1. Zweck und Anwendungsbereich
Diese Richtlinie legt Guantas Grundsätze, Verpflichtungen und Ausrichtung für den verantwortungsvollen Einsatz und die Entwicklung von KI‑Systemen fest. Sie bildet den Richtlinienrahmen für KI‑Ziele sowie für Entwicklung, Bereitstellung, Betrieb, Überwachung und Nutzung von KI‑Lösungen innerhalb von Guanta.
Ziel ist sicherzustellen, dass KI‑Systeme verantwortungsbewusst, ethisch, sicher, verlässlich und rechtmäßig entwickelt und genutzt werden – im Einklang mit Guantas Strategie, Kundenverpflichtungen, Managementsystemen sowie geltenden gesetzlichen, regulatorischen und vertraglichen Anforderungen.
Diese Richtlinie gilt für alle Mitarbeitenden, Auftragnehmer, Lieferanten, Partner und sonstige Dritte, die im Auftrag von Guanta an KI‑bezogenen Aktivitäten beteiligt sind. Sie gilt sowohl für von Guanta entwickelte oder bereitgestellte KI‑Systeme als auch für KI‑Tools, -Services oder Modelle, die in den Guanta‑Betrieb einfließen.
Jede Person, die für oder im Namen von Guanta arbeitet, ist verpflichtet, diese Richtlinie in ihrem Arbeitsbereich anzuwenden. Das Management sorgt dafür, dass die Richtlinie verfügbar gemacht, verstanden, umgesetzt, gepflegt und überprüft wird.
2. Prinzipien für verantwortungsvolle KI
Guanta verpflichtet sich, dass KI‑bezogene Aktivitäten nach den folgenden Grundsätzen erfolgen.
2.1. Rechtmäßigkeit, Ethik und Compliance
KI‑Systeme und deren Nutzung müssen den anwendbaren Gesetzen, Vorschriften, Standards, vertraglichen Verpflichtungen und internen Richtlinien entsprechen. Guanta wird keine KI‑Systeme entwickeln, bereitstellen oder einsetzen, die unzulässige Praktiken fördern oder ein inakzeptables Risiko schaffen.
Bei KI‑Anwendungen mit unsicheren rechtlichen, ethischen, vertraglichen oder regulatorischen Implikationen muss die Aktivität vor dem weiteren Vorgehen bewertet und genehmigt werden. Relevante Verpflichtungen und Entscheidungen werden in den internen Management‑Systemaufzeichnungen von Guanta dokumentiert.
2.2. Transparenz und Erklärbarkeit
KI‑Systeme müssen für ihren Zweck, ihr Risiko und ihr Publikum ausreichend verständlich sein. Guanta stellt klare Informationen über beabsichtigte Nutzung, Einschränkungen, Einsatzbedingungen, Anforderungen an menschliche Aufsicht und KI‑Beteiligung bereit, wenn dies erforderlich ist oder wenn dies sonst nicht offensichtlich wäre.
Erklärungen, Interpretationshilfen und Nachvollziehbarkeitsinformationen werden in Verhältnis zum Kontext und potenziellen Auswirkungen des Systems bereitgestellt. Guanta macht keine Aussagen, die Genauigkeit, Autonomie, Sicherheit, Zertifizierungen oder den Rechtsstatus eines KI‑Systems übertreiben.
2.3. Fairness und Nichtdiskriminierung
KI‑Systeme müssen so gestaltet, ausgewählt und genutzt werden, dass ungerechtfertigter Bias und diskriminierende Ergebnisse reduziert werden. Guanta berücksichtigt die Qualität, Repräsentativität, Integrität und Eignung von Daten und bewertet Outputs, wenn KI Personen, Gruppen oder Kund*innen materiell beeinflussen kann.
KI‑Outputs dürfen nicht allein als objektiv oder maßgeblich behandelt werden, nur weil sie von einem Modell erzeugt wurden. Bedenken hinsichtlich unfairer, voreingenommener oder diskriminierender Verhaltensweisen müssen dokumentiert, bewertet und behandelt werden.
