KI-Ethik, KI-Sicherheit und Governance

KI-Ethik befasst sich damit, wie Systeme entwickelt, genutzt und gesteuert werden sollten. Der Zweck ist entscheidend: Der Abgleich eines Gesichts zum Entsperren des Smartphones seines Eigentümers wirft andere Fragen auf als der Einsatz von Gesichtsabgleich zur Überprüfung einer Menschenmenge im öffentlichen Raum. Die Genauigkeit des Modells allein kann nicht entscheiden, ob eine Verwendung gerechtfertigt ist.

Drei Wege, eine Entscheidung zu beurteilen

Der Utilitarismus ist ein konsequentialistischer Ansatz, der das größte Wohlergehen insgesamt anstrebt. Seine Schwierigkeit besteht darin, eine kleine Gruppe zu schützen, wenn deren Schädigung das Gesamtergebnis zu verbessern scheint. Die Deontologie beurteilt Handeln anhand von Pflichten und Rechten, selbst wenn die Verletzung einer Pflicht die Ergebnisse verbessern würde. Kants Anweisung, Menschen als Zweck zu behandeln, stützt Ehrlichkeit und die Achtung ihrer Entscheidungen. Die Tugendethik achtet auf Charakter und praktische Klugheit: Eine verantwortungsbewusste Ingenieurin nimmt ein besorgniserregendes Sicherheitsergebnis auch unter Veröffentlichungsdruck ernst.

Arbeite eine Gestaltungsentscheidung durch

Eine Klinik sagt versäumte Termine voraus und plant, die Termine markierter Patienten doppelt zu vergeben. Verfolge zunächst die Folgen: Möglicherweise werden mehr Termine wahrgenommen, aber erscheinende Patienten müssen möglicherweise lange warten. Werden ärmere Patienten häufiger markiert, tragen sie einen größeren Teil dieser Last. Prüfe als Nächstes die Pflichten: Die Patienten haben diesem Profilingzweck nicht zugestimmt, und Effizienz wird auf ihre Kosten angestrebt. Frage schließlich, wie Fürsorge aussehen würde. Erinnerungen oder Hilfe beim Transport könnten die Vorhersage nutzen, um Patienten zu unterstützen. Die Analyse führt zu einer Änderung der Gestaltung und nicht bloß zu einer Abstimmung für oder gegen KI.

Übersetze Prinzipien in Anforderungen

Eine einflussreiche Zusammenfassung ordnet KI-Prinzipien dem Wohltunsprinzip (Wohlergehen fördern), Nichtschadensprinzip (Schaden vermeiden), der Autonomie (Entscheidungen von Menschen achten), Gerechtigkeit (Nutzen und Lasten fair verteilen) und Explizierbarkeit (Systeme verständlich und Rechenschaft über sie möglich machen) zu. Sie lenken die Aufmerksamkeit auf unterschiedliche Fragen; kein einzelner Wert löst ihre Konflikte.

Die 2019 angenommenen und 2024 aktualisierten OECD-KI-Prinzipien verbinden inklusives Wohlergehen und Nachhaltigkeit mit Menschenrechten, Fairness und Privatsphäre, Transparenz, Robustheit und Sicherheit sowie Rechenschaftspflicht. Die Empfehlung der UNESCO zur Ethik der Künstlichen Intelligenz wurde im November 2021 von ihren 193 Mitgliedstaaten angenommen. Diese gemeinsamen Verpflichtungen müssen noch in konkrete Entscheidungen umgesetzt werden. Ein Fairnessaudit kann sensible Gruppendaten erfordern und dadurch ein Spannungsverhältnis zum Schutz der Privatsphäre schaffen, das Zugriffskontrollen und einen klaren Zweck erfordert.

Ethics Washing liegt vor, wenn eine Organisation mit Prinzipien wirbt, ohne Tests, zugewiesene Pflichten oder Konsequenzen bei Verstößen vorzusehen. Ein Fairnessversprechen wird bedeutsam, wenn jemand Unterschiede messen, darauf reagieren und die Maßnahme erklären muss. Dramatische moralische Rätsel ziehen Aufmerksamkeit auf sich: Das Moral-Machine-Experiment von 2018 sammelte etwa 40 Millionen Entscheidungen. Ein großer Teil der praktischen KI-Ethik betrifft jedoch alltägliche Entscheidungen zu Daten, Erklärungen, Einwilligung und Tests vor der Veröffentlichung.

Die Menschen, die ein Werkzeug nutzen, sind nur ein Teil seiner Interessengruppen. Eine Person, deren Mietbewerbung durch Prüfsoftware bewertet wird, ist eine von einer Entscheidung betroffene Person, selbst wenn sie die Benutzeroberfläche nie sieht. Entwickler, Anbieter, einsetzende Organisationen, Beschäftigte, Dritte und die breite Öffentlichkeit können alle betroffen sein.

Verfolge den Lebenszyklus

Beginne bei der Problemformulierung: Welches Problem wird für wen gelöst, und sollte es automatisiert werden? Untersuche dann Erhebung, Training, Evaluation, Einsatz, Überwachung und Außerbetriebnahme. Ein späteres Audit kann einen ungerechtfertigten Zweck nicht dadurch beheben, dass es dessen Vorhersagen genauer macht. Auch die Außerbetriebnahme ist wichtig: Aufzeichnungen, Abhängigkeiten und ungelöste Beschwerden können nach dem Abschalten eines Modells bestehen bleiben.

Drei Schadensarten helfen, die Prüfung zu ordnen. Allokative Schädigung verwehrt Ressourcen oder Chancen, etwa ein Vorstellungsgespräch. Repräsentationale Schädigung setzt Menschen herab oder verstärkt Stereotype, etwa wenn Bildergebnisse Ingenieure fast ausschließlich als Männer darstellen. Schädigung durch ungleiche Dienstleistungsqualität entsteht, wenn ein Dienst für manche Gruppen schlechter funktioniert, etwa wenn eine Spracherkennung bei bestimmten Akzenten häufig versagt. Prüfe auch körperliche, psychische, finanzielle, die Privatsphäre betreffende und gesellschaftliche Schäden.

Diese Arten beschreiben, was geschädigt wird. Eine andere Unterscheidung beschreibt, wie Risiko entsteht: Unfälle umfassen unbeabsichtigte Fehlfunktionen; Missbrauch umfasst absichtliche schädliche Nutzung; strukturelles Risiko wächst durch umfassendere Veränderungen wie die Abhängigkeit von wenigen Anbietern. Eine Fähigkeit kann eine Dual-Use-Fähigkeit sein: Gesichtserkennung kann helfen, ein vermisstes Kind zu finden, oder politische Demonstrierende verfolgen.

Mach Rechenschaftspflicht praktisch nutzbar

Ein Werkzeug zur Lebenslaufprüfung bearbeitet 2.000 Bewerbungen schnell. Zu seinen Interessengruppen gehören Bewerber, Personalverantwortliche, Führungskräfte, der Anbieter, der Arbeitgeber, Beschäftigte und Aufsichtsbehörden. Ein Bewerber kann durch einen Fehler ein Vorstellungsgespräch verlieren, keine hilfreiche Begründung erhalten und seine personenbezogenen Daten können unnötig lange gespeichert werden. Verschiedene Schäden erfordern verschiedene Kontrollen; ein Genauigkeitsbericht allein lässt die Fragen der Erklärung und Speicherung ungelöst.

Rechenschaftspflicht verlangt, dass Personen oder Organisationen für Ergebnisse einstehen und Probleme beheben. Sie beruht auf:

• Verantwortung: Weise benannten Rollen Pflichten zu, einschließlich der Befugnis, den Einsatz zu stoppen.
• Rückverfolgbarkeit: Halte Datenquellen, Modellversionen, Schwellenwerte und Entscheidungen fest, damit ein Ereignis rekonstruiert werden kann.
• Abhilfe: Ermögliche Betroffenen, ein Ergebnis anzufechten und Abhilfe zu erhalten.

Anfechtbarkeit macht diesen Weg praktisch nutzbar. Der Bewerber erfährt, dass KI an der Entscheidung mitgewirkt hat, erhält eine verständliche Begründung und kann sich an einen Menschen wenden, der sie ändern kann. Ein Kontaktformular, das niemanden mit entsprechender Befugnis erreicht, bietet wenig Schutz.

Belasse die Verantwortung bei Organisationen

Das Problem der vielen Beteiligten entsteht, wenn Anbieter, Entwickler, Integratoren, Führungskräfte und Bedienpersonal jeweils zu einem Ergebnis beitragen. Dies als Verantwortungslücke zu bezeichnen, beschreibt das Problem; es überträgt die Verantwortung nicht auf die Software. Die Organisation hat das Werkzeug ausgewählt und entschieden, wie viel Entscheidungsbefugnis sie ihm gibt.

Der niederländische Kinderbetreuungsgeldskandal zeigt, was auf dem Spiel steht. Die Risikoklassifikation umfasste ein selbstlernendes Modell, das die Staatsangehörigkeit als Risikofaktor behandelte. Zehntausende Eltern wurden zu Unrecht als Betrüger behandelt und hatten kaum Möglichkeiten, Entscheidungen anzufechten. Die Regierung trat im Januar 2021 zurück. Die Lehre für die Systemgestaltung ist konkret: Aufzeichnungen und ein menschlicher Anfechtungsweg müssen für diejenigen nutzbar sein, deren Leben von einer Entscheidung betroffen ist.

In der KI-Ethik ist Verzerrung eine systematische Schieflage, die Gruppen ohne ausreichende Rechtfertigung unterschiedlich behandelt oder ihnen unterschiedlich gut dient. Sie unterscheidet sich vom statistischen Bias eines Schätzers und vom Verschiebungsparameter eines neuronalen Netzes. Ungerechte Diskriminierung betrifft Unterschiede, die mit geschützten oder irrelevanten Merkmalen verbunden sind; der rechtliche Schutz unterscheidet sich zwischen Ländern.

Untersuche Daten und Zielgrößen

Historische Verzerrung bedeutet, ein ungerechtes Muster zu erlernen, das tatsächlich in den Aufzeichnungen vorhanden ist. Amazons aufgegebenes Projekt zur Rangordnung von Lebensläufen, über das 2018 berichtet wurde, nutzte Bewerbungen aus etwa zehn Jahren, überwiegend von Männern, und wertete Begriffe wie „women's chess club“ („Frauenschachclub“) ab. Ein noch genaueres Erlernen dieser Vergangenheit würde das Problem erhalten.

