Änderung AI-Act: Unternehmen müssen weiterhin für KI-Kompetenz sorgen

Die KI-Kompetenzpflicht sei entschärft oder sogar abgeschafft worden. So wird derzeit häufig über die Änderungen des AI Acts, auf Deutsch KI-Verordnung oder kurz KI-VO, durch das als „Digital Omnibus“ bezeichnete Änderungspaket berichtet. Diese Einordnung greift jedoch zu kurz.

Richtig ist, dass Art. 4 KI-VO wurde im Wortlaut und in seiner rechtlichen Ausgestaltung verändert wurde. Falsch ist dagegen der Eindruck, Unternehmen müssten sich künftig nicht mehr um die KI-Kompetenz ihrer Beschäftigten kümmern. Ganz im Gegenteil

Was sich tatsächlich geändert hat

Nach der bisherigen Fassung mussten Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um nach besten Kräften ein „ausreichendes Maß“ an KI-Kompetenz bei ihrem Personal und weiteren in ihrem Auftrag handelnden Personen sicherzustellen.

Die Neufassung stellt nun stärker auf Maßnahmen zur Förderung der KI-Kompetenz ab. Zugleich wird klargestellt, dass Unternehmen kein bestimmtes Kompetenzniveau jeder einzelnen Person garantieren müssen.

Damit verändert sich vor allem der gesetzliche Anknüpfungspunkt. Im Mittelpunkt steht nicht mehr die Feststellung, ob jede einzelne Person ein abstrakt „ausreichendes“ Kompetenzniveau erreicht hat. Entscheidend ist vielmehr, ob das Unternehmen angemessene organisatorische Maßnahmen getroffen hat.

Die KI-Kompetenzpflicht bleibt bestehen

Damit müssen auch nach der Neufassung müssen Anbieter und Betreiber Maßnahmen zur Förderung der KI-Kompetenz ergreifen. Art. 4 KI-VO ist daher weiterhin eine gesetzliche Organisations- und Compliancepflicht.

Welche Maßnahmen erforderlich sind, hängt insbesondere davon ab,

• welche KI-Systeme eingesetzt werden,
• welche Aufgaben die Beschäftigten damit ausführen,
• über welche Vorkenntnisse sie verfügen,
• in welchem rechtlichen und technischen Umfeld die Systeme eingesetzt werden,
• welche Personen von den Ergebnissen betroffen sein können,
• welche Schäden und Rechtsverstöße bei einer Fehlanwendung drohen.

Eine gelegentliche Rundmail mit allgemeinen Hinweisen wird daher bei risikoreichen Einsatzbereichen regelmäßig nicht ausreichen. Erforderlich können insbesondere Schulungen, konkrete Einweisungen, interne Nutzungsrichtlinien, Freigabeprozesse und Ansprechpartner für Zweifelsfälle sein.

Die Pflicht war auch zuvor nicht als automatische Bußgeldpflicht ausgestaltet

Bereits die bisherige Fassung des Artikels 4 der KI-VO bedeutete nicht, dass eine Behörde routinemäßig bei jedem Unternehmen oder Behörde die KI-Kompetenz abfragte  und bei deren Fehlen unmittelbar ein Bußgeld verhängen würde.

Die praktische Relevanz zeigt sich vor allem dann, wenn beim Einsatz von KI etwas schiefgeht. Das kann etwa der Fall sein, wenn Beschäftigte

• personenbezogene oder vertrauliche Daten unzulässig in ein KI-System eingeben,
• fehlerhafte KI-Ausgaben ungeprüft übernehmen,
• urheberrechtlich geschützte Inhalte unzulässig verwenden,
• diskriminierende Entscheidungen treffen,
• gesetzliche Kennzeichnungspflichten übersehen,
• Geschäftsgeheimnisse offenlegen,
• oder Kunden und andere betroffene Personen durch falsche KI-Ergebnisse schädigen.

