Mit 02.02.2025 gelangen die ersten Bestimmungen des AI Act zur Anwendung, darunter auch die KI-Kompetenz gemäß Art. 4 AIA. Gemäß Art. 4 AIA gilt dann ohne Unterscheidung nach KI-Systeme, -Modelle oder Risikoklassen folgende Verpflichtung:
Art. 4 AIA: Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.
Der im Normtext und auch in der Überschrift des Art 4 AIA enthaltene Begriff "KI-Kompetenz" wird mit jener der Begriffsbestimmungen in Art 3 Ziffer 56 AIA nochmals näher umschrieben. In der Folge werden die Zusammenhänge und Unterschiede dieser beiden Vorschriften beschrieben.
Gemäß Art. 3 Ziffer 56 AIA ist "KI-Kompetenz"
die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden
Mit KI-Kompetenz wird abstrakt umschrieben, was notwendig ist, um in der digitalen Welt unter dem Einsatz von KI-Systemen erfolgreich agieren zu können.
KI-Kompetenz trifft damit alle relevanten Akteure auf der KI-Wertschöpfungsebene im Kontext ihrer Rolle entlang der Wertschöpfungskette (vgl. ErwG 20). Natürlich sind an den unterschiedlichen Stellen der Wertschöpfungskette auch unterschiedliche Kompetenzen notwendig. Anbieter von Hochrisiko-KI-Systemen etwa müssen bereits während der Entwicklungsphase die technischen Besonderheiten von KI kennen, um eine mit europäischen Werten vereinbare und sichere KI zu entwickeln.
Mit Art. 4 AIA werden Betreiber und Anbieter verpflichtet, "Maßnahmen" zu ergreifen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Welche Maßnahmen das konkret sein können, hängt vom eingesetzten KI-System oder KI-Modell und dessen Risikostufe ab. Die technischen Kenntnisse der Mitarbeiter:innen, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, sind zu berücksichtigen. KI-Kompetenz ist ein interdisziplinäres Feld, es umfasst nicht nur technische, sondern auch rechtliche und ethische Aspekte (siehe Erwägungsgrund 20 AIA). So haben sich Anbieter, die sich mit der Entwicklung eines Chatbots beschäftigen naturgemäß mit anderen Thematiken auseinanderzusetzen als ein Betreiber, der dieses System in seinem Unternehmen lediglich anwendet.
Ein Anbieter eines Chatbots hat sich in der Entwicklung unter anderem damit zu beschäftigen, dass vom Nutzer eingegebene Daten sicher gespeichert und verarbeitet werden (z.B. Verschlüsselung der Daten, Sicherheitsupdates, etc.). Ein Betreiber eines solchen Chatbots, der seinen Mitarbeiter:innen ein solches System zur Verfügung stellt, hat darauf zu achten, dass keine personenbezogene Daten oder Geschäftsgeheimnisse unrechtmäßig an den Anbieter als Dritten übermittelt werden. Dies umfasst etwa Maßnahmen, dass der Betreiber etwaige "on-premises"- Lösungen nutzt, vertragliche Absicherungen notwendig sind, oder/und entsprechende Schulungen der Mitarbeiter:innen zum Einsatz eines Chatbots unternimmt, dass derartige Eingaben zu unterlassen sind (siehe zum Thema KI und Datenschutz auch die Informationen der DSB).
Aufgrund der unterschiedlichen Einsatzgebiete und Ausgestaltung von KI-Systemen können Maßnahmen gemäß Art. 4 AIA sehr divers und unterschiedlich ausfallen. Es gibt sohin keine pauschale Beantwortung auf die Frage, welche konkreten Maßnahmen notwendig sind, um den Anforderungen des Art. 4 AIA nachzukommen. Das bedeutet auch, dass nicht jedes Unternehmen im gleichen Ausmaß von Art. 4 AIA betroffen ist. Auch nicht jeder Mitarbeitende muss zwingendermaßen im gleichen Ausmaß über KI-Kompetenz verfügen. Wird z.B. der gesamten Belegschaft die Nutzung von Chatbots wie ChatGPT ermöglicht, sind entsprechende wiederkehrende (auch Neueintritte sind zu berücksichtigen) Schulungsmaßnahmen für die ganze Belegschaft vorzusehen. Wird lediglich der Personal- oder Kommunikationsabteilung ein bestimmtes "KI-Tool" zur Verfügung gestellt, können sich Maßnahmen auf wenige Personen beschränken. Auch die Intensität der Schulung kann dabei variieren. Der Einsatz von KI-Systemen mit begrenztem Risiko erfordert ggf. andere Maßnahmen als der Einsatz von KI-Systemen im Hochrisikobereich.