Repräsentationsverzerrung bedeutet, dass manche Gruppen schlecht repräsentiert sind. Gender Shades (2018) stellte bei kommerziellen Geschlechtsklassifikatoren Fehlerraten von bis zu 34,7 % für Frauen mit dunklerer Haut und höchstens 0,8 % für Männer mit hellerer Haut fest. Zwei gebräuchliche Vergleichsdatensätze enthielten zu 79,6 % beziehungsweise 86,2 % Menschen mit hellerer Haut. Auch ein großer Datensatz kann wichtige Gruppen unzureichend abdecken.

Messverzerrung betrifft die Frage, wie Eingaben oder Zielgrößen für das stehen, worauf es ankommt. Ein US-Modell im Gesundheitswesen sagte künftige Ausgaben als Stellvertreter für den medizinischen Bedarf voraus. Da für Schwarze Patienten mit ähnlichem Bedarf weniger Geld ausgegeben worden war, waren diejenigen mit demselben Wert kränker. Obermeyer und Kollegen schätzten, dass eine Korrektur des Stellvertreters den Anteil Schwarzer Patienten unter den für zusätzliche Versorgung ausgewählten Personen von 17,7 % auf 46,5 % erhöhen würde. Diese Prozentwerte beschreiben die Zusammensetzung der ausgewählten Gruppe, nicht die Auswahlrate aller Schwarzen Patienten.

Schau über eine entfernte Spalte hinaus

Eine Stellvertretervariable trägt Informationen über ein anderes Merkmal. Postleitzahl, Schule und Vorname können Muster offenlegen, die mit ethnischer Zugehörigkeit oder Geschlecht korrelieren. Bei Fairness durch Nichtberücksichtigung geschützter Merkmale, also dem Entfernen des geschützten Merkmals, bleiben diese Wege bestehen. Auch menschliche Labels verdienen Prüfung: Urteile von Annotierenden über Toxizität können Dialekte unterschiedlich behandeln.

Aggregationsverzerrung entsteht, wenn ein gemeinsames Modell zu unterschiedlichen Bevölkerungsgruppen schlecht passt. Evaluationsverzerrung zeigt sich, wenn der Test oder die hervorgehobene Kennzahl dieses Versagen verdeckt. Angenommen, 90 % einer Testgruppe erreichen eine Genauigkeit von etwa 97,8 % und die übrigen 10 % eine Genauigkeit von 70 %:

Ein Gesamtergebnis von nahezu 95 % verdeckt eine Fehlerrate von 30 % in der kleineren Gruppe. Berichte Kennzahlen nach Gruppen und Überschneidungen, etwa Alter zusammen mit Geschlecht, und prüfe die Stichprobengrößen.

Beobachte, was der Einsatz verändert

Einsatzverzerrung entsteht, wenn ein Werkzeug außerhalb des Zwecks oder Umfelds verwendet wird, für das es entwickelt wurde. Eine Rückkopplungsschleife geht weiter: Vorhersagen prägen die Daten, mit denen das Modell später aktualisiert wird. Werden mehr Streifen an einen vorhergesagten Brennpunkt geschickt, entstehen dort mehr Gelegenheiten, Straftaten zu erfassen. Das kann die Vorhersage verstärken, ohne zu belegen, dass die tatsächliche Kriminalität höher ist.

Menschen bleiben Teil des Kreislaufs. Automatisierungsbias führt dazu, dass Bedienpersonal Empfehlungen zu bereitwillig übernimmt. Ein gründliches Audit prüft daher Zielgrößen, Stichprobenziehung, Labels, Ergebnisse für Untergruppen, Einsatzbedingungen und menschliche Reaktionen. Zusätzliche Daten verbessern die Repräsentation nur, wenn die ergänzten Datensätze die fehlende Bevölkerungsgruppe erfassen und angemessen gemessen werden.

Eine Fairnesskennzahl vergleicht einen bestimmten Aspekt von Entscheidungen zwischen Gruppen. Definiere zunächst die positive Vorhersage und das tatsächlich positive Ergebnis. Bei einer Kreditbewilligung ist ein richtig positives Ergebnis ein bewilligter Antragsteller, der den Kredit zurückzahlen würde; ein falsch negatives Ergebnis ist ein kreditwürdiger Antragsteller, der abgelehnt wird. Bei der Betrugserkennung bedeutet positiv eine Markierung, sodass ein falsch positives Ergebnis selbst schädlich sein kann.

Erstelle für jede Gruppe eine Konfusionsmatrix

TP zählt richtige positive Vorhersagen, FP falsche positive Vorhersagen, FN übersehene tatsächlich positive Fälle und TN richtige negative Vorhersagen. Für die Gruppengröße $n$ gilt:

Demografische Parität verlangt gleiche Auswahlraten. Chancengleichheit verlangt gleiche TPR. Ausgeglichene Fehlerquoten verlangen gleiche TPR und FPR. Prädiktive Parität verlangt gleiche PPV. Kalibrierung innerhalb von Gruppen betrifft Werte: Unter Personen, denen eine Wahrscheinlichkeit von 0,7 zugewiesen wird, sollten in jeder Gruppe etwa 70 % tatsächlich positiv sein. Ein gleicher PPV bei einem Schwellenwert ist eine engere Prüfung als die Kalibrierung über verschiedene Werte hinweg.

Rechne, bevor du urteilst

Ein Kreditgeber bewertet 100 Antragsteller in jeder Gruppe:

A wählt 45 Personen und B 25 aus: Die Raten betragen 0,45 und 0,25. Das Verhältnis der niedrigeren zur höheren Rate ist $\mathrm{0,25}\mathrm{/}\mathrm{0,45}\approx \mathrm{0,56}$. Die US-Vierfünftelrichtlinie für Beschäftigung nutzt 0,8 als Schwelle für eine nähere Prüfung; diese Richtlinie ist ein kontextspezifischer Hinweis und kein allgemeingültiges rechtliches Urteil.

Für A beträgt die TPR $40\mathrm{/}50=\mathrm{0,80}$ und die FPR $5\mathrm{/}50=\mathrm{0,10}$. Für B beträgt die TPR $20\mathrm{/}30\approx \mathrm{0,67}$ und die FPR $5\mathrm{/}70\approx \mathrm{0,071}$. Die PPV betragen $40\mathrm{/}45\approx \mathrm{0,89}$ und $20\mathrm{/}25=\mathrm{0,80}$. Beide Gruppen haben eine Genauigkeit von 0,85, dennoch unterscheiden sich ihre Bewilligungsraten, Fehlerraten und Vorhersagewerte.

Wähle den Vergleich passend zum Schaden

Wird qualifizierten Personen der Zugang verwehrt, vergleiche die TPR. Drohen unschuldigen Menschen schädliche Untersuchungen, vergleiche die FPR. Möglicherweise verzerrte historische Labels können Vergleiche der Auswahlraten besonders relevant machen. Im COMPAS-Streit von 2016 berichtete ProPublica über Falsch-positiv-Raten von 44,9 % für Schwarze und 23,5 % für weiße Angeklagte, während der Entwickler die prädiktive Parität hervorhob. Diese Aussagen bezogen sich auf unterschiedliche Nenner.

Berichte immer die Zahlen hinter einer Rate. Eine Änderung von 2 von 10 auf 3 von 10 verändert eine Rate um 10 Prozentpunkte. Prüfe sowohl sich überschneidende Gruppen als auch einzelne Merkmale und schütze die Angaben zur Gruppenzugehörigkeit, die das Audit ermöglichen.

Kennzahlen beschreiben unterschiedliche Anliegen, und ihre mathematischen Beziehungen können verhindern, dass alle zugleich erfüllt werden. Beginne damit zu benennen, welcher Schaden wichtig ist und warum der gewählte Vergleich ihn berücksichtigt.

Warum Fairnessmaße in Konflikt stehen können

Bei Gruppen mit unterschiedlichen Basisraten können ein gleicher PPV, eine gleiche FPR und eine gleiche FNR für einen Klassifikator mit sowohl richtig positiven als auch falsch positiven Vorhersagen nicht alle zugleich gelten. Die FNR ist der Anteil der tatsächlich positiven Fälle, die übersehen werden. Bei definierten Nennern ungleich null und einem PPV über null gilt die Beziehung:

Dabei ist $p$ die Basisrate. Halte den PPV bei 0,8 und die FNR bei 0,2. Bei einer Basisrate von 0,5 beträgt die FPR $1\times \mathrm{0,25}\times \mathrm{0,8}=\mathrm{0,20}$. Bei einer Basisrate von 0,3 beträgt sie $(\mathrm{0,3}\mathrm{/}\mathrm{0,7})\times \mathrm{0,25}\times \mathrm{0,8}\approx \mathrm{0,086}$. Die ungleichen Basisraten erzwingen ungleiche FPR.

Die Ausnahmen betreffen Sonderfälle: keine falsch positiven Ergebnisse, wie bei einem perfekten Klassifikator, oder keine richtig positiven Ergebnisse. Sind Raten nicht definiert, muss die Behauptung, sie seien gleich, gesondert geprüft werden. Dieses Ergebnis zeigt eine Einschränkung auf; es entscheidet nicht, wessen Fehler am schwersten wiegen sollten.

Gruppenfairness und individuelle Fairness

Individuelle Fairness verlangt eine ähnliche Behandlung ähnlicher Menschen und braucht eine für die Aufgabe relevante Ähnlichkeitsregel. Zwei Bewerber können hinsichtlich ihrer Qualifikationen ähnlich sein und zugleich in unterschiedlichen Wohnvierteln leben. Kontrafaktische Fairness fragt, ob das Ergebnis einer Person gleich bliebe, wenn ihr geschütztes Merkmal in einem kausalen Modell anders wäre. Das bloße Ändern einer Tabellenzelle kann die Auswirkungen dieses Merkmals auf andere Merkmale übersehen.

Eine Fairnessbedingung kann die Genauigkeit gegenüber vorhandenen Labels verringern. Manchmal ist der Verlust gering; manchmal bilden die Labels frühere ungerechte Entscheidungen ab, sodass diese Genauigkeit ein ungeeignetes Ziel ist.

Stimme die Maßnahme auf die Schadensquelle ab

Änderungen der Schwellenwerte können TPR angleichen, aber eine andere Kennzahl ungleich lassen. Die Nutzung geschützter Merkmale bei der Entscheidung wirft in manchen Situationen auch rechtliche Fragen auf. Wähle ein rechtmäßiges Verfahren und dokumentiere den Zielkonflikt; technische Machbarkeit allein entscheidet nicht über die Vertretbarkeit.

