„Viele wollen einen Ferrari, lassen sich aber nur mitschleifen“

Report: Was ist der konkrete Bedarf, den HUMABLY bei Unternehmen und Organisationen adressiert?

Carina Zehetmaier: Meine Mitgründerin Gabriele Bolek-Fügl und ich haben gemeinsam „Women in AI“ in Österreich initiiert und aufgebaut. Wir haben uns damals schon intensiv mit vertrauenswürdiger KI beschäftigt und selbst Projekte nach den Leitlinien der Europäischen Union umgesetzt. Gleichzeitig haben wir Gesetzgebungsprozesse kommentiert und begleitet. Wir wussten also, dass mit dem EU AI Act einiges auf Organisationen zukommen wird, vor allem auch Dokumentationsaufwand zu Themen wie Anwendungen, Risiken, Kompetenzen und Zuständigkeiten. Wir haben aber sehr schnell gesehen, dass es weit über reine regulatorische Compliance hinausgeht. Die Herausforderung für Unternehmen ist eigentlich: Wie kann ich KI steuern?

Wir beobachten derzeit, dass sich viele Unternehmen, egal ob klein oder groß, eigentlich nicht am Fahrersitz befinden. Sie wollen einen Ferrari, lassen sich dann aber nur mitschleifen. Sie kaufen Top-Lizenzen, geben Geld aus und investieren, aber sie haben keinen Führerschein gemacht. Man macht bestenfalls eine KI-Schulung, rollt einen Text aus, was man nicht darf, und damit ist das Thema erledigt. Aber eigentlich wurden die Grundfragen nicht gestellt: Warum mache ich, was ich mache? Wie mache ich es? Was sind meine Werte als Organisation? Welche Prozesse brauchen wir? Wer ist zuständig? Wissen die Mitarbeiterinnen und Mitarbeiter, was sie dürfen und was nicht? An wen wenden sie sich?

Wir finden Lösungen, damit Unternehmen KI entlang gesetzlicher, ethischer und rechtlicher Anforderungen entwickeln und einsetzen können. Gleichzeitig schaffen wir ein zentrales System in einer Organisation, das alle KI-Themen unter einen Hut bekommt. Ich muss wissen, was im Einsatz ist, wer was verwendet, welche Kompetenzen vorhanden sind und wie ich dieses menschliche Steuern im Zeitalter von KI sicherstelle. HUMABLY steht für „Human Enablement for Trustworthy AI“.

Viele Anbieter im Bereich KI-Governance kommen eher aus der technischen Ecke. Sie haben als Juristin einen menschenrechtlichen Hintergrund und bei den Vereinten Nationen gearbeitet.

KI ist eine Technologie, die sich sehr schnell weiterentwickelt. Diese trifft jetzt auf starre Organisationen und Menschen, die gern Business „as usual“ machen würden. Einfach zu sagen, wir schauen uns das technisch an, reicht deshalb nicht. Wir müssen die menschliche Beurteilung, die Risikobewertung und die Verantwortungsaspekte hineinbekommen.

Als ehemalige Repräsentantin bei den Vereinten Nationen weiß ich, wie wichtig der Dialog ist. Man muss Positionen koordinieren und versuchen, gemeinsam voranzukommen. Wenn dieser Dialog wegbricht, gibt es viel mehr Konfliktpotenzial.

Die Vereinten Nationen sind ein Ort, an dem Menschen zusammenkommen, um gemeinsam nachhaltige Lösungen für die Welt zu schaffen. Man kann sich vorstellen, wie schwierig es schon im staatlichen Setting ist, etwas durchzusetzen, mit Bürokratie und Behörden. Und jetzt stellen Sie sich das global vor. Gleichzeitig ist dieses Instrument extrem wichtig, weil man, wenn man etwas erreicht, normalerweise sehr viel für lange Zeit etabliert.

