
Erste Pflichten der KI-Verordnung gelten – insbesondere die Pflicht zum Aufbau von KI-Kompetenz
Die Verordnung (EU) 2024/1689 des Europäischen Parlamentes und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung) wurde am 12.07.2024 im Amtsblatt der Europäischen Union veröffentlicht (siehe hierzu EU-Verordnung für künstliche Intelligenz – S&P Blog). Die jeweiligen Bestimmungen der KI-Verordnung kommen nun schrittweise zur Geltung.
Seit dem 02.02.2025 gelten gemäß Art. 113 Abs. 3 lit. a) KI-Verordnung die Kapitel I und II der KI-Verordnung und damit die Artikel zum Gegenstand, zum Anwendungsbereich, zu den Begriffsbestimmungen, zur KI-Kompetenz und zu den verbotenen Praktiken im KI-Bereich. Von besonderer Relevanz sind die Pflicht zum Aufbau von KI-Kompetenz (Art. 4 KI-Verordnung) und die Festlegung verbotener KI-Praktiken (Artikel 5 KI-Verordnung). Während die verbotenen KI-Praktiken in der Praxis eher einen kleinen Adressatenkreis betreffen dürften, gilt für die Pflicht zur KI-Kompetenz Gegenteiliges: sie gilt für alle Anbieter und Betreiber von KI und damit auch für Unternehmen und Behörden, die im beruflichen Kontext KI eigenverantwortlich verwenden. Art. 4 KI-Verordnung verpflichtet zu gewissen Maßnahmen, um eine KI-Kompetenz, etwa im Unternehmen oder in der Behörde, herzustellen. Dieser als „Schulungsparagraph“ (Fleck, KIR 2024, 99 [99]) bezeichnete Artikel der KI-Verordnung soll daher in diesem Beitrag genauer erläutert werden.
I. Was ist KI-Kompetenz
Wie bei vielen bisher unbekannten Rechtsbegriffen, liefert die KI-Verordnung auch für die KI-Kompetenz eine Begriffsbestimmung. In Art. 3 Nr. 56 KI-Verordnung wird die KI-Kompetenz wie folgt definiert:
„‘KI-Kompetenz‘ die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden.“
Die KI-Kompetenz sieht folglich neben einer intellektuellen Komponente – bestehend aus Kenntnis und Verständnis – auch vor, dass eine tatsächliche Komponente erfüllt sein muss: Die Fähigkeit, ein KI-System sachkundig einzusetzen oder – wie es in Erwägungsgrund Nr. 20 KI-Verordnung heißt – „fundierte Entscheidungen über KI-Systeme zu treffen“.
Diese Begriffsbestimmung von KI-Kompetenz findet sich in Kapitel I KI-Verordnung und gehört damit zu den allgemeinen Bestimmungen. Sie gilt konsequenterweise auch für den Begriff in Art. 4 KI-Verordnung (Wendehorst, in: Martini/Wendehorst, KI-Verordnung, Kommentar, 2024, Art. 4 Rn. 11).
II. Pflicht zum Aufbau von KI-Kompetenz
Die Begriffsbestimmung von KI-Kompetenz ist für sich betrachtet zunächst einmal praktisch folgenlos. Sie lässt sich allenfalls als eine gesamtgesellschaftliche Aufgabe begreifen (vgl. Wendehorst, a. a. O., Rn. 22). Zu einer handfesten Pflicht für die Anbieter und Betreiber von KI (Fleck, a. a. O., 100) wird sie allerdings durch die Aufnahme des Begriffs in Art. 4 KI-Verordnung:
„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.“
Die Regelung macht bereits sprachlich klar, dass Anbieter und Betreiber Maßnahmen ergreifen müssen. Zugleich wird deutlich, dass es aber keine vorab festgelegten einheitlichen Maßnahmen geben kann. Ausschlaggebend ist vielmehr das Ziel der Maßnahmen, ein ausreichendes Maß an KI-Kompetenz zu erreichen. Eine starre Vorgabe für den stets richtigen Weg zur Erreichung dieses Ziels gibt es (noch) nicht. Dies macht auch der Nebensatz deutlich, der festlegt, dass technische Kenntnisse, Erfahrung, Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.
III. Adressaten der Pflicht
Adressaten der Pflicht sind nur die Anbieter und Betreiber (Wendehorst, a. a. O., Rn. 7). Die Begriffsbestimmung zur KI-Kompetenz (Art. 3 Nr. 56 KI-Kompetenz) stellt zwar auch auf die Betroffenen ab, bei Art. 4 KI-Verordnung sind aber ausgehend vom eindeutigen Wortlaut nur die Anbieter und Betreiber in der Pflicht (vgl. Schreiber, KI-Kompetenz, LinkedIn, 7.11.2024 – abgerufen am 03.02.2025).
Auch für die Begriffe des Anbieters und Betreibers hält die KI-Verordnung Begriffsbestimmungen in Art. 3 bereit.
