Leitfaden für die Umsetzung von KI-Kompetenz im Unternehmen
Kurz gelesen:
Seit Februar 2025 verpflichtet Art. 4 der KI-Verordnung (KI-VO) alle Anbieter und Betreiber von KI-Systemen zu ausreichender KI-Kompetenz. Diese Pflicht gilt sowohl für eigenes Personal als auch für alle weiteren Personen, die im KI-Kontext für den Anbieter oder Betreiber tätig sind (z.B. Auftragnehmer, Dienstleister)
Für eine ausreichende KI-Kompetenz, schreibt die KI-VO keine konkreten Maßnahmen vor, sondern überlasst dem Anbieter/Betreiber einen weiten Gestaltungsspielraum. Klar ist aber auch: Überspannt der Betreiber/Anbieter seinen Gestaltungsspielraum oder nimmt ihn nicht war, kann dies eine Sorgfaltspflichtverletzung darstellen und Anknüpfungspunkt für weitergehende behördliche Maßnahmen sein.
1. Was bedeutet „ausreichendes Maß an KI-Kompetenz“?
Mit Art. 4 KI-VO hat der EU-Gesetzgeber eine zentrale „Querschnittspflicht“ für alle Anbieter und Betreiber von KI-Systemen geschaffen. Im Rahmen der KI-Kompetenz sollen Fähigkeiten, Kenntnisse und das Verständnis für sachkundigen KI-Einsatz und Risikobewusstsein gefördert werden. Durch eine ausreichende KI-Kompetenz sollen Unternehmen und Mitarbeiter befähigt werden, fundierte Entscheidungen über den Einsatz und die Verwendung von KI-Systemen zu treffen. Der Gesetzgeber erhofft sich, dass Unternehmen durch eine ausreichende KI-Kompetenz einerseits den größtmöglichen Nutzen aus KI generieren und andererseits zugleich die (Grund-)Rechte betroffener Personen wahren.
2. Wer ist betroffen?
Die KI-Kompetenzpflicht nach Art. 4 KI-VO betrifft alle Anbieter und Betreiber von KI-Systemen, unabhängig von der Risikokategorie des verwendeten Systems oder der Branche und Größe des Unternehmens. Entsprechend der Legaldefinition in Art. 3 Nr. 3 KI-VO umfasst der Anbieterbegriff Akteure, die ein KI-System entwickeln oder entwickeln lassen und dieses in Verkehr bringen oder in Betrieb nehmen. Demgegenüber sind Betreiber von KI-Systemen nach der Legaldefinition in Art. 3 Nr. 4 KI-VO Akteure, die ein KI-System in eigener Verantwortung verwenden, vorausgesetzt diese Verwendung erfolgt nicht im Rahmen einer persönlichen und berufsfremden Tätigkeit.
3. Was verlangt Art. 4 KIVO von Anbietern und Betreibern?
Der Begriff des „ausreichenden Maß an KI-Kompetenz" wird gesetzlich nicht definiert. Allerdings hat die zuständige (deutsche) Aufsichtsbehörde Maßnahmen formuliert, die für den erfolgreichen Aufbau eines ausreichenden Maßes an KI-Kompetenz bedeutsam sind. Diese lauten:
- Bedarfsermittlung
- Maßnahmenplanung
- Kontinuierliche Umsetzung
- Dokumentation
4. Praktische Umsetzung der Anforderungen nach Art. 4 KI-VO
Bei der Auswahl und Umsetzung der Maßnahmen für ein ausreichendes Maß an KI-Kompetenz kommt Anbietern und Beitreiben ein weiter Beurteilungs- und Gestaltungsspielraum zugute. Anbieter und Betreiber haben die Möglichkeit individuell auf das eigene Unternehmen angepasste Selbstlernprogramme, Workshops, Schulungen oder andere Fortbildungsprogramme zu wählen. Standardisierte Trainingsmaßnahmen, externe Zertifizierungen der durchgeführten Maßnahmen, die Einführung eines KI-Beauftragten oder regelmäßige Vorabüberprüfungen durch die Aufsichtsbehörden sind weder verpflichtend vorgesehen noch erforderlich.
In Anlehnung an die oben genannten Kriterien sollten sich Unternehmen bei der Festlegung einer Strategie zum Ausbau der eigenen KI-Kompetenz die folgenden Fragen stellen:
- Ermittlung des individuellen Bedarfs: Wer kommt wie im Unternehmen mit KI-Systemen in Berührung? Welche KI-Systeme werden entwickelt oder genutzt und für welche Zwecke werden sie eingesetzt? Welche Risiken sind mit diesen KI-Systemen verbunden?
- Maßnahmenplanung: Welcher status quo herrscht im Unternehmen in Bezug auf KI-Kompetenz (z.B. Ausbildung, Erfahrung und Wissensstand der Mitarbeiter)? In welchem Kontext soll KI-eingesetzt werden und welche Risiken ergeben sich daraus? Welche Stellung nimmt das Unternehmen in der KI-Wertschöpfungskette ein und welche Folgen ergeben sich daraus für die zu ergreifenden Maßnahmen?
Im Anschluss an die Bedarfsanalyse müssen deren Ergebnisse in die Praxis umgesetzt werden:
- Durchführung der Maßnahmen: Integration eines dynamischen, kontinuierlichen und stufenweisen Kompetenzaufbaus, getreu dem Motto: „Jeder im Unternehmen soll unabhängig seines aktuellen Kenntnisstandes KI-Kompetenz aufbauen können.“
- Dokumentation: Fortlaufende Dokumentation aller durchgeführten Maßnahmen in Bezug auf ihre Art, ihren Inhalt, ihre zeitliche Dauer und die beteiligten Personen.
5. Was müssen Unternehmen tun?
Bestandsaufnahme jetzt: Strukturierte Analyse aller KI-Systeme und des betroffenen Personals (intern und extern) durchführen. Kompetenzbedarfe ermitteln und Risiken bewerten.
Kontinuität statt Einmaligkeit: Nachhaltige Lernstrukturen etablieren. Regelmäßige Auffrischungen und Anpassungen an technologische sowie rechtliche Entwicklungen sicherstellen.
Dokumentation: Nachweise über alle KI-Kompetenzmaßnahmen führen, um Compliance nachzuweisen, Haftung zu minimieren und die KI-Kompetenz im Unternehmen zu verbessern.