Was ist KI-Kompetenz?
Mit 02.02.2025 kommen die ersten Bestimmungen des AI Act zur Anwendung, darunter auch die KI-Kompetenz gemäß Art. 4 AIA. Gemäß Art. 4 AIA gilt dann ohne Unterscheidung in KI-Systeme, -Modelle oder Risikoklassen folgende Verpflichtung:
Art. 4 AIA: Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.
Der im Normtext und auch in der Überschrift des Art 4 AIA enthaltene Begriff "KI-Kompetenz" wird mit jener der Begriffsbestimmungen in Art 3 Ziffer 56 AIA nochmals näher umschrieben. In der Folge werden die Zusammenhänge und Unterschiede dieser beiden Vorschriften beschrieben.
Der Begriff „KI-Kompetenz“ gemäß Art. 3 Ziffer 56 AIA
Gemäß Art. 3 Ziffer 56 AIA ist "KI-Kompetenz"
die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden
Mit KI-Kompetenz wird abstrakt umschrieben, was notwendig ist, um in der digitalen Welt unter dem Einsatz von KI-Systemen erfolgreich agieren zu können.
Anbieter, Betreiber und Betroffene
KI-Kompetenz trifft damit alle relevanten Akteure auf der KI-Wertschöpfungsebene im Kontext ihrer Rolle entlang der Wertschöpfungskette (vgl. ErwG 20). Natürlich sind an den unterschiedlichen Stellen der Wertschöpfungskette auch unterschiedliche Kompetenzen notwendig. Anbieter von Hochrisiko-KI-Systemen etwa müssen bereits während der Entwicklungsphase die technischen Besonderheiten von KI kennen, um eine mit europäischen Werten vereinbare und sichere KI zu entwickeln.
Mit Art. 4 AIA werden Betreiber und Anbieter verpflichtet, "Maßnahmen" zu ergreifen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Welche Maßnahmen das sein können, hängt vom eingesetzten KI-System oder KI-Modell und dessen Risikostufe ab. Die technischen Kenntnisse der Mitarbeiter:innen, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, sind zu berücksichtigen. KI-Kompetenz ist ein interdisziplinäres Feld, es umfasst nicht nur technische, sondern auch rechtliche und ethische Aspekte (siehe Erwägungsgründe 20 AIA). So haben sich Anbieter, die sich mit der Entwicklung eines Chatbots beschäftigen naturgemäß mit anderen Thematiken auseinanderzusetzen als ein Betreiber, der dieses System in seinem Unternehmen lediglich anwendet.
- Veranschaulichung anhand eines Beispiels zum Thema Datenschutz und Sicherheit:
Ein Anbieter eines Chatbots hat sich in der Entwicklung unter anderem damit zu beschäftigen, dass vom Nutzer eingegebene Daten sicher gespeichert und verarbeitet werden (z.B. Verschlüsselung der Daten, Sicherheitsupdates, etc.). Ein Betreiber eines solchen Chatbots, der seinen Mitarbeiter:innen ein solches System zur Verfügung stellt, hat darauf zu achten, dass keine personenbezogene Daten oder Geschäftsgeheimnisse unrechtmäßig an den Anbieter als Dritter übermittelt werden. Dies umfasst etwa Maßnahmen, dass der Betreiber etwaige "on-premises"- Lösungen nutzt, vertragliche Absicherungen notwendig sind, oder/und entsprechende Schulungen der Mitarbeiter:innen zum Einsatz eines Chatbots unternimmt, dass derartige Eingaben zu unterlassen sind (siehe zum Thema KI und Datenschutz auch die Informationen der DSB).
