Arbeitgeber müssen jetzt handeln: Praktischer FAQ-Ratgeber zur neuen KI-Kompetenzpflicht

Was regelt die Pflicht zur KI-Kompetenz?

Der Gesetzgeber verlangt, dass Anbieter und Betreiber von KI-Systemen sicherstellen, dass ihr Personal über angemessene Kenntnisse im Bereich KI verfügt. Der Gesetzestext lautet wie folgt (Hervorhebungen vom Autor):

Artikel 4 KI-VO – KI-Kompetenz
Die Anbieter und Betreiber von KI‑Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI‑Systemen befasst sind, über ein ausreichendes Maß an KI‑Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI‑Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI‑Systeme eingesetzt werden sollen, zu berücksichtigen sind.

Die Pflicht zur KI-Kompetenz lässt sich dementsprechend in den drei folgenden Punkten zusammenfassen:

• Ausreichendes Maß an KI-Kompetenz: Personal, das KI-Systeme nutzt, sollte über ein ausreichendes Maß an KI-Kompetenz verfügen. Was genau unter KI-Kompetenz zu verstehen ist, wird im nächsten Abschnitt erläutert.
• Kontext und Auswirkungen: Wie hoch das nötige Maß an KI-Kompetenz ist, hängt von dem Kontext der Nutzung und den davon betroffenen Personen oder Personengruppen ab. So sind z.B. die Anforderungen an die KI-Kompetenz von Mitarbeitenden, die KI zur Auswahl von Bewerbern einsetzen höher oder zumindest anders, als bei solchen, die KI zur Generierung von Produktillustrationen eingesetzten.
• Quellen der KI-Kompetenz: Die KI-Kompetenz kann sich dabei aus technischen Kenntnissen, Erfahrungen oder Schulungen ergeben.

Was die Definition schuldig bleibt, ist eine Erklärung was KI-Kompetenz überhaupt ist. Dies erkläre ich Ihnen gleich im nächsten Absatz.

Was ist die KI-Kompetenz?

Die KI-Verordnung definiert selbst, was unter einer KI-Kompetenz zu verstehen ist (Artikel 3 Nr. 56 KI-VO, Hervorhebungen vom Autor):

[KI‑Kompetenz] bezeichnet die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI‑Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden.

Diese Definition lässt sich auf die folgenden Aussagen unterteilen:

• Chancenbewusstsein: Die sachkundige Nutzung der Potenziale von KI zur Effizienzsteigerung und Problemlösung.
• Risikobewusstsein: Das bewusste Erkennen und Vermeiden von Risiken, die durch den Einsatz von KI-Systemen entstehen können.
• Gesetzestreue: Die Berücksichtigung der rechtlichen Vorgaben, insbesondere der Anforderungen der KI-Verordnung.
• Kompetenzbasis: Personen die mit KI umgehen benötigen Bewusstsein für Chancen, Risken und Kenntnis der maßgeblichen Gesetze. Die Grundlage dafür bilden deren Fähigkeiten, Kenntnisse und Verständnis der Materie.

Mit anderen Worten: KI-Kompetenz umfasst technisches Wissen, rechtliches Verständnis und ethisches Bewusstsein, sodass KI-Systeme sicher, effizient und verantwortungsvoll genutzt werden können.

Zwar umfasst die KI-Kompetenz auch das Chancenbewusstsein. Im rechtlichen Kontext wird es jedoch vor allem auf das Risikobewusstsein des Personals ankommen, das mit KI arbeitet.

Welche Kenntnisse sind für die KI-Kompetenz erforderlich?

Die KI-Kompetenz setzt Kenntnisse aus unterschiedlichen Wissensbereichen voraus, deren Gewichtung je nach Art der KI-Nutzung unterschiedlich sein kann:

• Technische Kenntnisse: Ein wesentlicher Aspekt der KI-Kompetenz ist das Verständnis der Funktionsweise der eingesetzten KI-Systeme, wie z.B. das Prinzip des maschinellen Lernens oder der wahrscheinlichkeitsbasierten Ausgabe.
• Rechtliches Verständnis: Zum rechtlichen Verständnis gehört die Kenntnis der gesetzlichen Vorgaben, wie der KI-Verordnung, der DSGVO oder urheberrechtlicher Anforderungen sowie der Transparenz- und Dokumentationspflichten.
• Ethisches Bewusstsein: Zum ethischen Bewusstsein gehört z.B. die Kenntnis von struktureller Ungleichbehandlung oder Auswirkungen von Wahrnehmungsverzerrungen gegenüber bestimmten Personengruppen.
• Bewusstsein für Chancen und Risiken: Hierzu gehört das Verständnis der Vorteile von KI, wie Produktivitätssteigerung oder bessere Entscheidungsfindung. Im Rechtlichen Bereich ist es vor allem die Erkennung und Vermeidung von Risiken, die sich beim Einsatz eines KI-Systems ergeben.

Wann liegt ein “ausreichendes Maß“ an KI-Kompetenz vor?

Die KI-Verordnung definiert nicht explizit, was ein „ausreichendes Maß“ an KI-Kompetenz ist. Unternehmen müssen dies individuell festlegen, basierend auf:

• Dem Einsatzbereich der KI-Systeme: Anwendungen mit hohem Risiko, wie z.B. biometrische Verfahren, erfordern umfassendere Schulungen als weniger komplexe Anwendungen.
• Den Umfang der betroffenen Personen: Je größer die Gruppe der von negativen Folgen des KI-Einsatzes betroffenen Personen, desto Höher sind die Anforderungen an die KI-Kompetenz befassten Mitarbeitenden.
• Die möglichen Schäden für betroffene Personen: Für eine Risikobewertung ist neben dem Umfang auch die mögliche Intensität des Schadens relevant. Z.B. ist der Schaden und damit auch der Schadensersatzanspruch für Bewerber, die abgelehnt oder Mitarbeitende die nicht befördert werden höher, als im Fall eines Urheberrechtsverstoßes durch generierte KI-Inhalte.

