KI-Kompetenz nach dem AI Act – was Unternehmen jetzt schon beachten müssen

Welche Pflichten treffen Unternehmen nach Art. 4 KI-VO?

Art. 4 KI-VO sieht vor, dass die Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen müssen, um nach bestem Wissen und Gewissen sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt; entsprechendes gilt im Hinblick auf andere Personen, die im Unternehmensauftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Dabei sollen ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Weiterbildung, der Kontext, in dem die KI-Systeme zum Einsatz gelangen sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, berücksichtigt werden.

Der Begriff der „KI-Kompetenz“ umfasst nach Art. 3 Nr. 56 KI-VO „die Fähigkeiten, Kenntnisse und Verständnis, die es Anbietern, Anwendern und Betroffenen ermöglichen, KI-Systeme unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten in Kenntnis der Sachlage einzusetzen und sich über die Chancen und Risiken von KI und mögliche Schäden, die sie verursachen kann, bewusst zu werden.“

Verpflichtungsadressat von Art. 4 KI-VO sind sowohl Anbieter als auch Betreiber von KI-Systemen. Anbieter können dabei unter anderem Unternehmen als juristische Personen sein, die ein KI-System oder ein KI-Modell entwickeln oder entwickeln lassen und es unter ihrem eigenen Namen oder ihrer eigenen Marke in den Verkehr bringen oder in Betrieb nehmen (vgl. Art. 3 Nr. 3 KI-VO). Betreiber sind unter anderem juristische Personen, die ein KI-System unter ihrer Aufsicht einsetzen (vgl. Art. 3 Nr. 4 KI-VO). 

Eine Beschränkung der Pflicht nur auf bestimmte KI-Systeme sieht Art. 4 KI-VO nicht vor; im Wesentlichen ist nur eine ausschließlich persönliche Nutzung durch natürliche Personen vom Anwendungsbereich des AI Acts ausgeschlossen (§ 2 Abs. 10 KI-VO). Die Vorschrift gilt demnach praktisch im Hinblick auf sämtliche KI-Systeme, die von Unternehmen entwickelt bzw. eingesetzt werden. 

Konkrete Vorgaben, welche Maßnahmen Unternehmen zur Sicherstellung der KI-Kompetenz ergreifen sollen, gibt Art. 4 KI-VO nicht vor. Die Wahl der passenden Maßnahmen obliegt also den Unternehmen selbst und wird in vielen Fällen davon abhängen, in welchem Bereich das Unternehmen agiert und welchem Fachbereich der Kreis von Personal und anderen Personen jeweils unterfällt. Auch wenn damit nicht näher geregelt ist, „wie“ KI-Kompetenz erworben werden kann, ist die Frage nach dem „Ob“ allerdings eindeutig beantwortet: Dass die adressierten Unternehmen die KI-Kompetenz in geeigneter Weise und nach besten Kräften sicherstellen müssen, ist ab Anfang Februar 2025 rechtlich zwingend vorgesehen.

Bislang noch unklare Sanktionen drohen

Verstöße gegen die Vorgaben der KI-Verordnung sind nach Art. 99 Abs. 1 KI-VO mit Sanktionen bedroht, die im Einzelnen von den Mitgliedstaaten festzulegen und der EU-Kommission mitzuteilen sind. Letzteres ist bislang, soweit ersichtlich, noch nicht geschehen. Allerdings ist davon auszugehen, dass dies bis zum Zeitpunkt der Anwendbarkeit der Regelungen nachgeholt wird. 

Wie sind die Vorgaben nach Art. 4 KI-VO in der Praxis umzusetzen?

Aus der offenen Formulierung des Art. 4 KI-VO folgt, dass Unternehmen selbst entscheiden müssen, welches die für ihre Mitarbeitenden relevanten Aspekte von KI-Kompetenz sind und wie sichergestellt wird, dass diese sie haben. Hier wird es je nach Tätigkeitsbereich und Branche unterschiedliche Erfordernisse geben, die aus den unternehmens- und berufsspezifischen Anforderungen folgen. Hinzu kommt die Unterschiedlichkeit der eingesetzten KI-Systeme. 