2.4. Sicherheit, Schutz und technische Robustheit
KI‑Systeme müssen für ihren Einsatzzweck ausreichend geschützt und robust sein. Guanta wendet angemessene Kontrollen für sicheres Design, Zugriffskontrolle, Daten‑ und Modellintegrität, Logging, Monitoring, Fehlerbehandlung, Wiederherstellung und Änderungssteuerung an.
Relevante Risiken können Prompt‑Injection, Data‑Poisoning, Modell‑ oder Informations‑Exfiltration, unsichere Tool‑Nutzung, Halluzinationen, Leistungsverschlechterung, Ausfall von Zulieferern, unbefugten Zugriff und Missbrauch umfassen.
2.5. Datenschutz und Schutz personenbezogener Daten
KI‑Systeme müssen Datenschutz‑ und Daten‑Schutzprinzipien 'by design' und 'by default' folgen. Personenbezogene Daten, Kundendaten, vertrauliche und eingeschränkte Informationen dürfen nur dann in KI‑Systemen verwendet werden, wenn Nutzung, Anbieter, Rechtsgrundlage und Schutzmaßnahmen bewertet und genehmigt wurden.
Guanta minimiert Datenverarbeitung, definiert Verarbeitungszwecke und Rollen, wendet angemessene Sicherheits‑ und Aufbewahrungsmaßnahmen an und führt Datenschutz‑ bzw. Privacy‑Impact‑Assessments durch, wenn dies gesetzlich oder risikoangemessen erforderlich ist.
2.6. Menschliche Aufsicht
Die menschliche Aufsicht muss dem Autonomiegrad, dem Kontext und den potenziellen Auswirkungen des KI‑Systems angemessen sein. Guanta definiert, wer KI‑Verhalten oder Outputs überwacht, wann menschliche Validierung erforderlich ist, wie Bedenken eskaliert werden und wie ein KI‑System korrigiert, eingeschränkt, deaktiviert oder außer Betrieb genommen werden kann.
Personen mit Aufsichtsfunktion müssen über ausreichende Kompetenz, Informationen, Befugnis und Zeit verfügen, um die Rolle auszuüben. KI‑Outputs dürfen nicht die alleinige Grundlage für Entscheidungen mit wesentlichen Auswirkungen auf Rechte, Sicherheit, Beschäftigung, Zugang zu grundlegenden Diensten oder ähnliche Interessen sein, sofern die Nutzung nicht mit allen erforderlichen Schutzmaßnahmen bewertet und genehmigt wurde.
2.7. Positiver gesellschaftlicher Nutzen und Schadensminimierung
Guanta berücksichtigt die Auswirkungen von KI‑Systemen auf Menschen, Kundengruppen, verletzliche Gruppen, Arbeit, Zugänglichkeit, Gesellschaft und Umwelt. KI‑Aktivitäten sollten wohltuende Ergebnisse unterstützen und vorhersehbare Schäden vermeiden oder minimieren.
Soweit relevant, müssen Bewertungen Energie‑ und Rechen‑Effizienz, Zulieferer‑Infrastruktur, Umweltauswirkungen, Missbrauchspotenzial im großen Maßstab und breitere gesellschaftliche Folgen berücksichtigen. Bedeutende nachteilige Effekte müssen behandelt, von der Geschäftsleitung akzeptiert, vermieden oder zum Stopp des Systems oder der Nutzung führen.
3. Verpflichtungen für verantwortungsvolle KI
Diese Richtlinie ergänzt Guantas Informationssicherheits‑, Datenschutz‑, Softwareentwicklungs‑, Lieferanten‑, Qualitäts‑ und Managementsystemrichtlinien. Anforderungen an verantwortungsvolle KI müssen in den Lebenszyklus von KI‑Systemen und in die relevanten operativen Prozesse integriert werden.
Guanta verpflichtet sich zu folgenden Maßnahmen:
- In‑Scope‑KI‑Systeme vor produktivem Einsatz oder Kundenverfügbarkeit zu registrieren.
- Zweck, Eigentümer, beabsichtigte Nutzung, vorhersehbaren Missbrauch, Stakeholder, Abhängigkeiten, Datenressourcen, Zulieferer, Nutzer und Betriebskontext jedes KI‑Systems zu definieren.
