Eine Erklärung zur KI-Risikobereitschaft beschreibt die Arten und das Ausmaß von KI-bezogenen Risiken, die eine Organisation bei der Verfolgung ihrer Ziele zu akzeptieren bereit ist. Eine sinnvolle Erklärung macht aus allgemeinen Prinzipien Entscheidungsschwellen, Limits und Eskalationsregeln, die echte Entscheidungen über KI-Systeme leiten können.

Die Risikobereitschaft wird vom Führungsgremium der Organisation festgelegt und sollte deren Zweck, rechtliche Verpflichtungen, Ressourcen und die von ihren Entscheidungen betroffenen Menschen widerspiegeln. Sie ist keine Erklärung darüber, ob KI sicher oder unsicher ist. Verschiedene Einsatzzwecke erzeugen unterschiedliche Expositionen: Ein Tool, das interne Zusammenfassungen erstellt, hat nicht dieselben Konsequenzen wie ein System, das den Zugang zu Arbeit, Gesundheitsversorgung, Kredit oder essenziellen Dienstleistungen beeinflusst.

Die Erklärung operationalisieren

Eine Erklärung ohne konkrete Schwellenwerte ist eine Pressemitteilung, kein Governance-Instrument. Begriffe wie „verantwortungsvoll“, „risikoarm“ oder „menschzentriert“ drücken Absichten aus, teilen einem Team jedoch nicht mit, wann eine vorgeschlagene Nutzung genehmigt werden muss, welches Restrisiko akzeptiert werden kann oder wer die Bereitstellung stoppen darf. Eine nützliche Risikoerklärung definiert messbare oder beobachtbare Grenzen und erklärt, was passiert, wenn diese überschritten werden.

Schwellenwerte können sich auf die Schwere und Umkehrbarkeit eines möglichen Schadens, die Qualität der Evidenz, zulässige Grade der menschlichen Überprüfung, Datensensitivität, die Modellleistung oder die Abhängigkeit von einem einzelnen Anbieter beziehen. Sie sollten zudem unumstößliche Grenzen definieren, wie etwa verbotene Nutzungen oder Entscheidungen, die gemäß der Richtlinie der Organisation nicht an ein automatisiertes System delegiert werden dürfen. Die Formulierung muss für Vorstandsmitglieder, Systemverantwortliche und technische Teams verständlich bleiben.

Risikobereitschaft mit Entscheidungen verknüpfen

Für eine vorgeschlagene KI-Nutzung kann der Eigentümer den beabsichtigten Nutzen, betroffene Gruppen, Hauptrisiken, Nachweise und Kontrollen dokumentieren und dann das Restrisiko mit den vereinbarten Grenzen vergleichen. Wenn eine Grenze überschritten wird oder die Nachweise schwach sind, sollte der nächste Schritt klar sein: zusätzliche Zusicherungen einholen, die Nutzung einschränken, Kontrollen hinzufügen, die Genehmigung auf einer höheren Ebene einholen oder den Einsatz ablehnen. Dies macht die Risikobereitschaft zu einem Teil des Entscheidungsprozesses und nicht zu einem Dokument, das getrennt vom Betrieb geführt wird.

Die Risikobereitschaft muss auch Unsicherheit widerspiegeln. Ein System kann sich im Test bewähren, aber nach der Freigabe auf unbekannte Eingaben oder sich ändernde Bedingungen stoßen. Organisationen können strengere Grenzen setzen, solange die Nachweise begrenzt sind, einen stufenweisen Einsatz verlangen und die Signale definieren, die eine Pause oder Neubewertung auslösen. Die Risikobereitschaft ersetzt weder die laufende Überwachung noch die Pflicht zum Handeln, wenn tatsächlicher Schaden auftritt.

Überprüfen Sie die Erklärung, während sich die Nutzung, die Verpflichtungen und die Risikolandschaft der Organisation weiterentwickeln. Ein fundierter Ansatz verknüpft die Grenzen auf Unternehmensebene mit den Toleranzen auf Systemebene, ohne vorzugeben, dass eine einzige Zahl jede Form von KI-Risiko beschreiben kann. Benannte Verantwortliche müssen wissen, welche Entscheidungen sie selbst treffen dürfen und welche an die Führungsebene oder den Vorstand eskaliert werden müssen.