Compliance by Design - Prozess- und Kulturintegration von KI

00:50 Ich brauche in Wahrheit einen Tone from the Top, im Sinne auch vielleicht an der Strategie, zu wissen: Wo stehe ich denn als Unternehmen bei der Frage KI in der Entwicklung, in der Anwendung? Dann muss ich mal anschauen: Wer hat denn bei mir überhaupt die Verantwortung? Wem gebe ich denn dieses Thema? Das heißt, ich bin quasi in dem Element der Kultur auch noch bei der Frage der Organisation. Also wo gebe ich es denn hin? Nur dann kann ich entscheiden, ob dieser Anwendungsfall laut dem AI Act in einen Hochrisikobereich reinfällt und welche Pflichten daraus erwachsen würden. Man kann es nicht so einfach runterbrechen und sagen, ich habe eingekauft ChatGPT, das ist ja eh nicht gefährlich, weil würde ich jetzt zum Beispiel das ChatGPT mit Lebensläufen konfrontieren und das ChatGPT fragen, wen von den fünf Lebensläufen würdest du jetzt denn einstellen, treffe ich auf einmal mit ChatGPT Personal-

01:37 entscheidungen, bin im Hochrisikobereich natürlich drinnen. Herzlich willkommen zu einer neuen Folge von Code of C, dem True Compliance Podcast von .LOUPE. Hier sprechen wir über Compliance aus der Praxis für die Praxis. Mein Name ist Martin Reichetseder, ich bin Compliance Officer, ich bin Mitgründer von .LOUPE und für die nächsten Minuten Ihr Gastgeber. Nach den letzten drei Folgen aus dem DICO-Special wechseln wir heute wieder in unsere Interviewfolgen. Auf unserer Reise zur Planung, Implementierung und zum Betrieb eines Compliance-Management-Systems befinden wir uns in den Elementen immer noch im Risikomanagement, und nachdem wir uns in der letzten Folge mit Marie von der Groeben über die Chancen und Herausforderungen von KI und Compliance unterhalten haben, springen wir heute quasi in das Risikomanagement, in die Risikobetrachtung von KI. Und das mache ich mit einem ganz besonderen Gast heute. Und zwar mit Matthias Steinbauer, mit meinem Freund, meinem Mitgründer von .LOUPE, dem technischen Hirn hinter .LOUPE.

02:40 Er ist Dozent an der Fachhochschule Hagenberg, er ist Keynote-Speaker, er ist Fachautor, er ist ... Akkupation da. Lieber Matthias, es ist schön, dass du da bist. Herzlich willkommen bei Code of C. Danke für die Einladung. Bitte gern. Es ist ja nicht das erste Mal, wir haben ja schon eine gemeinsame Weihnachtsfolge aufgenommen im letzten Jahr. Heute sprechen wir über Risiken. Also in der heutigen Folge „Compliance by Design: Prozess- und Kulturintegration von KI“ sprechen wir über Risikomanagement im Zusammenhang mit KI. Bevor wir das aber tun, gibt es ja immer ein kleines wiederkehrendes Element zu Beginn, und nachdem wir ja in den Interviewfolgen sind oder jetzt wieder in einer Interviewfolge angekommen sind, gibt's auch heute wieder einen Mutmacher. Der Mutmacher ist immer ein kleines Getränk, das sich meine Gäste wünschen, bzw. ich frage meine Gäste: Was wollt ihr denn trinken beim Podcast, bei der Aufnahme?

03:35 Und daraus entwickelt sich dann der Mutmacher. Ich hab dir dieselbe Frage gestellt, magst du vielleicht sagen, was wir heute trinken? Ja, also ganz klassisch: Malibu Orange. Ganz klassisch. Gibt es natürlich ein bisschen eine Story dazu. Ich habe den Malibu Orange kürzlich wieder entdeckt, ist ja im Prinzip ein Getränk unserer Jugend, und ich habe mir gedacht, das passt halt ziemlich gut, weil wir uns ja eigentlich aus der Jugend kennen, dass wir uns mit dem ein bisschen wieder dran erinnern, wie es damals war, als wir noch ein bisschen jünger waren. Und in diesem Sinne haben wir gedacht, Malibu Orange, das passt gut. Und auf ein erstes Prost. Auf ein erstes Prost. Das heißt, das ist quasi ein Cocktail für Code of C. Genau. Prost. Malibu Orange.

04:19 Aber es schmeckt ja immer noch wie früher. Sommelierisch? Ja, eher süß, würde ich behaupten. So, wir trinken diesen Malibu Orange, um die Stimme ein bisschen zu lockern und um den Gaumen etwas anzufeuchten. Es gibt ja auch immer noch ein zweites wiederkehrendes Element in den Interviewfolgen, und das ist unser Code-of-C-Check-in.

04:45 Lieber Matthias! Nach dem Malibu Orange wird es jetzt ein bisschen ernster. Ich darf dich zum Aufwärmen ersuchen, mir folgende Sätze zu vervollständigen: Künstliche Intelligenz ist für mich ... Ja, das ist eine sehr spannende Frage. Als Techniker beschäftigen wir uns natürlich schon länger mit der künstlichen Intelligenz. Und während dem Studium habe ich es eigentlich noch nicht ganz so ernst genommen. Also das war jetzt nie so mein Steckenpferd. Aber in letzter Zeit merkt man, dass das sehr, sehr durchgreift, eigentlich in allen Branchen, das Thema, gerade diese generativen KI-Modelle sind eigentlich sehr spannend, was man mit denen alles tun kann. Und mittlerweile bin ich zur Überzeugung gekommen, dass es auf jeden Fall eine disruptive Technologie sein wird, die an sich alle Branchen erfassen wird. Wir werden uns, ob wir wollen oder nicht, damit auseinandersetzen müssen. Und es ist auch im Alltag eine große Erleichterung für alle möglichen Aufgaben.

05:41 Das ist aber ein langer Satz. Entschuldigung, er hat Beistriche gehabt. So, der zweite Satz: Die größte Herausforderung beim Zusammenspiel von IT und Compliance ist ... Im Prinzip, die Menschen zusammenbringen, ist die größte Herausforderung. Technisch kriegt man es hin, man kann auch alles schön in Dokumente und Formulare fassen. Aber die große Herausforderung ist, dass man die Menschen zusammenbringt, im Falle von Compliance Compliance-Juristen und Informatiker oder Techniker an einen Tisch bringt oder auch andere Fachpersonen an einen Tisch bringt, miteinander zu reden und zu verstehen, wo man denn mit Compliance eigentlich hin möchte. Das ist eine wunderbare Erklärung. Ich habe für dich noch einen Entweder-oder-Satz vorbereitet. Lieber Matthias, AI Act: entweder eine Bremse oder eine Chance? Der AI Act ist natürlich eine Chance. Ich sehe auch Kolleginnen und Kollegen schon wieder dastehen und sagen, ah, das ist jetzt die zweite DSGVO und Dokumentationschaos.