In einem solchen Fall stellt sich regelmäßig die Frage, ob das Unternehmen ausreichende Compliance- und Organisationsmaßnahmen getroffen hat. Dazu gehört insbesondere, ob die Beschäftigten für den konkreten Einsatz geschult und eingewiesen wurden.

Die Neufassung ändert an dieser praktischen Fragestellung wenig. Unternehmen oder Behörden müssen weiterhin erklären können, wie sie die KI-Kompetenz in ihrer Organisation fördern und Fehlanwendungen vermeiden.

Schulungen können auch unabhängig von Art. 4 KI-VO erforderlich sein

Die Notwendigkeit, Beschäftigte beim Einsatz risikobehafteter Werkzeuge angemessen einzuweisen, beruht nicht allein auf Art. 4 KI-VO.

Auch aus allgemeinen Sorgfalts-, Organisations- und Aufsichtspflichten kann sich ergeben, dass Unternehmen ihre Beschäftigten schulen müssen. Wer Mitarbeitende ohne Einweisung mit Werkzeugen arbeiten lässt, deren Fehlbedienung Datenschutzverstöße, Diskriminierungen, Vertragsverletzungen, Haftungsfälle oder erhebliche Bußgelder und Abmahnungen auslösen kann, handelt unter Umständen bereits nach allgemeinen Maßstäben fahrlässig.

Bei anderen betrieblichen Werkzeugen wäre es ebenfalls kaum vorstellbar, Beschäftigte ohne Einweisung arbeiten zu lassen. Für KI-Systeme kann nichts anderes gelten, insbesondere wenn ihre Funktionsweise, ihre Fehleranfälligkeit und die rechtlichen Grenzen ihrer Nutzung für die Anwender nicht ohne Weiteres erkennbar sind.

Was bedeutet die Änderung in der Praxis?

Unternehmen müssen weiterhin ein nachvollziehbares und angemessenes Konzept zur Förderung der KI-Kompetenz umsetzen. Dieses sollte sich an den tatsächlich eingesetzten KI-Systemen, den Aufgaben der Beschäftigten und den bestehenden Risiken orientieren.

Für viele Unternehmen werden Schulungen und dokumentierte Einweisungen deshalb weiterhin der naheliegendste Weg sein, um die gesetzlichen und allgemeinen organisatorischen Anforderungen zu erfüllen.

Meine Einordnung:

Die KI-Kompetenzpflicht wurde nicht abgeschafft. Geändert wurden ihr Wortlaut und ihre konkrete Ausgestaltung. Statt eines abstrakt ausreichenden Kompetenzniveaus steht nun deutlicher die Pflicht des Unternehmens im Vordergrund, angemessene Maßnahmen zur Förderung der KI-Kompetenz zu treffen.

Wer daraus ableitet, dass Schulungen künftig entbehrlich seien, zieht die falsche Schlussfolgerung. Gerade bei rechtlich oder wirtschaftlich relevanten KI-Einsätzen bleiben Schulungen, Einweisungen und klare interne Vorgaben wesentliche Bestandteile einer ordnungsgemäßen KI-Compliance.

KI-Kompetenz strukturiert vermitteln

Mit unserer Schulungsplattform certready.eu können Unternehmen und Behörden ihre Beschäftigten kompakt und praxisnah zum rechtssicheren Einsatz von KI schulen.

Die Schulung für KI-Anwender ist:

• vollständig online und flexibel durchführbar,
• in rund 60 Minuten absolvierbar,
• auf typische Risiken und Fehler im Arbeitsalltag ausgerichtet,
• mit einem persönlichen Abschlusszertifikat verbunden.

Die Teilnehmenden lernen unter anderem, wie sie KI-Systeme datenschutzkonform einsetzen, vertrauliche Informationen schützen, KI-Ergebnisse richtig prüfen und rechtliche Risiken bei der Nutzung vermeiden.

certready.eu unterstützt Unternehmen damit nicht nur bei der Vermittlung von Wissen. Die Plattform erleichtert auch die strukturierte Durchführung und Dokumentation von Schulungsmaßnahmen zur KI-Kompetenz.

Weitere Informationen: certready.eu

‍