Bridging AI Risk Frameworks: Reconciling ISO/IEC 42001, the NIST AI Risk Management Framework, and the EU AI Act into a Uni ed Governance Taxonomy

Das große KI-Regelbuch-Wirrwarr

Stellen Sie sich vor, Sie versuchen, einen Roboter zu bauen, der Ärzten bei der Diagnose von Krankheiten helfen oder entscheiden soll, wer einen Kredit erhält. Sie wollen sicherstellen, dass dieser Roboter sicher und fair ist und nicht versehentlich jemandem schadet. Aber hier liegt das Problem: Die Welt hat nicht nur ein einziges Regelbuch für den Bau von Robotern. Stattdessen gibt es drei verschiedene, sehr laute Bibliothekare, die aus drei verschiedenen Ecken des Raumes Anweisungen brüllen. Ein Bibliothekar ist ein strenger Richter aus Europa, der sagt: „Wenn Ihr Roboter diese spezifische Aufgabe erledigt, müssen Sie diese 100 Seiten voller Regeln befolgen, sonst bekommen Sie Ärger.“ Ein anderer ist ein hilfreicher Coach aus den USA, der sagt: „Hier ist ein flexibles Handbuch, das Ihnen hilft, Risiken abzuwägen, aber Sie müssen es nicht verwenden, es sei denn, Sie möchten einen guten Eindruck hinterlassen.“ Der dritte ist eine globale Zertifizierungsagentur, die sagt: „Wenn Sie einen glänzenden Goldstern wollen, um zu beweisen, dass Ihr Unternehmen gut organisiert ist, müssen Sie diese spezifische Checkliste befolgen.“

Dieses Paper bewegt sich im Bereich der Künstlichen Intelligenz (KI)-Governance. Vereinfacht gesagt ist dies das Studium der Frage, wie man sicherstellt, dass KI-Systeme verantwortungsbewusst gebaut und eingesetzt werden. Die drei Schlüsselkonzepte, die das Paper miteinander vermischt, sind: ISO/IEC 42001 (ein Standard, um ein Zertifikat zu erhalten, das beweist, dass Ihr Unternehmen gut organisiert ist), der NIST AI Risk Management Framework (ein freiwilliger Leitfaden, der Teams hilft, Risiken zu managen) und der EU AI Act (ein echtes Gesetz, das gefährliche KI verbietet und strenge Regeln für Hochrisiko-KI festlegt). Alle interessieren sich dafür, weil KI mittlerweile überall ist. Wenn Unternehmen versuchen, alle drei Regelbücher gleichzeitig zu befolgen, schreiben sie am Ende dieselben Regeln dreimal, werden verwirrt und verschwenden viel Geld. Die große Frage lautet: Können wir diese drei verschiedenen Regelbücher zusammenbringen, ohne die Strenge des Gesetzes oder die Flexibilität des Leitfadens zu verlieren?

Die große Idee des Papers: Eine Karte, drei Ziele

Dieses Paper, geschrieben von Vinod Dhiman, argumentt, dass der Versuch, diese drei Regelbücher zu einer einzigen riesigen, flachen Liste zusammenzumischen, eine schlechte Idee ist. Es ist, als würde man versuchen, eine Stadtkarte, eine Liste von Verkehrsregeln und ein Fahrhandbuch in einem einzigen Blatt Papier zu verschmelzen. Wenn man das tut, übersieht man vielleicht, dass eine Regel ein Gesetz ist, das man befolgen muss, während eine andere nur ein Vorschlag ist. Der Autor schlägt vor, anstatt sie zu vereinheitlichen, eine Unified AI Governance Taxonomy (UAGT) zu entwickeln. Denken Sie an dies als einen „Super-Organisator“ oder eine Lego-Bauanleitung, die fünf verschiedene Ebenen hat.