Mich interessieren Menschenrechte vor allem auch mit den Auswirkungen von Technologie. Technologie kann das Schlechte genauso wie das Gute extrem skalieren. Der Hebel ist gigantisch. Wenn man versucht, etwas Gutes in die Welt zu bringen, kann man das mit Technologie tatsächlich skalieren.

Wie sieht das konkret in Ihrer Plattform umgesetzt aus?

Zehetmaier: Unser Angebot verbindet drei Bereiche: Governance, Compliance und Enablement. Die Governance-Komponente schafft Transparenz über KI-Anwendungen, Verantwortlichkeiten und Freigabeprozesse. Im Compliance-Bereich unterstützen wir Unternehmen dabei, regulatorische Anforderungen und Risiken strukturiert zu bewerten und zu dokumentieren. Und mit unserem Enablement-Ansatz sorgen wir dafür, dass Mitarbeiterinnen und Mitarbeiter die notwendigen Kompetenzen entwickeln und KI im Unternehmen sicher und produktiv einsetzen können.

Ein Beispiel: Eine Mitarbeiterin möchte im Marketing Bilder mit Midjourney erstellen. Das kann freigegeben werden. Gleichzeitig kann die Organisation sagen: Das gilt auch für HR und für alle anderen Bereiche, die Bilder erstellen wollen. Der nächste Mitarbeiter sieht dann zentral, dass er Bilder für diesen Zweck mit diesem Tool erstellen darf.

Bei Hochrisiko-Cases wird es natürlich viel spezifischer. Es müssen deutlich mehr Fragen beantwortet werden, damit die Organisation zu einem fundierten Entschluss kommt. Zum Beispiel kann ein Vier-Augen-Prinzip bei der Freigabe notwendig sein. Wir haben in unserer Lösung eine Matrix mit unterschiedlichen relevanten Gesetzen hinterlegt. Mit einem AI-Assistant wird zunächst der Kontext erfasst und dann werden gezielt die richtigen Fragen und die vorhandenen Informationen bereitgestellt.

Wie steuern wir als Menschen zukünftig KI-Prozesse in der Organisation? Hier schulen wir auch Belegschaften mit digitalen Inhalten. Hier können wir auch Zertifikate über Qualifikationen ausstellen und beispielsweise Berechtigungen für bestimmte Systeme daran knüpfen.

Ein großer Punkt beim AI Act sind auch Standards und Konformitätsnachweise.

Zehetmaier: Der EU AI Act sieht vor, dass bestimmte Hochrisiko-KI-Systeme in Zukunft extern zertifiziert werden müssen oder dass für andere Systeme interne Audit- und Konformitätsberichte erstellt werden müssen. Dafür werden gerade die Standards erarbeitet. Ich bin bei Austrian Standards Vorsitzende der Arbeitsgruppe KI in Österreich.

Im Moment kann niemand seriös versprechen, dass ein System vollständig konform ist, wenn die entsprechenden Standards noch nicht vorhanden sind. Die großen Giganten haben Riesenrechtsabteilungen. Ein KMU hat diese Möglichkeit nicht. Deshalb brauchen gerade KMU Standards. Es ist wie beim Bau eines Hauses: Wenn ich bestimmte Abstände einhalte und mich an einen bestimmten Standard halte, dann kann ich davon ausgehen, dass mein Plan genehmigungsfähig ist.

HUMABLY ist selbst nach ISO/IEC 42001 zertifiziert. Wir haben die Anforderungen eines AI Management Systems damit auch im eigenen Unternehmen umgesetzt und kennen die dafür notwendigen Governance-, Risiko- und Dokumentationsprozesse aus der täglichen Praxis.

Wer ist in Unternehmen eigentlich für das Thema zuständig? Arbeiten mit Ihrer Plattform vor allem Juristinnen und Juristen, die Fachabteilungen, die Geschäftsführung oder die IT?

Zehetmaier: Das hat sich noch gar nicht richtig herauskristallisiert. Bei einem Unternehmen ist es beim Datenschutzbeauftragten angesiedelt, beim nächsten wird jemand dafür eingestellt, dann liegt es bei der IT, bei Compliance oder Legal. Es gibt unterschiedliche Ansatzpunkte.