Ein ausreichendes Maß bedeutet, dass die Mitarbeitenden in der Lage sind, die eingesetzten KI-Systeme sicher und regelkonform zu bedienen, Risiken zu erkennen und die rechtlichen Anforderungen einzuhalten.

Wer ist laut KI-VO verpflichtet, KI-Kompetenz sicherzustellen?

Die Verpflichtung zur Sicherstellung der KI-Kompetenz betrifft Anbieter und Betreiber von KI-Systemen gleichermaßen:

• Anbieter: Gemeint sind gem. Artikel 3 Nr. 4 KI-VO Unternehmen oder andere Stellen und Personen, die KI-Systeme entwickeln, oder unter ihrem Namen auf dem Markt vertreiben (z.B. Open AI oder Google).
• Betreiber: Als Betreiber werden im Artikel 3 Nr. 5 KI-VO Unternehmen, Behörden und Personen bezeichnet, die KI-Systeme verwenden, beispielsweise KI-Werkzeuge wie “Copilot”, “ChatGPT für Unternehmen” oder andere Branchenlösungen.

Diese Anforderungen gelten unabhängig von der Größe des Unternehmens. Auch kleine und mittelständische Unternehmen (KMU) müssen sicherstellen, dass alle Personen, die mit KI-Systemen arbeiten, geschult sind. Zu bedenken ist hierbei, dass KI-Komponenten sich heutzutage in nahezu allen Bereichen finden:

• Content- und Code-Erstellung
• Gesprächsprotokollierung
• E-Mail-Beantwortung
• KI-Hotlines
• Bewerberauswahl

Daher müssen Unternehmen und Selbstständige die KI-Verordnung besonders beachten.

Sind Privatpersonen betroffen?

Die ausschließlich persönliche Nutzung von KI ist von der KI-Verordnung ausgenommen (Artikel 2 Abs. 10 KI-VO). Allerdings gilt die KI-Verordnung für Privatpersonen, die:

• KI-Systeme entwickeln und öffentlich bereitstellen (auch kostenlos),
• KI-generierte Deepfakes veröffentlichen (also täuschend echte Nachbildungen existierender Menschen, Sachen, Orte oder Ereignisse, s. Artikel 3 Nr. 60 und 50 Abs. 4 KI-VO) . Das zumindest ausgehend von bisheriger Rechtsprechung des EuGH im Datenschutz ausgehend, der im Fall der Veröffentlichung von Angaben zu einer Person keine ausschließlich persönliche Nutzung sah (EuGH, Urteil vom 06.11.2003 – C-101/01).

Welche Personen müssen über KI-Kompetenz verfügen?

Entsprechend der KI-Verordnung muss die KI-Kompetenz sowohl bei Angestellten als auch bei extern beauftragten Personen, die direkt oder indirekt mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, gewährleistet sein. Dazu gehören:

• Mitarbeitende in operativen Rollen: Personen, die KI-Systeme bedienen, warten oder programmieren. Dazu gehören Angestellte, aber auch z.B. Praktikanten oder Auszubildende.
• Führungskräfte: Entscheider, die strategische Entscheidungen über den Einsatz von KI treffen.
• Compliance- und Datenschutzbeauftragte: Verantwortliche, die sicherstellen, dass gesetzliche Anforderungen eingehalten werden.
• Externe Dienstleister oder Berater: Personen, die temporär oder dauerhaft in den Betrieb oder die Nutzung von KI eingebunden sind.

Welche rechtlichen Konsequenzen drohen bei mangelnder KI-Kompetenz?

Die Pflicht zur KI-Kompetenz selbst ist nicht sanktioniert. D.h. Sie können kein Bußgeld erhalten, weil Sie abstrakt nicht für die nötige KI-Kompetenz im Unternehmen gesorgt haben.

Die fehlende KI-Kompetenz wird Ihnen jedoch zur Last gelegt, wenn Sie Verstöße gegen andere Vorgaben der KI-VO oder anderer Gesetze begehen:

1. Verstöße gegen die KI-Verordnung (KI-VO):
   • Unternehmen, die die Anforderungen der KI-VO nicht erfüllen, riskieren Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.
   • Mangelnde KI-Kompetenz kann dazu führen, dass Anforderungen wie Risikobewertungen, Transparenzpflichten oder Monitoring von KI-Systemen nicht eingehalten werden.
2. Verstöße gegen die DSGVO:
   • Unsachgemäßer Umgang mit personenbezogenen Daten durch KI-Systeme kann zu Datenschutzverstößen führen, die mit Geldstrafen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden.
   • Betroffene Personen können Schadensersatzansprüche geltend machen (Artikel 82 DSGVO).
   • Eine fehlende oder unzureichende KI-Kompetenz beeinflusst den Grad des Verschuldens (z. B. einfache oder grobe Fahrlässigkeit) und die Höhe des Bußgeldes oder der Schadensersatzforderungen betroffener Personen.
3. Verstöße gegen das Urheberrecht (UrhR):
   • Unternehmen können für die Nutzung oder Verarbeitung geschützter Werke ohne Genehmigung mit Abmahnungen, Schadensersatzforderungen und Unterlassungsklagen konfrontiert werden.
   • Fehlende Kompetenz kann dazu führen, dass Mitarbeitende KI-Systeme unwissentlich mit urheberrechtlich geschützten Daten trainieren oder geschützte Inhalte in generierten Ergebnissen veröffentlichen.
4. Verstöße gegen das Allgemeine Gleichbehandlungsgesetz (AGG):
   • Diskriminierende Entscheidungen, die durch KI-Systeme getroffen werden (z. B. in Bewerbungsverfahren), können Schadensersatz- und Entschädigungsansprüche nach § 15 AGG auslösen.
   • Eine fehlende Überprüfung der Trainingsdaten oder der Ergebnisse kann als grob fahrlässig eingestuft werden und die Haftung des Unternehmens erhöhen.
5. Verstöße gegen das Wettbewerbsrecht:
   • Irreführende oder wettbewerbswidrige Inhalte, die durch KI-Systeme erzeugt werden, können zu Unterlassungsansprüchen, Schadensersatzforderungen und Bußgeldern führen.
   • Ohne KI-Kompetenz besteht die Gefahr, dass Mitarbeitende unwissentlich mit KI-generierten Inhalten oder Werbeideen gegen Verbote irreführender Werbung oder gegen Markenrechte verstoßen.
6. Verstöße gegen die Transparenzpflichten:
   • Fehlende Transparenz beim Einsatz von KI (z. B. in automatisierten Entscheidungsprozessen) kann Bußgelder und Vertrauensverlust bei Kunden nach sich ziehen.
   • KI-Kompetenz ist erforderlich, um sicherzustellen, dass Ergebnisse nachvollziehbar und korrekt gekennzeichnet sind.
7. Verstöße gegen den Schutz von Persönlichkeitsrechten:
   • Die unbefugte Verarbeitung oder Veröffentlichung personenbezogener Daten durch KI-Systeme kann zu Schadensersatzforderungen und Unterlassungsklagen führen.
   • Unzureichend geschulte Mitarbeitende könnten versehentlich Daten verwenden, die die Privatsphäre oder das Recht am eigenen Bild verletzen.
8. Verstöße gegen den Schutz von Geschäftsgeheimnissen:
   • Die unsachgemäße Eingabe sensibler Informationen in öffentliche KI-Systeme kann zum Verlust von Geschäftsgeheimnissen und zu wirtschaftlichem Schaden sowie Reputationsverlust führen.
   • Mangelnde Kompetenz verstärkt das Risiko, dass Mitarbeitende sich der Tragweite ihrer Handlungen nicht bewusst sind.

Zusammenfassend kann eine fehlende Kompetenz zu einem erhöhten Risiko von Bußgeldern, Abmahnungen und Schäden führen. Diese können zwei weitere wesentliche Folgen haben: Reputationsschäden und Persönliche Haftung der Geschäftsführung, die nachfolgend erläutert wird.

Kann die Geschäftsführung persönlich haftbar gemacht werden?

Ja, die Geschäftsführung kann unter bestimmten Umständen persönlich haftbar gemacht werden, wenn sie es versäumt, für ausreichende KI-Kompetenz im Unternehmen zu sorgen. Mögliche Szenarien sind:

1. Unterlassene Schutzmaßnahmen:
   Wenn die Geschäftsführung keine ausreichenden Schulungen oder Richtlinien implementiert und es dadurch zu Verstößen gegen die KI-Verordnung oder andere Gesetze kommt.
2. Verletzung der Sorgfaltspflicht:
   Die Geschäftsführung trägt die Verantwortung dafür, dass Risiken durch den Einsatz von KI minimiert werden. Bei einem Versäumnis kann die Geschäftsleitung für Schäden haftbar gemacht werden.
3. Arbeitsrechtliche Konsequenzen:
   Mitarbeitenden können Ansprüche geltend machen, wenn sie aufgrund mangelnder Schulungen Fehler machen, die zu Kündigungen oder arbeitsrechtlichen Konflikten führen.

Die persönliche Haftung der Geschäftsführung unterstreicht die Bedeutung von fundierten Schulungsprogrammen und klaren internen Richtlinien.

Welche Vorteile bietet die KI-Kompetenz im Verhältnis zu Mitarbeitenden?

Von der Risikominimierung bis hin zur klaren Verantwortungszuweisung – die folgenden Punkte zeigen, warum Investitionen in die KI-Kompetenz sich für Unternehmen und Mitarbeitende gleichermaßen lohnen:

1. Reduzierung von Missverständnissen und Minimierung von Haftungsrisiken: Mitarbeitende verstehen die Vorgaben und Grenzen beim Einsatz von KI-Systemen, was unabsichtliches Fehlverhalten minimiert. Beispiel: Geschulte Mitarbeitende wissen, dass sensible Daten nicht in öffentliche KI-Tools eingegeben werden dürfen.
2. Präventive Wirkung: Mitarbeitende sind besser sensibilisiert und verstehen die Konsequenzen von Verstößen, was Fehlverhalten vorbeugt. Beispiel: Mitarbeitende erkennen, dass die unsachgemäße Nutzung von KI-Systemen Sanktionen nach sich zieht.
3. Nachweis von Fahrlässigkeit oder Absicht: Schulungsnachweise erleichtern die Unterscheidung zwischen absichtlichem und unabsichtlichem Fehlverhalten. Beispiel: Verstößt jemand trotz Schulung gegen Vorgaben, kann Absicht oder grobe Fahrlässigkeit nachgewiesen werden.
4. Stärkung der Verteidigungsposition des Arbeitgebers: Unternehmen können zeigen, dass sie ihre Sorgfaltspflichten durch Schulungen und Sensibilisierung erfüllt haben. Beispiel: Bei Datenschutzverletzungen kann das Unternehmen belegen, dass es nicht an mangelnder Schulung lag.
5. Klare Verantwortungszuweisung: Schulungen und Richtlinien schaffen klare Standards, wodurch Fehlverhalten leichter identifiziert und sanktioniert werden kann.  Einheitliche Vorgaben stellen sicher, dass Sanktionen nicht als willkürlich wahrgenommen werden.

Wie sollten Unternehmen vorgehen, um KI-Kompetenz sicher zu stellen?

