Schrittweise tritt die KI-Verordnung der Europäischen Union in Kraft. Unternehmen, die Künstliche Intelligenz in ihrem Geschäftsalltag einsetzen, müssen diese nun zunächst einmal in Risikogruppen einordnen.
Eine neue Pflicht, der Unternehmer und Arbeitgeber nachkommen müssen. Dieses Mal betroffen: der Einsatz Künstlicher Intelligenz (KI) im beruflichen Umfeld. Seit 2. Februar 2025 sind Entwickler, Anbieter, Händler und Betreiber von KI-Software verpflichtet, Mitarbeiter zu schulen, wenn sie mit KI arbeiten. Nicht betroffen ist der private, nicht-kommerzielle Gebrauch.
Hintergrund ist die europäische Verordnung über künstliche Intelligenz (KI-Verordnung), die am 1. August 2024 in Kraft getreten ist. Sie zielt nach Angaben der Europäischen Kommission darauf ab, die verantwortungsvolle Entwicklung und Verwendung künstlicher Intelligenz in der EU zu fördern. Sie soll gewährleisten, dass Grundrechte eingehalten und gleichzeitig Innovationen unterstützt werden.
Zur Info: EU-Verordnungen müssen – anders als EU-Richtlinien – nicht in nationales Recht umgesetzt werden. Verordnungen treten vielmehr für alle Mitgliedsstaaten zum gleichen Zeitpunkt in Kraft.
Unternehmer als KI-Betreiber
Handwerksunternehmer werden in diesem Zusammenhang in der Regel als Betreiber, also Nutzer, von KI gelten. Das bedeutet, sie müssen zunächst auflisten, welche KI in welchen Geschäftsprozessen zum Einsatz kommt und gegebenenfalls entsprechende Maßnahmen ergreifen. Bereits diese Analyse kann eine Herausforderung sein, da KI in vielen Tools steckt, in denen man sie gar nicht vermutet – etwa in Buchhaltungssoftware, Kundenmanagementsystemen (CRM) oder der Transkription von Texten. "Es kann schon genügen, nur eine einzige Software zu nutzen", sagt Christian Leuthner, Rechtsanwalt der Kanzlei Reed Smith.
Ihre eingesetzte KI müssen Betriebe Risikogruppen zuordnen. Die EU wählte diesen risikobasierten Ansatz, um Gefahren wie Diskriminierung, Manipulation und Überwachung zu vermeiden. Die Risikogruppen laut KI-Verordnung sind:
- Minimales Risiko: Die meisten KI-Systeme, wie zum Beispiel Spamfilter, unterliegen keinen besonderen Verpflichtungen, doch Unternehmen können freiwillig zusätzliche Verhaltenskodizes aufstellen.
- Begrenztes Risiko - besondere Transparenzverpflichtungen: Systeme wie Chatbots müssen ihre Nutzer deutlich darauf hinweisen, dass sie es mit einer Maschine zu tun haben, und bestimmte durch KI erzeugte Inhalte müssen als solche gekennzeichnet werden.
- Hohes Risiko: Für KI-Systeme, die als hochriskant eingestuft werden (zum Beispiel KI-Systeme für die Personaleinstellung), gelten strenge Anforderungen, etwa im Hinblick auf Risikominderungssysteme, hochwertige Datensätze, klare Informationen für die Nutzer, menschliche Aufsicht usw.
- Unannehmbares Risiko: KI-Systeme, von denen eine klare Bedrohung für die Grundrechte der Menschen ausgeht, sind verboten. Dies gilt zum Beispiel für Systeme, die Behörden oder Unternehmen eine Bewertung des sozialen Verhaltens ermöglichen, aber auch für Datenbanken zur Gesichtserkennung (Social Scoring).
Grundsätzlich unterscheidet die KI-Verordnung zwischen schwacher und starker KI. "Starke KI ist noch Zukunftsmusik. Das bedeutet, dass die KI ein Eigenleben besitzt und eigene Entscheidungen trifft", erklärt Leuthner. Die KI, die gerade Einzug in die Berufswelt hält, gehöre jedoch in die Kategorie schwache KI. "Dazu gehört klassische Software, für die ein Programmierer Entscheidungen trifft, was sie kann und darf und was nicht." Die Übergänge seien zwar fließend, aber auch "Anwendungen wie ChatGPT gehören zu den schwachen KI-Systemen, da sie nur bestimmte Aufgaben lösen können."
Mitarbeiter schulen
Als Betreiber von KI-Systemen müssen Unternehmer nun seit 2. Februar eine ausreichende KI-Kompetenz ihrer Mitarbeiter sicherstellen. Eine "ausreichende" KI-Kompetenz bedeutet, dass Menschen, die in ihrem Job KI einsetzen, Chancen und Risiken der Technologie kennen sollen und einschätzen können. "Der Arbeitgeber muss nachweisen, dass seine Mitarbeiter im Umgang mit KI geschult sind, einige grundlegende Fragen zur Funktionsweise und zum Einsatz der KI beantworten können, und eigenverantwortlich eine Risikoanalyse zum Output von zum Beispiel Chatbots abgeben können", sagt Christian Leuthner. Und da sich KI weiterentwickelt, müssen Arbeitgeber ihre Mitarbeiter auch regelmäßig und fortlaufend schulen.
Die Anforderungen an eine Schulung oder wie sie durchzuführen ist, sei in der Verordnung nicht näher benannt. "Das muss aber kein externer Dienstleister sein", so Leuthner.
Wenn der Umgang mit KI im Sinne der Verordnung im Unternehmen gelebt werde, könne auch mit firmeneigenen Ressourcen geschult werden – "idealerweise mit einem praktischen Ansatz", so der Experte. Dazu gehöre, die Schulungen auf die verschiedenen Arbeitswirklichkeiten der Mitarbeiter anzupassen, neue Mitarbeiter zu schulen und die Schulungsmaßnahmen insgesamt zu dokumentieren. Das heißt, nachvollziehbar festzuhalten, wer, wann in was oder wozu geschult wurde – auch wenn es bislang keine Pflicht zur Dokumentation gibt.
Noch keine Bußgelder
Derzeit hätten Unternehmen, die sich nicht an diese Pflicht zur Schulung halten, keine Konsequenzen zu fürchten. "Es ist keine bußgeldbewehrte Vorschrift. Bei Unterlassung droht Unternehmen daher – allein – kein Bußgeld." Allerdings wird in Deutschland auch erst in den kommenden Monaten die nationale Aufsichtsbehörde benannt.
Christian Leuthner rät, die Schulungspflicht als Chance zu sehen, auf Gefahren hinzuweisen und Kompetenzen zu fördern. Daten verlassen schließlich den Herrschaftsbereich des Unternehmens. Außerdem gehe es nicht nur um sensible Kundendaten und Persönlichkeitsrechte: "Es können zum Beispiel auch Firmengeheimnisse, Erfindungen oder Patente betroffen sein." Der Rechtsanwalt empfiehlt Unternehmen eine AI-Policy, eine Art betriebsinterne KI-Richtlinie, was im Unternehmen erlaubt ist und was nicht, welche Gefahren und Risiken bestehen. "Unternehmen gestalten ihre Schulungen am besten entlang ihrer AI-Policy und konzentrieren sich auf die Tools, die bei ihnen im Einsatz sind."
Unterstützung bieten Handwerkskammern und das Mittelstand-Digital Zentrum Handwerk mit zum Teil kostenlosen Schulungsangeboten.