KI-Verordnung der EU: Unternehmen müssen handeln!

Die neue KI-Verordnung und ihre Bedeutung

Am 1. August 2024 ist die neue KI-Verordnung (KI-VO) in Kraft getreten und bringt weitreichende Verpflichtungen für Unternehmen mit sich. Besonders Art. 4 der Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen dazu, sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Diese Pflicht gilt bereits ab dem 2. Februar 2025 und erfordert gezielte Maßnahmen zur Schulung und Dokumentation.

Unternehmen müssen nun handeln, um Compliance sicherzustellen und Sanktionen zu vermeiden. Doch was bedeutet das konkret? Welche Schritte sind jetzt erforderlich?

Pflicht zur Vermittlung von KI-Kompetenz: Was müssen Unternehmen tun?

Gemäß Art. 4 KI-VO müssen Unternehmen sicherstellen, dass ihre Mitarbeitenden über eine ausreichende KI-Kompetenz verfügen. Ein entscheidender Baustein hierfür sind Mitarbeiterschulungen. Dies umfasst:

1. Ermittlung des Schulungsbedarfs
   • Dokumentation der eingesetzten KI-Systeme und deren Einsatzzwecke
   • Identifikation von Mitarbeitenden, die mit diesen Systemen arbeiten
2. Durchführung von Schulungen
   • Vermittlung grundlegender Kenntnisse über KI-Systeme und deren Funktionsweise
   • Schulung zu Risiken, ethischen Fragen und rechtlichen Rahmenbedingungen
   • Regelmäßige Fortbildungs- und Zertifizierungsprogramme
3.   Erstellung interner Richtlinien
   • Entwicklung klarer Vorgaben zur sicheren Nutzung von KI
   •  Implementierung interner Compliance-Standards
4. Individuelle Einweisungen
   • Spezifische Schulungen für Mitarbeitende mit direktem Kontakt zu KI-Systemen
   • Praxisorientiertes Lernen und simulationsbasierte Trainings
5. Dokumentation und Nachweise
   • Führung von Schulungsnachweisen
   •  Regelmäßige Updates und Anpassungen der Schulungskonzepte

Fristen der KI-Verordnung: Wann müssen Unternehmen handeln?

Die Umsetzung der KI-Verordnung erfolgt schrittweise. Besonders wichtig ist die erste Frist am 2. Februar 2025, ab der folgende Verpflichtungen gelten:

• Verbotene KI-Systeme, die ein unannehmbares Risiko darstellen, dürfen nicht mehr verwendet werden.
• Anbieter und Betreiber müssen KI-Kompetenz sicherstellen
• Unternehmen müssen eine Risikobewertung der eingesetzten KI-Systeme vornehmen. Dies gilt auch für allgemeine KI-Modelle wie ChatGPT, Copilot oder KI-basierte Spam-Filter.
• Transparenzpflichten: Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren. Mit KI generierte Inhalte sollten entsprechend gekennzeichnet werden (z. B. durch Wasserzeichen oder Hinweise auf KI-generierte Inhalte).
• Technische Infrastruktur prüfen und optimieren: Unternehmen müssen sicherstellen, dass ihre IT-Systeme für den Einsatz von KI geeignet sind.

Weitere Fristen:

• 2. August 2025: Anwendbarkeit der Bestimmungen für KI-Systeme mit allgemeinem Verwendungszweck (z. B. Basismodelle wie Chat-GPT)
• 2. August 2026: Allgemeine Anwendbarkeit der KI-VO
• 2. August 2027: Anwendbarkeit der KI-VO auf Hochrisiko-KI-Systeme

Durchsetzung und Sanktionen

Die Mitgliedstaaten sind verpflichtet, wirksame, verhältnismäßige und abschreckende Sanktionen zu erlassen. Verstöße gegen die KI-VO könnten in Zukunft zu erheblichen Strafen führen. Der Einsatz von KI-Systemen ist daneben bereits heute mit datenschutzrechtliche Bußgeldrisiken verbunden. Unternehmen sollten aber nicht nur Compliance-Aspekte berücksichtigen, sondern auch den wirtschaftlichen Nutzen einer gut geschulten Belegschaft erkennen.

Fehlende Aufsichtsbehörde: Bisher gibt es in Deutschland noch keine offizielle Aufsichtsbehörde für die KI-VO. Voraussichtlich wird diese bis zum 2. August 2025 etabliert. Laut Bundesnetzagentur liegt die Sicherstellung der KI-Kompetenz bis dahin in der Eigenverantwortung der Unternehmen.

Kontrollen und Umsetzung: Zum aktuellen Zeitpunkt gibt es noch keine verbindlichen nationalen Durchführungsregelungen. Unternehmen müssen sich dennoch darauf einstellen, dass Verstöße im Rahmen der Sorgfaltspflichten relevant werden können. Falls durch ungeschultes Personal ein Schaden entsteht, kann das Unternehmen haftbar gemacht werden.

Einstufung und Risikobewertung von KI-Systemen

Ein weiteres wesentliches Element der KI-VO ist die Klassifizierung der eingesetzten KI-Systeme nach Risikostufen. Unternehmen müssen:

• Eine Einstufung der genutzten KI-Systeme gemäß den Vorgaben der KI-VO vornehmen.
• Verbotene KI-Nutzung gemäß Art. 5 KI-VO ausschließen (z. B. unterschwellige Beeinflussung oder soziale Bewertung von Personen).
• Klären, ob sie als Anbieter oder Betreiber eines KI-Systems auftreten, da Anbieter weitergehende Verpflichtungen haben.
• Pflichten für Hochrisiko-KI-Systeme umsetzen, einschließlich Registrierung in einer EU-Datenbank, Konformitätsbewertungsverfahren und menschlicher Aufsicht.
• Relevante Datenschutz- und IT-Sicherheitsmaßnahmen implementieren, um personenbezogene Daten zu schützen und rechtliche Risiken zu minimieren.

Praktische Umsetzungshilfen der KI-Verordnung

Zur Erfüllung der neuen Anforderungen sollten Unternehmen auf professionelle Schulungsangebote und Compliance-Leitfäden zurückgreifen.

// PRIMA bietet Ihnen:

Fazit: Jetzt handeln, um Compliance sicherzustellen

Die KI-Verordnung etabliert ab sofort weitreichende Compliance-Pflichten für Unternehmen. Die konsequente Einführung maßgeschneiderter Schulungsprogramme und präziser interner Richtlinien bildet die Grundlage für eine nachhaltige und rechtssichere KI-Integration in Unternehmensprozesse.

Weitere Informationen zum Thema KI-Kompetenz