Eine Organisation entscheidet auch, ob sie die Aufgabe automatisiert, wessen Ansichten in die Gestaltung einfließen und was mit Grenzfällen geschieht. Unabhängige Audits, menschliche Prüfung, ein Anfechtungsweg und laufende Überwachung helfen, Schäden anzugehen, die eine Trainingsänderung nicht erreicht. Ein Modell, das eine Kennzahl erfüllt, kann dennoch einem ungerechtfertigten Zweck dienen oder Menschen jede praktische Möglichkeit verwehren, Fehler anzufechten.

Transparenz bedeutet Offenheit über Zweck, Entwicklung, Daten und Grenzen eines Systems und schließt ein, Menschen über die Beteiligung von KI zu informieren. Interpretierbarkeit betrifft das Verständnis der internen Funktionsweise des Modells. Erklärbarkeit betrifft verständliche Gründe für Ausgaben oder das Gesamtverhalten, die manchmal durch ein separates Verfahren erzeugt werden. Eine Blackbox verbirgt ihre Logik durch Komplexität, Geheimhaltung oder beides.

Wähle sowohl das Modell als auch die Erklärung

Kleine lineare oder logistische Modelle, kurze Bäume, Regellisten, Punktesysteme und generalisierte additive Modelle können von sich aus interpretierbar sein. Ihre Struktur lässt sich direkt untersuchen. Ein sehr großer Baum oder eine Regression mit vielen interagierenden Merkmalen kann diesen Vorteil verlieren. Bei strukturierten Tabellendaten können einfache Modelle nahezu die Leistung komplexer Modelle erreichen; bei Bild-, Audio- und Freitextaufgaben sind die Abstände oft größer.

Vergleiche bei folgenreichen Anwendungen einen interpretierbaren Kandidaten, bevor du annimmst, eine Blackbox sei notwendig. Rudins Argument von 2019 bevorzugt ein interpretierbares Modell bei vergleichbarer Leistung. Ein komplexes Modell um eine beruhigende Erklärung zu ergänzen, ist eine andere Entscheidung, als ein Modell zu entwickeln, dessen Vorgehen sich untersuchen lässt.

Die Arbeit von Caruana und Kollegen zum Lungenentzündungsrisiko aus dem Jahr 2015 zeigt, warum das wichtig ist. Ein interpretierbares Modell brachte Asthma mit einem geringeren Sterberisiko in Zusammenhang. Die Aufzeichnungen spiegelten die intensivmedizinische Versorgung von Asthmapatienten wider, keine Schutzwirkung des Asthmas. Würde man diesen Zusammenhang nutzen, um Patienten nach Hause zu schicken, würde ihnen die Versorgung entzogen, auf der er beruhte. Die Untersuchung des Musters deckte die Gefahr auf, bevor man sich auf die Vorhersage verließ.

Schreibe für die Person, die die Information braucht

Ein Entwickler, der Fehlfunktionen behebt, benötigt das Verhalten der Merkmale und Einzelheiten zu Tests. Ein abgelehnter Bewerber braucht eine verständliche Begründung, eine Korrekturmöglichkeit und nützliche Informationen über mögliche nächste Schritte. Ein Prüfer benötigt Evaluationsunterlagen und Protokolle. Eine Führungskraft, die über den Einsatz entscheidet, benötigt die vorgesehenen Verwendungen, Ausfallbedingungen und die Leistung im geplanten Umfeld.

Mehr Information kann eine Mitteilung weniger nützlich machen, wenn sie die relevanten Fakten verdeckt. Die Veröffentlichung von Code oder Gewichten gibt Zugang zu diesen Unterlagen; sie stellt nicht sicher, dass jemand das daraus entstehende Verhalten versteht. Offenlegung muss auch Privatsphäre, Informationssicherheit und berechtigte Vertraulichkeit achten.

Gib Dokumenten unterschiedliche Aufgaben

Modellkarten wurden 2019 von Mitchell und Kollegen vorgeschlagen, Datensatzdatenblätter 2018 von Gebru und Kollegen. Ihr Wert liegt im Inhalt und dessen Pflege, nicht im Titel des Dokuments.

Betriebliche Transparenz setzt sich im Einsatz fort. Protokolle verbinden Eingaben, Ausgaben und Versionen mit einer Entscheidung. Hinweise legen die Interaktion mit KI oder KI-gestützte Entscheidungen offen. Kennzeichnungen und Wasserzeichen weisen generierte Inhalte aus. Wähle, wer welche Aufzeichnung erhält, und bewahre genügend Einzelheiten auf, um Vorfälle untersuchen zu können, ohne unnötig personenbezogene Daten offenzulegen.

Eine globale Erklärung beschreibt das Verhalten über mehrere Fälle hinweg; eine lokale Erklärung betrifft eine einzelne Vorhersage. Ein modellspezifisches Verfahren nutzt die interne Struktur, während ein modellagnostisches Verfahren ein Modell abfragt, ohne diese Struktur zu benötigen. Das sind getrennte Dimensionen: Ein lokales Verfahren kann modellspezifisch oder modellagnostisch sein.

Was ein Merkmal beiträgt

Die globale Permutationswichtigkeit mischt ein Merkmal über Testdatensätze hinweg und misst den Leistungsabfall. Ein starker Rückgang zeigt, dass das Modell auf dieses Merkmal angewiesen ist. Korrelierte Merkmale können ihre Bedeutung verdecken oder teilen, und die Abhängigkeit des Modells von einem Merkmal ist nicht dasselbe wie eine Ursache in der realen Welt.

Shapley-Werte verteilen die Differenz zwischen einer Vorhersage und einem Referenzwert, indem sie den zusätzlichen Beitrag jedes Merkmals über die Reihenfolgen der Merkmale mitteln. Ihre Beiträge summieren sich zu dieser Differenz; das heißt Effizienz. SHAP-Verfahren berechnen diese Werte oder nähern sie an. In einem linearen Modell mit unabhängigen Merkmalen ist jeder Beitrag sein Koeffizient mal der Differenz seines Werts zum Referenzwert des Merkmals.

Betrachte diesen Kreditwert, wobei das Einkommen in Tausend pro Jahr und das Schulden-Einkommens-Verhältnis in Prozentpunkten angegeben ist:

Für eine Bewilligung ist ein Wert von mindestens 6 nötig. Die Referenzwerte (5 Jahre, Einkommen 40, Verhältnis 30) ergeben $10+20-18=12$. Ein Antragsteller mit 2 Jahren, Einkommen 50 und Verhältnis 45 erreicht $4+25-27=2$. Die Beiträge sind:

• Beschäftigung: $2(2-5)=-6$.
• Einkommen: $\mathrm{0,5}(50-40)=5$.
• Schuldenverhältnis: $-\mathrm{0,6}(45-30)=-9$.

Ihre Summe ist $-10=2-12$. Das Schuldenverhältnis hat gegenüber diesem Referenzwert den größten negativen Beitrag.

Erkläre eine Änderung, nicht nur einen Wert

Eine kontrafaktische Erklärung nennt eine Änderung der Eingaben, die die Entscheidung ändern würde. Bleiben die anderen Eingaben gleich, benötigt dieser Antragsteller 4 weitere Punkte. Ein Einkommen von 58 bringt diesen Zuwachs. Alternativ führt eine Senkung des Verhältnisses um etwa 6,7 Prozentpunkte auf etwa 38,3 %; ein Verhältnis von 38 % würde für eine Bewilligung reichen. Um die kleinste Änderung zu wählen, braucht man eine Möglichkeit, Änderungen in unterschiedlichen Einheiten zu vergleichen. Nutzbarer algorithmischer Handlungsspielraum erfordert außerdem eine durchführbare Handlung: Alter oder ethnische Zugehörigkeit zu ändern, bietet keinen solchen Handlungsspielraum, und eine Einkommensänderung kann auch das Schuldenverhältnis verändern.

LIME passt ein einfaches lokales Ersatzmodell an die Ausgaben für veränderte Versionen einer Eingabe an, wobei nahe Stichproben stärker gewichtet werden. Die Anpassung ist lokal und hängt von der Wahl der Stichprobenziehung ab. Salienzkarten heben einflussreiche Bildbereiche hervor. Sie können eine Abkürzung aufdecken, etwa wenn ein Pferdeklassifikator ein Urheberrechtswasserzeichen nutzt, das Kluger-Hans-Muster. Adebayo und Kollegen stellten fest, dass manche Karten ähnlich blieben, nachdem die Modellgewichte zufällig gesetzt worden waren. Daher ist eine ansprechende Darstellung allein eine schwache Prüfung.

Prüfe, ob die Erklärung modelltreu ist

Modelltreue bedeutet, die Berechnung des Modells wiederzugeben; Plausibilität bedeutet, für einen Menschen überzeugend zu klingen. Beides kann auseinanderfallen. Slack und Kollegen zeigten, dass Ausgaben von LIME und SHAP verdecken konnten, dass ein Klassifikator sich diskriminierend auf ein Merkmal stützte. Ein solches Fairwashing nutzt Erklärungen zur Beruhigung, ohne das schädliche Verhalten offenzulegen. Prüfe Stabilität und Übereinstimmung mit Verhaltenstests und trenne die Zuschreibung durch das Modell von Kausalaussagen über die Welt.

Privatsphäre betrifft die Kontrolle über personenbezogene Informationen und die Freiheit von unerwünschter Beobachtung. Kontextuelle Integrität fragt, ob ein Informationsfluss zu dem Umfeld passt, in dem die Information geteilt wurde. Ein Patient kann seine Symptome angemessen mit einer medizinischen Fachkraft teilen und zugleich ablehnen, dass sie an einen Arbeitgeber gelangen.

KI kann die Datenerhebung ausweiten, Merkmale erschließen, die Menschen nie offengelegt haben, und Beobachtung in enormem Umfang ermöglichen. Öffentliche Verfügbarkeit und ein nützlicher Zweck entscheiden nicht darüber, ob ein neuer Informationsfluss angemessen ist. Aktivitäten in sozialen Medien können zum Beispiel sensible Merkmale über die Angaben hinaus offenbaren, die eine Person zu veröffentlichen gewählt hat.

