Richtlinie zum Einsatz von Künstlicher Intelligenz

1. Einleitung

1.1 Ziele

Im Zeitalter der Digitalisierung spielt die Künstliche Intelligenz (KI) eine immer wichtigere Rolle in der Unternehmenswelt. Diese Richtlinie soll als Rahmen für den verantwortungsvollen und effektiven Einsatz von KI in Bezug auf die ZMH-Plattform, inklusive ZMH.GPT dienen. Dabei ist uns bewusst, dass in dieser ersten Version noch nicht alle Elemente enthalten sein werden und auch bei weitem nicht alle zukünftigen Entwicklungen dadurch abgedeckt sein können. Das Hauptziel dieser Richtlinie ist es, einen standardisierten Rahmen für den Einsatz des ZMH.GPT zu schaffen, der ethischen, rechtlichen und sicherheitstechnischen Anforderungen gerecht wird und damit die Steigerung der Effizienz und die Förderung innovativer Ansätze durch den Einsatz von KI in verschiedensten Anwendungsfällen ermöglicht. Es soll hier auch nochmal explizit dazu angeregt werden eigene Anforderungen und Themen in das Regelwerk einzubringen, welche wir gerne berücksichtigen werden.

1.2 Geltungsbereich

Diese Richtlinie zum Einsatz von Künstlicher Intelligenz gilt für die ZMH und verpflichtet alle Manufakturen zur Beachtung und Einhaltung.

2. Grundprinzipien

2.1 Vertraulichkeit und Datenschutz

Für uns als ZMH steht die Einhaltung von Datenschutz und Informationssicherheit als zentrales Element unserer Geschäftstätigkeit an oberster Stelle. Solange wir durch uns kontrollierbaren KI-Systeme zur Verfügung haben, gelten daher folgende Grundsätze zum Umgang mit KI, welche zwingende eingehalten werden müssen:

  • Die Eingabe personenbezogener Daten über beispielsweise Bewerbende, Mitarbeitende, Kunden und Lieferanten oder sonstige Dritte ist unzulässig.
  • Die Eingabe oder Weiterverarbeitung von Kundeninformationen (z.B. Richtlinien, Verträge, Auditberichte, Stellungnahmen, Angebote, Finanzkennzahlen) ist ebenfalls unzulässig, sofern dies nicht in anonymisierter Form erfolgt.
  • Es reicht bei der Anonymisierung nicht aus, lediglich den Kundennamen oder Personennamen zu entfernen. Durch die Betrachtung aller in der Summe vorliegender Informationen darf kein Rückschluss auf Personen oder Kunden mehr möglich sein.

Die Eingabe von internen und vertraulichen Informationen ist grundsätzlich verboten, Ausnahmen werden durch ZMH freigegeben. Danach dürfen diese lediglich in Auszügen als Eingabe oder Datenbasis in KI-Systemen genutzt werden, um zu verhindern, dass unsere Werte durch Dritte rechtswidrig und kostenfrei genutzt werden können (z.B. erstellte Dokumente, Quellcode für Software, sonstiges Datenmaterial).

2.3 Ethik und Compliance

Beim Einsatz von KI-Systemen sind geltende Gesetze einzuhalten. Unschärfen z.B. beim deutschen Urheberrecht sind bekannt und werden zukünftig noch genauer betrachtet bzw. unsere Regelungen an die gesetzlichen Entwicklungen angepasst. Bis dahin müssen die Nutzungs- und Lizenzbedingungen der ZMH-KI-Tools durch die Manufakturen im Rahmen der Freigabe geprüft werden. Urheberrechtlich, durch Geschäftsgeheimnisse oder datenschutzrechtlich geschützte Inhalte dürfen nicht zur Weiterverarbeitung in KI-Systeme eingebracht werden. Unzulässige Inhalte abzufragen (z.B. strafrechtlich verbotene Inhalte) oder illegale Anwendungsfälle zu betreiben (z.B. Ausspähen Dritter oder Manipulation und Angriffe auf IT-Systeme ohne Freigabe durch den jeweiligen Auftraggeber) sind verboten. Der Einsatz von KI-Systemen darf nichtdiskriminierend sein oder negative Auswirkungen auf die Manufaktur oder ZMH haben.

3. Verantwortlichkeiten

3.1 Manufakturen

Alle Manufakturen sind selbst verantwortlich für den sachgemäßen Einsatz von KI-Systemen und müssen sicherstellen, dass sie den Regelungen dieser Richtlinie folgen. Dies betrifft auch alle KI-Systeme, welche vor der Freigabe dieser Richtlinie bereits eingesetzt wurden.

4. Arbeiten mit KI-Systemen

4.1 Direkte Nutzung

Bei der direkten Nutzung von ZMH-KI-Systemen (z.B. über die Prompt-Eingabe etc.) sind von den Manufakturen und deren Mitarbeitenden die Regelungen dieser Richtlinie bei der Gestaltung von Eingaben zu beachten

4.2 Identity Access Management

Für den dienstlichen Einsatz ist nur die Nutzung über dienstliche E-Mailadressen und Benutzerkonten zulässig, da jederzeit eine Nutzung nachvollzogen werden können muss und auch bei Abwesenheit oder Ausscheiden der Zugriff auf die dienstlichen Inhalte möglich sein muss. Der Einsatz privater Benutzerkonten und E-Mailadressen für dienstliche Zwecke ist somit unzulässig.

