Seit dem 02.02.2025 müssen Unternehmen, die KI-Systeme einsetzen, sicherstellen, dass ihre Mitarbeiter und eingesetzte Externe, die mit KI-Systemen in Berührung kommen, über ausreichend KI-Kompetenz verfügen. Dies gilt unabhängig von der Unternehmensgröße – betrifft also sowohl Dax-Konzerne als auch Start Ups. Außerdem sind seit Anfang Februar einige KI-Praktiken ausdrücklich verboten. Zeit für Unternehmen, den unternehmenseigenen Einsatz von KI-Systemen zu analysieren.
Was ist der Hintergrund?
Der Rat der Europäischen Union hat am 21.Mai 2025 die KI-Verordnung (kurz: KI-VO, englisch AI Act) verabschiedet. Ziel ist es einen einheitlichen Rahmen für den Einsatz von Künstlicher Intelligenz in der Europäischen Union zu erreichen. Dabei gilt ein risikobasierter Ansatz. Je höher das Risiko für die Gesellschaft und die Grundrechte der Menschen ist, desto höher sind die Anforderungen an das KI-System bis hin zum Verbot.
Die KI-Verordnung wird stufenweise umgesetzt. Seit dem 02.02.2025 gilt eine Pflicht, bei den eigenen Mitarbeitern und eingesetzten Externen, die mit dem Einsatz und der Nutzung von KI-Systemen befasst sind, eine ausreichende KI-Kompetenz sicherzustellen (Art. 4 KI-VO) sowie ein Verbot bestimmter Praktiken im KI-Bereich (Art. 5 KI-VO).
Wen trifft die KI-Verordnung?
Adressat der Pflicht sind Anbieter und Betreiber von KI-Systemen. „Betreiber“ sind alle natürlichen oder juristischen Personen, Behörden, Einrichtungen oder sonstigen Stellen, die ein KI-System in eigener Verantwortung verwenden, sofern es nicht nur für den rein persönlichen Bereich eingesetzt wird. Damit sind letztlich alle Unternehmen betroffen, die KI-Systeme im Rahmen der unternehmerischen Tätigkeit für ihre eigenen Zwecke einsetzen – sei es ein externes KI-Tool zur Unterstützung des Kundenservices oder KI-Systeme zur Förderung interner Unternehmensprozesse. Dabei unterscheidet die Verordnung auch nicht nach der Unternehmensgröße.
Neue Pflicht: KI-Kompetenz etablieren
Anbieter und Betreiber von KI-Systemen müssen nach Art. 4 KI-VO Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und auch eingesetzte externe Dienstleister (z.B. Berater, Zeitarbeitnehmer etc.), die mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen.
Was ist KI-Kompetenz?
KI-Kompetenz umfasst laut der Verordnung die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden (Art. 3 Nr. 56 KI-VO).
Wie eine solche KI-Kompetenz erreicht werden soll, regelt die KI-VO nicht. Dies ist letztlich einzelfallabhängig und hängt insbesondere von der jeweiligen Branche, dem eingesetzten KI-System, den Risiken und den bereits bestehenden Kenntnissen der eigenen Mitarbeiter ab. Die Verordnung nennt allerdings Kriterien, die bei der Beurteilung der KI-Kompetenz zu berücksichtigen sind: technischen Kenntnisse, Erfahrungen, Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen, bei denen die KI-Systeme eingesetzt werden sollen.
Welche Maßnahmen sind jetzt erforderlich?
Es besteht keine Pflicht konkret benannte Maßnahmen durchzuführen. Vielmehr überlässt es die Verordnung jedem Unternehmen selbst zu entscheiden, auf welche Weise die KI-Kompetenz erreicht wird.
Hier kommen u.a. folgende Maßnahmen in Betracht:
- Mitarbeiterschulungen
(Bereits jetzt tummeln sich eine Vielzahl von KI-Schulungsanbietern auf dem Markt)
- Interne Richtlinie zum Umgang mit KI
(Orientierung können hier freiwillige Verhaltenskodizes bieten, die die Europäische Union in Zukunft erstellen will.)
- Zentraler Ansprechpartner für KI-bezogene Angelegenheiten
Risiken bei mangelnder KI-Kompetenz
Konkrete Sanktionen, die einem Unternehmen bei einer mangelhaften KI-Kompetenz drohen, sieht die Verordnung nicht vor. Allerdings sind nach Art. 99 KI-VO die EU-Mitgliedsstaaten dazu aufgerufen, nationale Vorschriften für Sanktionen und andere Durchsetzungsmaßnahmen zu erlassen. Bisher ist dies noch nicht geschehen. Ohnehin gilt die Sanktionsregelung in Art. 99 KI-VO erst ab dem 02.08.2025.
Ferner besteht das Risiko, dass eine fehlende oder mangelnde KI-Kompetenz eine haftungsrechtliche Verantwortlichkeit begründet, wenn es im Zusammenhang mit dem Einsatz eines KI-Systems zu einem Schaden kommt.
Verbotene KI-Praktiken
Einige KI-Praktiken sind nach Art. 5 KI-VO jetzt ausdrücklich verboten. Einige Beispiele sind:
- Unterschwellige Beeinflussung
- Ausnutzen von schutzbedürftigen Personen
- Ableitung von Emotionen von natürlichen Personen am Arbeitsplatz
- Soziale Bewertung (sog. Social Scoring)
Im Falle eines Verstoßes drohen Geldbußen von bis zu 35 Mio. EUR oder von bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem welcher Betrag höher ist.
Praxistipp
Folgende Schritte sollten Unternehmen daher jetzt ergreifen:
- Evaluieren, welche KI-Tools im Unternehmen eingesetzt werden.
- Bewertung, wie risikoreich diese KI-Tools sind. Fallen sie ggf. unter verbotene KI-Praktiken?
- Evaluieren, welche eigenen Mitarbeiter und/oder eingesetzte Dritte mit diesem KI-Tool in Berührung kommen.
- Prüfen, welche Kenntnisse und Fähigkeiten bei diesen Personen vorhanden sind.
- Auf Basis der vorstehenden Analyseergebnisse die passenden Maßnahmen wählen, durchführen, dokumentieren und evaluieren.
Für mögliche Kompetenzmaßnahmen steht ein breiter Instrumentenkasten zur Verfügung. Hier reichen die Möglichkeiten von Schulungen, über interne Richtlinien bis hin zur Etablierung eines AI-Officers. Weitere Orientierungshilfen sollten dafür demnächst aus Brüssel kommen. Ein sog. Europäisches Gremium für Künstliche Intelligenz (KI-Gremium) soll zukünftig KI-Kompetenzinstrumente zusammenstellen. Zudem sollen in Zusammenarbeit mit Interessensvertretern freiwillige Verhaltenskodizes entwickelt werden (Erwägungsgrund 20 KI-VO).
