KI-Governance für Bergbau und Ressourcen
OT-Sicherheit, autonome Ausrüstung und Schatten-KI

Der australische Bergbau- und Rohstoffsektor gehört zu den aggressivsten Anwendern von KI im Land. Autonome Muldenkipper an Standorten von BHP und Rio Tinto, vorausschauende Wartung von Abraumgeräten und Förderbändern, KI-gestützte Erzgehaltsvorhersage und maschinelles Lernen zur Prognose von Sicherheitsvorfällen sind keine Experimente mehr, sondern produktive Systeme, die Milliardenwerte und, entscheidend, Menschenleben verwalten.

Dies schafft eine Risikolandschaft, die sich qualitativ von KI-Einsätzen im Finanzdienstleistungs- oder Gesundheitssektor unterscheidet. Wenn ein KI-Modell einer Bank eine schlechte Kreditentscheidung trifft, ist die Folge ein fehlerhaftes Darlehen. Versagt eine Bergbau-KI, können die Folgen Kollisionen von Geräten, Todesfälle und Umweltkatastrophen sein. Die Risiken schlechter KI-Governance im Bergbau sind einzigartig gravierend.

Gleichzeitig sieht sich die Unternehmens- und Managementebene von Bergbauunternehmen denselben Schatten-KI-Herausforderungen gegenüber wie jede andere Branche. Mitarbeitende bei BHP, Rio, Fortescue, South32 und Newmont nutzen ChatGPT, Copilot und Dutzende weitere nicht genehmigte KI-Tools, um Berichte zu erstellen, Daten zu analysieren und Dokumente zusammenzufassen, wobei oft sensible Betriebs-, Finanz- und Personaldaten ohne Kontrolle in öffentliche KI-Dienste eingegeben werden.

Eine wirksame KI-Governance im Bergbau muss beide Ebenen adressieren: die operative Technologie (OT)-Ebene, auf der sicherheitskritische KI läuft, und die Enterprise-IT-Ebene, auf der Schatten-KI sich ausbreitet.

Die traditionelle IT-Sicherheit im Bergbau basierte auf einer klaren Trennung (Air Gap) zwischen den Operational Technology (OT)-Systemen, die physische Geräte steuern, und den IT-Netzwerken, die Geschäftsanwendungen ausführen. Diese Trennung existiert an den meisten modernen Bergbaustandorten nicht mehr.

Autonome Muldenkipper kommunizieren über LTE/5G-Netzwerke. Predictive-Maintenance-Plattformen ziehen Echtzeit-Sensordaten in Cloud-Analyse-Pipelines. Remote-Betriebszentren in Perth und Brisbane steuern Geräte, die Tausende Kilometer entfernt sind. KI-Systeme, die auf Unternehmensdaten trainiert wurden, treffen Entscheidungen, die physische Prozesse direkt beeinflussen.

Diese Konvergenz schafft spezifische Herausforderungen für die KI-Governance:

Risiko der KI in der Lieferkette. Bergbau-KI wird selten intern entwickelt. Sie stammt von Geräteherstellern (Caterpillar, Komatsu, Epiroc), spezialisierten OEM-Softwareanbietern und Systemintegratoren. Jeder bringt KI-Modelle in Ihre Umgebung ein, die Sie nicht selbst trainiert haben, möglicherweise nicht vollständig verstehen und nicht inspizieren können. KI-Governance-Rahmenwerke müssen sich auf Drittanbieter- und eingebettete KI erstrecken, nicht nur auf intern entwickelte Systeme.

Modell-Drift unter rauen Bedingungen. KI-Modelle, die auf historischen Betriebsdaten trainiert wurden, verändern sich, wenn sich die Bedingungen ändern, Erzgehalte schwanken, Geräte altern oder das Verhalten der Bediener sich entwickelt. Ohne Überwachung kann ein Predictive-Maintenance-Modell, das bei der Einführung 95 % Genauigkeit hatte, stillschweigend auf 70 % Genauigkeit absinken, was zu verpassten Fehlerprognosen und unerwarteten Geräteausfällen führt. Governance erfordert eine kontinuierliche Leistungsüberwachung, nicht nur eine Abnahme bei der Einführung.

Risiko durch adversariale KI in OT. Staatlich geförderte und kriminelle Bedrohungsakteure haben gezeigt, dass sie OT-Systeme kompromittieren können. KI-Komponenten in OT-Umgebungen schaffen neue Angriffsvektoren: Manipulation von Sensoreingaben, um KI-Fehlklassifikationen zu verursachen, Vergiftung von Trainingsdaten, um vorhersehbare Ausfallmodi einzuführen, und Ausnutzung von KI-Entscheidungssystemen, um unsicheres Geräteverhalten zu provozieren. Diese Angriffsarten sind nicht hypothetisch, sondern dokumentierte Angriffsklassen, die Bergbauunternehmen bewerten müssen.