06:40 Natürlich, man muss was dokumentieren, aber es ist im Grunde eine Chance, weil man sich eben mit den Risiken von KI auseinandersetzen muss, und es wird wie bei anderen Dingen auch gelten: Die Unternehmen, die heute da vorne dabei sind, was auch Compliance betrifft, werden diese Innovation und dann auch Fortschritt vorantreiben. Das ist eigentlich jetzt schon ein wunderbarer Shoutout oder der zweite Shoutout nach der Marie von der Groeben zum Thema oder für das Thema KI. Wir werden uns heute dieses Thema Risikomanagement KI anschauen, und zwar aus Sicht eines Softwareunternehmens, nämlich .LOUPE, aus Sicht der Entwicklung und natürlich auch aus Sicht von Compliance. Also das ist auch der Grund, warum wir diese Folge jetzt machen, weil diese Fragestellungen im Zusammenhang mit den Risiken von KI in der Entwicklung, in der Anwendung, in der Compliance, das ist unser tägliches Brot im Unternehmen.

07:31 Und das ist auch der Grund, warum wir beide uns heute unterhalten. Und ich glaube, dass für sehr viele Kolleginnen und Kollegen in der Compliance-Praxis da sehr viel Interessantes und auch Lehrreiches dabei sein wird. Vielleicht bilden wir mit dem AI Act auch den Rahmen. Vielleicht unterhalten wir uns eingangs über den AI Act, einmal ganz pragmatisch gefragt. Du hast ja schon gesagt, beim AI Act, da geht es um Risiken und um Dokumentation. Aber was sind denn die zentralen Verpflichtungen für Unternehmen aus dem AI Act? Es ist natürlich jetzt eine interessante Fragestellung, dass der Jurist den Techniker fragt, was im AI Act steht. Aber du solltest das wissen, nämlich ...

08:10 Die zentralen Verpflichtungen sind jetzt da mal grundsätzlich, eine Risikoeinschätzung zu machen. Das ist im Prinzip der Kern dieses Regelwerks, dass man für alle KI-Systeme, die man einsetzt, auch eine Risikoeinschätzung macht. Und dort nehmen wir mal im Kontakt mit Kunden und Interessenten momentan auch die größte Fehleinschätzung wahr, dass manche sagen, wir sind ja nur KI-Anwender, was interessiert uns das? Da gibt es schon im Prinzip Parallelen zur Datenschutz-Grundverordnung. Der AI Act betrifft auch alle Unternehmen, auch die KI-Anwender, und alle müssen eine Risikoeinschätzung aller KI-Systeme machen. Er folgt einem risikobasierten Ansatz, und so wie man ihn liest oder versteht, ist er eben ein Konsumentenschutzinstrument. Zu einem gewissen Grad, weil man eben hochriskante KI-Systeme oder KI-Systeme, die, keine Ahnung, diskriminierend sind oder Rechte von Personen einschränken, die will man eben nicht haben, oder wenn man sie schon hat, will man sie eben stark reglementieren oder eben eine gewisse Transparenz oder Dokumentation dazu auch aufgebaut wissen.

09:19 Was mich jetzt natürlich als Compliance Officer besonders interessiert: Wenn man jetzt in einem Unternehmen Compliance Officer ist, wo man KI anwendet, aber auch in einem Unternehmen ist, wo vielleicht KI in der eigenen Entwicklung stattfindet – wie verändert der AI Act die Art, wie die Software entwickelt wird? Und warum muss ich da als Compliance vielleicht draufschauen? Und warum muss gerade die Produktentwicklung da eine besondere Awareness haben bei dem Thema? Wird immer sehr stark darauf ankommen, was für ein Produkt das einzelne Unternehmen dann entwickelt, also der AI Act geht ja auch immer sehr stark von Anwendungsszenarien, Anwendungsfeldern oder schön neudeutsch Use-Cases aus.

09:59 Das heißt, immer dann, wenn man Use-Cases sich anschaut, wo man potenziell eben mit Menschen oder über Menschen sozusagen nachdenkt, wird man auf jeden Fall ein hohes Risiko haben. Und wenn man jetzt in die Entwicklung reinschaut, muss man sagen, diese Themen muss man ja bei der Entwicklung schon mitbedenken, weil sonst habe ich irgendwann ein Softwareprodukt, das vielleicht leider nicht AI-Act-konform ist, und dann kann ich es schlicht und ergreifend nicht einsetzen oder werde von sehr hohen Strafen bedroht. Also ich würde es so sehen, dass man während der Entwicklung das schon mitbetrachten muss und dass eben, haben wir vorhin schon gesagt, die Teams, die unterschiedlichen Stakeholder in einem Unternehmen daher auch zusammenarbeiten müssen. Also wird sich kaum ein Softwareentwickler hinsetzen und den AI Act von A bis Z durchlesen wollen.

10:48 Und der Compliance Officer wird sich kaum hinsetzen, wo er beim Softwareentwickler ständig über die Schulter schaut und sagt, du hast dort auf das aufzupassen, dass sie eben in einem Raum sitzen müssen und gemeinsam darüber nachdenken, was man da eigentlich entwickelt und wo die Risiken dann stecken könnten. So, und das ist eigentlich eine ganz wunderbare Brücke, die du baust, genau mit diesem Thema oder mit den Ausführungen, die du tätigst, zu den unterschiedlichen Teams und also Zusammenarbeit von Compliance und IT, weil das erklärt jetzt vielleicht auch ein bisschen, warum ich dich ausführen lasse zu diesem Thema, warum ich dich ausführen lasse zu den Risiken und also zum Inhalt vom AI Act, weil der AI Act ist wie viele andere Rechtsnormen auch eine Querschnittsmaterie, und sie liegt nicht ausschließlich in der Verantwortung der Compliance oder der Rechtsabteilung, liegt aber auch nicht ausschließlich in der Verantwortung der IT.