Wichtig ist, dass aus Art. 4 AIA – anders als in der DSGVO – nicht die gesetzliche Pflicht resultiert, einen "KI-Beauftragten" zu benennen. Das schließt aber nicht aus, dass es für die Umsetzung von KI-Konzepten erforderlich sein kann, dass sich Mitarbeitende schulen lassen oder Personen mit KI-Expertise eingestellt werden. Entsprechende Konzepte sind im Einzelfall zu entwickeln. Da es sich um keinen starren Prozess handelt, ist es ratsam, KI-Kompetenz als Teil des Fort- und Weiterbildungsprozesses einzubeziehen.
Die Begriffsdefinition beinhaltet explizit auch die positive Anforderung, die Chancen von KI zu kennen, um Möglichkeiten des wertstiftenden Einsatzes von KI zu erkennen.
Betroffen von der Verpflichtung zu KI-Kompetenz sind damit folgende Personengruppen:
Über die Art und Weise der zu treffenden Schulungsmaßnahmen bleibt der AI Act offen. Diese kann durch interne Fortbildungen, externe Beratungen oder interne Schulungen erfolgen.
Während der AI Act selbst keine verwaltungsstrafrechtliche Sanktionierung des Art. 4 AIA vorsieht, können sich in verschiedenen Konstellationen Konsequenzen einer Nicht-Einhaltung manifestieren. Fehlende Mitarbeiterschulungen sind idR auch außerhalb des AI Acts nach § 1313a ABGB dem Unternehmer zurechenbar. Der Art. 4 AI Act stellt hier eine Präzisierung der unternehmerischen Sorgfaltspflichten in Hinblick auf KI dar. Entstehen demnach Schäden, die durch fehlende KI-Kompetenz verursacht wurden, präzisiert der Art. 4 AIA, dass eine Pflicht zur Schulung bestanden hätte.
Als ersten Schritt der Umsetzung des Art. 4 im Unternehmen kann mit zwei Maßnahmen begonnen werden: Einer Erhebung der aktuell in Unternehmen bereits eingesetzten KI-Systeme, sowie der Frage nach der strategischen Ausrichtung des Unternehmens in Hinblick auf KI-Nutzung.
Die Art und Weise, wie KI-Systeme im Unternehmen eingesetzt werden sollen, ist eine strategische Entscheidung. Sie orientiert sich an Kriterien wie der allgemeinen Unternehmensstrategie, den Werten und der Kultur eines Unternehmens, der Risikobereitschaft, der Höhe des von KI-Systemen ausgehenden Risikos, dem Risikoumfeld der Organisation sowie den rechtlichen Anforderungen, denen ein Unternehmen unterliegt (vgl. ISO 42001:2023).
Neben dieser Richtungsentscheidung ist es sinnvoll, diese grundsätzliche strategische Ausrichtung des Unternehmens auch in einer internen KI-Richtlinie abzubilden.
Eine solche Richtlinie sollte insbesondere die oben genannte Unternehmensstrategie beschreiben, gegebenenfalls auf andere Organisationsrichtlinien verweisen, klare Rollen definieren, innerhalb des Unternehmens klar kommuniziert werden und für Mitarbeiter:innen einfach und selbstständig auffindbar sein. Eine Vorlage für eine solche Richtlinie sowie allgemeine Aspekte bei der Erarbeitung einer KI-Strategie wird etwa von der Wirtschaftskammer Österreich bereitgestellt: https://www.wko.at/ki
Künstliche Intelligenz ist bereits aktuell Bestandteil von vielen Softwareprodukten. Auch Softwareupdates von bestehender Standardsoftware bringen oft neue KI-Komponenten mit sich. Damit ist es möglich, dass KI-Systeme bereits jetzt im Unternehmen eingesetzt werden, das den intern dafür zuständigen Stellen möglicherweise aber noch unbekannt ist.
