Update zur „KI-Kompetenz“ – Die neuen FAQs der EU-Kommission

Mit der Einführung der EU-KI-Verordnung (AI Act) stehen Unternehmen vor der Aufgabe, nicht nur die technologischen Aspekte von KI zu verstehen, sondern auch regulatorische Anforderungen zu erfüllen. Hierbei spielt die sogenannte „KI-Kompetenz“ eine Schlüsselrolle. Doch was ist genau darunter zu verstehen und wie können Unternehmen sicherstellen, dass sie sowohl technologisch als auch rechtlich auf der Höhe der Zeit sind?

„KI-Kompetenz“ – Die neue Schulungspflicht

Im August 2024 ist die KI-Verordnung (KI-VO) der EU in Kraft getreten. Seitdem sind viele Fragen aufgekommen, die noch nicht abschließend beantwortet werden konnten. Eine dieser Fragen betrifft die Anforderungen an die sog. „AI literacy“. Artikel 4 KI-VO nimmt die Anbieter und Betreiber von KI-Systemen in die Pflicht, für „ein ausreichendes Maß an KI-Kompetenz“ ihres KI-nutzenden Personals zu sorgen – unabhängig vom Risikoniveau des eingesetzten Systems. Die Verpflichtung betrifft darüber hinaus nicht nur interne Mitarbeiter, sondern auch „andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI Systemen befasst sind“.

Der Begriff „KI-Kompetenz“ wird in Artikel 3 Nr. 56 KI-VO definiert als die Fähigkeiten, die Kenntnisse und das Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen, Risiken und möglicher Schäden bewusst zu sein.

Bereits im November 2024 haben wir auf unserem Blog einen eigenen Beitrag zum Thema KI-Kompetenz (https://gesellschaft-datenschutz.de/ki-kompetenz) publiziert, in dem es heißt, dass es nur noch eine Frage der Zeit sei, dass Unternehmen spezifische Handlungsempfehlungen an die Hand bekämen. Denn in Erwägungsgrund 20 der KI-Verordnung hieß es bereits:

„In Zusammenarbeit mit den einschlägigen Interessenträgern sollten die Kommission und die Mitgliedstaaten die Ausarbeitung freiwilliger Verhaltenskodizes erleichtern, um die KI‑Kompetenz von Personen, die mit der Entwicklung, dem Betrieb und der Verwendung von KI befasst sind, zu fördern.“

Die Verpflichtung zur Sicherstellung von KI-Kompetenz gilt bereits seit dem 2. Februar 2025 und den offenen Fragen soll nun Abhilfe geschaffen werden. Der am 12.05.2025 von der EU-Kommission veröffentlichte Katalog (https://digital-strategy.ec.europa.eu/de/faqs/ai-literacy-questions-answers) bietet uns mit seinen 35 Fragen und Antworten wertvolle Einblicke in das Verständnis und die Erwartungen der EU-Kommission bezüglich KI-Kompetenz.

Worüber die FAQs uns Aufschluss geben

Zwar entfalten die FAQs keine unmittelbare Rechtswirkung, sie geben aber einen Interpretationsrahmen vor, den Aufsichtsbehörden und Gerichte bei der Auslegung des Artikel 4 heranziehen dürften. Es handelt sich dabei um sogenanntes „Soft Law“, also um eine Orientierungshilfe für die Rechtsauslegung und rechtskonforme Umsetzung.

Im Folgenden werden die wichtigsten FAQ-Inhalte zum Verständnis der Anforderungen an die KI-Kompetenz aufgeführt.

Adressaten und Anwendungsbereich der KI-Kompetenz

Die Vorschrift aus Art. 4 KI-VO gilt für alle Organisationen, die KI-Systeme auf dem EU-Markt bereitstellen, in der EU verwenden oder deren Nutzung Auswirkungen auf Personen in der EU hat – unabhängig vom Standort. Explizit benennt die Kommission u.a. die Nutzung von ChatGPT zum Verfassen von Werbetexten und zur Übersetzung als Teil des Anwendungsbereichs, die Mitarbeiter müssten auch hier über spezifische Risiken aufgeklärt sein.

Wie oben bereits erwähnt, richtet sich die Anforderung der KI-Kompetenz auch an andere Personenkreise als die eigenen Mitarbeiter. Die FAQs geben darüber Aufschluss, dass unter der Bezeichnung „andere Personen“, alle Personen zu verstehen sind, die „im Großen und Ganzen in den organisatorischen Zuständigkeitsbereich fallen“. Somit seien etwa externe Akteure wie Auftragnehmer, Dienstleister und Kunden vom Anwendungsbereich eingeschlossen, die im Auftrag des Anbieters oder Betreibers mit dem Betrieb und der Nutzung von KI-Systemen befasst sind.

Sicherstellung der KI-Kompetenz durch rollenspezifische und risikobasierte Schulungen

Die KI-VO schreibt kein bestimmtes Schulungsformat vor, sondern behält auch hier ihren risikobasierten Ansatz bei. Die EU-Kommission empfiehlt ausdrücklich, Inhalt und Tiefe der Schulung an Rolle, Nutzungskontext und Vorkenntnissen der jeweiligen Personengruppe anzupassen. Organisationen sind daher gefordert, ihre jeweiligen Rollen und Anforderungen im Umgang mit KI-Systemen zu bestimmen, um darauf aufbauend den Schulungsbedarf zu ermitteln. Ein „One size fits all“-Ansatz für Mitarbeiterschulungen wird also explizit nicht empfohlen.

Die Höhe von Sanktionen bei Verstößen

Die Kommission betont in den FAQs die Verhältnismäßigkeit der Sanktionen bei Verstößen und weist explizit daraufhin, dass das Fehlen angemessener Schulung und Anleitung im Umgang mit KI als Beweis für den vorsätzlichen oder fahrlässigen Charakter eines Verstoßes und damit zu der Höhe von Sanktionen beitragen kann.

Es bleibt auch nach den FAQs immer noch offen, wie sich das in Artikel 4 vorgeschriebene „ausreichende Maß“ an KI-Kompetenz im Einzelfall genau definiert. Da es nicht objektiv messbar ist, bleibt es also dem Ermessensspielraum der adressierten Akteure überlassen, welches Maß an technischem und rechtlichem Know-How für ihren spezifischen Anwendungsbereich vorgeschrieben ist. Dies schafft einerseits Freiheiten, kann aber auch zu Unsicherheiten führen und Unternehmen in die Übererfüllung treiben.

Gerade bei solchen Unklarheiten empfiehlt es sich für Unternehmen, möglichst flexibel mit diesen Themen umzugehen und solche Mitarbeiterschulungen in Betracht zu ziehen, die auf die tatsächlichen Gegebenheiten und Bedürfnisse der Mitarbeiter abgestimmt sind. Auf diese Weise können Organisationen nicht nur nach bestem Wissen und Gewissen ihre Rechtskonformität nachweisen, sondern auch nachhaltig in das Humankapital ihrer Organisation investieren, die KI-Nutzung optimieren und somit produktiver und wettbewerbsfähiger werden.