11:32 Warum? Weil sich die Grenzen natürlich gerade bei den Kompetenzen und auch gerade bei den Aufgaben sehr leicht verschwimmen. Wer ist deiner Meinung nach aber eher der Owner von diesen KI-Themen im Unternehmen? Ist es die IT aus der Entwicklung heraus, ist es die Compliance aus der Regulatorik heraus? Wer hat da aus deiner Sicht mehr oder eher den Hut auf? Wäre ich ein Softwarehaus, würde ich sagen, eher die IT, eher die Softwareentwicklung. Wenn man es aber ganz generisch betrachtet – und wir machen den Podcast jetzt nicht nur für Softwarehäuser –, dann würde ich sagen, eigentlich der Owner der Anwendung ist auch der Risk Owner. Also der, der sich irgendwo in einem Unternehmen wünscht, dass, weiß ich nicht, ein Buchhaltungsprozess schneller geht, weil KI eingesetzt wird, das ist ja auch der, der den Prozess ownt, und der sollte meiner Meinung nach auch das Risiko, die Risikobewertung dazu mit ownen, weil der ist ja auch dann die Person, die alle an den Tisch bringen muss, der dann hingehen muss und sagen: Liebes IT-Team, was schickt man denn eigentlich in dieses, was weiß ich, Large Language Model rein,

12:31 und was kommt denn da raus? Und der Compliance Officer wird vielleicht dabeistehen und sagen: Haben wir da dann ein Problem, wenn wir das machen? Das ist ... das wird auch immer crossfunktional sein, wenn man so was tut, den Owner würde ich aber generell bei allen Risikothemen immer versuchen dort hinzusetzen, wo auch sozusagen der Business Owner ist, der das Business in dem Bereich vorantreiben möchte. Das heißt, du sagst eigentlich so schön, dass das Thema KI unterschiedliche Anwendungsfelder hat, dass aus den unterschiedlichen Anwendungsfeldern unterschiedliche Risk Owner auch resultieren, dass in jedem Fall aber die IT dabei sein muss, weil das natürlich mit Informationstechnologie, auch im Zusammenhang mit der Informationssicherheit relevant ist, auch der Datenschutz vielleicht auch eher da noch mitspielt, oder nicht nur eher, sondern ganz bestimmt. Die Compliance auch, also die würde ich auch immer mitsitzen sehen, und natürlich die entsprechenden Risk Owner.

13:24 Was muss ich jetzt als Compliance Officer ... Was muss ich jetzt von der IT wissen? Und was muss ich vom Anbieter wissen? Was muss ich vom Owner eigentlich alles wissen? Jetzt oute ich mich ein bisschen: Ich bin jetzt technisch nicht so bewandert, was diese ganze KI-Thematik betrifft. Ich bin ein großer Fan von KI. Ich verstehe es nur nicht zu 100 Prozent.

13:48 Was aber schon der erste Fehler ist, weil ich mich natürlich in dieses Thema eindenken, einlesen und einlernen muss. Das, glaube ich, ist eine Aufgabe, die die Compliance hat. Wenn ich mir jetzt aber anschaue, wo überall KI eingesetzt wird, wie sie eingesetzt wird, stellt sich bei mir die Frage: Was muss ich wissen? Also vom Anbieter, von der IT, vom Anwender, was muss ich wissen? Das war jetzt natürlich eine extrem, extrem große Frage. Wir müssen die irgendwie versuchen runterzubrechen.

14:17 Ich würde jetzt am Anfang darüber nachdenken: Was muss ich denn tatsächlich tun, um dem AI Act zu entsprechen? Was ich dort tun muss, ist eine Risikoklassifizierung in diesen Risikostufen. Die haben wir heute nicht angesprochen, aber der AI Act schreibt im Prinzip einige Risikostufen vor, und das ist das Bare Minimum, was ich überhaupt machen muss. Und damit ich das tun kann, würde ich mit den Anwendern reden und rausfinden: Was wollt ihr denn mit dieser KI eigentlich tun?

14:48 Bei manchen KI-Systemen wird das völlig klar sein. Wenn ich zum Beispiel eine KI einkaufe, die, weiß ich nicht, Rechnungsbelege lesen kann und Buchungssätze dazu machen kann, ist der Anwendungsfall vollkommen klar. Wenn ich aber General Purpose AI einkaufe, weiß ich nicht, ein ChatGPT, Microsoft Copilot, ein Claude, wie sie alle heißen, dann kaufe ich eine General Purpose AI mit, mit der ich sehr viele unterschiedliche Dinge tun kann. Und dann muss ich die Anwender zuerst einmal fragen: Was ist euer Anwendungsfall? Weil nur dann kann ich entscheiden, ob dieser Anwendungsfall laut dem AI Act in einen Hochrisikobereich reinfällt und welche Pflichten daraus erwachsen würden. Und man kann es nicht so einfach runterbrechen und sagen, ich habe eingekauft ChatGPT, das ist ja eh nicht gefährlich, weil würde ich jetzt zum Beispiel das ChatGPT mit Lebensläufen konfrontieren und das ChatGPT fragen, wen von den fünf Lebensläufen würdest du jetzt denn einstellen, treffe ich auf einmal mit ChatGPT Personal-

15:53 entscheidungen, bin ich im Hochrisikobereich natürlich drinnen. Das ist jetzt quasi eine Frage, die will ich wissen von der IT, die in der Entwicklung ist, und das will ich wissen von den Anwendern. Von den Anwendern, genau. Das wäre mal so diese eine Schiene. Die anderen Fragen, die man stellen wird, gehen dann natürlich in Richtung Anbieter. Wir werden ja davon ausgehen, dass der Großteil der Zuhörerinnen nicht selbst KI-System-Anbieter sein werden, sondern meistens eher Anwender. Das heißt, die haben dann einen Softwareanbieter, typischerweise in der Cloud, der einem das anbietet, und da würde ich auch noch den AI Act einfach mal abfragen, ob der AI Act eingehalten wird und ob eben entsprechende Risikoeinschätzungen und Dokumentationen zu diesem Modell und zu den Trainingsdaten auch vorhanden sind. Es ist davon auszugehen, dass die großen Anbieter das einhalten werden und auch irgendwo Webseiten haben werden, wo diese ganze Dokumentation steht.

16:46 Aber wir als Unternehmen sind natürlich in der Verantwortung, diese Informationen auch zu sichten, zu kontrollieren, ob das auch tatsächlich eingehalten wird, und in jedem Risikomanagement mit einer gewissen Regelmäßigkeit, dass man zumindest sagt, einmal im Jahr schauen wir uns das an, ob das noch immer der Fall ist. Und die Frage ist aber deswegen so groß, weil es bei uns und auch bei Kolleginnen und Kollegen im Netzwerk ja so ist, dass der AI Act uns ja auch in einem gewissen Maße animiert, dass wir über die Risiken des AI Acts hinaus noch weiter denken. Wenn ich das schon tue, dass ich mit dem Anbieter rede und sage, hast du dich im Sinne vom AI Act gut aufgestellt, dann werde ich ihn natürlich auch fragen: Was machst du IT-Security-mäßig, wo werden die Daten hinverschoben, werden die in Europa verarbeitet, werden sie in den USA verarbeitet und so weiter und so fort. Das heißt, diese ganzen ... Datenschutz-, IP-, IT-Security-Themen usw.

