Mit der neuen EU-KI-Verordnung treten ab Februar 2025 strenge Schulungspflichten und Verbote für KI-Anbieter und -Betreiber in Kraft. Ziel ist es, die Kompetenz im Umgang mit KI-Systemen zu erhöhen und den rechtlichen Rahmen für deren Nutzung zu harmonisieren.

Ab dem 2.2.2025 müssen Anbieter und Betreiber von KI-Systemen gemäß Art. 4 KI-VO Maßnahmen ergreifen, die sicherstellen, dass „ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen“. Außerdem sind ab dem 2. Februar einige KI-Praktiken ausdrücklich verboten.

KI-VO wird phasenweise umgesetzt

Der Rat der Europäischen Union hat am 21.5.2024 die KI-Verordnung (KI-VO, engl. AI Act) verabschiedet, die damit ihre letzte Abstimmungshürde auf EU-Ebene genommen hat. Die KI-VO ist das erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Sie legt einheitliche Vorgaben für die Entwicklung und Nutzung von KI in der Europäischen Union fest und gilt in der EU unmittelbar. Inkraftgetreten ist die KI-VO am 1.8.2024, 20 Tage nach ihrer Veröffentlichung im Amtsblatt der EU am 12.7.2024.

Die Umsetzung der KI-VO erfolgt in mehreren Phasen:

  • Ab dem 2.2.2025 gelten bestimmte Verbote und Schulungspflichten.
  • Ab dem 2.8.2026 ist die KI-VO allgemein gültig.
  • Die Vorschriften zur Produktsicherheit sind jedoch erst ab dem 2.8.2027 zu erfüllen.

KI-Verbote folgen ab 2025 den allgemeinen rechtlichen Rahmenbedingungen

Die KI-Praktiken, die gemäß Art. 5 KI-VO ab dem 2.2.025 ausdrücklich untersagt sind, folgen im Wesentlichen den bereits bestehenden rechtlichen Rahmenbedingungen. Die wichtigsten Verbote betreffen

  • unterschwellige Beeinflussungen und absichtliche manipulative Techniken,
  • die Ausnutzung der Schutzbedürftigkeit von Personen,
  • schlechterstellende Einstufungen auf Grundlage des sozialen Verhaltens, bestimmter persönlicher Eigenschaften oder bestimmter Persönlichkeitsmerkmale,
  • die Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz und in Bildungseinrichtungen,
  • biometrische Kategorisierungen in sensiblen Bereichen (Politik, Religion, Weltanschauung, Gewerkschaftszugehörigkeit, Sexualleben),
  • das Anlegen von Datenbanken zur Gesichtserkennung durch das ungezielte Auslesen von Gesichtsbildern aus dem Internet,
  • Risikobewertungen zur Vorhersage künftiger Straftaten ausschließlich auf Grundlage des Profilings einer natürlichen Person oder der Bewertung ihrer persönlichen Merkmale und Eigenschaften sowie
  • die Verwendung biometrischer Echtzeit-Fernidentifizierungssysteme zu Strafverfolgungszwecken, außer wenn diese zum Abwenden einer konkreten, erheblichen und unmittelbaren Gefahr unbedingt erforderlich ist (Terroranschlag, Entführung, Menschenhandel, sexuelle Ausbeutung, Suche nach vermissten Personen, Aufspüren und Identifizierung von Straftätern).

KI-Kompetenz für Anbieter und Betreiber von KI-Systemen

Nach Art. 113 KI-VO gilt ab dem 2.2.2025 für Anbieter und Betreiber die Pflicht, gemäß Art. 4. KI-VO dafür zu sorgen, dass alle Mitarbeiter, die KI-Systeme betreiben und nutzen, über ein „ausreichendes Maß an KI-Kompetenz verfügen“.

Hintergrund:

Nach Art. 3 Ziff. 3 KI-VO ist ein Anbieter eine natürliche oder juristische Person, Behörde oder sonstige Stelle, die ein KI-System oder ein KI-Modell entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nimmt oder in Verkehr bringt. Dabei spielt es keine Rolle, ob dies entgeltlich oder unentgeltlich geschieht.

Nach Art. 3 Ziff. 4 KI-VO ist ein Betreiber eine natürliche oder juristische Person, Behörde oder sonstige Stelle, die ein KI-System in eigener Verantwortung im Rahmen einer beruflichen Tätigkeit verwendet. Private Betreiber von KI-Systemen sind von der KI-VO nicht betroffen. 

Was „KI-Kompetenz“ konkret bedeutet, wird in Art. 4. KI-VO nicht ausgeführt. Es wird lediglich darauf hingewiesen, dass bei deren Vermittlung die technischen Kenntnisse, die Erfahrungen, die Ausbildung und Schulung der Mitarbeiter sowie der Kontext, in dem die KI-Systeme eingesetzt werden (sollen), und die Personen und Personengruppen, bei denen die KI-Systeme eingesetzt werden (sollen), zu berücksichtigen sind.

Auf jeden Fall müssen Anbieter und Betreiber von KI-Systemen ab Februar 2025 sicherstellen, dass alle Mitarbeiter, die mit KI-Systemen in Berührung kommen, angemessen geschult werden. Dies kann z. B. in Form von internen Lehrgängen oder Workshops geschehen, es können dafür aber auch qualifizierte externe E-Learning-Kurse absolviert werden. Letztere haben den Vorteil, dass sie i.d.R ein Prüfungszertifikat beinhalten, das als Nachweis der KI-Kompetenz verwendet werden kann. Zur KI-Kompetenz sollte ein Grundverständnis der allgemeinen KI-Funktionalität, insbesondere von LLM-Sprachmodellen (Large Language Models), sowie der sich daraus ergebenden datenschutzrechtlichen und gesellschaftlichen Risiken gehören. KI-Verantwortliche sollten zudem mit den wichtigsten Regelungen der KI-VO vertraut sein.