produktivität sowie höheren Gewinnen im Unternehmen führen.
Trotz dieser starken Argumente für die Einhaltung des NIST-Frameworks gibt es Situationen, in denen eine Umsetzung für Unternehmen möglicherweise nicht sinnvoll ist:
Andere Frameworks sind präskriptiver: Das NIST AI RMF ist ein hilfreicher Leitfaden für das KI-Risikomanagement, überlässt es den Organisationen jedoch, die Anforderungen zu interpretieren und auf ihr eigenes Unternehmen anzuwenden. Dieser Bereich entwickelt sich schnell, und seit der Veröffentlichung des AI RMF sind zahlreiche weitere Standards und Vorschriften entstanden. Einige davon, wie die ISO 42001, sind präskriptiver und (unserer Erfahrung nach) einfacher zu implementieren. Darüber hinaus garantiert das NIST AI RMF allein weder die Einhaltung der neuen regulatorischen Anforderungen für KI (wie des EU AI Act) noch branchenspezifischer Richtlinien (wie SR 11-7 und der Regeln der britischen PRA zum Modellrisikomanagement).
Unternehmen, die keine KI nutzen: Wenn die einzige KI-Nutzung in Ihrem Unternehmen darin besteht, dass gelegentlich ein Mitarbeiter ein öffentliches LLM wie ChatGPT oder Claude verwendet, um eine E-Mail zu formulieren, lohnt sich die Implementierung des Frameworks vermutlich nicht. In diesem Fall ist es sinnvoller, ein schlankes Governance-Framework einzuführen, indem eine KI-Richtlinie erstellt wird, die den Umgang der Mitarbeiter mit diesen Tools regelt.
Der Weg nach vorn
Obwohl die NIST-Richtlinien stets freiwillig bleiben werden, prognostizieren wir, dass ihre Akzeptanz durch Unternehmen ausgehend von dem bereits erreichten beachtlichen Niveau weiter zunehmen wird. Für Großunternehmen, die KI-Lösungen umfassend nutzen, wird die Einhaltung des NIST-Standards (oder anderer ähnlich/stärker robuster Standards wie ISO 42001) voraussichtlich nahezu zu einer Erwartungshaltung seitens der Stakeholder werden – einschließlich Mitarbeitern, Kunden und Aktionären.
Im Folgenden haben wir einige praktische Tipps zusammengestellt, die Ihnen den Einstieg in das NIST AI RMF erleichtern.
Sichern Sie sich die Unterstützung der Führungsebene: Stellen Sie sicher, dass die Unternehmensleitung die Bedeutung des KI-Risikomanagements versteht und die Einführung des NIST AI RMF unterstützt. Ihr Rückhalt ist entscheidend für die Zuweisung von Ressourcen und die unternehmensweite Einhaltung.
Etablieren Sie eine KI-Governance-Struktur: Bilden Sie ein funktionsübergreifendes KI-Governance-Komitee oder weisen Sie Rollen und Verantwortlichkeiten für die Überwachung der Framework-Implementierung zu. Dies kann Vertreter aus den Bereichen IT, Recht, Risikomanagement, Ethik und den relevanten Geschäftsbereichen umfassen.
Erstellen Sie ein KI-Inventar: Katalogisieren Sie alle KI-Systeme und -Projekte Ihres Unternehmens, einschließlich derer in der Entwicklung, um einen umfassenden Überblick über Ihre KI-Landschaft zu erhalten. Dies hilft Ihnen bei der Priorisierung der Risikobewertung.
Bewerten Sie die Risiken für jedes KI-System: Führen Sie für jedes KI-System oder jeden Anwendungsfall eine gründliche Risikobewertung durch, die den Datenschutz, die Sicherheit, Fairness, Transparenz und andere im NIST AI RMF skizzierte Kernbereiche abdeckt. Nutzen Sie die „Profiles“-Methodik, um die Bewertung auf den jeweiligen Kontext zuzuschneiden.