17:40 Intellectual Property. Würden wir dann noch mitbetrachten. Du hast jetzt aber ganz gute Dinge gesagt, die auch in das einspielen oder in das einzahlen, was ich im Zweifel von der Compliance ... und ich muss mich ein bisschen orientieren oder ein bisschen einnorden jetzt bei deinen Ausführungen, wo wir gerade sind. Und ich sage immer, die Legitimation der Compliance, die liegt im Business. Und wenn ich mich jetzt frag, was will ich denn wissen vom Anbieter, was will ich wissen von der IT, was will ich wissen von den Risk Ownern, also den Anwendern im Unternehmen, dann ist die erste Frage immer das Business, also für was verwend ich es, also was ist denn die Zielsetzung, was will ich damit tun, also die Anwendung als solche. Daraus ergibt sich für mich dann tatsächlich auch ... das Risiko. Und das Risiko nehme ich aber basierend auf dem AI Act, weil im AI Act die Risikoklassifizierungen drin sind, die sagen, das ist okay oder das ist nicht okay, also in vier Klassifizierungen.

18:40 Und wenn ich dann aus dem Business resultierend die Anwendung, die Risiken habe, kann ich als Compliance den Rahmen festlegen. Das heißt, ich als Compliance kann dann quasi auf Basis der Risiken, die ich identifiziert habe, auf Basis des AI Acts dann auch die entsprechende Richtlinie schreiben, zum Beispiel, oder den entsprechenden Rahmen geben. Weil für mich war das jetzt oder für mich ist es immer oft sehr schwierig im Zusammenhang mit dem Thema KI. Jetzt haben wir bei der letzten Folge einen Shoutout gehabt zum Thema KI: verwenden, anwenden, ausprobieren, sich damit vertraut machen und und und und und, das ist alles wunderbar, ja, aber ich muss in Wahrheit als Compliance-Organisation irgendwie den Fuß in die Tür bekommen, damit ich insbesondere meiner Tätigkeit nachkommen kann, Risiken zu identifizieren, zu bewerten und zu minimieren, um dann auch einen zielgerichteten Kompetenzaufbau leisten zu können.

19:29 Und natürlich, um einen Rahmen festzulegen. Und ich habe mich am Anfang jetzt ein bisschen schwergetan mit den Fragen, die ich stellen soll. Weil ich nicht weiß, wo fange ich denn da an, aber in Wahrheit hast du jetzt genau das beantwortet, was immer das größte Fragezeichen ist, aber zugleich auch immer mein größter Shoutout für die Compliance: Es kommt darauf an, was im Business passiert. Das Business sagt mir, wie es sie anwenden will. Im Sinne von: Wir wollen es selbst entwickeln, und in welche Richtung gehen wir da? Also ist es etwas, wo man sagt, wenn wir es selbst entwickeln im Unternehmen, arbeiten wir mit personenbezogenen Daten? Ist unser KI-Modell ausgerichtet auf die Verarbeitung von personenbezogenen Daten oder nicht? In der Anwendung ist es so, dass ich mir Gedanken machen muss, wie, was verwende ich es denn? Weil dein Beispiel mit ChatGPT ist, glaube ich, sehr bildlich. Weil ChatGPT als solches ist zwar ein Tool, aber das Risiko habe ich nicht durch das Tool, sondern durch die Anwendung.

20:17 Und dein Verweis auf das, was frage ich denn eigentlich den Anbieter, nämlich insbesondere mal: Hast du dich mit dem AI Act vertraut gemacht? Weißt du, was du tun musst? Und wenn ich folgende Handlungen setzen möchte oder Anwendungen plane mit deinem Tool, welche Risiken habe ich denn da? Oder geht das überhaupt mit deinem Tool? Und wenn ja, welche Maßnahmen hast du vielleicht technisch sogar schon vorgesehen, dass sich gewisse Risiken vielleicht nicht verwirklichen? Also, ich habe da jetzt ein bisschen aufgezeichnet bei mir, um mich selbst ein bisschen zu strukturieren. Das hilft mir, und ich glaube, es hilft sehr vielen anderen auch. Und ich glaube, dass diese Dinge nicht nur wir in der Compliance wissen sollten, sondern ich glaube, dass insbesondere die Kolleginnen und Kollegen in den Unternehmen das wissen sollten. Unabhängig davon, ob ich in der Compliance bin oder nicht. Wir reden ja über das Thema Risiken.

21:06 Welche konkreten Risiken sollte ich denn aus Compliance im Blick haben? Du hast jetzt von IP gesprochen, du hast von Diskriminierung gesprochen, du hast schon vom Datenschutz gesprochen. Gibt es sonst irgendwas, was ich aus Compliance-Sicht vielleicht noch am Schirm haben sollte? Irgendwas, wo du nämlich jetzt als Techniker sagst: Hey, passt's auf das auf? Na ja, als Techniker würde ich in einem Unternehmen noch mal eine ganz pragmatische Frage immer stellen, wenn eine KI eingesetzt wird, und zwar: Wie schaut denn die vertragliche Gestaltung mit diesem KI-Anbieter aus? Das deckt dann eigentlich schon sehr viele Themen ab, nämlich Intellectual Property, Datenschutz und so weiter. Aber es ist, glaube ich, auch schon bekannt, dass eben, wenn ich einen kostenlosen ChatGPT-Account verwende, dass die dann andere Dinge mit meinen Daten tun dürfen, als wenn ich jetzt bezahlt habe, wo ich ganz klar einen Vertrag eingehe und wo drinnen steht, die Daten, die ich dort reinlade,

22:01 die gehören nur mir, und so deck ich dann eigentlich schon sehr viele Themen mit ab, oder deck das Datenschutzthema mit ab, weil per se bin ich noch immer der Owner der Daten. Ich decke auch das Intellectual-Property-Thema mit ab, weil das Modell dann nicht mit dem trainiert wird, was ich in das Modell reinlade. Und ich habe im Wesentlichen auch eine bessere rechtliche Absicherung.

22:25 Sollte mal was schiefgehen, weil dann steht in den Verträgen halt ganz konkret drinnen: Für was haftet denn der Anbieter, wofür hafte ich als Nutzer? Also aus deinen Ausführungen zeigt es sich ja wieder so schön, warum die Schnittstelle zur IT so wichtig ist, aufgrund des technischen Verständnisses nämlich auch. Also gerade das System kann andere Dinge, wenn es ja gerade die Gratisversion ist – jetzt muss man sagen, das liest und hört man natürlich immer wieder, und eigentlich könnte man auch sagen, der Hausverstand könnte da auch einsetzen, dass da vielleicht andere Dinge möglich sind, wenn ich nicht dafür zahle, aber ein technisches Verständnis ist wichtig. Und ich glaube, dass das vielleicht auch da ein bisschen einzahlt in das Thema, was die Marie gesagt hat, nämlich, dass wir uns in der Compliance auch weiterentwickeln müssen und auch ein technisches Verständnis verstehen oder uns aneignen müssen, um auch Risiken richtig bewerten zu können, wenn sie nämlich jetzt neu auf den Tisch kommen.