Art. 3 Nr. 3 KI-Verordnung definiert den Anbieter wie folgt:
„‘Anbieter‘ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nimmt, sei es entgeltlich oder unentgeltlich“
Art. 3 Nr. 4 KI-Verordnung definiert den Betreiber wie folgt:
„‘Betreiber‘ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet“
Insbesondere die Begriffsbestimmung zum Betreiber macht deutlich, dass der persönliche Anwendungsbereich von Art. 4 KI-Verordnung sehr weit ist. Erfasst wird damit unter anderem jedes Unternehmen und jede Behörde, deren Mitarbeiterinnen und Mitarbeiter KI (etwa ChatGPT oder berufsspezifische KI-Systeme) verwenden.
IV. Mögliche Maßnahmen
In der Literatur wird darauf hingewiesen, dass aus Art. 4 KI-Verordnung eine nicht zu unterschätzende Schulungs-/Fortbildungspflicht folge (Möller-Klapperich, NJ 2024, 337 [340]). Dies dürfte in der Tat eine Art Mindestmaßnahme sein, die Art. 4 KI-Verordnung entnommen werden kann. Denn die intellektuelle Komponente der Begriffsbestimmung von KI-Kompetenz setzt eine intellektuelle Vermittlung von Inhalten voraus, was durch Schulungen und Fortbildungen erreicht werden kann. Wie genau diese Schulungen und Fortbildungen aussehen müssen und wie regelmäßig sie erfolgen sollten, ist eine Frage des Einzelfalls (Schreiber, a. a. O.) und bedarf einer genauen Analyse der Situation anhand der in Art. 4 KI-Verordnung aufgeführten Parameter der technischen Kenntnisse, Erfahrung, Ausbildung und Schulung und des Kontexts, in dem die KI-Systeme eingesetzt werden sollen, sowie der Berücksichtigung der Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen.
Darüber hinaus werden unterschiedlichste Maßnahmen vorgeschlagen und thematisiert (siehe hierzu und zum Folgenden den Überblick bei Wendehorst, a. a. O., Rn.11 ff.):
- Entwicklung interner Richtlinien
- Fortbildung und Schulung
- Teilnahme an anerkannten Zertifizierungsprogrammen
- Ernennung betriebsinterner KI-Beauftragter
Insbesondere die Institution eines KI-Beauftragten wird vielfach thematisiert. Anders als im Datenschutzrecht, namentlich bei der DSGVO, besteht keine Pflicht, einen derartigen Beauftragten zu etablieren (Schreiber,a. a. O.). Er kann aber gerade bei größeren Unternehmen oder Behörden eine sinnvolle Möglichkeit zur Gewährleistung der KI-Kompetenz sein (vgl. Wendehorst, a. a. O., Rn. 18; Schreiber, a. a. O.). Auch dies ist wieder eine Frage des Einzelfalls und setzt eine gründliche Analyse der jeweiligen Situation voraus. Für die Umsetzung gibt es auch hier keine allgemeingültige Lösung. Maßgeblich bleibt stets die individuelle Unternehmens- und Behördenstruktur und der konkrete Einsatz von KI.
V. Fazit
Die Pflicht zum Aufbau von KI-Kompetenz gilt nun. Die für sie erforderlichen Maßnahmen stehen aber nicht allgemeinverbindlich und einheitlich fest. Vielmehr müssen die Adressaten ihre jeweilige Situation umfassend analysieren und den Maßnahmenbedarf feststellen und Maßnahmen umsetzen.
Als eine Art Mindestmaßnahme greift jedenfalls eine Schulungs-/Fortbildungspflicht. Diese darf sich nicht nur auf technische Fähigkeiten erstrecken, sondern muss auch soziale, ethische und rechtliche Implikationen einschließen (Wendehorst, a. a. O., Rn. 14; siehe auch Mückl/Hillus, Artikel 4 KI-Verordnung, Noerr-Insights, 16.01.2025 – abgerufen am 03.02.2025). Eine Kenntnis über den Inhalt der KI-Verordnung dürfte gleichfalls hierzu gehören.
Adressaten von Art. 4 KI-Verordnung ist zu empfehlen, eine genaue Prüfung ihrer Situation zügig vorzunehmen. In der Literatur wird darauf hingewiesen, dass das Nichtergreifen von Maßnahmen gemäß Art. 4 KI-Verordnung als Verletzung einer Sorgfaltspflicht bzw. eines Schutzgesetzes angesehen werden könne und zu einer Verschuldenshaftung führen könne (Wendehorst, a. a. O., Rn. 6).
Wenn Sie ermitteln möchten, welche Maßnahmen für Ihr Unternehmen oder Ihre Behörde erforderlich und passend sind, dann sprechen Sie uns gerne an! Wir unterstützen Sie bei der Analyse und Ausarbeitung einzelner Maßnahmen, etwa der Etablierung von Beauftragten oder der Erarbeitung von internen Richtlinien. Darüber hinaus bieten wir Schulungen und Fortbildungen zum Inhalt der KI-Verordnung und zu etwaigen rechtlichen Implikationen beim Einsatz von KI an.