Charlotte Blamberger
Die Verordnung über künstliche Intelligenz (KI-VO), auch bekannt als KI-Gesetz oder AI Act, ist am 1. August 2024 in Kraft getreten (für einen Überblick s. Blogbeitrag vom 14. März 2024). Während die meisten gesetzlichen Verpflichtungen erst ab dem 2. August 2026 greifen, gelten bestimmte Vorgaben schon seit dem 2. Februar 2025 – so auch Art. 4 KI-VO, der die sog. „KI-Kompetenz“ adressiert. Die Vorschrift gehört zu den allgemeinen Bestimmungen der Verordnung, die risikounabhängig für sämtliche Anbieter*innen und Betreiber*innen von KI-Systemen im Sinne der KI-VO gelten. Das bedeutet, dass alle Unternehmen Art. 4 KI-VO berücksichtigen müssen, die entsprechende Technologien eigenverantwortlich zu geschäftlichen Zwecken verwenden – auch wenn der Einsatz beispielsweise nur in einem geringen Maße erfolgt oder einzelne Schritte durch Dienstleister*innen durchgeführt werden.
Regelungsinhalt und Zweck der Vorschrift
Der europäische Gesetzgeber verfolgt mit Art. 4 KI-VO das Ziel, die Chancen von KI-Systemen zu nutzen und gleichzeitig Risiken für Grundrechte, Gesundheit und Sicherheit zu minimieren, indem allen involvierten Akteur*innen hinreichend Kompetenz vermittelt wird, um „fundierte Entscheidungen“ über KI-Systeme treffen zu können (vgl. Erwägungsgrund 20 der KI-VO). So regelt Art. 4 KI-VO:
„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.“
Im Kern stellt die gesetzliche Vorgabe Unternehmen damit vor die Wahl, entweder keine KI-Systeme einzusetzen oder für einen kompetenten Umgang mit dieser Technologie zu sorgen.
Die Notwendigkeit einer informierten und verantwortungsvollen Nutzung von KI lässt sich exemplarisch anhand eines Austausches mit ChatGPT über KI-Kompetenz skizzieren. Nach dem Inhalt von Art. 4 KI-VO gefragt, behauptet der Chatbot:
„Artikel 4 der KI-Verordnung (KI-VO) der EU bezieht sich auf die Verbote bestimmter KI-Praktiken. Er legt fest, welche Anwendungen von Künstlicher Intelligenz grundsätzlich unzulässig sind, weil sie gegen grundlegende Rechte und Werte der EU verstoßen. (…)“
Auf Hinweis korrigiert sich ChatGPT. Es sei ein „kritischer Fehler“ unterlaufen, so der Chatbot, „denn dieser Inhalt entspricht Artikel 5 der KI-VO – nicht Artikel 4.“ Anders als die erste Antwort ist diese Feststellung zutreffend. Vor dem Hintergrund, dass Art. 4 KI-VO die Notwendigkeit einer kompetenten Nutzung von KI unterstreicht, scheint die Ironie der eigenen Antwort auch ChatGPT nicht ganz verborgen zu bleiben, denn auf entsprechende Nachfrage räumt der Chatbot ein:
„Mein eigenes Missverständnis zeigt, wie schnell es zu Fehlinformationen kommen kann – insbesondere, wenn man KI-generierte Antworten nicht kritisch überprüft. KI-Modelle erzeugen Texte nicht auf Basis echten Verständnisses, sondern durch Wahrscheinlichkeitsberechnungen. Nutzer müssen daher wissen, wie KI funktioniert, um ihre Ergebnisse sachgerecht bewerten zu können.“
Neben der Verbreitung von fehlerhaften Informationen sind im beruflichen Kontext insbesondere potenzielle Gefahren durch intransparente, manipulative oder diskriminierende KI-Entscheidungen sowie Risiken im Umgang mit personenbezogenen Daten, vertraulichen Informationen oder urheberrechtlich geschützten Werken zu beachten.
Wen adressiert Art. 4 KI-VO?
Art. 4 KI-VO nimmt „Anbieter und Betreiber von KI-Systemen“ in die Verantwortung. Anbieter*in ist, wer ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter dem eigenen Namen oder der eigenen Handelsmarke in den Verkehr bringt oder in Betrieb nimmt, vgl. Art. 3 Nr. 3 KI-VO. Als Betreiber*in gilt dagegen nach Art. 3 Nr. 4 KI-VO schon jede*r Akteur*in, die*der ein KI-System in eigener Verantwortung verwendet – ausgenommen sind nur persönliche und nicht berufliche Tätigkeiten. Der Begriff ist weitgefasst: adressiert werden sämtliche Unternehmen, die KI-Systeme bewusst in ihrem Organisations- und Herrschaftsbereich einsetzen. Folglich reicht bereits aus, wenn in einem Unternehmen Mitarbeiter*innen im beruflichen Kontext Chatbots – wie ChatGPT – nutzen oder andere KI-Anwendungen bedienen, beispielsweise zu Zwecken der Übersetzung oder der Bearbeitung eingehender Bewerbungen. Wem die genannten Verantwortlichen die KI-Kompetenz vermitteln sollen, konkretisiert die KI-VO dagegen begrifflich nicht. Jedenfalls zugehörig ist das „Personal“, das heißt die eigenen Arbeitnehmer*innen eines Unternehmens. Umfasst sein können jedoch auch „andere Personen“, z.B. freie Dienstleister*innen, wenn sie im Auftrag von Betreiber*innen oder Anbieter*innen mit dem Betrieb und der Nutzung von KI-Systemen befasst sind.
