KI-Risikomanagement ist die koordinierte Arbeit des Identifizierens, Bewertens, Behandelns und Überwachens von Risiken, die durch die Entwicklung, Beschaffung, Bereitstellung oder Nutzung von Systemen der künstlichen Intelligenz entstehen. Es verbindet Entscheidungen über ein KI-System mit den Personen, Prozessen und Kontrollen, die Schaden verhindern oder bei veränderten Bedingungen reagieren können.

Es erweitert das unternehmerische Risikomanagement (ERM), anstatt es zu ersetzen. Bestehende Disziplinen wie Recht, Sicherheit, Datenschutz, operative Widerstandsfähigkeit und interne Revision bleiben relevant. KI fügt Fragen hinzu, die möglicherweise nicht genau in etablierte Technologiekontrollen passen: Ist das System für diesen Zweck geeignet? Wie zuverlässig ist sein Verhalten unter sich ändernden Bedingungen? Wer ist für seine Ergebnisse verantwortlich und was passiert, wenn die menschliche Überprüfung versagt?

Ebenen der Arbeit

Ein nützliches Programm arbeitet auf mehr als einer Ebene. Strategische Arbeit gibt die Richtung vor, bewertet, ob KI benötigt wird, legt die Risikotoleranz fest und weist Entscheidungsbefugnisse zu. Die operative Arbeit bewertet jeden Anwendungsfall und dessen vollständiges System, einschließlich Modelle, Daten, Lieferanten, Schnittstellen und menschlicher Aufgaben. Die Resilienzarbeit bereitet auf Störungen oder folgenschwere Ereignisse vor, die nicht in bestehende Klassifizierungen passen. Diese Ebenen verknüpfen Entscheidungen auf Vorstandsebene mit Tests und Kontrollen im Alltag.

Das Risikomanagement ist ein kontinuierlicher Prozess. Eine vor der Bereitstellung durchgeführte Überprüfung kann hinfällig werden, wenn sich das Modell, die Daten, die vorgesehenen Nutzer oder die umgebenden Prozesse ändern. Unternehmen benötigen definierte Auslöser für Neubewertungen, Entscheidungsprotokolle, Meldewege für Zwischenfälle sowie die Möglichkeit, ein System anzuhalten oder zurückzuziehen. Der Aufwand sollte das potenzielle Risiko, die Exposition und die Unsicherheit jeder Anwendung widerspiegeln.

Wie sich die wichtigsten Rahmenwerke unterscheiden

EW-AiRM™ ist ein offenes, unternehmensweites Framework, das strategische, operative und Resilienz-Ebenen verbindet und darauf ausgelegt ist, bestehende ERM zu ergänzen. Das NIST AI Risk Management Framework ist ein freiwilliger Leitfaden zur Steuerung von Risiken über den gesamten Lebenszyklus von KI-Systemen hinweg mit den Funktionen Steuern (Govern), Kartieren (Map), Messen (Measure) und Verwalten (Manage). ISO/IEC 42001 legt Anforderungen an ein KI-Managementsystem fest, die eine Organisation implementieren und zertifizieren lassen kann. Der EU AI Act ist eine Gesetzgebung: Er schafft rechtliche Pflichten und Beschränkungen für definierte KI-Praxen und Risikokategorien. Diese haben unterschiedliche Zwecke, sodass Organisationen möglicherweise mehrere davon gemeinsam nutzen, anstatt sie als Ersatz zu betrachten.

Ein praktischer Ausgangspunkt ist es, eine Bestandsaufnahme der KI-Nutzung vorzunehmen, für jedes eingesetzte System einen verantwortlichen Eigentümer zu benennen, Zweck und Auswirkungen zu erfassen und jedes wesentliche Risiko mit einer Kontrollmaßnahme und einem Eskalationsweg zu verknüpfen. Die Sprache von Frameworks hilft dabei, diese Arbeit zu strukturieren, trifft jedoch keine Entscheidung im Namen einer Organisation. Rechenschaftspflicht hängt nach wie vor von Personen mit Autorität, Beweisen und der Zeit zum Handeln ab.