Chinas National Information Security Standardization Technical Committee (TC260) hat 9. September 2024 die erste Version des “Artificial Intelligence Security Governance Framework” veröffentlicht. Das Framework ist hier auf Englisch abrufbar. Das TC260 spielt eine wesentliche Rolle in der Standardentwicklung in den Bereichen Cybersicherheit, Datensicherheit und Datenschutz. Die Standards sind i.d.R. nicht rechtlich bindend, solange kein Gesetz auf sie verweist (und sie sind von “National Standards” mit höherer Verbindlichkeit zu unterscheiden). Bereits früher wurden Standards für die Sicherheit bei generativer KI und für die veröffentlicht
Nach einleitenden allgemeinen Bekenntnissen zu Innovation, Schutz, Governance, Verantwortung usw. nennt das Framework mit der Technologie als solcher verbundene Risiken – es sind die bekannten und auch im Wesentlichen auch beim AI Act leitenden Risiken, die aber recht detailliert aufgeschlüsselt und kategorisiert werden.
Die Mitglieder der Wertschöpfungskette – Entwickler, Dienstleister und Anwender – sollen deshalb zunächst Schutzmassnahmen ergreifen, die insbesondere gegen Obskurität (fehlende Erklärbarkeit), Bias und Diskriminierung, die Verletzung von Immaterialgüterrechten, die Verletzung des Datenschutzrechts, die Offenbarung heikler Informationen bspw. in den Bereichen der Kernenergie- und Waffentechnologie und den Einsatz von AI in diesen Bereichen, den unzulässigen Export von Personendaten, Angriffe auf die Modelle, Ausfälle und übermässiges Profiling wirken sollen. Dazu verlangt das Framework eine ausreichende und nach Risikoklassen abgestufte Governance über die Wertschöpfungskette hinweg und formuliert dafür recht konkrete Anforderungen und Massnahmen. Eine Tabelle stellt die Risiken, technische Massnahmen und Governance-Massnahmen zusammenfassend gegenüber.