Niederlande: Praxishilfe für AI Impact Assessment (AIIA)

Mit der wachsenden Verbreitung von Künstlicher Intelligenz (KI) stehen Unternehmen und Behörden vor der Herausforderung, deren rechtliche und ethische Auswirkungen angemessen zu bewerten. Hier setzt das AI Impact Assessment (AIIA) Version 2.0 an – ein praxisorientiertes Instrument, das im Dezember 2024 vom niederländischen Ministerium für Infrastruktur und Wasserwirtschaft veröffentlicht wurde. Es soll als praktisches Werkzeug für Organisationen und Unternehmen dienen, um die ethischen, rechtlichen und technischen Aspekte ihrer KI-Projekte systematisch zu prüfen und Transparenz in ihren Entscheidungsprozessen zu schaffen.

AI Impact Assessment Version 2.0

Das AIIA des Ministry of Infrastructure and Water Management (I&W) gliedert sich in zwei Hauptteile und drei ergänzende Anhänge. Teil A: Bewertung analysiert die Notwendigkeit und den Zweck eines KI-Systems sowie dessen potenzielle Auswirkungen auf Grundrechte, Nachhaltigkeit und andere gesellschaftliche Aspekte. Zudem wird geprüft, ob der Einsatz des Systems sinnvoll und verhältnismäßig ist. Teil B: Implementierung und Nutzung fokussiert sich auf die technische und organisatorische Umsetzung, einschließlich technischer Robustheit, Daten-Governance, Risikomanagement und Rechenschaftspflicht. Darüber hinaus liefern die Anhänge zusätzliche Details: Anhang 1 erläutert die Risikoeinstufung gemäß der KI-Verordnung (KI-VO). Anhang 2 enthält zusätzliche Prüffragen für Hochrisiko-KI, die sich speziell an Entwickler als auch an Anwender richten. Anhang 3 behandelt die spezifischen Herausforderungen generativer KI, insbesondere Large Language Models (LLMs),

Teil A: KI-Einsatz hinterfragen: Steht der Aufwand in Relation zum Nutzen?

Bevor mit der Entwicklung (als Anbieter) oder die Einführung (als Betreiber) einer KI gestartet wird, sollten sich Unternehmen die Frage stellen, ob die Aufwände und Risiken in einem angemessenen Verhältnis zu den angestrebten Zielen stehen. Um diese zentrale Frage zu klären, bietet der AIIA im ersten Teil ein einfaches fragengeleitetes Assessment. Ziel ist es, die Zwecke, die beabsichtigte Lösung und die erwarteten Auswirkungen des KI-Systems zu analysieren.

• Systemzweck und Notwendigkeit – Welches Problem soll das KI-System lösen? Welche Technologie und Daten sollen genutzt werden? Wie soll das KI-System in die Organisation eingebunden werden? Auch Aspekte der Wartung und Weiterentwicklung werden berücksichtigt.
• Auswirkungen – Welche positiven oder negative Effekte sind auf Grundrechte, Nachhaltigkeit und Unternehmenswerte zu erwarten? Wie trägt das KI-System zu den Zielen des Unternehmens bei? Neben rechtlichen Aspekten stehen auch ökologische Auswirkungen und gesellschaftliche Folgen im Fokus.
• Entscheidungsbeurteilung – Abschließend wird geprüft, ob der Einsatz des KI-Systems angemessen, notwendig und verhältnismäßig ist. Es wird analysiert, ob alternative Lösungen existieren und ob weitere Maßnahmen erforderlich sind, um einen verantwortungsvollen Einsatz sicherzustellen.

Teil B: Praktische Umsetzung und Betrieb eines KI-Systems

Während Teil A die grundsätzliche Entscheidung über den Einsatz der KI-Technologie bewertet, geht es in Teil B um die technische, datenschutzrechtliche und regulatorische Umsetzung. Das I&W empfiehlt hier explizit die Einbindung von Experten. Ob Datenanalysten oder IT-Sicherheitsspezialisten, bei der praktischen Umsetzung ist tiefgehendes Wissen über KI-Technologie, Datenschutz und Informationssicherheit gefordert. Auch in diesem Teil können Unternehmen anhand von praxisorientierten Fragen die Einhaltung der gesetzlichen Vorschriften und regulatorische Anforderungen – wie der KI-VO und der DSGVO – schrittweise angehen. Es werden dabei vier zentrale Bereiche abgefragt:

• Technische Robustheit – Überprüfung der Genauigkeit, Zuverlässigkeit, Reproduzierbarkeit und Erklärbarkeit des KI-Systems, sowie Maßnahmen zur Bias-Reduktion und technischen Integration in bestehende IT-Strukturen.
• Daten-Governance – Sicherstellung von Datenqualität, Datenschutz und Vertraulichkeit im Einklang mit DSGVO, der FAIR- und FACT-Prinzipien sowie der Datenschutz-Folgeabschätzung (DPIA).
• Risikomanagement – Identifikation und Minimierung von Risikofaktoren, Sicherheitslücken und Systemausfällen, einschließlich obligatorischer Risikomanagementsysteme für Hochrisiko-KI gemäß der KI-VO.
• Verantwortlichkeit – Förderung von Transparenz und Rechenschaftspflicht, insbesondere durch Nutzerinformationen, Dokumentation und Archivierung sowie die Einhaltung von KI-VO- und DSGVO-Anforderungen. Wie und von wem wird das KI-System verifiziert bzw. auditiert?