23:19 Und das ist, glaube ich, in der klassischen Compliance, ist das noch nicht angekommen, dass wir uns auch in Richtung Technik entwickeln müssen. Und jetzt habe ich den Vorteil, dass du als mein CTO oder unser CTO bei .LOUPE ein technisches und ein Compliance-Verständnis hast und du in Wahrheit diese Rolle gleich mit übernimmst. Aber ich glaube, in vielen Unternehmen ist das nicht der Fall. Und da sollte man sich genau über diese Schnittstellen oder zumindest über Verbündete in der IT Gedanken machen, weil das Thema AI Act ist kein reines IT-Thema, kein reines Compliance-Thema. Also diese Schnittstelle ist wahnsinnig wichtig. Ist es nicht, und das, was du sagst, ist total wichtig. Man muss sich dann diese Netzwerke aufbauen, weil diese Ausrede „Ich kenne mich mit Computern nicht aus, ich wusste es leider nicht anders“,

24:01 die wird einfach nicht mehr ziehen. Sie wird schon lange nicht mehr ziehen und wird nicht mehr ziehen. Jetzt haben wir gesprochen über: Was ist der AI Act? Wir haben darüber gesprochen, wie wichtig sind Schnittstellen, weil Querschnittsmaterie AI Act. Wir haben darüber gesprochen über die Risiken: Wo kommen die her? Welche Fragen als Compliance Officer sollte ich stellen? Gibt es irgendwelche Fragen, die vielleicht die IT an die Compliance stellen sollte? Das ist jetzt wieder eine schwierige Frage. Also was möchtest du von mir wissen? Gibt's irgendwas, was du von mir wissen willst? Das sind keine konkreten Fragen, die ich von dir wissen wollen würde, aber es wären, wären zumindest Policies und grundlegende Guardrails. Also ... im Prinzip ein Rahmenwerk zu sehen, wo ich sage, das ist dem Unternehmen wichtig. Keine Ahnung, wir würden jetzt anfangen, sagen wir, Arbeitsverträge von der KI analysieren zu lassen. Das sieht dieses Unternehmen als zumindest besprechenswert, wie auch so eine Guardrail, dass man sagt, da hätten wir gerne, dass die Compliance informiert wird, und dann wird es auch andere Anwendungsfelder geben, wo vielleicht in so einer Guardrail oder in einer Policy, wie es bei dir eben heißen wird, wo das einfach drinnen steht: Was dürfen wir denn tun, und was dürfen wir nicht?

25:06 Ich würde mir bei diesem ganzen Thema auch erwarten, dass die Leute trotzdem noch autonom und experimentierend hinarbeiten dürfen. Weil was ja nicht passieren sollte, ist, dass man durch die Policies, durch den AI Act dann plötzlich Innovationen bremst. Das ist so super, dass du das sagst, weil das ist genau das, für das Compliance nämlich nicht steht. Also Compliance steht nicht dafür, Innovationen zu bremsen, sondern Compliance soll ja Innovation fördern. Und das Spielen eigentlich ermöglichen im ordentlichen Rahmen. Also danke für die genaue Ausführung. Genau. Und bei genauerem Nachdenken, wenn es jetzt noch mal um konkrete Anwendungsfälle geht, dann wird es wahrscheinlich so sein, wenn ich jetzt von mir ausgehe, dass man dann in speziellen Risikoeinschätzungen im AI Act sich als Techniker hart tun wird, um rauszufinden: Ist es jetzt eine Hochrisikoanwendung oder nicht? Nur so als Beispiel.

26:00 Wir lachen immer wieder, wenn wir unsere Fragebögen durchschauen, dass Lift- und Schifffahrtsthemen als hohes Risiko eingestuft werden. Das ist logisch, wenn man es liest, aber wenn du jetzt als Techniker, sagen wir mal, eine Liftsteuerung bauen würdest und da fängst du an, dass du irgendwo KI einbaust, wird dir vielleicht nicht als Erstes in den Sinn kommen, dass du sagst, das ist ganz sicher ein hohes Risiko, da muss man was dazu überlegen, sondern du wirst einfach sagen, das ist eine innovative Anwendung, und man hat nicht das Gefühl, dass man irgendwie Rechtsnormen, die ja bekannt sein müssten, wie, was weiß ich, eine Privatsphäre oder Datenschutz – hat man nicht das Gefühl, dass man die verletzen würde. Also klingt das nach einem innovativen Produkt, aber dass man dann eigentlich noch in den AI Act reinschauen muss, das und das wird einem als Techniker vielleicht nie einfallen. Und das wird man sich natürlich auch wünschen, dass man dann auch mit diesen Anwendungsfällen hingehen kann und sagen kann: Schau her, das haben wir vor.

26:55 Lieber Jurist, schau uns bitte nach, ob das in eine der Kategorien reinfällt, wo man auf irgendwas Spezielles achten muss. Und auch da gibt das Business wieder die Antwort. Richtig. Und somit muss man auch wieder sagen: Legitimation für die Compliance ist das Business. Also ich kann es gar nicht oft genug sagen, aber deinen Ausführungen zufolge liege ich da nicht ganz falsch. Jetzt tu ich mir nur ein bisschen schwer. Weil wir reden natürlich darüber, diese Risiken zu bewerten. Also zu identifizieren, zu bewerten und natürlich entsprechend irgendwann einmal vielleicht Minimierungsmaßnahmen zu setzen. Ich tue mir ein bisschen schwer, wie ich diese Risiken auch systemisch erfasse. Also wo werden die im besten Fall erfasst? Also ich als Compliance Officer kann sie natürlich schon erfassen in den Systemen, in denen wir arbeiten, aber ich tue mir ein bisschen schwer, ob das nicht vielleicht dann bei der IT vielleicht besser aufgehoben ist, weil dort vielleicht auch die gesamten Anwendungsprozesse zusammenlaufen.

27:51 Ich weiß es gerade nicht. Ja, also was das Unternehmen auf jeden Fall tun muss, das ist ein Inventar aufbauen der KI-Systeme, und dieses Inventar wird man wahrscheinlich nicht im komplett luftleeren Raum aufbauen. Also entweder hat man ja schon etwas, weil man alle Anwendungen schon irgendwo registriert hat. Und zu vermuten sei, dass die meisten Unternehmen das haben, weil du brauchst das Register der Verarbeitungstätigkeiten, wo wahrscheinlich schon Anwendungen drin sind. Und man könnte das erweitern. Was tu ich mit Anwendungen, die jetzt nicht offiziell freigegeben werden? Ja, also sogenannte Schatten-KI, wie gehen wir mit der um? Ja, also da wird's entweder extrem gute Aufklärung brauchen. Ich glaube aber, dass man technische Lösungen braucht. Das legt mir jetzt ein bisschen die Rutsche dazu, dass wir an so einer technischen Lösung eben arbeiten, mit einem neuen Produkt namens artiligence, das eben genau diese Dinge vereinen wird, eben ein Inventar an KI-Tools mit automatischer Risikoabschätzung und eben der Erkennung von Schatten-IT.