Was bedeutet KI-Kompetenz?
Nach Art. 3 Nr. 56 KI-VO bezeichnet KI-Kompetenz
„die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden.“
KI-Kompetenz erfordert folglich nicht nur eine Auseinandersetzung mit den rechtlichen Rahmenbedingungen der KI-Verordnung, das heißt insbesondere der Sicherstellung, dass KI-Systeme im Einklang mit den gesetzlichen Vorgaben entwickelt und verwendet werden. Auch die Vermittlung ausreichender technischer Kenntnisse und Fähigkeiten im Umgang mit KI ist notwendig. In den Gesetzgebungsmaterialien wird etwa hervorgehoben, dass sichergestellt werden soll, dass Personen den Output eines KI-Systems in geeigneter Weise interpretieren können. Voraussetzung dafür ist mindestens ein grundlegendes Verständnis hinsichtlich der internen Entscheidungsfindungsprozesse sowie der Möglichkeiten und Grenzen von KI. Welches Maß an Kompetenz als ausreichend zu betrachten ist, wird gesetzlich allerdings nicht konkret vorgegeben. Der europäische Gesetzgeber hat sich vielmehr dafür entschieden, Einflussfaktoren zu nennen, die verdeutlichen, dass es gerade keine Universallösung für alle Verpflichteten gibt. Denn berücksichtigt werden sollen insbesondere der Wissens- und Erfahrungsstand der zu schulenden Personen einerseits und der Kontext des Einsatzes der KI-Systeme andererseits – Aspekte, die bei jedem Unternehmen individuell beurteilt werden müssen.
Welche Maßnahmen sollten ergriffen werden?
In der KI-VO ist nicht vorgegeben, welche Art von Maßnahmen zu ergreifen sind, um die KI-Kompetenz nach „besten Kräften“ sicherzustellen. Durch die offen gehaltenen Formulierungen überlässt Art. 4 KI-VO den Verantwortlichen die Entwicklung von Konzepten vielmehr weitgehend selbst. Da pauschale Lösungsansätze regelmäßig nicht sachgerecht sein dürften, bietet es sich für Unternehmen als ersten Schritt an, den Wissensstand der Mitarbeiter*innen, das Ausmaß der Nutzung von KI-Systemen sowie den konkreten Kontext, insbesondere bezüglich potenzieller Risiken, zu ermitteln. Auf dieser Grundlage können beispielsweise folgende Maßnahmen ergriffen werden:
- In Betracht kommt zunächst die Entwicklung interner Richtlinien und Standards, um die Einhaltung gesetzlicher oder unternehmensinterner Vorgaben abzusichern. Sie können daneben dem Zweck dienen, Mitarbeiter*innen zu informieren und zu sensibilisieren.
- Eine zentrale Säule der KI-Kompetenz dürften darüber hinaus Schulungs- und Fortbildungsmaßnahmen darstellen – entweder durch interne Programme oder mit Unterstützung externer Anbieter*innen. Neben technischen Fähigkeiten sollten in diesem Rahmen auch rechtliche, soziale und ethische Implikationen adressiert werden, um eine ganzheitliche Kompetenz zu erreichen.
- Auch die Ernennung von sog. KI-Beauftragten wird häufig als potenzielle Maßnahme diskutiert. Dies ist gesetzlich – anders als bei Datenschutzbeauftragten – zwar nicht vorgeschrieben, kann jedoch dazu beitragen, interne Strukturen zu stärken und das Vertrauen von Mitarbeiter*innen oder Kund*innen in den verantwortungsvollen Einsatz von KI zu fördern.
Eine Konkretisierung der Vorgaben, die zu mehr Rechtssicherheit führen könnte, bleibt abzuwarten. Das von der EU-Kommission eingerichtete AI Office zeigt dahingehend erste Bemühungen (s. z.B. Webinar, Living Repository). Für Unternehmen besteht jedoch schon vorher Handlungsbedarf: Denn trotz stellenweise unscharfer Vorgaben fordert Art. 4 KI-VO die Verantwortlichen unmissverständlich dazu auf, aktiv zu werden. Wer KI-Systeme einsetzt, sollte sich somit jetzt mit Maßnahmen zur Gewährleistung von KI-Kompetenz befassen. Sehr gerne unterstützen wir unsere Mandantinnen und Mandaten bei der Planung und Umsetzung individueller KI-Kompetenz-Konzepte.
Beitragsbild: erstellt mit ChatGPT 4o / Dall-E