Sicherheitskritische KI im Bergbau, bei autonomen Fahrzeugen, Kollisionsvermeidungssystemen, Überwachung der Hangstabilität und Gaserkennung weist ein anderes Risikoprofil als Unternehmens-KI auf. Ausfälle können tödliche Folgen haben, und die Verpflichtung zur Steuerung dieser Systeme ist nicht nur regulatorisch, sondern moralisch.

Wählen Sie Standards für das System und die Gefahren aus. Kompetente Ingenieure sollten die anwendbaren Sicherheitsstandards identifizieren und die Kontrollen für die Ausrüstung und deren Betriebsumgebung validieren. ISO 17757 behandelt zusätzliche Sicherheitsrisiken autonomer und halbautonomer Erdbewegungs- und Bergbaumaschinensysteme. ISO 13849 befasst sich mit sicherheitsbezogenen Teilen von Steuerungssystemen für Maschinen.

Planen Sie Eingriffe und Notfallmaßnahmen. Definieren Sie, wie Bediener unsichere Zustände erkennen, eingreifen und die Ausrüstung in einen sicheren Zustand versetzen. Validieren Sie das Stoppverhalten, Notfallsteuerungen, Kommunikation und Bedienerschulungen anhand der Gefahrenbewertung und technischen Anforderungen des Standorts. Die Reaktionszeiten müssen zur Ausrüstung und den Betriebsbedingungen passen, nicht einem angenommenen universellen Schwellenwert.

Erklärbarkeit ist unverzichtbar. Wenn eine Sicherheits-KI eine Entscheidung trifft, etwa einen Muldenkipper stoppt, einen Evakuierungsalarm auslöst oder ein Risiko für Hanginstabilität meldet, müssen Bediener und Sicherheitsteams verstehen können, warum. Black-Box-Modelle, die Sicherheitsentscheidungen ohne Prüfpfade treffen, schaffen regulatorische Risiken und verhindern vor allem das Lernen aus Beinaheunfällen und Vorfällen.

Beweismittel für Vorfalluntersuchungen. Führen Sie Aufzeichnungen, die die Untersuchung von Vorfällen und Beinaheunfällen unterstützen, einschließlich relevanter Systemeingaben, -ausgaben, Betriebsbedingungen und Zeitstempel. Legen Sie Aufbewahrungsfristen entsprechend der geltenden Rechtsordnung, dem Aufzeichnungstyp, den Sicherheitsmanagementvorgaben und den Untersuchungsanforderungen fest.

Während die sicherheitskritische KI-Governance-Herausforderung im Bergbau einzigartig ist, ist das Problem der Schatten-KI universell, und Bergbauunternehmen sind nicht immun.

Geologen nutzen KI-Tools, um seismische Daten zu interpretieren und Explorationsberichte zu erstellen. Finanzteams verwenden KI, um Szenarien für Rohstoffpreise zu modellieren. Personalabteilungen nutzen KI, um Stellenbeschreibungen zu entwerfen und Lebensläufe zu sichten. Kommunikationsteams setzen KI ein, um Ankündigungen und Stakeholder-Updates zu verfassen. In jedem Fall besteht eine hohe Wahrscheinlichkeit, dass sensible Daten, Explorationsergebnisse, Reserveschätzungen, Fusionsgespräche oder Leistungsdaten von Mitarbeitern in öffentliche KI-Dienste ohne Kontrolle eingegeben werden.

Die spezifische Bergbau-Exposition. Bergbauunternehmen unterliegen den kontinuierlichen Offenlegungspflichten der ASX. Unveröffentlichte Explorationsergebnisse, Reserveschätzungen und Produktionsdaten, die für den Aktienkurs relevant sind, unterliegen strengen Vertraulichkeitsanforderungen. Wenn ein Mitarbeiter ein vorläufiges Bohrergebnis in ChatGPT eingibt, um eine Zusammenfassung zu erstellen, könnten diese Daten zur Schulung zukünftiger Modellversionen verwendet werden, was eine potenzielle kursrelevante Offenlegung darstellt. Workforce KI-Sicherheitsplattformen, die protokollieren und kontrollieren, welche Daten in öffentliche KI-Tools eingegeben werden, sind nicht nur eine Sicherheitsmaßnahme, sondern eine regulatorische Compliance-Anforderung für an der ASX gelistete Bergbauunternehmen.

Schatten-KI-Inventar für Bergbauunternehmen. In einer typischen Unternehmensumgebung eines Bergbauunternehmens gehören zu den am häufigsten genutzten Schatten-KI-Tools: ChatGPT (Datenanalyse, Berichterstattung), Microsoft Copilot (E-Mails, Dokumente, Teams), GitHub Copilot (interne Softwareentwicklung), Perplexity (Recherche) sowie verschiedene KI-gestützte Geologie- und Bergbauplanungswerkzeuge mit eingebetteten LLM-Komponenten. Nicht alle davon sind genehmigt, und nur sehr wenige werden reguliert.