Hier ist die Aufschlüsselung des Papers:

1. Die fünf Ebenen des „Super-Organisators“
Das Paper sagt, dass wir die KI-Governance durch fünf verschiedene Linsen betrachten müssen, die übereinander gestapelt sind:

• Die „Warum“-Ebene (Normativer Zweck): Was ist das Ziel? (z. B. „Nicht rassistisch sein“, „Sicher sein“).
• Die „Wer“-Ebene (Governance-Subjekt): Wer ist verantwortlich? (z. B. Das gesamte Unternehmen, der spezifische Roboter oder die Person, die den Roboter benutzt).
• Die „Risiko“-Ebene (Risikologik): Wie messen wir Gefahr? (z. B. Ist es gefährlich, weil es auf einer „schlechten Liste“ steht, oder weil es in einer spezifischen Situation tatsächlich Schaden verursacht hat?).
• Die „Wie“-Ebene (Kontrollarchitektur): Welche spezifischen Regeln befolgen wir?
• Die „Beweis“-Ebene (Evidenz): Welche Unterlagen zeigen wir vor, um zu beweisen, dass wir es getan haben?

Das Paper stellt fest, dass sich diese drei Regelbücher (ISO, NIST und EU) in der „Warum“- und der „Wie“-Ebene weitgehend einig sind, sich aber in der „Wer“- und der „Risiko“-Ebene unterscheiden. Zum Beispiel sagt das EU-Gesetz, ein Roboter sei „Hochrisiko“, nur weil er für die Einstellung von Menschen eingesetzt wird (eine listenbasierte Regel). Aber der US-Leitfaden könnte sagen: „Nun, lassen Sie uns messen, wie viel Schaden dieser spezifische Roboter tatsächlich verursacht hat.“ Das Paper argumentiert, dass wir diese Antworten nicht erzwingen sollten, gleich zu sein. Stattdessen hält die UAGT beide Antworten nebeneinander bereit. Es ist wie ein Rucksack mit zwei Taschen: Eine für das Etikett „Rechtliches Hochrisiko“ und eine für das Etikett „Gemessen Niedrigrisiko“. Man trägt beides bei sich, damit man nicht gegen das Gesetz verstößt, aber man weiß auch über die reale Situation Bescheid.

2. Die acht „stabilen“ Kategorien
Um dies in der realen Welt umzusetzen, ordnet das Paper alle Regeln in acht stabile Kategorien (Governance-Domänen) ein. Dies sind wie acht verschiedene Schubladen in einem Aktenschrank, die sich nicht ändern werden, selbst wenn die Gesetze aktualisiert werden. Die Kategorien sind:

1. Verantwortlichkeit (Accountability): Wer ist verantwortlich?
2. Risikobewertung (Risk Assessment): Suche nach Gefahren.
3. Daten-Governance (Data Governance): Sicherstellen, dass die Daten sauber und fair sind.
4. Transparenz (Transparency): Offenlegen, wie die KI funktioniert.
5. Menschliche Aufsicht (Human Oversight): Sicherstellen, dass ein Mensch die KI überwacht.
6. Robustheit & Sicherheit (Robustness & Security): Sicherstellen, dass die KI nicht abstürzt oder gehackt wird.
7. Überwachung (Monitoring): Beobachtung der KI nach der Markteinführung.
8. Drittanbieter & KI-Modelle (Third-Party & AI Models): Verwaltung externer Werkzeuge und großer KI-Modelle.

Das Paper schlägt vor, dass Unternehmen ihre Regeln in diese acht Schubladen legen können. Innerhalb jeder Schublade können sie eine „Kontrollbibliothek“ haben, die alle drei Regelbücher gleichzeitig erfüllt. Wenn ein Unternehmen beispielsweise in der Schublade „Menschliche Aufsicht“ eine einzige Regel schreibt, die besagt: „Ein Mensch muss die Entscheidung prüfen“, dann kann diese eine Regel sowohl dem ISO-Auditor (um das Zertifikat zu erhalten), dem NIST-Team (um zu zeigen, dass sie Risiken managen), als auch dem EU-Regulator (um zu beweisen, dass sie das Gesetz befolgen) vorgelegt werden.