Ein umfassendes KI-Schulungskonzept erfordert eine systematische Planung, bedarfsgerechte Durchführung und fortlaufende Wiederholung:

1. Bestandsaufnahme:
   • Identifizierung der vorhandenen KI-Systeme und ihrer Einsatzbereiche.
   • Analyse der Risiken und Herausforderungen, die diese Systeme mit sich bringen.
2. Zielgruppenanalyse:
   • Feststellen, welche Mitarbeitenden mit KI-Systemen arbeiten, sie entwickeln oder strategisch einsetzen.
   • Ermitteln des aktuellen Kompetenzniveaus der betroffenen Personen.
3. Risikobewertung:
   • Berücksichtigung der potenziellen Risiken, die mangels nötiger KI-Kompetenz entstehen können (z. B. Datenschutz oder Diskriminierung).
4. Entwicklung eines Schulungskonzepts:
   • Erstellung von Basisschulungen.
   • Erstellung von fach- und aufgabenspezifischen Schulungen oder Programmen.
   • Dokumentation durch Protokollierung aller Schulungen und Einweisungen, um die Einhaltung der Anforderungen nachweisen zu können.
   • Regelmäßige Updates zwecks Auffrischung des vorhandenen Wissens im Hinblick auf neue Entwicklungen rechtlicher oder technischer Natur.
5. Festlegung von Schulungsinhalten:
   • Technische Grundlagen von KI.
   • Rechtliche und ethische Anforderungen.
   • Branchenspezifische Anwendungsfälle und Risiken.
6. Auswahl geeigneter Formate:
   • Präsenzschulungen, Online-Kurse oder hybride Formate.
   • Interaktive Workshops für praxisnahe Übungen.
7. Evaluation und Weiterentwicklung:
   • Nach Abschluss der Schulungen sollten Feedback und Lernerfolge ausgewertet werden, um das Konzept kontinuierlich zu verbessern.
   • Schulungsprogramme müssen kontinuierlich aktualisiert werden, um den neuesten technischen und rechtlichen Entwicklungen Rechnung zu tragen.

Auf Basis dieser Analyse können gezielte Schulungsmaßnahmen geplant werden.

Welche spezifischen Anforderungen bestehen für Hochrisiko-KI-Anwendungen?

Hochrisiko-KI-Anwendungen, wie in der KI-Verordnung definiert, erfordern besonders strenge Maßnahmen zur Sicherstellung der Kompetenz. Hierbei müssen auf Betreiberseite die folgenden Vorgaben beachtet und mit der nötigen KI-Kompetenz umgesetzt werden:

• Verwendung gemäß Betriebsanleitung und Durchführung technischer sowie organisatorischer Sicherheitsmaßnahmen.
• Sicherstellung einer kompetenten Aufsicht.
• Zweckgebundene Datenkontrolle und Überwachung der Systemleistung.
• Berichtspflichten bei Zwischenfällen und Vorfällen sowie Protokollaufbewahrung.
• Information der Arbeitnehmer über den Einsatz der KI.
• Durchführung einer  Datenschutz-Folgenabschätzung (DSFA) entsprechend Artikel 35 DSGVO.

Wie können Unternehmen die Schulung und KI-Kompetenz ihrer Mitarbeitenden nachweisen?

Ein Nachweis über die Schulungen ist erforderlich, um sicherzustellen, dass Unternehmen gegenüber Aufsichtsbehörden, Partnern oder Kunden belegen können, dass ihre Mitarbeitenden die notwendigen Kompetenzen und Kenntnisse für den sicheren und regelkonformen Umgang mit KI-Systemen besitzen.

Besonders im Schadensfall dient dieser Nachweis dazu, zu zeigen, dass das Unternehmen seiner Sorgfaltspflicht nachgekommen ist und angemessene Maßnahmen getroffen hat, um Risiken zu minimieren.

Unternehmen können den Nachweis über die Schulung und die erworbene KI-Kompetenz ihrer Mitarbeitenden durch folgende Maßnahmen sicherstellen:

1. Dokumentation von Schulungsmaßnahmen:
   • Protokollierung aller durchgeführten Schulungen, einschließlich der Inhalte, der teilnehmenden Personen und der Referenten, bzw. Ausbilder.
   • Speicherung von Schulungsmaterialien, wie Präsentationen, Handouts und Videos, als Nachweis über die vermittelten Inhalte.
2. Zertifikate und Teilnahmebestätigungen: Vergabe von Zertifikaten oder offiziellen Nachweisen an Mitarbeitende nach Abschluss einer Schulung, um deren Teilnahme und Lernerfolg zu belegen.
3. Prüfungen und Tests: Durchführung von Abschlusstests, um sicherzustellen, dass die vermittelten Inhalte verstanden wurden. Ergebnisse sollten als Nachweis dokumentiert werden.

Warum sind regelmäßige Fortbildungen im Bereich KI notwendig?

Regelmäßige Fortbildungen im Bereich KI sind entscheidend, um mit den schnellen technologischen und rechtlichen Entwicklungen Schritt zu halten. Ihre Bedeutung liegt in folgenden Aspekten:

1. Technologische Innovationen: Die KI-Technologie entwickelt sich rasant weiter. Fortbildungen stellen sicher, dass Mitarbeitende neue Tools und Methoden effektiv nutzen können.
2. Rechtliche Änderungen: Neue Gesetze und Vorschriften, wie die KI-Verordnung, erfordern regelmäßige Updates des Wissensstandes, um Compliance sicherzustellen.
3. Risikominimierung: Fortbildungen helfen, potenzielle Risiken frühzeitig zu erkennen und geeignete Maßnahmen zu ergreifen.
4. Ethisches Bewusstsein: Mitarbeitende werden kontinuierlich für die gesellschaftlichen und ethischen Herausforderungen im Umgang mit KI sensibilisiert.

