Bis Ende dieses Jahres soll die Vorlage in die Vernehmlassung, mit der die Schweiz die Konvention des Europarats umsetzt. Was darin stehen wird, weiss heute niemand genau. Was eine Institution jetzt tun sollte, lässt sich trotzdem ziemlich genau sagen.
Die erwartbaren Stossrichtungen
Angekündigt sind gesetzgeberische Massnahmen vor allem in vier Bereichen: Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht. Das ist wenig überraschend, weil es die vier Bereiche der Konvention sind. Es sind zugleich vier Bereiche, in denen eine Institution heute schon Nachweise braucht, wenn jemand nachfragt.
Fünf Vorarbeiten, die in jedem Fall gelten
- Inventar. Eine Liste aller KI-Anwendungen im Haus, offiziell eingeführte und im Alltag entstandene, mit Zweck, Zuständigkeit und verwendeten Daten. Diese Liste ist die Grundlage für alles Weitere und in den meisten Häusern der Punkt, an dem es zuerst still wird.
- Datenklassen. Für jede Anwendung festlegen, welche Art von Daten hineindarf. Drei Stufen genügen, mehr wird nicht eingehalten.
- Kennzeichnung. Überall dort, wo eine Person mit einem System spricht oder ein erzeugter Inhalt nach aussen geht, ist das erkennbar. Das ist heute schon Pflicht, wenn Sie in der EU wirken, und in jedem Fall gute Praxis.
- Freigabe. An jeder Stelle mit Aussenwirkung entscheidet eine benannte Person, mit Stellvertretung und Frist. Damit ist die Frage der automatisierten Einzelentscheidung erledigt, bevor sie gestellt wird.
- Protokoll. Anfrage, Quelle, Modell, Prüfungen, Freigabe, Ergebnis. Nicht mehr, aber auch nicht weniger.
Zwei Wege, die nicht weiterführen
Warten, bis die Vorlage vorliegt, und dann in einem Projekt alles nachziehen. Vier der fünf Punkte oben lassen sich nicht nachrüsten: Ein Inventar über zwei Jahre Wildwuchs ist Archäologie, und ein Protokoll rückwirkend zu führen ist unmöglich. Ebenfalls nicht sinnvoll ist, jetzt Anwendungen zu stoppen.
Die Vorlage wird kaum etwas verbieten, was heute erlaubt ist. Sie wird verlangen, dass man es erklären kann.
In unseren Projekten ist das Teil der Bauweise
Wir behandeln diese fünf Punkte nicht als Auflage, sondern als Teil der Bauweise. Eine Anwendung ohne Datenklassen ist bei uns nicht fertig, eine ohne Protokoll auch nicht. Das kostet am Anfang ein paar Tage mehr und erspart genau die Übung, die viele Häuser im nächsten Jahr vor sich haben.
Fazit: Die Vorlage wird prüfen, was Sie ohnehin wissen sollten
Wer heute sagen kann, welche Anwendung mit welchen Daten läuft, wer freigibt und was protokolliert wird, muss auf die Vernehmlassung nicht reagieren. Er kann sie lesen und weiterarbeiten. Das ist der einzige Zustand, in dem Regulierung nicht als Last erscheint.