- KI‑spezifische Risiken, Chancen und Auswirkungen zu bewerten, einschließlich technischer, Sicherheits‑, Datenschutz‑, rechtlicher, ethischer, sozialer, vertraglicher und Zulieferer‑Risiken.
- Aktuelle Aufzeichnungen zu KI‑Risiken, Behandlungen und Systemdokumentation zu führen.
- Anwendbare Kontrollen des AI‑Managementsystems zu prüfen und Nachweise über Anwendbarkeit und Betrieb der Kontrollen zu dokumentieren.
- Verpflichtungen für verantwortungsvolle KI‑Ziele und Kontrollanforderungen in Systemanforderungen, Designentscheidungen, Tests, Freigabebewertung, Monitoring und Änderungssteuerung aufzunehmen.
- Kontrollen für Datenqualität, Datenintegrität, Datenherkunft, autorisierte Datennutzung und Schutz personenbezogener, Kunden‑ und vertraulicher Informationen zu etablieren.
- Technische und nutzerorientierte Dokumentation bereitzustellen, einschließlich Einschränkungen, Warnhinweisen, Anforderungen an menschliche Aufsicht, sicheren Nutzungsanweisungen und Meldewegen für Vorfälle oder Bedenken.
- Verpflichtungen, vertragliche Bedingungen, Sicherheits‑ und Datenschutzanforderungen, Dokumentation, Verarbeitungsorte, Subprozessoren, Änderungsprozesse und Nachweisführung bei Zulieferern zu überprüfen.
- Personal entsprechend ihren KI‑Verantwortlichkeiten und dem Nutzungskontext zu schulen und zu sensibilisieren.
- Überwachungsnachweise, Vorfälle, Nichtkonformitäten, Korrekturmaßnahmen und Verbesserungsmöglichkeiten zu dokumentieren.
- Kontinuierliche Verbesserung angewandt, damit KI‑Governance sich mit neuen Gesetzen, Risiken, Technologien, Stakeholder‑Erwartungen und Lessons‑Learned weiterentwickelt.
4. Governance und Aufzeichnungen
Guanta führt interne Management‑System‑Aufzeichnungen für KI‑Governance, einschließlich Systemdokumentation, Risikoabschätzungen, Verantwortlichkeiten, Lieferantenbewertungen, Schulungsnachweise, Kontrollnachweise, Monitoring‑Ergebnisse, Vorfälle und Verbesserungsmaßnahmen. Detaillierte interne Unterlagen werden getrennt von dieser öffentlichen Richtlinie geführt.
Organisatorische Verantwortlichkeiten, Kompetenzanforderungen, Personalzuweisungen und KI‑systemspezifische Eigentumsverhältnisse sind intern definiert und gepflegt. Lieferantengovernance folgt Guantas Prozess zur Lieferantenverwaltung.
KI‑Systeme sind angemessen ihrem Risiko entsprechend zu überwachen. Monitoring kann Service‑Health, Fehler, Output‑Qualität, Sicherheitsereignisse, unsicheres oder irreführendes Verhalten, Beschwerden, menschliche Overrides, Zulieferer‑Änderungen und Wirksamkeit von Kontrollen umfassen.
Vorfälle, vermutete Richtlinienverstöße, schädliche Outputs, rechtswidriges Verhalten, Sicherheits‑ oder Datenschutzbedenken, Bias‑Verdachtsfälle und wesentliche Ungenauigkeiten sind zu melden. Guanta kann ein KI‑System oder dessen Nutzung einschränken oder aussetzen, während der Vorfall geprüft wird. Vorfälle und externe Kommunikation werden über Guantas etablierte Incident‑ und Kommunikationsprozesse abgewickelt.
5. Überprüfung und Verfügbarkeit
Diese Richtlinie wird mindestens jährlich und nach wesentlichen Änderungen in Recht, Regulierung, Verträgen, Organisation, Zulieferern, Technologie, Risiko, Vorfällen oder Zertifizierungen überprüft.
Die freigegebene aktuelle Version wird dem Personal zur Verfügung gestellt und kann mit Kundinnen, Kunden, Auditoren, Behörden und anderen Interessierten geteilt werden. Entwürfe dürfen nicht als genehmigte Richtlinie dargestellt werden.