28:53 Warum ist das Schatten-IT-Thema so wichtig? Weil du natürlich in Unternehmen Personen haben wirst, die einfach KI-Systeme verwenden, weil sie sie verwenden wollen, weil sie innovativ sind, weil sie einfach so viel Arbeit abnehmen, dass es quasi dumm wäre, es nicht zu tun. Und das Risiko trägt aber trotzdem das Unternehmen. Also wenn jetzt auch jemand, sagen wir, nur einen KI-Übersetzer verwendet, der von Weitem ja harmlos aussieht, könnten dort trotzdem wieder Daten des Unternehmens hochgeladen werden. Seien es zum Beispiel personenbezogene Daten, und man hat dann keinen Verarbeitungsvertrag mit diesem System, gehen wir natürlich ein Risiko ein.

29:33 Und deswegen ist es auch wichtig, Schatten-IT ... Und noch mal, ich würde jetzt nicht dafür plädieren, dass man das dann komplett abwürgt, aber eben aufdeckt, trotzdem eine Risikobewertung durchführt und dann trotzdem Guardrails oder Policies dafür aufbaut. Man kann ja als Unternehmen durchaus sagen: Liebe Mitarbeiterinnen, ihr dürft's Tool XY verwenden, wir haben aber keine Lizenz dafür. Daher dürft ihr es nur verwenden, keine Ahnung, um einzelne Sätze zu übersetzen, wo keine unternehmensbezogenen Daten drinnen sind. Ist halt die Frage, wie sehr wir dann den Anwendungsfall noch einschränken, du lächelst ein bisschen, aber es wäre ja durchaus möglich. Aber man muss die Leute eigentlich motivieren, Anwendungsfälle in so ein Inventar einzumelden, dass sie einer Risikobewertung unterzogen werden können. Und dann kann man sagen, darfst du verwenden, aber unter diesen und jenen Voraussetzungen. Ich muss jetzt ein bisschen grinsen, auch tatsächlich, weil ich mir gerade die Praxis ein bisschen vor Augen führe, aus den Gesprächen mit sehr vielen Kolleginnen und Kollegen,

30:32 wie viele Unternehmen mit dem Thema AI Act umgehen. Und wenn ich da ein Gespräch ... wenn ich mich da erinnere an Gespräche, ist es ganz oft so, dass viele Unternehmen zuerst mit einer Policy anfangen. Also es kommt der AI Act, und sehr viele Kolleginnen und Kollegen nehmen dieses Thema auch gerne an sich, also so ticken wir in der Compliance. Also wenn niemand das Thema nimmt, wir nehmen es gerne, weil wir es gewohnt sind, Verantwortung zu übernehmen. Was können wir besonders gut? Wir können ganz besonders gut Richtlinien schreiben. Das ist vielleicht ein bisschen was Juristisches, aber das ist etwas, diesen Rahmen festzusetzen, das liegt uns auch in der DNA. Und das ist das Erste, was sehr viele Kolleginnen und Kollegen tun, sie legen einmal Regeln fest. Für etwas, wo ich das Risiko noch gar nicht kenne, wo ich noch gar nicht weiß, wie ist die Strategie im Unternehmen zum Thema KI, weil das, was du sagst mit „Ich würde das gar nicht einschränken“ ...

31:26 Die Verwendung und Nutzung von KI ist eigentlich eine strategische Frage oder ein strategisches Thema. Das heißt, sehr oft in vielen Unternehmen ist es, um möglichst rechtskonform zu sein, so, dass der Fokus auf Richtlinien gelegt wird. Und dann kommen Schulungen. Es kommen Schulungen zu Richtlinien, zu Risiken, die man vorher aber gar nicht erhoben hat. Das heißt, wenn ich mir das jetzt überlege, wie man den AI Act in das Compliance-Management-System vielleicht integrieren könnte, dann ist ja der Ablauf, den wir mit dieser Reise, die wir ja jetzt seit Jänner auch schon machen, durch das Compliance-Management-System, der ist ja an sich dann eine gute Anleitung auch für den AI Act. Ich brauche in Wahrheit einen Tone from the Top. Im Sinne auch vielleicht an der Strategie, zu wissen: Wo steht denn das Unternehmen bei der Frage KI in der Entwicklung, in der Anwendung? Dann muss ich mal anschauen: Wer hat denn bei mir überhaupt die Verantwortung?

32:23 Wem gebe ich denn dieses Thema? Das heißt, ich bin quasi in dem Element der Kultur, auch noch bei der Frage der Organisation, also wo gebe ich es denn hin? Dann nimmt sich die Compliance einen Teil mit der Profession bzw. den Kompetenzen, die sie hat. Dann nimmt sich die IT ihren Teil für die Kompetenzen, die sie hat. Dann bin ich beim Risikomanagement. Und genau dieser Step im Risikomanagement wird sehr oft ausgelassen. Und das ist ja das Element, in dem wir uns quasi immer noch ein bisschen befinden. Und darum diese Frage: Welche KI wird denn bei uns verwendet, für welchen Anwendungsfall, auch ein Inventar zu erstellen, um überhaupt die Risiken identifizieren zu können. Das ist für mich eigentlich der erste essenzielle Schritt nach der Strategie für die rechtskonforme Umsetzung des AI Acts. Weil wenn ich das einmal geklärt habe, Tool, Anwendung, Risiko, dann kann ich erst zu dieser Policy kommen, die in sehr vielen Unternehmen aber jetzt schon erstellt wird.

33:19 Das ist immer das, wo man sagt, man schreibt eine Policy für ein Risiko, das man gar nicht hat, und somit habe ich automatisch die Leute verloren. Also ich habe somit automatisch die Mitarbeiterinnen und Mitarbeiter für das Thema verloren, weil sie es gar nicht verstehen. Wenn in einer Richtlinie drinnen steht, ich darf XY nicht verwenden, und sie plötzlich merken, dass es aber in der Entwicklung verwendet wird oder dass es eigentlich gar keine Strategie gibt für das Thema oder dass sogar die Geschäftsführung möglicherweise eine ChatGPT-App am Telefon hat – und als Mitarbeiter darf man es nicht verwenden, die Geschäftsführung hat es aber schon drauf –, oder dass plötzlich Schulungen gemacht werden unter Anwendung von KI-Tools, obwohl ja eigentlich die KI nicht verwendet werden darf, oder dass man sagt, man schränkt das ein auf die Verwendung von Copilot, weil das ist auch was, was ich lerne, dass sehr viele auch das einschränken auf reine Nutzung von Copilot, aber gar nicht wissen, wie sie das richtig einsetzen können und dürfen.