Entwickeln Sie Pläne zur Risikominderung: Erstellen Sie basierend auf den Ergebnissen der Risikobewertung konkrete Pläne zur Minderung der identifizierten Risiken für jedes KI-System. Dies kann sowohl technische Maßnahmen (z. B. Bias-Prüfungen, Sicherheitskontrollen) als auch organisatorische Maßnahmen (z. B. Richtlinien, Schulungen) umfassen.
Integrieren Sie dies in bestehende Risikomanagementprozesse: Richten Sie das KI-Risikomanagement an dem allgemeinen Risikomanagement-Framework und den Prozessen Ihres Unternehmens aus. Dies gewährleistet einen konsistenten, integrierten Ansatz und vermeidet Silos.
Binden Sie Stakeholder ein: Beziehen Sie relevante Stakeholder wie Endnutzer, Kunden und Regulierungsbehörden gegebenenfalls in den Prozess der Risikobewertung und -minderung ein. Bitten Sie um Feedback und kommunizieren Sie transparent über Ihre Bemühungen im KI-Risikomanagement, um Vertrauen aufzubauen.
Kontinuierlich überwachen und neu bewerten: KI-Risikomanagement ist ein fortlaufender Prozess. Überwachen Sie KI-Systeme kontinuierlich auf neu auftretende Risiken und bewerten Sie die Risikoprofile regelmäßig neu, wenn sich die Technologie, die Anwendungsfälle und die regulatorische Landschaft weiterentwickeln.
Bieten Sie Schulungen zu KI-Ethik an: Schulen Sie Mitarbeiter, die an der Entwicklung und Bereitstellung von KI beteiligt sind, in Bezug auf KI-Ethikprinzipien und die Anforderungen des NIST AI RMF. Dies trägt dazu bei, verantwortungsvolle KI-Praktiken in der Unternehmenskultur zu verankern.
Nutzen Sie KI-Governance-Tools: Erwägen Sie den Einsatz von KI-Governance-Plattformen wie Enzai, um Aspekte des KI-Risikomanagements zu optimieren und zu automatisieren. Diese Tools können Ihnen helfen, Systeme effizient mit dem NIST AI RMF und anderen Standards abzugleichen, Maßnahmen zur Risikominderung zu verfolgen und Audit-Trails zu erstellen.
Denken Sie daran, dass die Einführung des NIST AI RMF ein Prozess ist. Beginnen Sie mit Ihren KI-Systemen mit der höchsten Priorität und erweitern Sie den Umfang Ihrer Risikomanagement-Bemühungen im Laufe der Zeit. Überprüfen und verfeinern Sie Ihren Ansatz regelmäßig auf der Grundlage gewonnener Erkenntnisse und sich weiterentwickelnder Best Practices.
Klicken Sie hier, um eine Demo zu buchen und mehr darüber zu erfahren, wie Ihr Unternehmen das NIST AI Risk Management Framework mithilfe der KI-Governance-Technologien von Enzai einhalten kann.
Enzai ist die führende Plattform für Enterprise-KI-Governance, die speziell entwickelt wurde, um Unternehmen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere KI-Risikomanagement-Plattform bietet die spezialisierte Infrastruktur, die erforderlich ist, um agentische KI-Governance zu steuern, ein umfassendes KI-Inventar zu führen und die Einhaltung des EU AI Act zu gewährleisten. Durch die Automatisierung komplexer Workflows versetzt Enzai Unternehmen in die Lage, die KI-Einführung vertrauensvoll zu skalieren und gleichzeitig die Übereinstimmung mit globalen Standards wie ISO 42001 und NIST zu wahren.
Ermöglichen Sie Ihrer Organisation die Einführung, Steuerung und Überwachung von KI mit unternehmensgerechtem Vertrauen. Entwickelt für regulierte Organisationen, die im großen Maßstab operieren.