Aufgrund der unterschiedlichen Einsatzgebiete und Ausgestaltung von KI-Systemen können Maßnahmen gemäß Art. 4 AIA sehr divers und unterschiedlich ausfallen. Es gibt sohin keine pauschale Beantwortung auf die Frage, welche konkreten Maßnahmen notwendig sind, um den Anforderungen des Art. 4 AIA nachzukommen. Das bedeutet auch, dass nicht jedes Unternehmen im gleichen Ausmaß von Art. 4 AIA betroffen ist. Auch nicht jeder Mitarbeitende muss zwingendermaßen im gleichen Ausmaß über KI-Kompetenz verfügen. Wird z.B. der gesamten Belegschaft die Nutzung von Chatbots wie ChatGPT ermöglicht, sind entsprechende wiederkehrende (auch Neueintritte sind zu berücksichtigen) Schulungsmaßnahmen für die ganze Belegschaft vorzusehen. Wird lediglich der Personal- oder Kommunikationsabteilung ein bestimmtes "KI-Tool" zur Verfügung gestellt, können sich Maßnahmen auf wenige Personen beschränken. Auch die Intensität der Schulung kann dabei variieren. Der Einsatz von KI-Systemen mit begrenztem Risiko erfordert ggf. andere Maßnahmen als der Einsatz von KI-Systemen im Hochrisikobereich.
Wichtig ist, dass aus Art. 4 AIA – anders als in der DSGVO – nicht die gesetzliche Pflicht resultiert, einen "KI-Beauftragten" zu benennen. Dass es für die Umsetzung von KI-Konzepten notwendig sein kann, dass sich Mitarbeitende schulen lassen oder Personen mit KI-Expertise eingestellt werden, ist eine individuelle Entscheidung des Unternehmens. Entsprechende Konzepte sind im Einzelfall zu entwickeln. Da es sich um keinen starren Prozess handelt, ist es ratsam, KI-Kompetenz als Teil des Fort- und Weiterbildungsprozesses einzubeziehen.
Die Begriffsdefinition beinhaltet explizit auch die positive Anforderung, die Chancen von KI zu kennen, um Möglichkeiten des wertstiftenden Einsatzes von KI zu erkennen.
Betroffen von der Verpflichtung zu KI-Kompetenz sind damit folgende Personengruppen:
- Mit der Entwicklung von KI betrauten Personen
- Mit dem Betrieb von KI-Systemen betrauten Personen
- Personen innerhalb eines Unternehmens, die KI-Systeme einsetzen.
Über die Art und Weise der zu treffenden Schulungsmaßnahmen bleibt der AI Acts offen. Diese kann durch interne Fortbildungen, externe Beratungen oder interne Schulungen erfolgen.
Sanktionierung
Während der AI Act selbst keine verwaltungsstrafrechtliche Sanktionierung des Art. 4 AIA vorsieht, können sich in verschiedenen Konstellationen Konsequenzen einer Nicht-Einhaltung manifestieren. Fehlende Mitarbeiterschulungen sind idR auch außerhalb des AI Acts nach § 1313a ABGB dem Unternehmer zurechenbar. Der Art. 4 AI Act stellt hier eine Präzisierung der unternehmerischen Sorgfaltspflichten in Hinblick auf KI dar. Entstehen demnach Schäden, die durch fehlende KI-Kompetenz verursacht wurden, präzisiert der Art. 4 AIA, dass eine Pflicht zur Schulung bestanden hätte.
Weitere Informationen
KI-Kompetenz wird oftmals mit digitaler Kompetenz in Verbindung gebracht. Das Thema KI-Kompetenz und digitale Kompetenz ist tatsächlich eng miteinander verbunden. Das zeigt sich bereits daran, dass KI-Kompetenz auch in den einzelnen Kompetenzbereichen und Teilkompetenzen integriert ist. Zudem baut KI-Kompetenz auf das Vorhandensein von digitalen Kompetenzen auf. Um KI-Systeme und -modelle erfolgreich anwenden und entwickeln zu können, braucht es auch digitale Kompetenzen.
Nationale Initiativen: https://www.digitalaustria.gv.at/Strategien/DKO-Digitale-Kompetenzoffensive.html
Europäische Kommission: DigComp 2.2: The Digital Competence Framework for Citizens
Europäische Kommission: Digitale Kompetenzen