AI Act in Kraft KI-Tools dürfen nur mit „ausreichender“ KI-Kompetenz genutzt werden

Anbieter zum Thema

G DATA CyberDefense AG

Securepoint GmbH

Impossible Cloud GmbH

Seit 2. Februar 2025 sind neue Regulierungen des AI Act in Kraft. Seitdem existiert eine faktische Schulungspflicht zu KI-Kompetenzen für alle Nutzer, die beruflich KI-Tools verwenden. Wie soll das konkret umgesetzt werden?

Werden im Unternehmen KI-Anwendungen wie ChatGPT verwendet, müssen Arbeitnehmende zukünftig dafür geschult werden. Die Schulungen sollten technisches Wissen über die Funktionsweise von KI, regulatorische Kenntnisse zu gesetzlichen und ethischen Anforderungen sowie anwendungsspezifisches Wissen für den jeweiligen Einsatzbereich umfassen. Bei der Schulungspflicht wird nicht nach Unternehmensgröße unterschieden, sie gilt also grundsätzlich für alle – egal ob Startup oder Konzern.

Was soll die KI-Schulung beinhalten?

Obwohl der AI Act keine spezifischen Schulungsformate vorschreibt, sollten Unternehmen – allein schon in ihrem eigenem Interesse – ihren Mitarbeitern entsprechende Weiterbildungsangebote bereitstellen, um einen sicheren, verantwortungsvollen Einsatz von KI-Systemen zu gewährleisten. Dass beispielsweise eine Liste an sensiblen Kundendaten für eine Auswertung nicht nach außen gelangen darf, besagt etwa schon jetzt der Datenschutz, damit es nicht vorkommt, dass ein ausländischer Chatbot damit trainiert.

Eine Schulung, um etwa ChatGPT zu nutzen, könnte folgendermaßen aufgebaut sein:

• Technisches Verständnis: Erlernen Sie die Grundlagen der Funktionsweise von KI-Systemen wie ChatGPT, einschließlich ihrer Stärken, Schwächen und Grenzen.

• Regulatorisches Wissen: Machen Sie sich mit den gesetzlichen und ethischen Anforderungen im Umgang mit KI vertraut, um sicherzustellen, dass Sie die relevanten Vorschriften einhalten.

• Anwendungsspezifisches Wissen: Verstehen Sie die spezifischen Anforderungen und Risiken, die mit dem Einsatz von ChatGPT in Ihrem beruflichen Kontext verbunden sind.

• Kritisches Denken: Entwickeln Sie die Fähigkeit, die von ChatGPT generierten Ergebnisse zu hinterfragen und zu bewerten, um deren Genauigkeit, Richtigkeit und Relevanz sicherzustellen.

• Datensensibilität: Achten Sie auf den verantwortungsvollen Umgang mit Daten, insbesondere im Hinblick auf Datenschutz und Datensicherheit, um die Privatsphäre zu schützen. Klären Sie Details im Zweifel mit dem Datenschutzbeauftragten Ihres Unternehmens.

Nochmal: Es handelt sich hierbei nur um Vorschläge einer Gliederung, anhand der Arbeitnehmenden schon jetzt im Umgang mit KI-Tools geschult werden könnten.

Was, wenn keine Schulung erfolgt?

Aktuell gibt es noch keinerlei Kontrollen oder Sanktionen. Schon allein deswegen nicht, weil auf nationaler Ebene hierzulande noch keine Behörde dafür zuständig ist – das soll erst ab 2. August 2025 geschehen. Erfolgt also kein „Dann“ auf das „Wenn“, lesen Juristen daraus, dass es folglich auch keine Pflicht gibt. Tun Sie die Vorgaben daher nicht als „zahnlosen Tiger“ ab, sondern verstehen Sie die Übergangszeit als Chance zur gewissenhaften Umsetzung. Letztlich wird eine Dokumentation über die Schulung erforderlich sein, die Ihr Handeln in einem Kontroll- oder Schadensfall belegt. Lassen Sie sich die Weiterbildung von den Mitarbeiterinnen und Mitarbeitern bestätigen. Allein dadurch minimieren Unternehmen das Risiko, dass im Falle eines Falles ein Verstoß gegen die allgemeine Sorgfaltspflicht interpretiert werden könnte.

