Die zunehmende Verbreitung von Künstlicher Intelligenz (KI) in Wirtschaft, Verwaltung und Gesellschaft geht mit neuen Herausforderungen einher. Während KI-Systeme Effizienzgewinne, Innovation und Skalierung versprechen, nehmen auch Fehlfunktionen, Diskriminierungen, Sicherheitsrisiken und Rechtsunsicherheiten zu. Die damit verbundenen Vorfälle bleiben bislang häufig unter dem Radar – teils aus Unkenntnis, teils mangels klarer Meldeverfahren. Der im Februar 2025 veröffentlichte OECD-Bericht „Towards a Common Reporting Framework for AI Incidents“ adressiert diese Lücke und schlägt erstmals einen international anschlussfähigen Melderahmen für sogenannte KI-Vorfälle vor.
Wozu ein Meldesystem für KI-Vorfälle?
Ein einheitliches Meldesystem soll einen strukturierten, vergleichbaren und praxisnahen Umgang mit KI-Fehlentwicklungen ermöglichen. Ziel ist es, Risiken frühzeitig zu erkennen, Verantwortlichkeiten zu klären und auf realen Fallbeispielen basierende Regulierungen zu ermöglichen. Denn mit der Geschwindigkeit technologischer Entwicklungen bei künstlicher Intelligenz wächst auch die Unsicherheit: Datenschutzverstöße, algorithmische Diskriminierung oder fehlerhafte Prognosen beschäftigen Wissenschaft und Gesetzgeber. Ihre Ursachen und Wirkungen sind jedoch oft schwer greifbar. Der OECD-Rahmen soll daher mit international standardisierten Begriffen, einem klaren Kriterienkatalog und einer offenen Lernplattform die Voraussetzung für präventives, evidenzbasiertes Handeln schaffen.
Was ist ein KI-Vorfall?
Der OECD-Ansatz definiert einen KI-Vorfall als ein Ereignis oder eine Abfolge von Umständen, bei denen Entwicklung, Einsatz oder Fehlfunktion eines KI-Systems zu tatsächlichen oder potenziellen Schäden führt. Dazu zählen beispielsweise:
- Verletzungen von Grundrechten, insbesondere des Datenschutzes oder Rechten des geistigen Eigentums,
- Diskriminierende oder intransparente Entscheidungen, etwa bei automatisierten Bewertungssystemen,
- Wirtschaftliche Schäden durch fehlerhafte Prognosen oder Entscheidungen,
- Eingriffe in kritische Infrastrukturen, mit Auswirkungen auf Sicherheit oder Umwelt.
Ein Meldesystem mit 29 Kriterien
Kern des OECD-Vorschlags ist ein systematischer Katalog von 29 Meldekriterien, der in acht Dimensionen gegliedert ist. Damit soll eine ganzheitliche Erfassung von KI-Vorfällen ermöglicht werden. Die Kriterien reichen von grundlegenden Metadaten wie Titel, Ort, Zeitpunkt und meldender Stelle über detaillierte Angaben zu Art, Schwere und quantitativer Erfassung des Schadens bis hin zur Frage, wie das betreffende KI-System mit dem Vorfall in Zusammenhang steht. Dabei werden nicht nur technische Fehlfunktionen berücksichtigt, sondern auch Faktoren wie menschliches Versagen, mangelhafte Nutzung, unzureichende Trainingsdaten oder regulatorische Versäumnisse – etwa im Hinblick auf Datenschutzanforderungen wie die DSGVO.
Weitere Dimensionen beziehen sich auf betroffene Stakeholder und menschenrechtliche Prinzipien, den wirtschaftlichen Kontext, Dateninput, das eingesetzte Modell sowie die konkrete Aufgabe und Ausgabe des Systems. Ergänzend erfassen die Kriterien auch getroffene Gegenmaßnahmen und technische Reproduzierbarkeit. Sieben dieser Kriterien sind als obligatorisch vorgesehen und sollen sicherstellen, dass jeder Vorfall nachvollziehbar dokumentiert und in vergleichbarer Form ausgewertet werden kann.
AI Incidents Monitor
Die Umsetzung des Rahmens soll mittels des AI Incidents Monitors (AIM) erreicht werden. Dieser erlaubt die niedrigschwellige Einreichung, Analyse und Beobachtung von KI-Vorfällen weltweit. Neben Unternehmen und Behörden sind auch Forschungseinrichtungen und zivilgesellschaftliche Akteure zur Mitwirkung eingeladen.
Der Monitor versteht sich nicht als Kontrollinstrument, sondern als Lernplattform. Organisationen können hier testen, wie sich der vorgeschlagene Melderahmen in ihre Governance-Strukturen integrieren lässt. Zugleich erhalten sie einen Einblick in real dokumentierte KI-Vorfälle. Für Datenschutz- und Compliance-Verantwortliche eröffnet sich damit eine neue Möglichkeit, über den eigenen Fallhorizont hinauszuschauen und regulatorisch relevante Entwicklungen frühzeitig zu erkennen.
Relevanz für Unternehmen
Unternehmen, können mit dem AI Incidents Monitor Risiken schneller erkennen, interne Richtlinien verbessern und bestehende Datenschutz- oder Compliance-Prozesse um KI-spezifische Komponenten erweitern. Gerade für Datenschutzbeauftragte kann die strukturierte Erfassung von KI-Vorfällen künftig so relevant werden, wie die Meldung von Datenschutzverletzungen nach Art. 33 DSGVO. Der OECD-Rahmen kann dafür eine internationale Grundlage bieten.
Fazit
Mit dem Vorschlag für ein gemeinsames Berichtssystem für KI-Vorfälle hat die OECD einen wichtigen Impuls für die globale Governance von KI gesetzt. Der Rahmen verbindet technische, rechtliche und ethische Aspekte in einem strukturierten Modell. Das Meldesystem kann damit ein praxisrelevantes Werkzeug für Unternehmen, Aufsichtsbehörden und Gesetzgeber darstellen.
In einer Phase, in der sich viele Fragen rund um KI-Nutzung, Haftung (zur EU-KI-Haftungsrichtlinie) und Kontrolle noch im Diskurs befinden, kann der OECD-Rahmen Orientierung, Struktur und die Chance auf kollektives Lernen bieten.