Fragebogen zur Risikoeinschätzung gemäß der KI-Verordnung

Nicht jedes KI-System bedarf dieselben Sicherungsanforderungen. Denn die KI-Verordnung der Europäischen Union unterteilt KI-Systeme in drei Risikostufen mit je unterschiedlichen Anforderungen:

• Unannehmbares Risiko (Verbotene Anwendungen wie Social Scoring)
• Hohes Risiko (z. B. biometrische Identifikationssysteme, autonome Fahrzeuge)
• Minimales Risiko (z. B. KI-gestützte Chatbots, Empfehlungssysteme)

Daher beinhaltet Anhang 1 eine Anleitung zur Risikoeinschätzung. Die Durchführung der Bewertung anhand des Fragebogens ermöglicht es Klarheit über die Risikoklasse des KI-Systems und die damit einhergehenden rechtlichen Verpflichtungen zu erhalten.

Leitlinien für Hochrisiko-KI-Systeme

Der Einsatz von Hochrisiko-KI-Systemen geht mit erweiterten Risikomanagementmaßnahmen, Transparenzverpflichtungen und Registrierungspflichten einher. Daher stellt das Dokument für die beispielsweise in der Personalrekrutierung oder kritischen Infrastrukturen eingesetzten Hochrisiko-KI spezifische Leitlinien bereit. Der Anhang 2 bietet eine fragengeleitete Evaluation speziell für Betreiber (Deployer) und Anbieter (Provider) von Hochrisiko-KI-Systemen. Über Aspekte wie technische Dokumentation, Daten-Governance, Risikomanagement und menschliche Aufsicht. Nicht zuletzt warnt die AIIA vor den Konsequenzen bei Nichteinhaltung der KI-VO: Unternehmen riskieren nicht nur hohe Bußgelder, sondern auch Reputationsverluste und potenzielle Haftungsansprüche.

Spezifische Herausforderungen und Lösungen für generative KI

Der Anhang 3 des AI Impact Assessment bietet Unternehmen spezifische Leitlinien für den verantwortungsvollen Einsatz generativer KI, insbesondere Large Language Models (LLMs). Er hebt die besonderen Herausforderungen dieser Technologie hervor, insbesondere in Bezug auf Transparenz, Erklärbarkeit, Bias, Datenschutz und Nachhaltigkeit. Da generative KI auf statistischen Modellen basiert, sind ihre Ergebnisse oft nicht nachvollziehbar oder reproduzierbar, was Risiken wie Fehlinformationen und Verzerrungen mit sich bringt. Der Anhang betont die rechtlichen und ethischen Anforderungen, insbesondere die Einhaltung der DSGVO und der KI-VO, und warnt vor dem unkontrollierten Einsatz externer Modelle ohne vertragliche Absicherung. Zudem werden Maßnahmen zur Bias-Reduktion, Daten-Governance und IT-Sicherheit empfohlen.

Multidisziplinäre Zusammenarbeit für eine erfolgreiche KI-Implementierung

Die Entwicklung und Einführung von KI-Systemen und KI-Modellen erfordert die strukturierte Zusammenarbeit verschiedener Fachbereiche. Das AI Impact Assessment zeigt daher tabellarisch auf einen Blick, welche Positionen und Abteilung bei welchem Schritt von Relevanz sind. Datenschutzbeauftragte, IT-(Sicherheits)Experten, Geschäftsführer oder Projektmanager – in multidisziplinäre Zusammenarbeit können Sie sicherstellen, dass alle relevanten Perspektiven berücksichtigt werden und eine ganzheitliche Bewertung der datenschutzrechtlichen und regulatorischen Herausforderungen erfolgt.

Fazit

Die zunehmende Integration von KI-Technologien in Unternehmen und Behörden bringt rechtliche, ethische und technische Herausforderungen mit sich. Das AI Impact Assessment kann dabei als strategisches Instrument dienen, um Risiken frühzeitig zu erkennen, Transparenz zu schaffen und regulatorische Anforderungen zu erfüllen. Wie Sie in Ihrem Unternehmen eine KI-Strategie und KI-Kompetenz nach Art. 4 KI-VO aufbauen, haben wir kürzlich vertieft dargestellt und anhand von Beispielen aus der Praxis verdeutlicht.

Damit Sie innovative Technologien wie Microsoft Copilot oder andere generative KI-Lösungen rechtskonform und sicher nutzen können, kann Sie der KINAST KI-Beauftragte bei der rechtlichen Überprüfung, Vertragsgestaltung und Compliance-Beratung unterstützen. Nutzen Sie die Chancen der KI, ohne rechtliche Risiken einzugehen. Sprechen Sie uns gerne an – wir können Sie auf dem Weg zur rechtssicheren und verantwortungsvollen KI-Implementierung begleiten.