Russlands erster GOST-Standard für sichere KI-Softwareentwicklung geht in die öffentliche Diskussion

Der Entwurf der staatlichen Norm GOST R „Informationsschutz. Entwicklung sicherer Software, die Technologien der künstlichen Intelligenz implementiert. Allgemeine Anforderungen“ wurde von der FSTEC Russlands, dem Institut für Systemprogrammierung der Russischen Akademie der Wissenschaften (ISP RAS) und der Sber entwickelt. Die öffentliche Diskussion dauert bis zum 17. September 2026. Im Gegensatz zu GOST R 71539-2024, die das gesamte KI-System abdeckt, konzentriert sich diese Norm speziell auf die darin enthaltene Software und ergänzt die grundlegende Norm für sichere Entwicklung GOST R 56939-2024. Sie definiert „KI-Software“ als ein Bündel, das das KI-Modell und seine Gewichte, Interaktionssoftware, Laufzeitumgebung, Erweiterungssoftware (wie zum Beispiel RAG, Tool-Aufrufe) und optional Trainingssoftware umfasst. Modelle werden als eigene, geliehene (mit Quellcode/Gewichten oder Konformität durch den ursprünglichen Entwickler) oder angezogene (nur während der Entwicklung verwendet) klassifiziert. Die Norm führt neue Terminologien ein, wie zum Beispiel „Mechanismen zur Verhaltensbeschränkung von KI-Modellen“, „Datendrift“ und „KI-Modell-Pass“. Sie listet 27 Prozesse auf: 10 typische, 15 modifizierte und 2 vollständig spezifische (Datenbestandsmanagement und sicheres Training von KI-Modellen). Das Datenbestandsmanagement erfordert eine Kreuzannotation, adressiert Bedrohungen wie Datenvergiftung und Datenlecks und enthält Regeln für föderiertes Lernen. Sicheres Training schreibt vor, dass die Infrastruktur auf russischem Hoheitsgebiet liegen muss und die Beteiligung ausländischer Auftragnehmer verbietet. Die Bedrohungsmodellierung muss die Bedrohungsdatenbank der FSTEC, die OWASP Top-10 für „Large Language Models“ und maschinelles Lernen, MITRE ATT&CK/ATLAS und das NIST „Adversarial Machine Learning“ berücksichtigen. Sicherheitsanforderungen umfassen die Datenherkunft, verbotene Ergebnisklassen und die Kennzeichnung von Inhalten. Tests müssen adversarial Robustheit gegen „Prompt Injection“ und Datenextraktion umfassen. Die Norm verlangt einen KI-Modell-Pass und eine maschinenlesbare Komponentenliste (PPK) für Lieferketten. Lokalisierungsanforderungen für die Trainingsinfrastruktur sind unbedingt, während sie für die Datenspeicherung von der Kritikalität des Systems abhängen. Die Norm schließt ethische und Bias-Fragen explizit aus.