4.3 Datenquellen und Datennutzung

Bei Informationen jeglicher Art, die von ZMH-KI-Systemen erzeugt werden, müssen verantwortliche Manufakturen (welche die Informationen erstellt bzw. abgefragt hat) vor der weiteren Nutzung:

a) fachlich in der Lage sein die Ergebnisse auf Qualität, Korrektheit, Vollständigkeit und bei bspw. Quellcodes auch auf Sicherheitslücken zu prüfen,
b) diese Prüfung auch durchführen und
c) Ergebnisse, die an Kunden übermittelt werden sollen, so abändern, dass ein Rückschluss auf die Verwendung von KI bestmöglich ausgeschlossen werden kann (keine 1:1 Übernahme der Inhalte).

Sind diese Prüfschritte nicht möglich, darf der Inhalt nicht weiterverwendet werden bzw. darf lediglich zur „Inspiration“ für die Erstellung eigener Inhalte herangezogen werden.

4.4 Datenspeicherung

Die Ergebnisse von KI-Systemen, sind wie alle anderen Arbeitsergebnisse auch gemäß der datenschutzrechtlichen Vorgaben aus u.a. DSGVO und BDSG zu behandeln.

5. Schulung

Alle Manufakturen und Benutzer von KI-Systemen stellen gem. Art.4 KI-Verordnung sicher, dass alle mit der Nutzung befassten Personen über angemessene Kenntnisse und Kompetenzen im Umgang mit KI-System verfügen.

6. Risiken beim Einsatz von KI-Systemen

Den Vorteilen des Einsatzes von KI-Systemen stehen auch entsprechende Risiken gegenüber, welche hier einmal in nicht abschließender Form dargestellt werden:

6.1 Ethische Risiken

Diskriminierung: KI-Systeme könnten unbewusst diskriminierende Muster in Daten reproduzieren, was zu ungerechten oder voreingenommenen Entscheidungen führen könnte.
Transparenz und Erklärbarkeit: Viele KI-Modelle sind so komplex, dass sie als "Black Boxes" angesehen werden. Das bedeutet, dass ihre Entscheidungsfindung nicht einfach nachvollziehbar ist, was ethische Bedenken hervorruft.

6.2 Datenschutz- und Informationssicherheitsrisiken

Datensicherheit: KI-Systeme benötigen oft große Mengen an Daten. Ein unsicherer Umgang mit diesen Daten kann das Risiko von Datenschutzverletzungen erhöhen.
Rechtsgrundlage: Die Verwendung personenbezogener Daten in KI-Modellen könnte gegen Datenschutzgesetze verstoßen, wenn keine Rechtsgrundlage für die Verarbeitung von Daten der betroffenen Personen vorliegt.
Verarbeitung: KI-Systeme können personenbezogene Daten sammeln und speichern, was ein Risiko für die betroffenen Personen und deren Rechte darstellen kann.
Vertraulichkeit: Die Eingabe von internen oder vertraulichen Daten in KI-Systeme kann zu unbeabsichtigter Datenoffenlegung gegenüber Dritten, wie z.B. anderen führen.

6.3 Wirtschaftliche und rechtliche Risiken

Haftung und Kosten: Der Einsatz von KI-Systemen kann bei falscher Nutzung und unreflektierter Verwendung von Informationen zu fehlerhaften Produkten und Aussagen führen, welche im schlimmsten Fall zu Haftungs- und Schadenersatzansprüchen von Dritten führen können.
Haftungsfragen: Bei Fehlern oder Schäden durch eine KI-Entscheidung kann unklar sein, wer rechtlich verantwortlich ist.
Compliance: Nicht-Einhaltung von gesetzlichen Vorschriften, kann zu rechtlichen Konsequenzen führen.

6.4 Technische Risiken

Fehleranfälligkeit: KI-Modelle können fehlerhaft sein, insbesondere wenn die zugrunde liegende Daten von schlechter Qualität sind.
Cybersicherheit: KI-Systeme könnten Angriffsvektoren für Cyberangriffe darstellen.

6.5 Risiken für das Unternehmensimage

Reputationsrisiko: Fehlerhafte oder unethische Entscheidungen von KI-Systemen sowie deren Nutzung und Veröffentlichung können sowohl das Image der Manufakturen und der ZMH schädigen.

7. Überwachung und Bewertung

Der Einsatz von KI-Systemen muss von der verantwortlichen Stelle (ZMH) überwacht werden (z.B. wo gab es Sicherheitsvorfälle, Verfügbarkeitsprobleme, etc.). Außerdem werden neue Risiken im Risikomanagement bewertet und entsprechende Maßnahmen abgeleitet. Bei der Bewertung von KI-Systemen sollen die internen Erfahrungen der ZMH und den Manufakturen berücksichtigt werden.

8. Dokumentenlenkung

Sie wird mindestens jährlich von ZMH auf Aktualität geprüft, bei Bedarf angepasst, beschlossen und erneut bekannt gegeben.

ZMH.KI