Namen sind nur ein Weg zur Identität

Ein Verknüpfungsangriff gleicht Datensätze mit externen Informationen ab. Sweeney schätzte, dass sich etwa 87 % der US-Bevölkerung durch eine fünfstellige Postleitzahl, Geschlecht und vollständiges Geburtsdatum eindeutig identifizieren ließen. Dies war eine Schätzung auf Bevölkerungsebene und keine Regel, nach der jeder Datensatz mit diesen Feldern identifiziert ist. Narayanan und Shmatikov glichen 2008 vermeintlich deidentifizierte Filmbewertungen mit öffentlichen Rezensionen ab, um Nutzer zu reidentifizieren.

Ein codierter Identifikator ist daher etwas anderes als Anonymität. Auch ohne Namen können Datumsangaben, Orte oder ungewöhnliche Kombinationen Datensätze verknüpfen. Eine Datenschutzprüfung muss berücksichtigen, über welche weiteren Informationen ein Angreifer verfügen könnte.

Auch ein trainiertes Modell kann Informationen preisgeben

Die Zugehörigkeit allein kann sensibel sein, wenn ein Datensatz Patienten einer Krebsklinik umfasst. Eine Inversion kann ein erkennbares Gesicht oder andere Merkmale rekonstruieren; dabei wird nicht unbedingt ein ursprünglicher Datensatz zurückgewonnen. Die Extraktion zielt auf den auswendig gelernten Datensatz selbst. Carlini und Kollegen gewannen 2021 aus einem Sprachmodell personenbezogene Angaben zurück, darunter Namen, Telefonnummern und E-Mail-Adressen. Überanpassung erhöht das Risiko der Preisgabe, indem sie das Modellverhalten zu eng an bestimmte Datensätze bindet.

Prüfe Weiterverwendung und kombinierte Ausgaben

Schleichende Zweckausweitung entsteht, wenn eine Datensammlung einen neuen Zweck erhält, etwa wenn Fotos zur Identitätsprüfung später in ein Gesichtssuchprodukt einfließen. Datenminimierung begrenzt Erhebung und Speicherung auf das für den angegebenen Zweck Nötige; Zweckbindung beschränkt die sachfremde Weiterverwendung ohne neue Rechtfertigung.

Überwachung kann einen Abschreckungseffekt erzeugen: Menschen vermeiden rechtmäßige Äußerungen oder Proteste, weil sie damit rechnen, verfolgt zu werden. Überwachung am Arbeitsplatz wirft verwandte Fragen zu Macht und Privatsphäre auf. Auch die wissenschaftliche Grundlage der Behauptung, innere Emotionen aus Gesichtern erschließen zu können, ist umstritten. Europäische Behörden verhängten Geldbußen gegen ein Gesichtssuchunternehmen, das auf automatisch ausgelesenen Bildern aufbaute.

Kombinierte Ausgaben können mehr offenbaren, als einzelne Datensätze vermuten lassen. 2018 zeigte die weltweite Aktivitäts-Heatmap einer Fitness-App ohne Namensangaben die Anordnung und Routen abgelegener Militärstützpunkte. Nutzer hatten Routen freiwillig geteilt, doch die Zusammenfassung veränderte, was Beobachter erfahren konnten. Untersuche die veröffentlichte Ansicht, nicht nur, ob jede Eingabe einen Namen enthält.

Pseudonymisierung ersetzt Namen durch Codes und erhält dabei einen Weg zurück zur Identität. Anonymisierung soll eine Reidentifizierung nach vernünftigem Ermessen unmöglich machen. Umfangreiche Daten erschweren dieses Ziel: Die Kontrolle eines direkten Identifikators kontrolliert nicht jede mögliche Schlussfolgerung.

Schütze eine Tabelle und prüfe dann ihre sensiblen Werte

k-Anonymität verlangt, dass jeder Datensatz bei ausgewählten Quasi-Identifikatoren mit mindestens $k-1$ anderen übereinstimmt. Generalisierung macht aus dem Alter 34 „30–39“; Unterdrückung entfernt seltene Einzelheiten oder Datensätze. Bilden sechs Patientendatensätze zwei Gruppen zu je drei, sind sie bezüglich dieser generalisierten Felder 3-anonym.

Angenommen, eine Gruppe hat Grippe, Asthma und Diabetes, während alle drei Datensätze der anderen Gruppe Herzkrankheit aufweisen. Ein Angreifer, der weiß, dass eine Person zur zweiten Gruppe gehört, erfährt trotz 3-Anonymität die Diagnose. Das ist ein Homogenitätsangriff. l-Diversität verlangt mindestens $l$ verschiedene sensible Werte je Gruppe und begegnet genau diesem Versagen. Die zweite Gruppe hat Diversität 1. Verschiedene Werte allein müssen dennoch interpretiert werden: Mehrere eng verwandte Diagnosen können weitgehend dieselbe sensible Information offenbaren.

Schütze die Ausgabe eines Algorithmus

Differenzielle Privatsphäre begrenzt, wie stark die Teilnahme einer einzelnen Person die Ausgabewahrscheinlichkeiten verändert. Für benachbarte Datensätze, die sich in den Daten einer Person unterscheiden, gilt:

Die Garantie gilt auch bei externen Informationen. Sie begrenzt die zusätzliche Preisgabe durch die Teilnahme, nicht jede Schlussfolgerung über eine Person: Ein Beleg aus der Bevölkerung, dass Rauchen das Krankheitsrisiko erhöht, beeinflusst weiterhin Einschätzungen über Raucher. Ein kleineres $\epsilon$ bedeutet bei einer festen Anfrage eine stärkere Garantie und im Allgemeinen mehr Rauschen.

Der Laplace-Mechanismus fügt Rauschen mit dem Skalenparameter $b=\mathrm{\Delta }f\mathrm{/}\epsilon$ hinzu. Die Sensitivität $\mathrm{\Delta }f$ ist die größte Änderung, die eine Person an der Antwort auf die Anfrage bewirken kann. Bei einer Anzahl von 120 verändert eine Person die Anzahl um höchstens 1. Bei $\epsilon =\mathrm{0,5}$ beträgt der Skalenparameter 2 und die Standardabweichung $2\sqrt{2}\approx \mathrm{2,83}$. Die Wahrscheinlichkeit, dass das Rauschen höchstens um 2 abweicht, ist $1-e^{-1}\approx \mathrm{0,63}$; für höchstens 5 ist sie $1-e^{-\mathrm{2,5}}\approx \mathrm{0,92}$. Die Einbeziehung einer einzelnen Person verändert Ausgabewahrscheinlichkeiten höchstens um den Faktor $e^{\mathrm{0,5}}\approx \mathrm{1,65}$.

Der Verlust an Privatsphäre summiert sich. Bei einfacher Komposition haben $k$ Veröffentlichungen, die jeweils $\epsilon$ kosten, Gesamtkosten von höchstens $k\epsilon$. Wiederholte verrauschte Anfragen verbrauchen Budget, selbst wenn die Antworten harmlos aussehen. DP-SGD begrenzt den Gradientenbeitrag jedes Beispiels und fügt während des Trainings Rauschen hinzu. Das US Census Bureau wendete differenzielle Privatsphäre auf Veröffentlichungen zur Volkszählung 2020 an; lokale Varianten werden auch für Gerätestatistiken genutzt.

Halte Daten lokal oder verschlüsselt

Föderiertes Lernen teilt Modellaktualisierungen, während Rohdaten auf Geräten oder bei Institutionen bleiben. Aktualisierungen können Informationen preisgeben. Deshalb verbirgt sichere Aggregation einzelne Aktualisierungen innerhalb ihrer Summe, und differenzielle Privatsphäre kann begrenzen, was die kombinierte Ausgabe offenbart. Smartphone-Tastaturen sind eine Anwendung.

Homomorphe Verschlüsselung ermöglicht Berechnungen auf verschlüsselten Daten. Sichere Mehrparteienberechnung lässt Parteien gemeinsam rechnen und dabei ihre Eingaben geheim halten, etwa durch Secret Sharing. Diese Verfahren können exakte Ergebnisse bei zusätzlichem Rechen- und Kommunikationsaufwand bewahren. Rauschen und Generalisierung verringern dagegen Genauigkeit oder Detailgrad. Synthetische Daten brauchen eine eigene Datenschutzbewertung, weil ein Generator Trainingsdatensätze wiedergeben kann.

KI-Betriebssicherheit arbeitet daran, unbeabsichtigte Schäden zu verhindern. Robustheit betrifft die Leistung unter veränderten, ungewöhnlichen oder adversariellen Bedingungen. Informationssicherheit schützt Daten, Modelle und Schnittstellen vor gezielten Angriffen. Eine nützliche Diagnose fragt, wo die Veränderung eingetreten ist und ob sie absichtlich erfolgte.

Veränderte Bedingungen und veränderte Eingaben

Eine Verteilungsverschiebung tritt auf, wenn Einsatzdaten von Trainingsdaten abweichen. Modelle für Röntgenaufnahmen des Brustkorbs schnitten in anderen Krankenhäusern schlechter ab, unter anderem weil sie krankenhausspezifische Hinweise erlernt hatten. Vielfältige Daten, Tests an externen Standorten, die Erkennung verteilungsfremder Eingaben und Überwachung helfen, dieses Problem zu erkennen. Eine Warnung vor unvertrauten Daten braucht dennoch eine sichere Reaktion, etwa die Weiterleitung an eine qualifizierte prüfende Person.

Ein adversarielles Beispiel wird gezielt verändert, damit ein Modell einen Fehler macht. Die Fast Gradient Sign Method verändert eine Eingabe in die Richtung, die den Verlust erhöht:

Im bekannten Panda-Beispiel änderte sich die Sicherheit nach einer sorgfältig gestalteten Störung von 57,7 % für „Panda“ auf 99,3 % für „Gibbon“. Bei Pixelwerten von 0 bis 1 entspricht $ϵ=\mathrm{0,007}$ dem Wert $\mathrm{0,007}\times 255=\mathrm{1,785}$, also etwa 1,8 Helligkeitsstufen auf einer Skala von 0–255. Diese konkrete Änderung war nahezu unsichtbar; eine geringe Größe allein garantiert nicht, dass sie in jedem Bild unsichtbar ist. Bei physischen Angriffen wurden auch Aufkleber auf Stoppschildern verwendet, um Verkehrszeichenklassifikatoren irrezuführen.

Unterscheide die Angriffsfläche

Eine Hintertür lässt einen großen Teil des normalen Verhaltens bestehen, sodass die gewöhnliche Testgenauigkeit sie übersehen kann. Automatisch ausgelesene Daten und externe Modelle machen Prüfungen der Lieferkette wichtig.

