Die Europäische Union hat den Umsetzungszeitplan für viele Hochrisiko-KI-Systeme im Rahmen des KI-Omnibus bis Dezember 2027 verlängert, wobei bestimmte KI-gestützte Produkte eine Frist von August 2028 haben. Trotz dieser Verzögerungen aufgrund der Komplexität sind die durch Artikel 50 vorgeschriebenen Transparenzpflichten bereits in Kraft getreten. Diese regulatorische Landschaft sendet Organisationen, die in Europa tätig sind, eine klare Botschaft: Während die Regulatoren mehr Zeit für eine komplexe Compliance gewährt haben, bleibt die Anforderung an Transparenz sofort wirksam.
Branchenführer schlagen vor, dass es eine verpasste Gelegenheit ist, diese Verlängerung lediglich als Aufschub zu betrachten. Stattdessen sollte dieser Zeitraum genutzt werden, um sich auf die Zukunft der KI vorzubereiten, indem man sich auf langfristige Innovationsbedingungen konzentriert und nicht auf kurzfristige Compliance-Fristen. Da KI tief in Produkte und Dienstleistungen eingebettet wird, die das tägliche Leben beeinflussen, müssen Organisationen jetzt Vertrauen in ihre Systeme schaffen, da institutionelle Fähigkeiten nicht kurzfristig geschaffen werden können, wenn die Fristen schließlich eintreten.
Der Ausgangspunkt für eine effektive Governance ist eine ehrliche Einschätzung der aktuellen KI-Landschaft innerhalb einer Organisation. Viele Unternehmen stellen fest, dass KI-Tools zu einem Kernbestandteil von Geschäftsprozessen geworden sind, bevor angemessene Governance-Strukturen eingerichtet wurden, oft weil Mitarbeiter neue Tools erkunden oder Lieferanten Updates liefern. Die nachträgliche Anpassung der Governance, nachdem KI bereits eingebettet ist, ist erheblich schwieriger und teurer als die Gestaltung von Entscheidungen von Anfang an, wobei der potenzielle Vertrauensverlust kostspieliger sein kann als vorbeugende Arbeiten im Voraus.
Glücklicherweise überschneiden sich viele durch die Gesetzgebung geforderten Disziplinen mit bestehenden Praktiken in den Bereichen Datenschutz, Sicherheit, Risikomanagement und operative Governance. Organisationen, die den Datenschutz bereits ernst genommen haben, sind gut aufgestellt, um diese Anforderungen zu erfüllen. Die Aufgabe besteht darin, etablierte Arbeitsabläufe auf KI-spezifische Risiken auszuweiten, wie zum Beispiel die Bestimmung, ob ein Modell in einem bestimmten Kontext zuverlässig ist oder ob ein automatisierter Prozess eine bestimmte Gruppe benachteiligt. Dies ist besonders kritisch, wenn man KI-Fähigkeiten kauft statt sie selbst zu entwickeln, und erfordert Klarheit über die Datenbehandlung, die Reaktion auf Vorfälle und die Beweise, die Anbieter liefern können.
Über die Compliance hinaus prägt das Thema Souveränität neu, wie europäische Unternehmen Governance angehen. Während eine vollständige Rechen-Souveränität, die die Kontrolle über Chips und Lieferketten umfasst, für die meisten Organisationen unerreichbar ist, besteht das praktische Ziel in der Rechen-Resilienz. Dies beinhaltet das Verständnis kritischer Abhängigkeiten, um sicherzustellen, dass kein einzelner Anbieter oder Cloud-Anbieter zu einem Hebel wird. Ein Ansatz, der Souveränität von Grund auf integriert, sollte von Anfang an in Entscheidungen zur Datenarchitektur und Anbieterauswahl eingebettet werden, wobei Resilienz als realistisches Ziel dient und nicht die vollständige Unabhängigkeit.
Letztendlich sollte Governance nicht als eine Compliance-Übung betrachtet werden, die Innovation behindert, sondern als eine institutionelle Fähigkeit, die nachhaltiges Wachstum ermöglicht. Der eigentliche Test für Organisationen besteht nicht darin, ob sie jeden Teil ihres Systems selbst gebaut haben, sondern ob sie ihre Abhängigkeiten gut genug verstehen, um den Kurs zu ändern, wenn die Umstände dies erfordern. Indem Unternehmen KI-Governance und Souveränität als miteinander verbundene Herausforderungen betrachten, können sie die Fähigkeiten aufbauen, die benötigt werden, um sich in einer zunehmend komplexen Umgebung zu bewegen, unabhängig von regulatorischen Zeitplänen.
Quellen: TechRadar.