Welche Maßnahmen können neben Schulungen die KI-Kompetenz fördern

Neben Schulungen können Unternehmen zusätzliche Maßnahmen ergreifen, um die KI-Kompetenz nachhaltig zu fördern und weiterzuentwickeln:

1. Individuelle Einweisungen: Neben allgemeinen Schulungen sollten Mitarbeitende im Hinblick auf die von ihnen eingesetzten KI-Systeme ein- und auf mögliche Risiken hingewiesen werden.
2. Interne KI-Richtlinien und Standards: Erstellung verbindlicher Leitlinien, die den Umgang mit KI-Systemen regeln und ethische sowie rechtliche Standards festlegen.
3. KI-Beauftragte: Einrichtung von zentralen Ansprechstellen oder Teams, die für die Umsetzung und Überwachung von KI-Prozessen verantwortlich sind.
4. Wissensaustausch: Organisation interner Wissensplattformen, wie z. B. Foren, in denen Mitarbeitende Erfahrungen und Best Practices teilen können.

Wie sollten Unternehmen mit externen Dienstleistern und Beratern in Bezug auf KI-Kompetenz umgehen?

Unternehmen, die externe Dienstleister oder Berater in den Einsatz von KI einbinden, sollten sicherstellen, dass diese ebenfalls über ausreichende KI-Kompetenz verfügen. Folgende Schritte sind ratsam:

1. Vertragliche Regelungen: In Dienstleistungsverträgen sollte festgelegt werden, dass die externen Partner die gesetzlichen Anforderungen im Umgang mit KI-Systemen einhalten müssen.
2. Zertifikate und Nachweise: Unternehmen sollten von externen Dienstleistern und Beratern Nachweise über deren KI-Kompetenz einfordern, z. B. Schulungszertifikate oder Referenzen.
3. Gemeinsame Schulungen: Falls erforderlich, können externe Partner in die internen Schulungsprogramme des Unternehmens einbezogen werden.
4. Kontinuierliche Überwachung: Die Aktivitäten und Ergebnisse externer Partner sollten regelmäßig überprüft werden, um sicherzustellen, dass sie den Standards des Unternehmens entsprechen.
5. Transparente Kommunikation: Klare Absprachen und regelmäßiger Austausch stellen sicher, dass alle Beteiligten die Anforderungen und Erwartungen verstehen und einhalten

Welche Rolle spielt KI-Governance in der Sicherstellung der KI-Kompetenz?

Die sogenannte “KI-Governance” (also die gezielte Steuerung und Kontrolle von KI-Systemen durch klare Regeln und Prozesse) ist ein wichtiger Ansatz, um sicherzustellen, dass KI-Systeme sicher, fair und verantwortungsvoll genutzt werden.

Die KI-Governance umfasst alle Regeln, Prozesse und Maßnahmen, die festlegen, wie KI in einem Unternehmen eingesetzt wird. Dabei geht es nicht nur um Technik, sondern auch darum, dass Mitarbeitende geschult sind und wissen, wie sie KI richtig anwenden. Ihre Aufgabe bei der Sicherstellung der KI-Kompetenz umfasst:

1. Rahmensetzung: KI-Governance definiert Standards und Richtlinien, die sicherstellen, dass Mitarbeitende die notwendigen Kompetenzen für den Umgang mit KI-Systemen erwerben.
2. Verantwortlichkeiten: Governance-Modelle legen fest, wer im Unternehmen für die Schulung und Überwachung der KI-Kompetenz verantwortlich ist, z. B. KI-Beauftragte oder Führungskräfte.
3. Risikomanagement: Governance-Strukturen unterstützen die Identifikation und Minimierung von Risiken, die durch unzureichende KI-Kompetenz entstehen können.
4. Transparenz und Nachvollziehbarkeit: Durch klare Regeln und Prozesse wird sichergestellt, dass Entscheidungen im Umgang mit KI dokumentiert und nachvollziehbar sind.
5. Kultur der Weiterbildung: KI-Governance fördert eine Unternehmenskultur, die kontinuierliches Lernen und den kompetenten Umgang mit KI als strategische Priorität ansieht.

Welche Rolle spielen interne KI-Richtlinien bei der Sicherstellung der KI-Kompetenz?

KI-Richtlinien sind ein wesentliches Instrument, um sicherzustellen, dass Mitarbeitende den Umgang mit KI-Systemen verstehen und verantwortungsvoll handeln. Ihre Bedeutung liegt in folgenden Aspekten:

1. Klarheit und Verbindlichkeit: Richtlinien geben den Mitarbeitenden klare Vorgaben zum sicheren und regelkonformen Einsatz von KI-Systemen. Sie definieren, welche Verhaltensweisen erwünscht sind und welche Praktiken vermieden werden müssen.
2. Standardisierung: Durch Richtlinien wird ein einheitlicher Umgang mit KI im gesamten Unternehmen gewährleistet. Dies minimiert das Risiko von Missverständnissen und Fehlern.
3. Risikominimierung: Die Richtlinien helfen, potenzielle Risiken wie Datenschutzverletzungen, Diskriminierung oder Sicherheitsprobleme frühzeitig zu erkennen und zu verhindern.
4. Schulungsleitfaden: Richtlinien können als Grundlage für Schulungsprogramme dienen, da sie die relevanten Themen und Anforderungen vorgeben.
5. Nachweis der Sorgfaltspflicht: Sie dokumentieren, dass das Unternehmen seiner Verpflichtung nachkommt, die Mitarbeitenden über den sicheren Umgang mit KI-Systemen aufzuklären. Dies kann im Falle von Audits oder Prüfungen als Nachweis verwendet werden.
6. Förderung der Unternehmenskultur: Verbindliche Richtlinien tragen dazu bei, eine Kultur der Verantwortung und des Bewusstseins im Umgang mit KI zu etablieren. Dies stärkt das Vertrauen der Mitarbeitenden und externen Stakeholder in die Unternehmensführung.