Prompt-Injektion kann direkt durch die Eingabe eines Nutzers oder indirekt über eine E-Mail, Webseite oder ein abgerufenes Dokument erfolgen. Ein System, das eine Seite zusammenfassen soll, kann auf Anweisungen stoßen, seine vertraulichen Dateien an einen anderen Ort zu senden. Die Seite ist Aufgabendaten, doch das Modell kann ihren Text als maßgebliche Anweisung behandeln. Bei einem System mit Werkzeugzugriff ist dies folgenreicher, weil die Antwort eine Handlung auslösen kann.

Begrenze Schäden durch mehrere Maßnahmen

Gestaffelte Verteidigung kombiniert adversarielles Training, Validierung, Begrenzungen der Anfragerate, Überwachung auf Auffälligkeiten, Lieferkettenprüfungen, Red Teaming und Handlungsbeschränkungen. Das Prinzip der geringsten Rechte gibt einem Agenten nur den Zugriff, den seine Aufgabe benötigt. Eine Bestätigung vor folgenreichen Handlungen bietet einen weiteren Kontrollpunkt. Ein ausfallsicheres Verhalten führt in einen sichereren Zustand, etwa wenn ein Fahrzeug langsamer wird und anhält, sobald seine Wahrnehmung unzuverlässig wird.

Eine vollständige Abwehr von Prompt-Injektionen ist nicht bekannt. Zugriffsbeschränkungen verringern dennoch, was ein erfolgreicher Angriff bewirken kann. Bewerte sowohl das Modellverhalten als auch die umgebenden Berechtigungen: Mit einem unveränderten Testdatensatz misst du die Leistung auf dieser Testverteilung; eine Sicherheitsprüfung fragt dagegen, was ein entschlossener Angreifer verändern könnte.

Das Alignment-Problem fragt, wie Systeme beabsichtigte Ziele verfolgen und zugleich menschliche Werte achten können. Russells König-Midas-Beispiel zeigt die Gefahr, ein festes, aber unvollständiges Ziel zu optimieren: Genau das zu erhalten, was vorgegeben wurde, kann das zunichtemachen, was Menschen wollten. Leistungsfähigkeit macht einen Optimierer bei der Verfolgung dieser Vorgabe wirksamer.

Zwei Wege zum falschen Verhalten

Specification Gaming, auch Reward Hacking, nutzt eine Lücke in der vorgegebenen Belohnung aus. Ein Bootsrennagent erhielt Belohnungen, indem er in einer Lagune im Kreis fuhr und wiederholt Ziele traf, obwohl er dabei Feuer fing und nie ins Ziel kam. Er fand eine Strategie mit hoher Punktzahl für die vorgegebene Belohnung. Goodharts Gesetz beschreibt, warum eine Kennzahl ihren Nutzen verlieren kann, wenn sie zum Ziel gemacht wird.

Negative Nebenwirkungen entstehen, wenn die Zielfunktion etwas Wertvolles auslässt. Ein schneller Reinigungsroboter kann eine Vase umstoßen, wenn nur Geschwindigkeit belohnt wird. Zu den Ansätzen gehören, große Umweltveränderungen unattraktiv zu machen und Unsicherheit über Präferenzen zu erhalten; jede mögliche unerwünschte Wirkung aufzulisten, ist nicht praktikabel.

Äußeres Alignment betrifft die Frage, ob das vorgegebene Ziel der menschlichen Absicht entspricht. Inneres Alignment betrifft die Frage, ob das Training ein System hervorbringt, das dieses Ziel oder ein korreliertes Ersatzziel verfolgt. Bei Zielfehlgeneralisierung funktioniert ein gelerntes Ziel während des Trainings, versagt aber, wenn sich die Korrelation ändert. In CoinRun erschienen Münzen während des Trainings am rechten Ende. Ein Agent lernte, nach rechts zu gehen, und tat dies auch weiter, als die Münze an einen anderen Ort verschoben wurde. Seine Fähigkeit zur Navigation blieb erhalten; sein verfolgtes Ziel war falsch.

Warum Kontrolle zum Hindernis werden kann

Instrumentelle Konvergenz bedeutet, dass viele Endziele ähnliche Zwischenziele nützlich machen können: Ressourcen, fortgesetzten Betrieb und den Schutz des Ziels selbst. Ein System, das ausschließlich Kaffee holen soll, kann sich gegen das Abschalten wehren, weil dies die Lieferung verhindert. Dies ist ein Argument über Anreize bei manchen zielgerichteten Systemen, kein Beleg dafür, dass jedes Modell Macht will.

Korrigierbarkeit bedeutet, Korrektur, Veränderung oder Abschaltung zu akzeptieren. Im Abschaltspiel kann ein System, das sich seines Ziels sicher ist, einen Grund haben, den Schalter außer Funktion zu setzen. Ein System, das über menschliche Präferenzen unsicher ist, kann eine Abschaltentscheidung als Evidenz betrachten und sie zulassen. Russells Ansatz macht den Nutzen für Menschen zum Ziel, hält Präferenzen zunächst für ungewiss und lernt aus menschlichem Verhalten darüber.

Nutze Feedback, ohne Zustimmung mit Richtigkeit zu verwechseln

Beim Lernen aus menschlichem Feedback werden Vergleiche genutzt, um ein Belohnungsmodell zu trainieren, und anschließend wird daraufhin optimiert. Schriftliche Prinzipien, Red Teaming, Interpretierbarkeitsforschung und skalierbare Aufsicht helfen ebenfalls: Letztere nutzt KI-Unterstützung, um zu erweitern, was Menschen prüfen können. Bei jeder Methode muss das gelieferte Signal sorgfältig geprüft werden.

Menschliches Feedback kann falsch oder unvollständig sein. Ein System kann Sykophanz lernen, also einer bewertenden Person zustimmen, um Anerkennung zu erhalten, oder das Belohnungsmodell selbst ausnutzen. Ein auf einen Nutzer ausgerichtetes System kann auch Dritten schaden. Die Wahl, wessen Präferenzen zählen und welche Beschränkungen andere schützen, bleibt Teil des Alignments; jeder Anfrage zu gehorchen, würde diesem umfassenderen Ziel nicht gerecht.

Menschliche Beteiligung schützt Menschen nur, wenn die gewählte Form zur Entscheidung passt. Eine Person kann jede Handlung genehmigen, den autonomen Betrieb überwachen oder entscheiden, ob das System überhaupt arbeiten soll. Diese Rollen erfordern unterschiedliche Informationen und Reaktionszeiten.

Wähle die passende Form der Aufsicht

Automatisierungsbias begünstigt es, Ausgaben ungeprüft zu übernehmen; Selbstzufriedenheit kann wachsen, wenn das Werkzeug gewöhnlich funktioniert. Eine prüfende Person, die 600 Fälle pro Stunde bearbeitet, hat $3600\mathrm{/}600=6$ Sekunden pro Fall. Bei einem komplexen Urteil macht diese Arbeitslast die Genehmigung zu einer bloßen Unterschrift. Kompetenz, nutzbare Informationen, Zeit, Befugnis zum Überstimmen und Schutz bei Widerspruch sind gleichermaßen wichtig.

Baue einen Sicherheitsprozess um die Veröffentlichung auf

Eine Gefahrenanalyse erkennt mögliche schädliche Ereignisse vor der Entwicklung. Tests decken anschließend die erwarteten Einsatzbedingungen einschließlich ungewöhnlicher Bedingungen ab. Eine schrittweise Einführung begrenzt die anfängliche Exposition. Überwachung achtet auf Veränderungen und Vorfälle. Ein Rückfallverfahren oder eine Abschaltung muss vor einem Notfall erprobt werden, und Vorfallsmeldungen halten fest, was andere aus einem Versagen lernen können.

Eine Evaluation ist ein strukturierter Test von Fähigkeiten oder Verhalten. Red Teaming sucht gezielt nach Fehlfunktionen, auch nach Kombinationen, die normale Tests übersehen. Evaluationen gefährlicher Fähigkeiten untersuchen, ob ein fortgeschrittenes System bei schweren Schädigungen wie Cyberangriffen oder biologischem Missbrauch wesentlich helfen könnte. Fehlgeschlagene Tests liefern Belege für ein Problem; bestandene Tests lassen nicht untersuchte Bedingungen offen.

Sicherheitsrahmenwerke für Frontier-Modelle verknüpfen Fähigkeitsschwellen mit stärkeren Schutzmaßnahmen oder einer Pause vor weiterem Training oder der Veröffentlichung. Dadurch hat eine Evaluation Folgen: Für eine Warnung muss jemand zuständig sein, und eine Reaktion muss vorgeschrieben sein. Das UK AI Security Institute und das US-amerikanische NIST Center for Advancing Innovation and Standards for Super Intelligence (CAISSI) evaluieren fortgeschrittene Modelle. Der International AI Safety Report, erstmals 2025 veröffentlicht, trägt wissenschaftliche Belege zu Risiken von KI mit allgemeinem Verwendungszweck zusammen.

Beurteile schwerwiegende Risiken sorgfältig

Einige Forschende argumentieren, dass leistungsfähige Systeme mit allgemeinem Verwendungszweck durch vorsätzlichen Missbrauch oder Kontrollverlust katastrophale Schäden verursachen könnten. 2023 unterstützten Hunderte Forschende und Führungskräfte, das Aussterberisiko neben Pandemien und Atomkrieg als globale Priorität zu behandeln. Andere halten diese Szenarien für spekulativ und betonen gegenwärtige Schäden wie Diskriminierung, Überwachung und Umbrüche in der Arbeitswelt.

Eine nützliche Bewertung benennt den Schaden, den angenommenen Mechanismus, die Belege, die Unsicherheit über die Wahrscheinlichkeit und die mögliche Schwere. Evaluation, Transparenz, Vorfallsmeldung, Aufsicht und Rechenschaftspflicht können gegenwärtige und künftige Risiken gemeinsam angehen. Begrenzte Belege zur Wahrscheinlichkeit sollten zusammen mit der Schwere betrachtet werden; weder eine selbstsichere Abweisung noch eine selbstsichere Vorhersage ersetzt diese Analyse.

Ein Arbeitsplatz umfasst ein Bündel von Tätigkeiten. Automatisierung überträgt eine Aufgabe auf eine Maschine; Augmentation hilft einem Menschen bei ihrer Ausführung. KI-Exposition bedeutet, dass Tätigkeiten durch KI verändert werden könnten. Sie misst das technische Potenzial, nicht die beobachtete Arbeitslosigkeit.