3. Praxisbeispiele
Das Paper testet diese Idee anhand von zwei Beispielen: einer medizinischen KI, die Ärzten beim Lesen von Röntgenbildern hilft, und einer Kreditbewertungs-KI, die entscheidet, wer einen Kredit erhält.

• Im medizinischen Fall ist die KI nach EU-Recht „Hochrisiko“, da es sich um ein Medizinprodukt handelt. Das Paper zeigt auf, wie das Unternehmen die UAGT nutzen kann, um einen Satz von Dokumenten zu erstellen, der beweist, dass die KI für den Arzt sicher ist (NIST), für das Managementsystem des Krankenhauses sicher ist (ISO) und rechtmäßig für die EU ist.
• Im Kreditfall ist die KI „Hochrisiko“, weil sie auf der EU-„schlechten Liste“ für Finanzentscheidungen steht. Das Paper zeigt auf, dass ein Unternehmen selbst dann die strengen EU-Regeln befolgen muss, wenn seine internen Tests besagen, dass die KI sehr sicher ist. Die UAGT hilft dabei, die Version der „strengen Gesetzmäßigkeit“ und die Version des „internen Tests“ getrennt, aber organisiert im selben Ordner aufzubewahren.

4. Was das Paper NICHT für möglich hält
Das Paper ist sehr vorsichtig darin, was dieses System nicht leisten kann. Es schließt explizit die Idee aus, dass der Erhalt eines ISO-Zertifikats automatisch bedeutet, dass man das EU-Recht befolgt. Es ist, als ob ein Führerschein (ISO) nicht bedeutet, dass man einen LKW (EU-Gesetz) ohne ein spezielles Sonderdokument fahren darf. Das Paper sagt, dass man die Unterschiede nicht „weg-mappen“ kann. Wenn die EU ein System als Hochrisiko einstuft, bleibt es Hochrisiko, selbst wenn Ihre internen Tests ein Niedrigrisiko ergeben. Das Paper merkt zudem an, dass dieses System ein „Blaupause“ oder eine „Karte“ ist und kein fertiges, bewährtes Produkt. Es wurde noch nicht in einem riesigen Realexperiment getestet; es ist eine vorgeschlagene Struktur, die auf der Analyse der Dokumente basiert.

5. Der „Brüssel-Effekt“ und zukünftige Änderungen
Das Paper erwähnt, dass Unternehmen weltweit oft einfach den EU-Regeln folgen, um auf der sicheren Seite zu sein, da das EU-Gesetz so streng ist (dies wird als „Brüssel-Effekt“ bezeichnet). Die UAGT hilft Unternehmen, dies effizient zu gestalten. Dennoch warnt das Paper davor, dass sich die Regeln ständig ändern. Die EU hat gerade eine „Digital Omnibus“-Aktualisierung für 2026 verabschiedet, die einige Fristen verschoben hat, und die USA aktualisieren ihre Leitfäden. Das Paper legt nahe, dass die acht Kategorien zwar gleich bleiben, die spezifischen Regeln innerhalb dieser Kategorien jedoch angepasst werden müssen, wenn sich die Gesetze ändern.

Zusammenfassend
Das Paper kommt zu dem Schluss, dass wir nicht versuchen sollten, die drei Regelbücher identisch zu machen. Stattdessen sollten wir diese „Vereinheitlichte Taxonomie“ nutzen, um ein intelligentes Ablagesystem aufzubauen. Dieses System ermöglicht es Unternehmen, einen Satz Regeln und Beweise zu verwenden, um gleichzeitig das strenge EU-Recht, den flexiblen US-Leitfaden und den globalen Zertifizierungsstandard zu erfüllen. Es spart Zeit und Geld, hält aber die strengen rechtlichen Regeln sicher und getrennt von den internen Unternehmensregeln. Es ist ein Weg, das Chaos der drei verschiedenen Regelbücher zu stoppen, ohne so zu tun, als wären sie dasselbe.