Um den aktuellen Status Quo zu erfassen, ist eine Erhebung über aktuell im Unternehmen verwendete (Standard-)Software zielführend. Falls bereits Listen über aktuell verwendete Software vorhanden sind – etwa in Zusammenhang mit IT-Sicherheit oder einem Datenverarbeitungsverzeichnis – kann darauf aufgebaut werden.
Je nach Einsatzbereich der KI-Systeme gibt es hier ggf. unterschiedliche Verantwortlichkeiten für den Einsatz der jeweiligen Software. Auch hier können frühere Erhebungen einen Überblick über Verantwortlichkeiten bieten.
Im weiteren Verlauf sollte diese Übersicht regelmäßig bzw. anlassbezogen bei neuen KI-Komponenten oder KI-Systemen aktualisiert werden.
Der Erwerb von KI-Kompetenz auf operativer Ebene wird von der Unternehmensstrategie, sowie der Art der eingesetzten KI-Systeme abhängen.
KI-Kompetenz umfasst technische, rechtliche und ethische Kenntnisse, ebenso wie Risikobewusstsein und praktische Anwendungsfähigkeit, wobei der jeweilige Ausbildungs- und Kenntnisstand der Mitarbeiter:innen sowie der Einsatzbereich berücksichtigt werden sollte. Auch die Risikostufe des KI-Systems spielt eine Rolle. In der Entwicklung von KI-Systemen werden andere Aspekte bedeutend(er) sein als in der Anwendung.
So werden verschiedene Aspekte bei unterschiedlichen Mitarbeiter:innengruppen unterschiedlich relevant sein. Für Führungskräfte, Projektteams oder Auszubildende wird es unterschiedliche Anforderungen eben, aber auch Dritte, wie Dienstleister des Unternehmens müssen über KI-Kompetenz verfügen, wenn sie am Einsatz von KI im Unternehmen mitwirken.
Schulungen können auf freiwilliger oder verpflichtender Basis angeboten werden. Die Möglichkeit der Inanspruchnahme wiederkehrender Schulungen bietet zusätzliche Chancen für Mitarbeiter:innen. Auch das Schulungsformat kann flexibel für den jeweiligen Einsatzzweck gestaltet werden – neben interaktiven Workshops und Vorträgen sind etwa auch e-Learnings andenkbar.
Inhalte von zu vermittelnden Kompetenzen können etwa sein:
Best Practices für die Vermittlung von KI-Kompetenz sind etwa:
Um eine Umsetzung des Artikels 4 AIA belegen zu können, empfiehlt sich das Anlegen von Dokumentation. Eine KI-Strategie des Unternehmens sollte schriftlich vorliegen. Auch eine ggf. interne KI-Richtlinie sollte schriftlich vorliegen und unternehmensintern einfach abrufbar sein. Muster-KI-Richtlinien werden etwa von der WKO angeboten (https://www.wko.at/ki). Ein Schulungs- und Wissensvermittlungskonzept sollte erarbeitet sein. Wurden Schulungen durchgeführt, wird angeraten, zu Dokumentationszwecken für jede betroffene Mitarbeiter:in zumindest Folgendes im Personalakt festzuhalten:
KI-Kompetenz wird oftmals mit digitaler Kompetenz in Verbindung gebracht. Die Themen KI-Kompetenz und digitale Kompetenz sind tatsächlich eng miteinander verbunden. Das zeigt sich bereits daran, dass KI-Kompetenz auch in den einzelnen Kompetenzbereichen und Teilkompetenzen integriert ist. Zudem baut KI-Kompetenz auf das Vorhandensein von digitalen Kompetenzen auf. Um KI-Systeme und -modelle erfolgreich anwenden und entwickeln zu können, braucht es auch digitale Kompetenzen.
Nationale Initiativen: https://www.digitalaustria.gv.at/Strategien/DKO-Digitale-Kompetenzoffensive.html
Europäische Kommission: DigComp 2.2: The Digital Competence Framework for Citizens
Europäische Kommission: Digitale Kompetenzen