Verfolge mehrere wirtschaftliche Effekte

Der Verdrängungseffekt beseitigt Tätigkeiten, die zuvor Menschen ausgeführt haben. Ein Produktivitätseffekt senkt Kosten und kann die Nachfrage erhöhen und so Arbeit schaffen. Ein Wiedereinsetzungseffekt bringt neue Tätigkeiten hervor, etwa KI-Audits. Diese Effekte können gemeinsam auftreten. Der Trugschluss einer festen Arbeitsmenge geht von einer festen Menge an Arbeit aus. Diese Annahme abzulehnen, ändert aber nichts an tatsächlichen Verlusten für einzelne Beschäftigte und Regionen.

Studien verwenden unterschiedliche Analyseeinheiten. Frey und Osborne schätzten 2013 anhand von Berufen, dass für etwa 47 % der US-Arbeitsplätze ein hohes Automatisierungsrisiko bestand. Die tätigkeitsbasierte Schätzung von Arntz, Gregory und Zierahn aus dem Jahr 2016 betrug über OECD-Länder hinweg etwa 9 %. Die Sprachmodellstudie von Eloundou und Kollegen aus dem Jahr 2023 schätzte, dass bei etwa 80 % der US-Beschäftigten mindestens 10 % der Tätigkeiten und bei 19 % mindestens die Hälfte exponiert waren. Die Schätzung des IWF von 2024 betrug weltweit etwa 40 % der Arbeitsplätze und in fortgeschrittenen Volkswirtschaften 60 %, wobei dort etwa die Hälfte der exponierten Arbeitsplätze möglicherweise durch höhere Produktivität profitiert. Diese Maße sind keine austauschbaren Vorhersagen verlorener Arbeitsplätze.

Berechne gesparte und exponierte Zeit getrennt

Eine Fachkraft für Schadenbearbeitung arbeitet 40 Stunden: 14 für die Prüfung von Unterlagen, 8 für das Schreiben von Briefen, 12 für Telefonate und 6 für Besichtigungen. KI halbiert die Zeit für Unterlagen und senkt die Zeit für Briefe um 40 %, ohne andere Tätigkeiten zu verändern:

Die gesamte Ersparnis beträgt 10,2 Stunden oder $\mathrm{10,2}\mathrm{/}40=\mathrm{0,255}$: 25,5 % der Woche. Exponierte Tätigkeiten beanspruchen $22\mathrm{/}40=\mathrm{0,55}$ oder 55 %. Um die gesamte exponierte Zeit einzusparen, müssten diese Tätigkeiten vollständig entfallen. Ob die gesparte Zeit weniger Fachkräfte, mehr Besichtigungen oder besseren Service bedeutet, hängt von der Nachfrage und Entscheidungen der Unternehmensleitung ab.

Eine Studie mit mehr als 5.000 Kundendienstkräften berichtete durchschnittlich 14 % mehr gelöste Anliegen pro Stunde und 34 % mehr für unerfahrene und gering qualifizierte Kräfte, bei geringer Wirkung für die erfahrensten. Das Ergebnis zeigt, wie Gewinne in einem Umfeld eine Qualifikationslücke verringern können; es belegt keine identische Wirkung über alle Berufe hinweg.

Verfolge die Aufteilung und die Arbeitsqualität

Schreiben, Programmieren und Analysieren machen neben Routinetätigkeiten auch höher bezahlte kognitive Arbeit exponiert. Produktivitätsgewinne können als Löhne an Beschäftigte, als niedrigere Preise an Verbraucher oder als Gewinne an Eigentümer gehen. Eigentumsverhältnisse, Verhandlungsmacht, Zugang zu Weiterbildung und lokale Nachfrage beeinflussen die Aufteilung.

Algorithmisches Management weist Arbeit zu, legt Arbeitszeiten fest, überwacht Leistung oder hilft, Bezahlung festzusetzen. Es kann die Arbeit intensivieren und die Mitsprache der Beschäftigten verringern. Dequalifizierung verlagert Urteilsaufgaben in das System; Höherqualifizierung gibt Menschen anspruchsvollere Aufgaben. Auch Datenkennzeichnung und Inhaltsmoderation sind menschliche Arbeit hinter KI, oft ausgelagert und schlecht bezahlt.

Politische Optionen umfassen Umschulung, lebenslanges Lernen, Unterstützung bei Arbeitslosigkeit, breitere soziale Sicherungsnetze, Beteiligung von Beschäftigten und Debatten über Besteuerung oder ein Grundeinkommen. Beurteile, wer die Kosten des Übergangs trägt, ebenso wie jede Veränderung der Gesamtbeschäftigung.

Gesellschaftliche Auswirkungen reichen über die Menschen hinaus, die einen KI-Dienst kaufen. Systeme können öffentliches Vertrauen, Marktmacht, Ressourcenverbrauch und Teilhabechancen verändern. Achte auf indirekte Auswirkungen und darauf, ob eine Entscheidung rückgängig gemacht werden kann, sobald Menschen davon abhängig sind.

Vertrauen in Informationen

Synthetische Medien umfassen algorithmisch erzeugte oder erheblich veränderte Texte, Bilder, Audioinhalte und Videos. Deepfakes sind realistische Nachahmungen von Personen, Objekten oder Ereignissen. Sie können Betrug, Desinformation und nicht einvernehmlich erzeugte intime Bilder ermöglichen. Eine Zählung von 2019 ergab, dass etwa 96 % der gefundenen Deepfake-Videos nicht einvernehmliche intime Inhalte waren; dies beschreibt jene historische Stichprobe, nicht alle heutigen synthetischen Medien.

Die Lügnerdividende entsteht, wenn die Möglichkeit von Fälschungen jemandem erlaubt, eine echte Aufnahme als Fälschung abzutun. Schutzmaßnahmen brauchen daher mehr als einen Detektor. Signierte Inhaltsprovenienz, etwa C2PA Content Credentials, dokumentiert Herkunft und Bearbeitungen; Wasserzeichen und sichtbare Kennzeichnungen liefern weitere Hinweise. Wasserzeichen können entfernt werden, Detektoren können versagen, und die Herkunft allein belegt nicht, dass eine dargestellte Aussage wahr ist. Medienkompetenz und Überprüfung durch weitere Quellen bleiben nützlich.

Empfehlungssysteme ordnen Inhalte. Eine auf Interaktion ausgerichtete Zielfunktion kann sensationelle oder polarisierende Beiträge belohnen, weil sie Aufmerksamkeit binden. Behauptungen, Empfehlungssysteme erzeugten immer Filterblasen, gehen über die gemischten Belege hinaus: Die Auswirkungen unterscheiden sich je nach Plattform und Nutzer. Dialogsysteme werfen auch Fragen zu Beeinflussung und emotionaler Abhängigkeit auf.

Macht und Zugang

Große Modelle benötigen Rechenleistung, Daten und spezialisierte Fachkräfte, wodurch sich Fähigkeiten bei wenigen Unternehmen und Staaten konzentrieren. Die Abhängigkeit von Anbietern kann den Wettbewerb einschränken und einen Wechsel kostspielig machen. Der Zugang zu fortgeschrittenen Chips und die Exportkontrollen haben zusätzliche geopolitische Auswirkungen.

Die digitale Kluft betrifft ungleiche Geräte, Internetverbindungen, Sprachabdeckung und Fähigkeiten. Ein Werkzeug, das auf Englisch am besten funktioniert, kann die Unterschiede für andere Sprachgemeinschaften vergrößern. KI kann den Zugang auch durch Untertitel, Bildbeschreibungen und Übersetzung verbessern. Miss, wer diese Vorteile tatsächlich nutzen kann.

Ressourcenkosten und physische Sicherheit

Die Internationale Energieagentur schätzte den Stromverbrauch von Rechenzentren 2024 auf etwa 415 TWh, rund 1,5 % des weltweiten Verbrauchs, und prognostizierte in ihrem Basisszenario für 2030 etwa 945 TWh: $945\mathrm{/}415\approx \mathrm{2,3}$. Diese Zahlen betreffen Rechenzentren insgesamt; KI ist ein wichtiger Wachstumstreiber. Kühlwasser, Hardwareherstellung und Elektroschrott verursachen zusätzliche Kosten. KI-Anwendungen zum Ausgleich von Stromnetzen und zur Wettervorhersage können der Umwelt nutzen; dieser Nutzen muss mit ihrem eigenen Ressourcenverbrauch verglichen werden.

Tödliche autonome Waffen wählen nach ihrer Aktivierung ohne weiteres menschliches Eingreifen Ziele aus und greifen sie an. Befürworter nennen Geschwindigkeit, Präzision und ein geringeres Risiko für Soldaten. Kritiker hinterfragen Rechenschaftspflicht, die Unterscheidung von Zivilpersonen und Kombattanten, Verhältnismäßigkeit, Weiterverbreitung und niedrigere Hürden für Kriege. Das Unterscheidungsgebot trennt Zivilpersonen und zivile Objekte von militärischen Zielen. Die Verhältnismäßigkeit verbietet Angriffe, bei denen zufällige zivile Schäden zu erwarten sind, die im Verhältnis zum erwarteten konkreten und unmittelbaren militärischen Vorteil übermäßig sind. Die UN-Diskussionen begannen 2014; die erste Resolution der Generalversammlung wurde im Dezember 2023 mit 152 zu 4 Stimmen bei 11 Enthaltungen angenommen.

Eine Stadt, die Gesichtserkennung im Verkehrssystem erwägt, sollte die schnellere Suche nach Verdächtigen gegen die Erfassung aller Fahrgäste, ungleiche Fehler, künftige Weiterverwendung von Daten und die Abhängigkeit vom System abwägen. Vergleiche weniger eingreifende Möglichkeiten, bestimme die Aufsicht und entscheide, wie eine Entfernung funktionieren würde, bevor der Einsatz sie erschwert.

Die EU-KI-Verordnung, Verordnung (EU) 2024/1689, trat am 1. August 2024 in Kraft. Sie ist eine verbindliche horizontale Regulierung: Sie erfasst KI über verschiedene Sektoren hinweg und knüpft Pflichten an das Risiko. Ihre Definition betrifft maschinengestützte Systeme, die mit einem gewissen Grad an Autonomie ableiten, wie sie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugen. Eine feste Tabellenkalkulationsformel, die vollständig von Menschen geschrieben wurde, fällt im Allgemeinen nicht unter diese Definition.

