Die KI-Richtlinie, aus elf Antworten geschrieben

# KI-Richtlinie: [Unternehmen]

Verantwortlich: [der Systemverantwortliche] · Genehmigt von: [die oberste Leitung] · Überprüfung: mindestens jährlich

Geschrieben am  mit der kostenlosen Seite auf getstandardos.com nach Abschnitt 5.2 der ISO/IEC 42001:2023. Die Formulierung ist die von StandardOS; sie ist ein Ausgangspunkt zur Genehmigung und Kommunikation, keine endgültige Antwort, und sie trifft keine rechtliche Einstufung eines Systems.

## Zweck

Diese Richtlinie legt fest, wie [Unternehmen] künstliche Intelligenz entwickelt, beschafft und nutzt, heute für [die Nutzungen von KI im Unternehmen], und wer dafür verantwortlich ist. Sie ist das oberste Dokument des KI-Managementsystems und das, auf das jede Entscheidung, ein KI-System zu bauen, zu kaufen oder sich darauf zu verlassen, zurückverweist.

## Geltungsbereich

Diese Richtlinie gilt für jedes KI-System, das [Unternehmen] baut, kauft, einbettet oder betreibt, für die Modelle und Daten hinter den selbst gebauten und für jede Person, die im Namen von [Unternehmen] eines entwirft, betreibt oder sich darauf verlässt.

## Unsere Haltung

- Wir nutzen KI, wo sie unsere Arbeit besser macht und wir erklären können, was sie tut; wo wir es nicht erklären können, verlassen wir uns nicht darauf.
- Jedes KI-System hat eine erklärte Zweckbestimmung und einen benannten Verantwortlichen; ein System außerhalb dieser Bestimmung zu nutzen, ist eine Entscheidung, die jemand trifft und festhält, kein Standard.
- Wo eine Ausgabe eine Person betrifft, bleibt ein Mensch beteiligt, der sie überprüfen und aufheben kann, und die betroffene Person kann diese Überprüfung verlangen.
- Wir beurteilen, was ein System mit den Menschen tut, die es berührt, bevor wir uns darauf verlassen, und erneut, wenn sich sein Zweck, seine Daten oder sein Modell ändern.
- Personenbezogene Daten werden nur auf einer im Verzeichnis der Verarbeitungstätigkeiten festgehaltenen Rechtsgrundlage genutzt, um ein System zu bauen, anzupassen oder zu betreiben, und nie über den Zweck hinaus, für den sie erhoben wurden.
- Erzeugte Texte, Bilder oder Code werden als solche gekennzeichnet, wo ein Leser sie für menschliche Arbeit halten könnte, und von einer Person geprüft, bevor sie das Unternehmen verlassen oder in Produktion gehen.

## Nutzungen, die wir ausschließen

[Unternehmen] hält hier die Nutzungen von KI fest, die es ausschließt, so offensichtlich sie scheinen, damit die Entscheidung schriftlich existiert; die Liste wird mit dieser Richtlinie überprüft.

## Verantwortung

[die oberste Leitung] trägt diese Richtlinie und genehmigt sie. [der Systemverantwortliche] betreibt das KI-Managementsystem täglich: das Verzeichnis der KI-Systeme, die Auswirkungsbeurteilungen, die Ziele und die Berichterstattung an die oberste Leitung. Jedes KI-System hat einen benannten Verantwortlichen im Verzeichnis, zuständig für seine Zweckbestimmung, seine Grenzen und seine Beurteilung.

## Ziele

Diese Richtlinie bildet den Rahmen für die Festlegung und Überprüfung der KI-Ziele. Die aktuellen Ziele, jedes gemessen und in der Managementbewertung berichtet, sind:

- Jedes KI-System hat eine festgehaltene Zweckbestimmung und einen benannten Verantwortlichen im Verzeichnis, mindestens jährlich überprüft.
- Jedes System, das Menschen betrifft, hat vor dem ersten Produktiveinsatz und nach jeder wesentlichen Änderung eine Auswirkungsbeurteilung.
- Jede Ausgabe, die eine Person betrifft, kann von einem Menschen überprüft und aufgehoben werden, und der Weg zu dieser Überprüfung ist aufgeschrieben.

## Anforderungen, zu denen wir uns verpflichten

- Die KI-Kompetenzpflicht der KI-Verordnung: Alle, die in unserem Namen ein KI-System bedienen oder sich darauf verlassen, haben die Kenntnisse, die ihre Rolle braucht, und die Maßnahmen sind festgehalten.
- Für die Systeme, die wir bauen, die Anbieterpflichten der KI-Verordnung, wie sie für die Einstufung jedes Systems gelten, und die vertraglichen Zusagen, die wir den Kunden geben, die sie einsetzen.
- Für die Systeme, die wir nutzen, die Betreiberpflichten der KI-Verordnung, wie sie für die Einstufung jedes Systems gelten, und die Betriebsanleitung des Anbieters, auf den wir uns verlassen.
- Die Transparenzpflichten der KI-Verordnung für KI-erzeugte Inhalte und für Systeme, die mit Menschen interagieren, soweit sie für das gelten, was wir bauen oder nutzen.
- Das Datenschutzrecht für jedes System, das personenbezogene Daten verarbeitet, einschließlich der Folgenabschätzung, wo die Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat.
- Für jedes System eine festgehaltene Feststellung, ob es nach der KI-Verordnung hochriskant ist, getroffen anhand der Tatsachen dieses Systems und bei seinem Verzeichniseintrag aufbewahrt; diese Richtlinie selbst trifft keine solche Einstufung.

## Verhältnis zu unseren anderen Richtlinien

Diese Richtlinie steht neben den Richtlinien zu Informationssicherheit, Datenschutz und Lieferanten, statt sie zu ersetzen: Ein KI-System ist weiterhin ein Informationssystem, seine Daten sind weiterhin Daten, und sein Anbieter ist weiterhin ein Lieferant. Wo diese Richtlinie und eine andere sich zu widersprechen scheinen, wird die Frage dem Systemverantwortlichen vorgelegt und schriftlich geklärt, statt sich für eine zu entscheiden.

## Kommunikation und Verfügbarkeit

Diese Richtlinie wird dort veröffentlicht, wo jede Mitarbeiterin, jeder Mitarbeiter und jeder Auftragnehmer sie lesen kann, ist Teil der Einarbeitung und der KI-Kompetenzmaßnahmen und wird Kunden, Auditoren und anderen interessierten Parteien auf Anfrage zur Verfügung gestellt.

## Überprüfung

Diese Richtlinie wird mindestens jährlich in der Managementbewertung überprüft und immer dann, wenn das Unternehmen eine wesentlich neue KI-Fähigkeit einführt, sich der Zweck eines Systems ändert oder sich die regulatorische Lage bewegt. Änderungen werden versioniert und über die Dokumentenlenkung des Managementsystems genehmigt.

Genehmigt von [die oberste Leitung] am [Datum].

Diese Richtlinie ist aus den gegebenen Antworten geschrieben. Sie ist keine Rechts- oder Zertifizierungsberatung; ob ein System nach der KI-Verordnung hochriskant ist, ist eine Feststellung anhand seiner eigenen Tatsachen, die Zertifizierungsstelle bewertet die Richtlinie im Audit, und die Worte auf dem Zertifikat sind ihre eigenen.