In den größeren Unternehmen sprechen wir oft mit AI Offices, die bereits geschaffen worden sind. Dort sind meistens Technik, Compliance oder Legal und Datenschutz vertreten. Security kommt häufig noch dazu. Wenn es beispielsweise darum geht, KI-Systeme für Zwecke einzusetzen, die Auswirkungen auf Menschen haben können, ist es zudem wichtig, den Betriebsrat an Bord zu haben und Freigaben einzuholen.

Als Menschenrechtlerin finde ich es total essenziell, dass möglichst viele Stakeholder einbezogen werden. Das wird künftig noch wichtiger. Die öffentliche Hand, Banken bei Kreditvergaben oder Versicherungen bei Lebensversicherungen müssen sich mit Grundrechtsfolgenabschätzungen beschäftigen.

Es ist unrealistisch zu glauben, dass eine Person in der Lage ist, dieses gesamte Thema zu beherrschen. Deshalb würde ich auch kleineren Organisationen empfehlen, zwei oder drei Personen zu haben, die sich in unterschiedlichen Bereichen verantwortlich fühlen.

Wie beurteilen Sie die Diskussion, in Europa werde KI überreguliert und damit die Wettbewerbsfähigkeit gefährdet?

Zehetmaier: Ich verstehe nicht, warum wir uns so stark an der Frage festnageln, ob Regulierung Technologie hemmt. Ich würde eher sagen: Das sind jetzt die Gegebenheiten. Wir haben ein Framework und gehen damit ins Tun. Ich glaube, wir haben sehr gute Standpunkte in Europa. Das ist für mich auch der einzige Weg, wie wir Technologie gestalten können. Wenn wir das Ganze nicht für uns Menschen tun, für wen machen wir es dann?

Ich glaube schon, dass Regeln Rechtssicherheit und auch einen Wettbewerbsvorteil geben können. Das hängt aber stark von der Umsetzung und Implementierung ab. Wir brauchen gute Standards. Und wir brauchen gute Guidelines der EU. Der EU AI Act hat auch einen gewissen Effekt auf andere Länder gehabt, die inzwischen reguliert haben und sich etwas vom europäischen Ansatz abgeschaut haben.

Wenn man in die USA schaut, wo versucht wird, Regulierung auf Bundesebene zu verhindern, entsteht dafür ein anderer Wildwuchs. Wenn jeder Bundesstaat eigene Regeln hat, ist das auch nicht förderlich. Ich finde es deshalb sinnvoll, einen einheitlichen Rahmen zu schaffen. Das gilt auch für die EU. Es kann nicht sein, dass etwas in Österreich durchgewunken wird und in Deutschland nicht. Der Rahmen muss konsistent sein.

Dann haben wir einen Wirtschaftsraum, bei dem ich weiß: Wenn ich mit einem Produkt auf den Markt gehe, passt es auf allen Ebenen und in allen Ländern. IKEA hat beispielsweise einen interessanten Ansatz. Dort wird der Kundenchatbot stark automatisiert. Die Mitarbeiterinnen und Mitarbeiter wurden teilweise reskilled und daraus wurde ein neuer Geschäftszweig entwickelt, nämlich Beratung rund um Einrichtung und Home Consulting. Dadurch entsteht auch Upselling.

Man kann sich also überlegen: Wie kann ich mit KI neue Geschäftszweige aufmachen? Je nachdem, wofür ich als Unternehmen stehe, habe ich unterschiedliche Vorgaben und werde auch unterschiedliche Mitarbeiterinnen und Mitarbeiter anziehen.

Deshalb schadet es überhaupt nicht, sich diese Fragen von Anfang an zu stellen: Warum mache ich, was ich tue? Wie mache ich es? Und welche Technologie brauche ich, um an mein Ziel zu kommen? Statt einfach alle mit einer Lizenz auszustatten und zu hoffen, dass jetzt alle produktiver werden.