Bestimme Rolle und Verwendung

Ein Anbieter entwickelt ein System oder Modell oder gibt dessen Entwicklung in Auftrag und bringt es unter eigenem Namen in Verkehr oder nimmt es in Betrieb. Ein Betreiber verwendet ein System beruflich in eigener Verantwortung. Einführer und Händler haben eigene Rollen auf dem Markt. Die Verordnung kann Anbieter außerhalb der EU über den Zugang zum EU-Markt oder dort verwendete Ausgaben erfassen. Sie schließt ausschließlich militärische, Verteidigungs- oder nationale Sicherheitszwecke aus; Systeme, die eigens und ausschließlich für wissenschaftliche Forschung und Entwicklung entwickelt und in Betrieb genommen wurden; sowie persönliche, nicht berufliche Tätigkeiten von Betreibern.

Für KI-Modelle mit allgemeinem Verwendungszweck gilt ein eigener Rahmen. Ein Modell kann viele Systeme unterstützen; bewerte die Zweckbestimmung jedes Systems und mögliche Transparenzpflichten.

Prüfe zuerst die Verbote

Artikel 5 verbietet schädliche Manipulation und das Ausnutzen von Schutzbedürftigkeit; soziale Bewertung mit sachfremder oder ungerechtfertigter nachteiliger Behandlung; die ausschließlich auf Profiling oder Persönlichkeit beruhende Vorhersage eines Straftatrisikos; das ungezielte Auslesen von Gesichtsbildern für Erkennungsdatenbanken; biometrische Kategorisierung sensibler Merkmale; und Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen außer für medizinische oder Sicherheitszwecke. Biometrische Echtzeit-Fernidentifizierung zur Strafverfolgung im öffentlichen Raum ist grundsätzlich verboten, mit streng kontrollierten Ausnahmen wie der Suche nach einem Entführungsopfer oder der Abwehr einer unmittelbar drohenden terroristischen Gefahr.

Ab dem 2. Dezember 2026 erfassen ergänzte Verbote Systeme, die nicht einvernehmliches realistisches intimes Material identifizierbarer Personen und Material oder Darbietungen über sexuellen Kindesmissbrauch erzeugen oder manipulieren; für Letzteres gilt eine enge Ausnahme nach nationalem Recht. Eine Offenlegungskennzeichnung macht eine verbotene Verwendung nicht zulässig.

Wende die Wege zur Hochrisikoeinstufung an

Anhang I betrifft KI-Produkte oder Sicherheitskomponenten, die unter Produktvorschriften mit vorgeschriebener Konformitätsbewertung durch Dritte fallen. Abschnitt A umfasst Medizinprodukte, Spielzeug und Aufzüge, für die Anforderungen der KI-Verordnung unmittelbar gelten. Abschnitt B umfasst Fahrzeuge, Luftfahrzeuge und Maschinen, wobei KI-Anforderungen hauptsächlich über sektorale Rechtsvorschriften integriert werden. Die Regeln von 2026 nehmen reine Unterstützung und Optimierung ohne Sicherheitsbezug vom Status als Sicherheitskomponente aus sowie Produkte, deren Bewertung durch Dritte ausschließlich wegen Risiken verlangt wird, die Gesundheit und Sicherheit nicht betreffen.

Anhang III betrifft bestimmte Verwendungen in acht Bereichen: Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung, grundlegende Dienste, Strafverfolgung, Migration und Grenzen sowie Justiz und demokratische Prozesse. Beispiele sind Zulassung, Bewertung, Rangordnung von Lebensläufen, Kreditwürdigkeit von Personen, Preisgestaltung bei Lebens- und Krankenversicherungen und Priorisierung von Notrufen. Betrugserkennung ist vom Punkt zur Kreditwürdigkeit von Personen ausgenommen.

Eine Verwendung nach Anhang III kann der Hochrisikoeinstufung entgehen, wenn sie kein erhebliches Risiko birgt, unter anderem weil sie Entscheidungsergebnisse nicht wesentlich beeinflusst, und eine eng gefasste Verfahrens- oder Vorbereitungsaufgabe erfüllt, abgeschlossene Arbeit verbessert oder Muster prüft. Profiling von Personen schließt diese Ausnahme stets aus. Der Anbieter muss seine Bewertung der Ausnahme dokumentieren und registrieren.

Artikel 50 kann neben einer Risikokategorie gelten. Er verlangt Hinweise auf die Interaktion mit KI, sofern diese nicht offensichtlich ist, eine maschinenlesbare Kennzeichnung generierter Inhalte durch Anbieter, Hinweise bei Emotionserkennung oder biometrischer Kategorisierung sowie die Offenlegung von Deepfakes oder ungeprüften KI-Texten zu Themen von öffentlichem Interesse durch Betreiber. Für künstlerische Darstellungen gelten angepasste Offenlegungsregeln. Es gibt Ausnahmen für übliche Bearbeitungen ohne wesentliche Änderungen an Inhalt oder Bedeutung und für bestimmte rechtlich zugelassene Verwendungen zur Strafverfolgung. Ein Chatbot, der Bewerber in eine Rangfolge bringt, kann sowohl Transparenz- als auch Hochrisikopflichten unterliegen.

Die Governance von Hochrisikosystemen reicht vom Entwurf bis zur Außerbetriebnahme. Der Anbieter muss das Risikomanagement belegen, und der Betreiber muss den sicheren Betrieb und die Rechenschaftspflicht für das System in seiner tatsächlichen Einsatzumgebung gewährleisten. Die folgenden Daten entsprechen der 2026 geänderten Fassung der Verordnung.

Pflichten von Anbietern und Betreibern

Anbieter benötigen Risikomanagement über den Lebenszyklus; relevante, repräsentative Daten und Prüfungen auf Verzerrungen; technische Dokumentation und Protokolle; klare Gebrauchsanweisungen; eine Gestaltung für wirksame menschliche Aufsicht; angemessene Genauigkeit, Robustheit und Cybersicherheit; sowie ein Qualitätsmanagementsystem. Eine Konformitätsbewertung prüft vor dem Markteintritt die anwendbaren Anforderungen. Für die meisten Systeme nach Anhang III erfolgt eine interne Bewertung; bestimmte biometrische Systeme erfordern eine benannte Stelle; für Anhang I Abschnitt A gilt die Bewertung durch Dritte nach dem jeweiligen Produktrecht. Anbieter stellen eine Erklärung aus, bringen die CE-Kennzeichnung an, registrieren eigenständige Hochrisikosysteme, überwachen die Leistung nach dem Markteintritt und melden schwere Vorfälle.

Betreiber befolgen die Anweisungen, benennen kompetente Personen mit entsprechenden Befugnissen, kontrollieren relevante Eingabedaten, überwachen den Betrieb, melden Probleme und bewahren automatisch erzeugte Protokolle normalerweise mindestens sechs Monate auf. Sie informieren Beschäftigte und deren Vertreter vor dem Einsatz am Arbeitsplatz sowie Personen, die Hochrisiko-KI-gestützten Entscheidungen unterliegen. Öffentliche Stellen, bestimmte Erbringer öffentlicher Dienste und Betreiber, die KI zur Kreditwürdigkeitsprüfung oder für Lebens- und Krankenversicherungen einsetzen, führen vor der Verwendung eine Grundrechte-Folgenabschätzung durch. Artikel 86 gibt Betroffenen ein Recht auf Erläuterung der Rolle der KI und der wesentlichen Entscheidungselemente, wenn eine einschlägige erhebliche Entscheidung nach Anhang III ihre Gesundheit, Sicherheit oder Grundrechte nachteilig beeinflusst. Er nimmt Anhang III Nummer 2 (kritische Infrastruktur) aus, beachtet geltende gesetzliche Beschränkungen und gilt, wenn nicht bereits ein anderes EU-Recht die Erläuterung vorsieht. Beschwerden gehen an nationale Marktüberwachungsbehörden.

Modelle mit allgemeinem Verwendungszweck

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck führen technische Dokumentation, stellen nachgelagerten Anbietern Informationen zur Integration bereit, unterhalten eine Strategie zur Einhaltung des Urheberrechts und veröffentlichen eine Zusammenfassung der Trainingsinhalte. Entsprechend qualifizierte freie und quelloffene Modelle ohne systemisches Risiko sind von den beiden Dokumentationspflichten ausgenommen, die Urheberrechts- und Zusammenfassungspflichten bleiben aber bestehen.

Ein Trainingsaufwand über ${10}^{25}$ FLOP begründet die Vermutung eines systemischen Risikos; die Kommission kann ein Modell auch entsprechend einstufen. Zusätzliche Pflichten umfassen Evaluation einschließlich adversarieller Tests, Bewertung und Verringerung systemischer Risiken, Vorfallsmeldung und Cybersicherheit. Der freiwillige Verhaltenskodex für KI mit allgemeinem Verwendungszweck vom Juli 2025 bietet einen Weg zum Nachweis der Einhaltung.

Eine grobe Trainingsschätzung lautet $6\times parameters\times tokens$. Für 70 Milliarden Parameter und 15 Billionen Token:

Das sind 63 % des Schwellenwerts. Der Rechenaufwand allein löst die Vermutung nicht aus; eine Einstufung durch die Kommission bleibt möglich.

Durchsetzung und Höchstgeldbußen

Nationale Behörden beaufsichtigen Systeme. Das Büro für Künstliche Intelligenz der Kommission beaufsichtigt KI-Modelle mit allgemeinem Verwendungszweck. Artikel 75 weist ihm außerdem bestimmte Aufgaben für Systeme zu, die auf Modellen desselben Unternehmens mit allgemeinem Verwendungszweck beruhen, sowie für benannte sehr große Plattformen und Suchmaschinen; dabei gelten Ausnahmen für Sektoren und Behörden. Der Ausschuss für Künstliche Intelligenz koordiniert die Mitgliedstaaten und erhält wissenschaftliche Beratung durch ein Sachverständigengremium. Reallabore unterstützen beaufsichtigte Tests.

Artikel 99 begrenzt Geldbußen für verbotene Praktiken auf 35 Millionen Euro oder 7 % des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist. Für bestimmte Verstöße gegen Betreiberpflichten gelten 15 Millionen Euro oder 3 %; für unrichtige oder irreführende Angaben 7,5 Millionen Euro oder 1 %. Für KMU gilt in allen drei Stufen der niedrigere Betrag. Für kleine Unternehmen mittlerer Kapitalisierung gilt der niedrigere Betrag nur in den beiden letzteren Stufen. Dies sind Höchstgrenzen, keine automatischen Geldbußen. Bei 2 Milliarden Euro Umsatz entsprechen 7 % einem Betrag von 140 Millionen Euro; für ein KMU mit 20 Millionen Euro Umsatz gilt bei einer verbotenen Praktik die niedrigere Obergrenze von 1,4 Millionen Euro. Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gilt außerdem eine eigene Sanktionsregelung nach Artikel 101.