Australische Bergbauunternehmen, die KI-Systeme betreiben, sehen sich einem mehrschichtigen regulatorischen Rahmen gegenüber:

Safe Work Australia und staatliche Bergbauvorschriften. Die Verpflichtungen des Arbeitsschutzgesetzes gelten für KI-Systeme, die die Arbeitssicherheit beeinflussen. KI-Systeme, die autonome Fahrzeuge, Sprengstoffmanagement, Gaserkennung und Notfallmaßnahmen steuern, fallen in den Anwendungsbereich. Die Pflicht zur Identifikation und Handhabung von Gefahren erstreckt sich auch auf Gefahren, die durch Ausfälle von KI-Systemen entstehen.

ASX-Pflicht zur fortlaufenden Offenlegung (Listing Rule 3.1). KI-gestützte Analysen, die wesentliche nicht öffentliche Informationen (MNPI), Explorationsergebnisse, Reserveschätzungen oder Produktionsprognosen erzeugen oder verarbeiten, müssen so gesteuert werden, dass eine unbeabsichtigte Offenlegung über öffentliche KI-Dienste verhindert wird.

Privacy Act 1988 und Australian Privacy Principles. Mitarbeiterdaten, Auftragnehmerdaten und Gemeinschaftsdaten, die von KI-Systemen verarbeitet werden, unterliegen dem Privacy Act. Bergbauunternehmen, die KI für Personalmanagement, Sicherheitsüberwachung (einschließlich biometrischer Daten von Wearables) und Gemeinschaftsbeteiligung einsetzen, müssen ihre Datenschutzpflichten bewerten.

ISO/IEC 42001, KI-Managementsystem-Standard. Dieser freiwillige Standard kann Bergbauunternehmen dabei helfen, KI-Verantwortlichkeiten, Risikobewertung und kontinuierliche Verbesserung zu strukturieren. Der Geltungsbereich des Managementsystems sollte die KI-Anwendungen der Organisation widerspiegeln. Die Zertifizierung ersetzt nicht die Bergbausicherheitsverpflichtungen und stellt nicht die Sicherheit eines einzelnen autonomen Systems sicher.

Aufkommende Verpflichtungen. Der AI Safety Framework der australischen Regierung (2024) und die vorgeschlagenen verpflichtenden Leitplanken für Hochrisiko-KI-Anwendungen werden, sobald sie in Kraft treten, zusätzliche Verpflichtungen für Bergbauunternehmen auferlegen, die KI in sicherheitskritischen und wirkungsstarken Kontexten einsetzen. Unternehmen sollten jetzt Governance-Infrastrukturen aufbauen, anstatt bei Inkrafttreten der Pflichtanforderungen in Eile zu geraten.

Ein praktisches Planungsmodell kann den Einsatz von Bergbau-KI in drei Umgebungen unterteilen: Betriebstechnologie (OT), IT am Bergwerksstandort und Nutzung im Firmenbüro. Die untenstehenden Ebenen sind beispielhafte Prioritäten, keine ISO-Zertifizierungskategorien oder universelle rechtliche Klassifikationen.

**Ebene 1, sicherheitskritische KI (OT-Schicht)** Priorität auf Sicherheitssicherung. Gilt für: autonome Muldenkipper, Kollisionsvermeidungssysteme, KI zur Hangstabilität, Gaserkennung, Sprengmanagement. Zu bewertende Kontrollen: Gefahren- und funktionale Sicherheitsbewertung gemäß anwendbaren Standards, Tests von Eingriffs- und Notfallsteuerungen, vollständige Audit-Protokollierung, Aufbewahrung von Vorfalluntersuchungen, Transparenzanforderungen an KI-Anbieter, regelmäßige Validierung der Modellleistung, Änderungsmanagementprozess für Modellupdates.

**Ebene 2, operative KI (IT am Bergwerksstandort)** Priorität auf betriebliche Zuverlässigkeit. Gilt für: vorausschauende Wartung, Erzgradvorhersage, Bohr- und Sprengoptimierung, Flottenmanagement-KI. Zu bewertende Kontrollen: Leistungsüberwachung und Drift-Erkennung, Erklärbarkeitsanforderungen bei folgenschweren Entscheidungen, Datenmanagement für Trainingsdatensätze, Änderungsmanagementprozess, Integration mit Sicherheitsmanagementsystemen.

**Ebene 3, Unternehmens-KI (Firmenbüro)** Priorität auf sicheren Mitarbeitereinsatz. Gilt für: Nutzung von KI-Tools durch Mitarbeiter, KI-unterstützte Berichterstattung, Finanz- und Personalwesen-Anwendungen. Zu bewertende Kontrollen: Erkennung von Schatten-KI, Richtlinien zur akzeptablen Nutzung, Datenklassifizierungskontrollen zur Verhinderung von MNPI-Eingaben in öffentliche KI, Zugriffskontrollen, Nutzungsüberwachung und Protokollierung.

**Governance-Überlegungen über alle Ebenen:** - KI-Risikoregister für alle drei Ebenen - Benannter KI-Governance-Verantwortlicher (typischerweise CISO oder CTO) - Due-Diligence-Prozess für KI-Komponenten in beschafften Systemen - Jährliche Überprüfung der KI-Governance mit Vorstandsgenehmigung - Vorfallreaktionsverfahren für KI-bezogene Sicherheits- und Schutzereignisse