Business Kompetenzen
Künstliche Intelligenz

KI-Kompetenz: Wer Künstliche Intelligenz rechtkonform nutzt, muss sie verstehen

Seit über einem Jahr verpflichtet die europäische KI-Verordnung (KI-VO oder AI Act) Unternehmen, bei ihren Mitarbeitenden für ausreichende KI-Kompetenz zu sorgen. Zwar sieht die geplante Änderung des Gesetzes vor, diese Pflicht abzuschwächen - ignorieren ist dennoch keine gute Option.

von Marlene Schreiber
Two Diverse Software Developers Having a Meeting in a Conference Room. Female and Male Tech Industry Engineers Brainstorming Ideas for Their Neural Network Blockchain Startup

Künstliche Intelligenz (KI) ist kein Innovationsprojekt mehr, das irgendwo in der IT-Abteilung stattfindet. ChatGPT im Marketing, Copilot im internen Workflow, der Chat- oder Voicebot im Vertrieb oder der KI-gestützte Bewerbungsfilter im Recruiting: in den meisten Unternehmen arbeiten Mitarbeitende heute bereits ganz selbstverständlich mit KI-Anwendungen. Das allerdings nicht selten ohne klares Konzept, ohne ausreichende Schulung und ohne rechtskonforme Vorgaben, sodass Risiken für Unternehmen, Gesellschaft und jeden Einzelnen von uns entstehen.

Genau hier setzt die KI-VO an. Art. 4 verpflichtet Unternehmen, die KI-Systeme einsetzen oder anbieten, seit dem 2. Februar 2025 „nach besten Kräften” ein „ausreichendes Maß an KI-Kompetenz” sicherzustellen. Aber was bedeutet das konkret?

Marlene Schreiber

Marlene Schreiber ist Fachanwältin für IT-Recht und Partnerin bei HÄRTING Rechtsanwälte in Berlin. Sie berät Unternehmen – vom Start-up bis zum DAX-Konzern – zu KI-Regulierung, IT-Recht und digitalen Geschäftsmodellen. Sie ist Co-Autorin des Buchs „KI & Recht – für dummies“ und bildet gemeinsam mit Blackboat zertifizierte AI Officer aus.

Wen betrifft die Pflicht zur KI-Kompetenz?

Alle Unternehmen – unabhängig von Größe, Umsatz oder Branche – die Künstliche Intelligenz entwickeln, auf den Markt bringen, unter eigenem Namen anbieten bzw. in ihrem Betrieb einsetzen oder nutzen, müssen KI-Kompetenz sicherzustellen.

Wichtig: Die Pflicht erfasst nicht nur die eigenen Beschäftigten, sondern auch externe Dienstleister und Auftragnehmer, die im Auftrag des Unternehmens mit KI-Systemen befasst sind.

Was meint „KI-Kompetenz”?

Unter „KI-Kompetenz” versteht das Gesetz die Fähigkeiten, das Wissen und das Verständnis, die es braucht, um KI-Systeme sachkundig einzusetzen und sich der Chancen und Risiken bewusst zu sein. Mit anderen Worten: KI-Kompetenz umfasst

        • technisches Verständnis: wer KI nutzen soll, muss die grundsätzliche Funktionsweise von Künstlicher Intelligenz verstehen, was sie kann (und vor allem: was nicht).
        • praktische Fähigkeiten: um KI-Tools richtig anzuwenden, müssen die Mitarbeitenden sie bedienen können und ihre konkreten Funktionen kennen.
        • rechtliche Kenntnisse: für angemessene KI-Kompetenz ist kein Jurastudium erforderlich. Aber es muss eine Sensibilisierung mit Blick auf die Risiken von KI erfolgen. Nur wer die Regeln kennt und weiß, was erlaubt ist bzw. was nicht, kann KI verantwortungsbewusst einsetzen.

      KI-Kompetenz lässt sich nur durch Schulungen herstellen. Eine „one fits all“-Lösung ist dabei nicht empfehlesnwert. In welchem Umfang und in welcher Intensität geschult werden sollte, richtet sich nach den Vorkenntnissen der Mitarbeitenden, dem Kontext der KI-Nutzung und dem Risikopotenzial der eingesetzten Systeme. Es muss zudem nicht jede einzelne Person sämtliche Kompetenzelemente abdecken. Es genügt, wenn die KI-Kompetenz im Unternehmen insgesamt sichergestellt ist. Der Marketingmitarbeiter hat beim Einsatz von KI zur Erstellung von Inhalten für die Website andere Risiken zu berücksichtigen als die Entwicklerin von Softwarelösungen, der HR-Mitarbeiter bei der Auswahl neuer Beschäftigten oder die KI-Beauftragte des Unternehmens.