Was außerdem jetzt gilt: Kein KI-Scoring von Menschen

Gleichzeitig mit der Schulungspflicht gilt ein Verbot für bestimmte KI-Anwendungen mit sogenanntem unannehmbaren Risiko. Dazu zählen beispielsweise Systeme zum Social Scoring oder zur biometrischen Echtzeit-Fernidentifizierung im öffentlichen Raum durch Strafverfolgungsbehörden. Unternehmen und Behörden, die solche Technologien bislang eingesetzt haben, müssen diese umgehend einstellen und alternative Lösungen suchen.

Für Unternehmen von Hochrisiko-KI-Systemen bedeutet dies, dass sie bereits jetzt Maßnahmen ergreifen mussten, um den zukünftigen Anforderungen gerecht zu werden. Dazu gehört die Implementierung von Qualitäts- und Risikomanagementsystemen, die Sicherstellung der Datenqualität sowie die Etablierung von Prozessen zur kontinuierlichen Überwachung und menschlichen Kontrolle der KI-Systeme. Zudem sollten sie sich auf die kommende Konformitätsbewertung vorbereiten und entsprechende Dokumentationen erstellen.

Der aktuelle „Fahrplan“ des AI Act

Der AI Act der Europäischen Union ist bereits seit dem 1. August 2024 in Kraft und führt schrittweise verschiedene Regelungen ein, die Unternehmen und andere Organisationen betreffen. Einige dieser Regelungen sind bereits aktiv, während andere in den kommenden Jahren wirksam werden:

• Verhaltenskodizes (bis 2. Mai 2025): Die Europäische Kommission wird Verhaltenskodizes für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck veröffentlichen. Die Einhaltung dieser Kodizes dient als Nachweis für die Konformität mit den Anforderungen des AI Act.

• Governance-Regeln und Verpflichtungen für General Purpose AI (ab 2. August 2025): Spezifische Vorschriften für KI-Systeme mit allgemeinem Verwendungszweck treten in Kraft. Dies umfasst unter anderem Transparenz- und Dokumentationspflichten.

• Anforderungen für Hochrisiko-KI-Systeme (ab 2. August 2026): Für als hochriskant eingestufte KI-Systeme gelten zusätzliche Anforderungen, einschließlich strengerer Konformitätsbewertungsverfahren und kontinuierlicher Überwachung.

• Weitere Verpflichtungen für Hochrisiko-KI-Systeme (ab 2. August 2027): Zusätzliche Verpflichtungen für Hochrisiko-KI-Systeme gemäß Anhang II des AI Act treten in Kraft.

KI-Regulierung? Eigentlich selbstverständlich

Manch ein Verband kritisiert die KI-Regulierung als Gängelei der Wirtschaft. Aber das große Regulierungskonstrukt der EU beinhaltet viele Regelungen, die ohnehin selbstverständlich sind oder sein sollten. Noch eine teure Schulung der Belegschaft? Damit etwa eine Kundenliste mit personenbezogenen Daten nicht in eine amerikanische oder chinesische KI wandert, die diese dann womöglich irgendwann woanders „aus Versehen“ ausspuckt, sollte wie beim Datenschutz auch seitens KI eine gewisse Sensibilität geschaffen werden.

Ja, die Regelungen sind noch schwammig, unklar und alles andere als konsequent. Aber eben genau das ist aktuell die Chance: Niemand wird mit plötzlichen starren Regeln oder gar Verboten überrumpelt. Die Kennzeichnung synthetischer Inhalte ist bei der schnellen Entwicklung eine notwendige Transparenz für den Verbraucher. Hier sind Branchenverbände, also Lobbyorganisationen, in der Pflicht, konkrete und praxistaugliche Regeln zur KI-Nutzung mitzugestalten, indem entsprechendes Feedback aus der unternehmerischen Praxis zur Politik fließt.

Dieser Artikel stammt von unserem Partnerportal Elektronikpraxis.

(ID:50315072)