Was die jüngsten Maßnahmen der FTC für Unternehmen bedeuten, die KI nutzen

Die amerikanische Regulierung von KI ist ein Flickenteppich. Zunächst einmal gelten bestehende Gesetze auf allen Ebenen auch für KI-Systeme. Was allgemeine Regeln für KI betrifft, so ist das maßgebliche AI Risk Management Framework des NIST freiwillig, die Trustworthy AI Executive Order der Biden-Administration und die darauf folgenden OMB-Leitlinien gelten nur für die Bundesregierung, und Colorado ist derzeit der einzige Bundesstaat, der KI-Systeme auf breiter Basis reguliert. Andere Gerichtsbarkeiten – wie New York City und Illinois – haben spezifische KI-Anwendungsfälle, wie etwa die automatisierte Einstellung von Mitarbeitern, reguliert.

Derzeit bieten die Leitlinien und Maßnahmen der U.S. Federal Trade Commission („FTC“) das klarste Bild davon, wie die Bundesregierung von Unternehmen den Einsatz von KI-Systemen erwartet. Jüngste Leitlinien der FTC haben versucht, aktuelle Ereignisse schnell zu adressieren. Im Februar verabschiedete die FTC eine Regelung, die den Einsatz von KI-Deepfakes zur Identitätstäuschung von Organisationen oder Regierungsbehörden verbietet. Im selben Monat warnte sie KI-Unternehmen davor, ihre Nutzungsbedingungen heimlich mit rückwirkender Kraft zu ändern. Diese Aktivitäten ergänzen die kartellrechtliche Prüfung von Investitionen und Übernahmen durch große Technologieunternehmen. Im Mai verfasste die FTC-Vorsitzende Lina Khan einen Gastbeitrag in der New York Times, in dem sie ihren vorgeschlagenen Ansatz zur KI-Regulierung beschrieb.

‍

Warum war der Fall Rite Aid im Dezember so wichtig?

Im Dezember 2023 verkündete die FTC einen Vergleich mit der Apothekenkette Rite Aid. Rite Aid hatte laut einer Beschwerde der FTC „Schnittstellen zur Gesichtserkennungstechnologie in Hunderten seiner Apothekenstandorte eingesetzt, um Kunden zu identifizieren, die zuvor als potenziell verdächtig für Ladendiebstahl oder anderes kriminelles Verhalten eingestuft worden waren“. Im Rahmen des Vergleichs stimmte Rite Aid zu, den Einsatz von Gesichtserkennungssystemen in seinen Filialen oder online für fünf Jahre zu unterlassen und Fotos sowie Videos von Kunden zu löschen, die unzulässigerweise in Gesichtserkennungssystemen verwendet wurden, einschließlich aller aus dieser Nutzung abgeleiteten „Daten, Modelle und Algorithmen“.

‍

‍

Welche Auswirkungen hat dies für Organisationen, die KI nutzen?

Der Vergleich der FTC mit Rite Aid war aus zwei Gründen bemerkenswert. Erstens demonstrierte er die Interpretation der FTC bezüglich KI-Diskriminierung. Zweitens markierte er die fortgesetzte Anwendung von Model Disgorgement (der erzwungenen Löschung von Modellen) als Abhilfemaßnahme.

KI-Diskriminierung

In Bezug auf KI-Diskriminierung stellte die FTC fest, dass der Einsatz von Gesichtserkennungssystemen durch Rite Aid die hohen Fehlalarmraten bei verschiedenen demografischen Gruppen nicht berücksichtigte. Zudem wurde argumentiert, dass die Auswahl der Filialen für den Einsatz der Gesichtserkennung eine unverhältnismäßig diskriminierende Auswirkung auf Minderheiten hatte.

Model Disgorgement

Die FTC forderte zudem das sogenannte „Model Disgorgement“ – ein relativ neues Rechtsmittel, das sie 2019 eingeführt hat und das eine Organisation dazu verpflichtet, Daten, Modelle und Algorithmen zu löschen, die aus unzulässig genutzten KI-Systemen stammen. Seit 2019 hat die FTC Model Disgorgement bereits in zahlreichen Fällen gefordert, unter anderem im Zusammenhang mit Cambridge Analytica, Everalbum, WW (ehemals Weight Watchers) und Ring. Es ist davon auszugehen, dass die FTC dieses Mittel auch bei künftigen KI-Durchsetzungsmaßnahmen anwenden wird.

Lehren

Einige Lehren, die Organisationen aus dem Fall Rite Aid ziehen sollten, sind unter anderem: 

·     Durchführung von KI-Risikobewertungen

·     Einführung umfassender Schulungsprogramme für Mitarbeiter, die hochriskante KI-Systeme überwachen

·     Berücksichtigung des Kontexts des KI-Einsatzes, einschließlich potenzieller diskriminierender Auswirkungen

·     Sorgfältige Prüfung von Datensätzen auf Genauigkeit, Voreingenommenheit und Zweckmäßigkeit

·     Transparenz gegenüber Personen darüber, wie ihre Daten verwendet werden

·     Sorgsame Abwägung, wie und in welchem Maße KI-Systeme gegenüber der Öffentlichkeit und Regulierungsbehörden dargestellt werden

·     Bewertung der Datenschutz- und verantwortungsvollen KI-Praktiken von Drittanbietern

‍

Enzai ist hier, um zu helfen

Das Produkt von Enzai kann Ihr Unternehmen dabei unterstützen, KI in Übereinstimmung mit Best Practices sowie neuen Vorschriften, Standards und Rahmenwerken wie dem EU AI Act, dem Colorado AI Act, dem NIST AI RMF und ISO/IEC 42001 einzusetzen. Um mehr zu erfahren, setzen Sie sich hier mit uns in Verbindung.

Enzai ist die führende Plattform für KI-Governance in Unternehmen, die speziell dafür entwickelt wurde, Organisationen beim Übergang von abstrakten Richtlinien zur operativen Aufsicht zu unterstützen. Unsere KI-Risikomanagement-Plattform bietet die spezialisierte Infrastruktur, die für die Verwaltung der agentischen KI-Governance, die Führung eines umfassenden KI-Inventars und die Gewährleistung der Konformität mit dem EU AI Act erforderlich ist. Durch die Automatisierung komplexer Workflows ermöglicht Enzai es Unternehmen, die KI-Einführung vertrauensvoll zu skalieren und gleichzeitig die Ausrichtung an globalen Standards wie ISO 42001 und NIST sicherzustellen.