34:10 Und dann mach ich eine generelle Schulung zum Thema KI. Und in Wahrheit habe ich oder schieße ich damit ja völlig am Ziel vorbei. Das ist auch nicht der Anspruch, den ich an die Compliance habe, dass ich zu Risiken schule, die ich gar nicht erhoben habe, bzw. zu Risiken schule, die ich möglicherweise gar nicht habe. Und das ist ... in Summe, wenn ich mir das so anschaue, lässt sich der AI Act sehr gut in die Elemente und in die systemische Abarbeitung oder in das Compliance-Management-System als solches integrieren. Das hat schon eine gewisse Logik, über die ich in dieser Form noch gar nicht so nachgedacht habe, ehrlich gesagt. Ich muss jetzt fast noch einen Impuls zurückschicken. Ich finde das, dass die Policy am Anfang steht,

34:53 vielleicht gar nicht so schlecht, da muss ich deine Kolleginnen und Kollegen ein bisschen in Schutz nehmen. Ich würde sie halt extrem kompakt machen und nicht als Policy, sondern eher so als ... eh, wie du gesagt hast, als Strategie, als Richtschnur nur ausgeben und sagen: Wir haben vor, KI einzusetzen, aber uns ist wichtig Privatsphäre, uns ist wichtig, dass wir nicht diskriminieren, uns ist wichtig, dass wir unsere Intellectual-Property-Themen im Griff haben.

35:20 Das kann man ja schon mal ... ganz allgemein ausgeben. Das ist sozusagen die allgemeine Richtschnur, auf der dann auch Risiken und weitere Policies aufsetzen. Aber das ist natürlich ... im großen Stil zu schulen bei allem und jedem ist natürlich eine spannende Frage. Das kostet außer Geld wahrscheinlich nur Geld. Das wird man über andere Wege auch in die Organisation reinkriegen. Ich tue mir da ein bisschen schwer, weil ich als Compliance keine Strategie vorgebe. Also ich tue mir auch ein bisschen schwer zu sagen, ich mache jetzt ein generelles Dokument, wo ich sage, bei der Anwendung von KI oder generell KI machen wir das so, und bitte aufpassen auf die Grundrechte und auf den Datenschutz. Also auf die Grundrechte aufpassen und Datenschutz und auch na, aber das habe ich ja bereits in anderen Dokumenten, weil das steht ja in der Regel oft in einem Code of Conduct schon drinnen, als quasi ... Dachdokument oder als quasi Werteverfassung oder Verhaltensverfassung.

36:07 Da hätte ich es eigentlich schon drinnen. Ich tu mir mal ein bisschen schwer, als Compliance eine Richtschnur vorzugeben für etwas, wo ich gar nicht weiß: Wollen wir das, und wie wollen wir das? Das heißt, in Wahrheit muss sich die Compliance, um entsprechende Richtlinien auch erarbeiten zu können und Schulungen erarbeiten zu können ... Wir müssen uns hier das Commitment oder zumindest die Richtung von der Geschäftsführung auch mitteilen lassen. Weil, das macht keinen Sinn, also es macht tatsächlich keinen Sinn, Richtlinien zu schreiben für ein Thema, wo wir gar nicht wissen: Wo sind wir denn überhaupt? Und wie ist denn der Gedanke zum Business, was das Thema KI betrifft? Das ist keine Frage. Worauf ich hinaus will: Du brauchst wahrscheinlich nicht vorher die Anwendungsfälle. Es wird wahrscheinlich die Richtschnur der obersten Führungsebene reichen, und wir brauchen uns ja nur in unterschiedliche Unternehmen reindenken.

36:57 Jetzt denken wir uns in .LOUPE rein, ein sehr kleines Produkt, ein sehr kleines Unternehmen, das sich schnell entwickeln muss. Natürlich ist bei uns KI im Fokus. Jetzt denken wir uns aber zum Beispiel in ein sehr großes Unternehmen ein. Also ich will jetzt zum Beispiel mal daran denken, an einen Chiphersteller, der halt einfach sehr, sehr viel Wert drauflegen wird, dass seine Intellectual Properties bei sich gehalten werden, die in der Vergangenheit schon extrem viel in IT-Security investiert haben und, ja, immer geschaut haben, dass nichts nach außen dringt, was auch logisch ist. Die werden auch eine andere Perspektive dazu haben. Und die könnten natürlich schon einfach mehr Policy ausgeben und sagen: Ohne Freigabe gibt es keine KI. Und wir als .LOUPE können aber sagen: Probiert es auch aus. Wenn ihr Fragen habt, bitte bei mir melden, und wir schauen es gemeinsam an. Da ist ja der Prozess ein ganz anderer und viel einfacher.

37:47 Und das Risiko, also das unternehmerische Risiko, auch ein anderes, muss man sagen. Also ohne dass wir jetzt eine konkrete Anwendung kennen. Nur vom Draufschauen auf das Unternehmen erkenne ich schon ein bisschen ein anderes Risiko. Also ich muss ja sagen, wir haben es ja auch nicht anders gemacht. Wir haben uns gewisse Risiken angeschaut, aber wir haben auch mit einer Policy ... wir haben auch gleich die Policy gehabt, und wir haben auch dann aufgrund der Policy eine entsprechende Schulung gemacht. Wir haben nur über gewisse Tools, die wir im Unternehmen haben, schon gewusst, wie das Risiko ist, dass wir es schon ein bisschen festmachen können. Ganz umfassend, glaube ich, haben wir es noch nicht, und da sollte die Reise natürlich hingehen, dass das in einer strukturierten Art und Weise erfolgt. Und die Frage: Wer macht denn dann das strukturierte Risikomanagement bei diesen Themen? Ich glaube nicht, dass das die Compliance ist.

38:32 Ich glaube, dass das tatsächlich wahrscheinlich über gewisse, sei es Software, die da unterstützt, oder seien es irgendwelche Fragebögen, die es da gibt, dass man das da institutionalisiert bei den Risk Ownern, nämlich bei den Anwendern, dass die Anwender vielleicht da die Risikoevaluierung vornehmen sollten. Oder man unterstützt die Anwender und Anwenderinnen bei der Evaluierung oder Identifikation der Risiken. Und wir als Compliance kriegen entweder einen Bericht dazu und schauen uns dann an: Welche Anwendung oder welche Risiken haben wir denn? Nicht die Anwendung, weil die Anwendung interessiert vielleicht mehr die IT, aber die Risiken interessieren uns vielleicht als Compliance. Weil, du hast das jetzt zu Beginn schon gesagt, der AI Act zielt ja auf den Schutz in Wahrheit von uns Menschen ab. Also es ist eigentlich eine Rechtsnorm, die die Grundrechte auch im Fokus hat. Das heißt, wenn da ein Risiko sich ergibt, dann muss das natürlich bei uns in der Compliance aufschlagen.