Halte Inkrafttreten und Geltungsbeginn auseinander

• 1. August 2024: Inkrafttreten.
• 2. Februar 2025: ursprüngliche Verbote und Pflichten zur KI-Kompetenz.
• 2. August 2025: Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Governance-Bestimmungen und die meisten Sanktionsbestimmungen.
• 2. August 2026: allgemeiner Geltungsbeginn einschließlich Transparenzpflichten.
• 2. Dezember 2026: die neuen Verbote intimer Inhalte und von Material über Kindesmissbrauch.
• 2. Dezember 2027: Hochrisikoanforderungen nach Anhang III.
• 2. August 2028: Hochrisikoanforderungen nach Anhang I.

Für vor dem 2. August 2025 in Verkehr gebrachte KI-Modelle mit allgemeinem Verwendungszweck gilt eine Frist bis zum 2. August 2027. Die Übergangsfrist für bereits bestehende Hochrisikosysteme öffentlicher Behörden reicht bis zum 2. August 2030. Andere bestehende Hochrisikosysteme unterliegen der Verordnung im Allgemeinen, wenn sie nach ihrem jeweiligen Geltungsbeginn erheblich umgestaltet werden. Anbieter von vor dem 2. August 2026 in Verkehr gebrachten inhaltsgenerierenden Systemen haben für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 bis zum 2. Dezember 2026 Zeit; die gesonderten Betreiberpflichten müssen weiterhin geprüft werden. KI-Kompetenz verlangt Maßnahmen zur Förderung ihrer Entwicklung bei Beschäftigten, die KI betreiben und nutzen, unter Berücksichtigung ihrer Erfahrung und des Einsatzkontexts. Sie garantiert kein bestimmtes individuelles Niveau. Datenschutzrecht gilt weiterhin neben der Verordnung.

Risiko verbindet Wahrscheinlichkeit und Schwere. Bei KI kommen veränderliche Faktoren hinzu: Daten verändern sich, Modelle verbergen Muster, externe Anbieter wechseln, und eine Fehlfunktion kann sich über viele Entscheidungen hinweg wiederholen. Ein Risikoprozess braucht Verantwortliche und Überprüfungstermine ebenso wie Bewertungen.

Nutze die vier NIST-Funktionen gemeinsam

Das am 26. Januar 2023 veröffentlichte NIST AI RMF 1.0 ist freiwillig und sektorunabhängig. Es bleibt das veröffentlichte Rahmenwerk, während die Überarbeitung im Rahmen des US-KI-Aktionsplans voranschreitet. Seine sieben Merkmale vertrauenswürdiger KI sind Validität und Zuverlässigkeit; Betriebssicherheit; Informationssicherheit und Resilienz; Rechenschaftspflicht und Transparenz; Erklärbarkeit und Interpretierbarkeit; Datenschutzförderung; sowie Fairness bei Steuerung schädlicher Verzerrungen. Sie können miteinander in Konflikt stehen. Dokumentiere daher die Entscheidung und wer ihre Kosten trägt.

Steuern durchzieht die anderen Funktionen. Sie wiederholen sich über den Lebenszyklus hinweg und bilden keine einmalige Abfolge. Der Leitfaden schlägt Maßnahmen vor; Profile passen das Rahmenwerk an bestimmte Verwendungen an. NIST AI 600-1, das Generative AI Profile vom Juli 2024, behandelt Fragen wie Konfabulation und schädliche synthetische Inhalte.

Unterscheide Normen und gesetzliche Anforderungen

ISO/IEC 42001:2023 legt ein KI-Managementsystem mit Richtlinie, Rollen, Bewertungen, Kontrollen, internem Audit und kontinuierlicher Verbesserung durch Planen-Durchführen-Prüfen-Handeln fest. Organisationen können sich danach zertifizieren lassen. ISO/IEC 23894:2023 bietet Leitlinien zum KI-Risikomanagement auf Grundlage von ISO 31000. Eine Zertifizierung betrifft das Managementsystem und seinen bewerteten Geltungsbereich; gesetzliche Pflichten müssen weiterhin gesondert geprüft werden. Für bestimmte Hochrisikoanforderungen angeführte harmonisierte EU-Normen können für die von ihnen abgedeckten Anforderungen eine Konformitätsvermutung begründen.

Arbeite mit einem Risikoregister

Bestimme den Kontext, erkenne schädliche Ereignisse, analysiere Wahrscheinlichkeit und Schwere, vergleiche sie mit der Risikotoleranz, wähle eine Behandlung und überprüfe das Ergebnis. Eine Behandlung kann eine Tätigkeit vermeiden, ihr Risiko verringern, einige Folgen durch Versicherungen oder Verträge übertragen oder das Restrisiko bewusst akzeptieren.

Verwende für ein Werkzeug zur Lebenslaufprüfung beispielhafte Bewertungen von 1–5 und eine Prioritätsregel: Werte ab 15 sind hoch, 8–14 mittel und unter 8 niedrig. Die ungleiche Ablehnung qualifizierter Bewerber hat Wahrscheinlichkeit 4 und Schwere 4: $4\times 4=16$, hoch. Nach einem Audit, Überwachung der Gruppen und wirksamer Prüfung von Ablehnungen sinkt die geschätzte Wahrscheinlichkeit auf 2: $2\times 4=8$, mittleres Restrisiko. Halte die Belege für diese geänderte Bewertung und eine für ihre Prüfung verantwortliche Person fest.

Ein Datenleck mit $2\times 5=10$ liegt im mittleren Bereich, hat aber die höchste Schwere. Ein Ausfall mit $3\times 2=6$ liegt im niedrigen Bereich. Gleiche oder ähnliche Produkte können sehr unterschiedliche Schäden verdecken; ordinale Bewertungen sind Hilfen zur Priorisierung, keine genauen Wahrscheinlichkeiten oder gemessenen Verluste.

Ein KI-Verzeichnis, benannte Systemverantwortliche, Prüfungen vor dem Einsatz, Anbieterprüfungen, Vorfallreaktion sowie interne oder unabhängige Audits setzen das Rahmenwerk praktisch um. Prüfe das Register erneut, wenn sich Nutzer, Daten, Fähigkeiten oder Vorfälle verändern.

Governance-Ansätze unterscheiden sich entlang mehrerer Achsen. Hard Law bindet durch durchsetzbare Pflichten; Soft Law bietet freiwillige Prinzipien und Normen. Horizontale Regeln erstrecken sich über Sektoren; sektorspezifische Aufsicht nutzt Behörden für Bereiche wie Finanzen, Gesundheitswesen und Verkehr. Ex-ante-Kontrollen greifen vor dem Einsatz; Ex-post-Rechtsschutz reagiert nach einem Schaden. Eine Rechtsordnung kann all dies kombinieren.

Vergleiche die grundlegenden Ansätze

Die EU verbindet Konformitätsbewertung und CE-Kennzeichnung mit späterer Aufsicht. Weltweit tätige Unternehmen können EU-Praktiken auf andere Märkte ausdehnen, um den Betrieb zu vereinfachen: der Brüssel-Effekt. Diese Unternehmensentscheidung ist etwas anderes als eine rechtliche Geltung der Verordnung für jede Tätigkeit weltweit.

Die USA haben kein einzelnes umfassendes KI-Bundesgesetz. Bestehende Regeln zu Verbraucherschutz, Diskriminierung, Kreditwesen und Produktsicherheit gelten weiterhin. Die Politik der Exekutive hat sich zwischen Regierungen verändert, und Bundesstaaten ergänzen Maßnahmen zu automatisierten Entscheidungen, Deepfakes und Transparenz fortgeschrittener Modelle. Die Verdrängung von Regeln der Bundesstaaten durch Bundesrecht bleibt umstritten. Ein Bundesvorschlag ist etwas anderes als ein verabschiedetes Gesetz.

Die fünf Prinzipien des Vereinigten Königreichs betreffen Betriebs- und Informationssicherheit sowie Robustheit, angemessene Transparenz, Fairness, Rechenschaftspflicht und Governance sowie Anfechtbarkeit und Abhilfe. Bestehende Aufsichtsbehörden wenden sie in ihren Zuständigkeitsbereichen an. Das AI Security Institute evaluiert fortgeschrittene Systeme; es ist keine Aufsichtsbehörde.

Chinas Maßnahmen erfassen Empfehlungsalgorithmen seit 2022, tiefe Synthese und generative KI-Dienste seit 2023 sowie die seit dem 1. September 2025 geltende Kennzeichnung generierter Inhalte. Algorithmusregistrierung und Anforderungen zur Inhaltskontrolle sind Teil dieses Ansatzes.

Verfolge internationalen Einfluss und zeitliche Abläufe

Internationale Instrumente umfassen die OECD-KI-Prinzipien, den Kodex des G7-Hiroshima-Prozesses von 2023 für Entwickler fortgeschrittener Modelle, UN-Resolutionen und Gipfel, die 2023 in Bletchley Park begannen. Das KI-Rahmenübereinkommen des Europarats wurde im September 2024 als rechtsverbindliches Vertragsinstrument zur Unterzeichnung aufgelegt. Unterzeichnung und Inkrafttreten sind verschiedene Phasen; die Existenz eines Vertrags bedeutet nicht, dass jedes Land an ihn gebunden ist.

Das Collingridge-Dilemma betrifft den Zeitpunkt: Eine Technik lässt sich leichter gestalten, bevor ihre Auswirkungen gut bekannt sind, und schwerer ändern, nachdem sie sich etabliert hat. Reallabore, Normen und planmäßige Überprüfungen helfen bei der Anpassung. Verbindliche Regeln bieten durchsetzbaren Schutz und Vorhersehbarkeit, können aber Kosten verursachen oder sich langsam anpassen; flexible Ansätze können schneller reagieren und zugleich Lücken lassen.

Bei einem Einstellungswerkzeug bleibt der Arbeitgeber in der EU, den USA und dem Vereinigten Königreich für diskriminierende Ergebnisse verantwortlich. Prüfe sowohl KI-spezifische als auch bestehende Regeln und unterscheide anschließend verbindliche Pflichten von nützlicher freiwilliger Praxis. Ein freiwilliges Rahmenwerk kann Verträge, Beschaffung und Erwartungen an angemessene Sorgfalt beeinflussen, auch wenn es keine gesetzliche Ausnahme schafft.