Allerdings zeigt sich in der Praxis, dass es eine Reihe von Themen gibt, die nahezu immer mit dem Einsatz von KI-Systemen verbunden sind, vor allem im Bereich der sprachbasierten Modelle (sog. Large-Language Models bzw. LLM). Diese Themen gehören deshalb zwingend zu der vom Gesetzgeber verlangten KI-Kompetenz. Das gilt beispielsweise für ein grundlegendes Verständnis und Bewusstsein für 

• die Funktionsweise und die sich daraus ergebenden Chancen und Risiken von KI-Systemen;
• die Grenzen der im Unternehmen zulässigen, geforderten oder zumindest geduldeten Nutzung von KI-Systemen;
• den Umgang mit vertraulichen Informationen (Geschäftsgeheimnissen) beim Input (Prompting) sowie bei dem Output und der anschließenden Nutzung der KI-generierten Ergebnisse;
• den Umgang mit personenbezogenen Daten (Datenschutz) bei Input, Output und Nutzung;
• Rechte Dritter (fremde Urheberrechte, Marken- und Designrechte, Patente und Gebrauchsmuster usw.) bei der Nutzung von KI-Systemen;
• Schutzfähigkeit des KI-generierten Outputs (Urheberrechtsfähigkeit, Patentierbarkeit etc.);
• systembedingte Schwächen von KI-Systemen, die sich aus den verwendeten Trainingsdaten ergeben (z.B. Bias) oder aus der Funktionsweise der Systeme (z.B. Halluzinationen).

Geht es nicht nur um den Einsatz eines bestehenden KI-Systems, sondern auch noch um dessen Training, kommen weitere Aspekte hinzu. Innerhalb der Unternehmen mögen sich bei Einführung und Betrieb von KI-Systemen zudem arbeitsrechtliche und betriebsverfassungsrechtliche Fragen stellen.

Was ist zu tun?

In der ferneren Zukunft dürften sich Anbieter und Betreiber von KI-Systemen zur Umsetzung von KI-Kompetenzmaßnahmen an freiwilligen Verhaltenskodizes orientieren können. Der Erwägungsgrund 20 der KI-Verordnung sieht vor, dass ein „Europäisches Gremium für Künstliche Intelligenz“ die EU-Kommission dabei unterstützen soll, KI-Kompetenzinstrumente sowie die Sensibilisierung und Aufklärung der Öffentlichkeit in Bezug auf die Vorteile, Risiken, Schutzmaßnahmen, Rechte und Pflichten im Zusammenhang mit der Nutzung von KI-Systeme zu fördern. Dafür sollen freiwillige Verhaltenskodizes ausgearbeitet werden, um die KI-Kompetenz von Personen, die mit der Entwicklung, dem Betrieb und der Verwendung von KI befasst sind, zu fördern.

Bis es allerdings so weit ist, müssen Unternehmen selbst tätig werden. Hierfür bieten sich fachliche Schulungen, Workshops und Vorträge zum Thema an. Um die Vorgaben an die KI-Kompetenz im Unternehmen bekanntzumachen und mit einer rechtlichen Verbindlichkeit zu versehen, ist außerdem die Erstellung einer sog. Acceptable Use Policy angezeigt. In dieser sollte für die Mitarbeitenden verbindlich geregelt werden, welche KI-Systeme im Unternehmen für welche Zwecke eingesetzt werden dürfen und was im Umgang mit ihnen erlaubt bzw. untersagt ist. Dabei können nicht nur juristische, sondern auch ethische und moralische Aspekte abgedeckt oder „Best Practices“ der praktischen Anwendung geregelt werden. 

Wie stets im regulatorischen Bereich sollten Unternehmen ferner nicht versäumen zu dokumentieren, welche Maßnahmen sie zur Sicherstellung der KI-Kompetenz ihrer Mitarbeitenden ergriffen haben. Auf diese Weise können sie im Bedarfsfall nachweisen, ihre Pflicht nach Art. 4 KI-VO erfüllt zu haben. 

KI-Kompetenz der Mitarbeitenden als Vorteil für Unternehmen

Ungeachtet der rechtlichen Verpflichtungen dürfte allerdings ohnehin klar sein, dass bestehende KI-Kompetenz seiner Mitarbeitenden ein Vorteil für jedes Unternehmen ist. Denn nur so werden die Chancen, die in der Verbreitung von Künstlicher Intelligenz liegen, überhaupt ergriffen werden können. Und nur mit kompetenten Mitarbeitenden werden Unternehmen die darin liegenden tatsächlichen und rechtlichen Risiken umschiffen können. 

Kurzum: Die von Art. 4 AI-Act geforderte KI-Kompetenz verhilft zur frühzeitigen Risikominimierung, zur Förderung von Innovation und Verbesserung von Effizienz, ganz unabhängig von etwaigen rechtlichen Sanktionen.