39:25 Aber ich bin, was das Risiko betrifft, wahrscheinlich nicht die Organisationseinheit im Unternehmen, die permanent die Risiken erhebt. Ich lass mir das berichten. Und das ist vielleicht der Unterschied im Zusammenhang zu den klassischen Compliance-Risiken, die ich ja erhebe. Jetzt erweitere ich das und gebe das Thema dorthin, wo auch die Verantwortung liegt, und die liegt ja nicht bei mir in der Compliance, und die liegt ja nicht in der IT, sondern die liegt ja bei den Anwenderinnen und bei den Anwendern, und dass ich dort vielleicht sogar schon gleich die Risikoevaluierung auch vornehmen lass, und das wird auch gleich hinübergetragen. Genau, also im besten Fall hast du da ein Tool, wo Anwenderinnen Tools plus Use-Cases einmelden, vom Tool schon unterstützt werden, Risiken zu erheben. Und du hast dann diese Fachrollen IT, Compliance, andere Fachanwender, die auf diese Risiken draufschauen können und das dann noch mitbewerten können.

40:18 Da sind wir wieder genau bei dem gleichen Thema. Würde jetzt so ein Tool, sagen wir, ein arbeitsrechtliches Thema ausspucken, wäre es als Informatiker schwer, das zu beurteilen. Da wird wahrscheinlich dann jemand mit einem juristischen Hintergrund draufschauen sollen und dürfen, damit da was Gutes rauskommt.

40:37 Das war jetzt, also für mich war das jetzt eigentlich eine relativ runde Reise, also was das Thema und den Fokus aufs Risiko betrifft. Also wenn ich vielleicht noch mal kurz zusammenfassen darf: Wir haben uns den AI Act angeschaut. Es geht um den Schutz von Menschen, um die Grundrechte, Risikoklassifizierung und auch den Rahmen, in dem ich KI anwenden darf und soll.

41:00 Wir haben uns die Frage gestellt: Was muss ich als Compliance wissen? Ich muss als Compliance wissen: Was ist die Anwendung? Ich muss nicht wissen, was ist das für ein Tool, sondern ich muss wissen: Was ist der Anwendungsfall, und welches Risiko ergibt sich daraus? Das ist auch eine Frage, die in Wahrheit die IT mir geben oder beantworten muss und der Anwender, die Anwenderin beantworten muss. IT aus Sicht der Entwicklung, wenn die IT entwickelt, und sonst die Produktentwicklung, die Anwenderin, der Anwender aufgrund dessen, wie sie es denn verwenden, dieses Tool. Da haben wir die Frage beantwortet: Woher kommt es eigentlich? Das kommt aus dem Business. Wir haben uns die Risiken angeschaut. Wir haben uns angeschaut die Regeln und den Rahmen. Wir haben uns angeschaut die Schnittstellen. Wir sind draufgekommen, es ist eine Querschnittsmaterie. Ja, also ich glaube, das war eine runde Reise soweit.

41:42 Möchtest du noch was ergänzen? Nein, ich bin komplett bei dir. Aber bist du zufrieden mit dem, was wir da jetzt gemacht haben? Ja. Okay, also ich glaube, wir haben dennoch nicht den Shoutout von der Marie von der Groeben für die Verwendung von KI gedämpft. Ist mir auch überhaupt nicht so vorgekommen, muss ich sagen. Ja, mir auch nicht. Es ist ja, wenn man will, das Risikenmanagen ist eigentlich sogar einfach, weil du ja sehr viele Anwendungen haben wirst, die nicht im Hochrisikobereich drinnen sind. Die sind ja auch sehr einfach zu managen, und da passieren ja Dinge, die Unternehmen vielleicht sowieso machen würden. Also dass, wenn sich eine Person mit einem Chatbot unterhält, dass man das nach außen hin offensichtlich macht, dass man Personen nicht verwirrt oder in die Irre leitet und sie glauben lässt, dass man mit einem Menschen kommuniziert, wo eigentlich mit einer Maschine kommuniziert wird.

42:33 Das gehört sich ja eh fast so, also das werden sehr viele intuitiv machen. Und so wie es bei vielen Rechtsvorschriften halt ist: Es ist diese Rechtsvorschrift da für die, die das nicht von selber einhalten wollen. Absolut. Das war eine wunderbare Zusammenfassung oder vielleicht noch ein wunderbarer Hinweis an der einen oder anderen Stelle. Ich lass dich noch nicht gehen. Es gibt zum Schluss immer noch ein weiteres wiederkehrendes Element. Du kennst das, und zwar das Code-of-C-C-Wort.

43:11 Was bedeutet Compliance für dich in einem Wort? Verantwortungsbewusstsein. Verantwortungsbewusstsein ist ein schönes Wort. Und du warst sehr compliant: Bei der Frage „Kannst du mir einen Satz vollenden?“ kommt ein Absatz, und beim Wort kommt ein Wort, das ist sehr schön. Das sagt genau jemand, der auch nicht zum Aufhören ist, wenn er mit dem Reden angefangen hat.

43:34 Das ist allerdings richtig, aber das gilt in dem Fall für dich. Ja, zusammengefasst habe ich schon. In diesem Sinne muss ich sagen, ich war ja nach der Folge mit der Marie von der Groeben wahnsinnig euphorisch, auch bei der Aufnahme, und ich bin auch jetzt immer noch euphorisch, was die Nutzung und die Verwendung von KI betrifft und auch die Rolle, die die Compliance spielt bei der Anwendung von KI. Und was für mich noch ein bisschen blinder Fleck war, das war tatsächlich das Thema Risikomanagement. Und dann bin ich sehr froh, dass wir uns heute – auch wenn es vielleicht an der einen oder anderen Stelle ein bisschen lustiger gewesen ist oder auch mit dem Malibu Orange, mit dem Cocktail, ein bisschen eine Zeitreise in die Jugend gewesen ist und ich vielleicht an der einen oder anderen Stelle vielleicht sogar einen Zungenschlag bekommen habe durch das Getränk, sorry an dieser Stelle –, muss ich dennoch sagen, dass die Reise durch das Risikomanagement im Zusammenhang mit KI ein Augenöffner war an der einen oder anderen Stelle, also vielen Dank, Matthias.

44:30 Es ist notwendig, sich mit den Risiken zu befassen. Es ist einfach, wenn man die richtigen Tools und die richtigen Prozesse im Unternehmen implementiert hat, wenn man das Thema AI Act nicht als Bürde, sondern durchaus auch als Chance versteht, und soweit ich dich jetzt da verstanden habe, auch als Anleitung, wie man mit den Risiken auch umgeht und wie man die Risiken auch erkennt. Matthias, vielen herzlichen Dank, dass du bei mir gewesen bist. Ich sage danke. Und ich bedanke mich fürs Zuhören. Bis zum nächsten Mal. Bleiben Sie compliant. Bleiben Sie ein neugieriger Mensch, aber bleiben Sie vor allem ein guter Mensch. Ihr Martin Reichetseder.