Interne Richtlinien sollten regelmäßig überprüft und aktualisiert werden, um sicherzustellen, dass sie mit den neuesten technologischen, rechtlichen und ethischen Entwicklungen im Einklang stehen.

Welche Anforderungen müssen KI-Richtlinien erfüllen?

KI-Richtlinien sind entscheidend, um den sicheren und regelkonformen Einsatz von KI-Systemen zu gewährleisten. Die wichtigsten Anforderungen sind:

1. Klarheit und Präzision: Die Richtlinien sollten leicht verständlich und spezifisch sein, um sicherzustellen, dass alle Mitarbeitenden sie nachvollziehen können.
2. Rechtskonformität: Richtlinien müssen die Anforderungen der KI-Verordnung, der DSGVO und anderer relevanter Gesetze berücksichtigen.
3. Ethische Standards: Die Richtlinien sollten die Prinzipien der Transparenz, Fairness und Nichtdiskriminierung betonen.
4. Verhaltensregeln: Es sollten klare Vorgaben für den Umgang mit Daten, die Nutzung von KI-Systemen und den Umgang mit Risiken definiert werden.
5. Flexibilität: Die Richtlinien müssen anpassungsfähig sein, um auf neue technologische oder gesetzliche Entwicklungen reagieren zu können.
6. Nachweisbarkeit:  Unternehmen sollten dokumentieren, dass Mitarbeitende die Richtlinien kennen und einhalten, z. B. durch Bestätigungen oder Prüfungen.

Welche Inhalte müssen KI-Richtlinien enthalten?

1. Erlaubnis zur Nutzung von KI:
   KI-Systeme dürfen nur mit ausdrücklicher Genehmigung des Arbeitgebers und ausschließlich für berufliche Zwecke verwendet werden. Eine private Nutzung betrieblicher KI-Systeme ist verboten. Fehlende Regelungen können zu Missbrauch oder unbefugter Weitergabe sensibler Informationen führen.
2. KI-Kompetenz und Kontrolle:
   Mitarbeitende dürfen KI-Systeme nur nutzen, wenn sie deren Funktionsweise, Grenzen und Risiken verstehen. Zudem müssen sie in der Lage sein, die Ergebnisse zu überwachen und gegebenenfalls einzugreifen. Fehlende Kompetenz kann dazu führen, dass Fehler oder Risiken unbemerkt bleiben und erhebliche Schäden verursachen.
3. Einhaltung von Gesetzen und internen Regelungen:
   Der Einsatz von KI-Systemen muss alle relevanten gesetzlichen Anforderungen (z. B. Datenschutz, Diskriminierungsfreiheit) und interne Richtlinien einhalten. Fehlende Regelungen können zu Compliance-Verstößen führen, die mit Bußgeldern oder Schadensersatzpflichten geahndet werden können.
4. Verbotene KI-Praktiken:
   Der Einsatz von manipulativer Beeinflussung, emotionaler Überwachung oder ähnlichen Praktiken ist strikt untersagt. Verstöße gegen dieses Verbot können zu rechtlichen Konsequenzen und einem Vertrauensverlust bei Kunden oder Mitarbeitenden führen.
5. Hochrisiko-KI-Systeme:
   Hochrisiko-Systeme, wie solche zur biometrischen Erkennung oder automatisierten Personalentscheidung, erfordern eine besondere Prüfung und Freigabe durch Fachabteilungen. Unzureichende Prüfungen können schwerwiegende rechtliche und finanzielle Folgen nach sich ziehen.
6. Datenschutz und Geschäftsgeheimnisse:
   KI-Systeme müssen datenschutzkonform arbeiten, und personenbezogene Daten sowie Geschäftsgeheimnisse sind umfassend zu schützen. Verstöße gegen die DSGVO oder das Geschäftsgeheimnisschutzgesetz können zu hohen Bußgeldern und Reputationsschäden führen.
7. Vermeidung von Diskriminierung:
   KI-Systeme dürfen keine Entscheidungen treffen, die auf diskriminierenden Kriterien wie Geschlecht, Alter, ethnischer Herkunft oder Religion basieren. Verstöße gegen das Allgemeine Gleichbehandlungsgesetz (AGG) können zu Schadensersatzforderungen und Reputationsverlusten führen.
8. Technische Robustheit und Sicherheit:
   KI-Systeme müssen robust und sicher gegen Missbrauch oder technische Fehler sein. Fehlende Sicherheitsvorkehrungen können zu technischen Ausfällen oder Cyberangriffen führen, was erhebliche wirtschaftliche und rechtliche Folgen haben kann.
9. Schutz des geistigen Eigentums:
   Die Nutzung fremder Inhalte ohne Erlaubnis ist verboten, und das eigene geistige Eigentum des Unternehmens muss geschützt werden. Verstöße können zu Urheberrechtsverletzungen oder Verlust von Innovationsvorteilen führen.
10. Transparenz und Kennzeichnung:
    KI-Interaktionen und -Ergebnisse müssen klar gekennzeichnet sein. Deepfakes oder ähnliche KI-generierte Inhalte müssen ausdrücklich als solche deklariert werden. Fehlende Kennzeichnung kann als Täuschung gewertet werden und rechtliche Konsequenzen nach sich ziehen.
11. Beteiligung des Betriebsrats oder Personalrats:
    Der Einsatz von KI-Systemen, die potenziell die Leistungs- oder Verhaltenskontrolle betreffen, erfordert die Beteiligung des Betriebs- oder Personalrats.

Benötigt jedes Unternehmen KI-Beauftragte (AI-Officer)?