      Müssen Unternehmen einen KI-Beauftragten bestellen?

      Nein. Anders als die DSGVO mit dem Datenschutzbeauftragten, schreibt die KI-VO nicht vor, dass Unternehmen zwingend einen KI-Beauftragten bestellen müssen. Allerdings sieht zum Beispiel das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) einen solchen mittelbar „aber in zahlreichen Anforderungen der KI-VO gerade bei größeren Unternehmen geradezu vorausgesetzt“.

      Unternehmen sollten sich vor allem fragen, welchen Nutzen eine solche Position im Unternehmen konkret hat. Je intensiver ein Unternehmen KI einsetzt, je wichtiger der KI-Einsatz für das Geschäftsmodell und je größer die damit verbundenen Risiken, desto sinnvoller ist die Schaffung einer solchen Stelle. Ein KI-Beauftragter (oder AI Officer oder KI-Board usw.) könnte insbesondere folgende Aufgaben übernehmen:

        • KI-Strategie mitentwickeln,
        • KI-Projekte und die verschiedenen Ansprechpartner mit ihren unterschiedlichen Interessen koordinieren,
        • Richtlinien und Prozesse zur Einhaltung der rechtlichen Anforderungen etablieren (KI-VO, Datenschutzrecht, Urheberrecht, Mitbestimmungsrecht usw.),
        • Schulungen zur Förderung der KI-Kompetenz steuern,
        • als Kontrollinstanz und interner Ansprechpartner für KI-Fragen dienen,
        • den internen Austausch und Nutzung von Synergien im Unternehmen fördern und
        • Behördenanfragen koordinieren.

                Was sind die Folgen, wenn Unternehmen sich nicht kümmern?

                Ein Verstoß gegen Art. 4 KI-VO ist derzeit nicht unmittelbar bußgeldbewehrt. Dennoch und trotz der durch den sog. Digital Omnibus on AI zu erwartenden Entschärfung der Pflicht zur KI-Kompetenz, sollten Unternehmen im eigenen Interesse für KI-Kompetenz sorgen. Denn wer KI-Systeme im Unternehmen einsetzt, ohne dass die Beschäftigten deren Funktionsweise, Risiken und Grenzen verstehen, erzeugt operative Risiken. Entsteht durch mangelhafte KI-Nutzung ein Schaden, z.B. weil damit rechtliche Vorgaben aus der DSGVO, dem Urheberrecht, dem Arbeits- oder Wettbewerbsrecht verletzt werden, drohen zivilrechtliche Haftungsansprüche, kostenpflichtige Abmahnungen oder Schadensersatzansprüche.

                Geschäftsführer sollten sich zudem darüber bewusst sein, dass zu der ihnen obliegenden Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters auch die Einrichtung und Organisation eines funktionierenden KI-Compliance-Systems gehört. Kommt die Geschäftsleitung dieser Verantwortung nicht in angemessenem Umfang nach, haftet sie gegebenenfalls mit ihrem Privatvermögen.

                Checkliste: was Unternehmen konkret tun können

                  • KI-Systeme erfassen und Rollenprofile definieren: Welche KI wird im Unternehmen aktuell und ggf. zukünftig eingesetzt – und von wem?
                  • Zielniveau bestimmen: Welches Maß an KI-Kompetenz ist für den jeweiligen Einsatzbereich erforderlich?
                  • Gestufte Schulungen: Differenzierte Formate – vom E-Learning-Grundkurs für die Einkaufsabteilung bis zum vertieften vor-Ort-Training für HR-Teams oder die Legal-Abteilung.
                  • KI-Richtlinie: Unternehmen sollten anhand ihres konkreten KI-Einsatzes verständliche interne Leitlinie zum Umgang mit KI einführen.
                  • Dokumentation: Schulungen und anderen Kompetenz-Maßnahmen sollten Unternehmen nachweisbar dokumentieren. Zertifikate sind dafür nicht zwingend, aber als Nachweis geeignet.
                  • Evaluation und Fortschreibung: KI ist ein „moving target” und die Anforderungen und Risiken ändern sich schnell. Deshalb sollte das Konzept zur KI-Kompetenz regelmäßig evaluiert und ggf. aktualisiert werden.

                            Fazit

                            Die Pflicht zur KI-Kompetenz spiegelt wider, was gute Unternehmensführung ohnehin verlangt: Wer Technologie einsetzt, muss sicherstellen, dass die Organisation sie versteht und beherrscht. Dabei muss nicht jeder alles wissen. Entscheidend ist, dass die richtigen Personen die richtige Kompetenz an den richtigen Stellen haben.