Anders als z.B. im Fall von Datenschutzbeauftragten in der DSGVO (Artikel 37), enthält die KI-Verordnung keine Regelungen zu KI-Beauftragten. Dennoch kann die Benennung einer, für eine regelkonforme Nutzung von KI zuständigen Person, in den folgenden Fällen zu empfehlen sein:

• Einsatz von Hochrisiko-KI-Anwendungen: Wenn Hochrisiko-KI-Systeme eingesetzt werden, sieht die KI-VO vor, dass eine spezielle Aufsicht vorhanden sein muss (Artikel 14 KI-VO). Diese Aufgabenwahrnehmung kann von einem oder einer KI-Beauftragten übernommen werden.
• Umfang des KI-Einsatzes: Je nach Unternehmensgröße und Umfang der KI-Nutzung, Anzahl betroffener Personen und potenziellen Schäden kann der Umfang der Aufgaben im Zusammenhang mit Koordination und Überprüfung der KI-Nutzung den Einsatz von KI-Beauftragten erforderlich machen.
• Vermeidung von Fehlern durch Zuständigkeitenkonzentration: Auch wenn Ihr Unternehmen keine Hochrisiko-KI-Systeme einsetzt und deren Umfang geringer sein sollte, so empfiehlt es sich dennoch, eine zentrale Ansprechperson zu benennen. So können vor allem Insellösungen oder Fehler aus Unkenntnis der Mitarbeiter vermieden werden.

Bezeichnung als KI-Beauftragter: Die Bezeichnung “KI-Beauftragter” ist gesetzlich nicht festgelegt. Die Rolle kann  auch als „KI-Manager“ oder „AI Officer“ bezeichnet werden oder an bestehende Funktionen, wie den Datenschutzbeauftragten als “Datenschutz- und KI-Beauftragter“, angegliedert sein.

Kann ein Datenschutzbeauftragter zugleich ein KI-Beauftragter sein?

Ein Datenschutzbeauftragter (DSB) kann zugleich die Rolle eines KI-Beauftragten übernehmen, allerdings unter bestimmten Bedingungen:

1. Voraussetzungen
   • Kompetenzen: Der DSB muss Fachwissen über KI-Systeme, deren Risiken und regulatorische Anforderungen (z. B. der KI-VO) besitzen.
   • Interessenkonflikte vermeiden: Die Unabhängigkeit des DSB darf nicht beeinträchtigt werden und die Rollen dürfen sich nicht widersprechen. So dürfen Datenschutzbeauftragte keine Positionen innehaben, die sie kontrollieren sollen, wie z.B. Geschäftsführer oder Leiter der IT-Abteilung. Das ist zwar auch für KI-Beauftragte zu empfehlen, aber es existiert keine gesetzliche Beschränkung. So könnte der Leiter der IT-Abteilung ein ein KI-Beauftragter sein, aber kein DSB.
   • Arbeitsumfang: Die Doppelfunktion sollte die effektive Wahrnehmung beider Aufgaben nicht gefährden.
2. Vorteile
   • Synergien: Datenschutz und KI hängen eng zusammen, z. B. bei der Verarbeitung personenbezogener Daten durch KI-Systeme.
   • Kostenersparnis: Besonders für kleinere Organisationen effizient.
   • Ganzheitlicher Ansatz: Kombination fördert eine umfassende Berücksichtigung ethischer und rechtlicher Vorgaben.
3. Herausforderungen
   • Arbeitsbelastung: Die umfangreichen Aufgaben beider Rollen können zu Überforderung führen.
   • Zusätzliche Expertise: DSB, die zugleich KI-Beauftragte sind müssen in beiden Bereichen über das nötige technische und rechtliche Wissen verfügen.

In kleinen Unternehmen kann eine Doppelfunktion sinnvoll sein, während in größeren Organisationen oder bei intensiver KI-Nutzung separate Rollen vorzuziehen sind. Weiterbildung im KI-Bereich ist für den DSB essenziell, wenn beide Funktionen kombiniert werden.

Welche Aufgaben übernehmen KI-Beauftragte?

Der Aufgabenbereich der KI-Beauftragten: Der Aufgabenbereich der KI-Beauftragten entspricht im Groben dem von Datenschutzbeauftragten, nur im Hinblick auf die speziellen Anforderungen des KI-Einsatzes. Da der Datenschutz auch bei KI-Prozessen eine große Rolle spielt, wird es in dem Bereich viele Überschneidungen geben. Zu den Aufgaben gehören, abhängig von den jeweiligen Umständen und Risiken der KI-Nutzung:

1. Überwachung der Einhaltung der KI-VO
   • Klassifizierung der KI-Systeme gemäß der Risikokategorien (geringes, begrenztes, hohes Risiko, verbotene Anwendungen).
   • Überwachung von Hochrisiko-KI-Systemen, einschließlich Anforderungen an Transparenz, Robustheit und Sicherheit.
2. Beratung der Organisation
   • Beratung der Geschäftsführung und Teams zu rechtlichen, ethischen und technischen Anforderungen im Zusammenhang mit KI-Systemen.
   • Unterstützung bei der Integration von KI-Systemen in Geschäftsprozesse unter Berücksichtigung von Compliance und ethischen Grundsätzen.
3. Überprüfung und Dokumentation
   • Sicherstellen, dass alle KI-Systeme ausreichend dokumentiert sind, z. B. in Bezug auf: Algorithmische Transparenz, Trainingsdaten (Herkunft, Qualität, Fairness), Entscheidungen und Prozesse, die durch KI beeinflusst werden.
   • Pflege eines Verzeichnisses aller in der Organisation eingesetzten KI-Systeme.
4. Risikomanagement
   • Durchführung von Risiko- und Folgenabschätzungen für den Einsatz von KI-Systemen, insbesondere bei Hochrisiko-Anwendungen.
   • Entwicklung und Überwachung von Maßnahmen zur Risikominderung.
5. Zusammenarbeit mit Aufsichtsbehörden
   • Funktion als Ansprechpartner für nationale und europäische Behörden, einschließlich dem Europäischen Amt für künstliche Intelligenz.
   • Unterstützung bei Audits und Prüfungen zur KI-Compliance.
6. Gewährleistung von Transparenz und Fairness
   • Sicherstellen, dass KI-Systeme fair und diskriminierungsfrei gestaltet sind.
   • Überwachung, dass KI-Anwendungen für Nutzer transparent sind und bei automatisierten Entscheidungen klare Erklärungen bereitgestellt werden.
7. Schulung und Sensibilisierung
   • Organisation und Durchführung von Schulungen für Mitarbeitende zu den Anforderungen der KI-VO und ethischem KI-Einsatz.
   • Sensibilisierung der Organisation für potenzielle ethische und rechtliche Herausforderungen.
8. Ethik und Governance
   • Entwicklung und Überwachung interner Richtlinien für die Nutzung von KI.
   • Sicherstellen, dass ethische Leitlinien wie Fairness, Transparenz und Nichtdiskriminierung eingehalten werden.
9. Bearbeitung von Vorfällen
   • Unterstützung bei der Erkennung, Meldung und Bearbeitung von KI-bezogenen Vorfällen, z. B. Diskriminierung oder Fehlern in automatisierten Entscheidungen.
   • Kommunikation mit den betroffenen Parteien und den zuständigen Behörden.
10. Weiterentwicklung der KI-Strategie
    • Unterstützung der Organisation bei der Entwicklung einer langfristigen, nachhaltigen KI-Strategie.
    • Beratung zur Innovationsförderung unter Berücksichtigung regulatorischer und ethischer Rahmenbedingungen.

Wer darf KI-Beauftragter werden?

Von Gesetzes wegen gibt es bisher keine spezifische, verbindliche Regelung, wer KI-Beauftragter (AI Officer) sein darf, da die Rolle rechtlich nicht etabliert ist. Allerdings bietet die KI-Verordnung erste Hinweise darauf, welche Anforderungen für KI-Beauftragte gelten könnten. Hier ist eine entsprechende Übersicht der empfohlenen Voraussetzungen:

1. Fachliche Qualifikationen: Kenntnisse in KI-Technologien und deren Funktionsweise, Verständnis von Datenverarbeitung und algorithmischen Prozessen, Vertrautheit mit rechtlichen Regelungen (z. B. EU-KI-VO, DSGVO), Transparenz und Wissen zu ethischen Prinzipien wie Fairness
2. Technisches Know-how: Erfahrung in der Entwicklung, Implementierung oder Bewertung von KI-Systemen.
3. Rechtliche und ethische Kompetenz: Verständnis für regulatorische Anforderungen und ethische Fragestellungen.
4. Soft Skills: Analytisches Denken, Kommunikations- und Problemlösungsfähigkeiten und Fähigkeit, Themen bereichsübergreifend zu vermitteln.
5. Unabhängigkeit: Ähnlich wie bei einem Datenschutzbeauftragten könnte von einem KI-Beauftragten erwartet werden, dass er unabhängig von Führungskräften und den, für den KI-Einsatz leitend verantwortlichen Personen arbeitet und Interessenkonflikte vermeidet.
6. Interdisziplinäre Erfahrung: Koordination der Kenntnisse aus Technik, Recht, Ethik und Projektmanagement.
7. Schulungen und Weiterbildung: Nachgewiesene Teilnahme an KI-bezogenen Weiterbildungen und Schulungsprogrammen.
8. Branchenkenntnisse: Vertrautheit mit spezifischen Anforderungen der Branche, in der das Unternehmen, bzw. die Organisation tätig ist.

Dürfen wir Sie unterstützen?

Wenn Sie den vorstehenden Ratgeber gelesen haben, verfügen Sie über das nötige Rüstzeug, um für die nötige KI-Kompetenz in Ihrem Unternehmen oder Ihrer Organisation zu sorgen.

Sollten Sie Fragen im Hinblick auf die konkrete Umsetzung der Pflicht zur KI-Richtlinie haben, stehen wir gerne mit folgendem Angebot zu Ihrer Verfügung:

• Beratung und Schulung: Ich stehe Ihnen und Ihren Mitarbeitenden zur Verfügung, um Sie bei der Entwicklung von grundlegenden KI-Richtlinien, bei der Schulung Ihrer Mitarbeitenden und der Erfüllung der neuen Anforderungen zu beraten und zu unterstützen: Jetzt anfragen.
• KI-Richtlinien-Generator: Um Ihnen die Anpassung an die neuen Regelungen zu erleichtern, stellen wir Ihnen einen KI-Richtlinien-Generator zur Verfügung. Mit diesem Tool können Sie KI-Richtlinien erstellen, die auf die Bedürfnisse Ihres Unternehmens, Behörde oder Organisation zugeschnitten sind. Natürlich stehen wir Ihnen zur Seite, falls Sie Unterstützung beim Einsatz dieses Generators benötigen. Jetzt ohne Registrierung testen.

Der Generator unterstützt Sie dabei, Ihre Mitarbeitenden umfassend über KI-Grundlagen, Risiken, Nutzungsregeln, ethische Vorgaben sowie den sicheren Umgang mit Hochrisiko-KI und verbotenen KI-Praktiken aufzuklären und auf deren Einhaltung nachweislich zu verpflichten.

Tipp für mehr Rechtssicherheit

Mit unseren Generatoren können Sie rechtssichere Datenschutzerklärungen und maßgeschneiderten KI-Richtlinien erstellen sowie die folgenden Vorteile genießen: ✔ vom Anwalt ✔ mit Siegel ✔ kein Abo ✔ Dokumente ohne zeitliches Limit nutzbar ✔ Download als Word-Datei oder PDF ✔ Nachträgliche Bearbeitung der Eingaben.

In unserem Shop erhalten Sie eine Übersicht unserer Angebote: