Direkte Bußgelder drohen nicht, dennoch gilt: Seit dem 2. Februar müssen Unternehmen ihren Mitarbeitenden KI-Schulungen anbieten. Das schreibt der EU AI Act vor. Wie genau diese Fortbildungspflichten aussehen, ist allerdings unklar. Aber: Jeder, der KI nutzt, muss damit umgehen können. Und zwar im höchsteigenen Interesse des Unternehmens. Ein Gespräch mit Joerg Heidrich, Rechtsanwalt und Fachanwalt für IT-Recht.
Seit dem 2. Februar greifen die ersten Vorschriften des EU AI Acts. Seither sind KI-Systeme mit „inakzeptablem Risiko“ verboten. Was bedeutet das?
Joerg Heidrich: KI-Systeme mit inakzeptablem Risiko sind solche Angebote, die fundamentale Rechte und die Menschenwürde gefährden. Zu den verbotenen Praktiken gehören KI-Systeme zur unterschwelligen Manipulation oder Täuschung, die körperlichen oder psychischen Schaden verursachen können, sowie Systeme, die Schwachstellen bestimmter Personengruppen aufgrund ihres Alters, einer Behinderung oder sozialer und wirtschaftlicher Situation ausnutzen. Ebenfalls untersagt werden Social-Scoring-Systeme zur Bewertung der Vertrauenswürdigkeit von Menschen, die Erstellung von Gesichtserkennungs-Datenbanken, Emotionserkennung am Arbeitsplatz sowie biometrische Echtzeit-Identifizierung in öffentlichen Räumen – letzteres mit einigen Ausnahmen für die Strafverfolgung. Da diese Regulierung eine der Kernpunkte des neuen Gesetzes ist, sind die Sanktionen sehr hoch: Bei Verstößen drohen sehr hohe Sanktionen von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes.
Die KI Verordnung schreibt auch vor, dass Unternehmen ihre Mitarbeitenden seit dem 2. Februar so schulen müssen, dass sie in ihrem Job mit KI umgehen können. Was heißt dies für Unternehmen?
Hierbei geht es den Aufbau von KI-Kompetenz in den Unternehmen. Die Nutzer von KI Systemen sollen ausweislich des Gesetzes Maßnahmen ergreifen, um „nach besten Kräften“ sicherzustellen, dass ihr Personal, welches mit dem Betrieb und der Nutzung von KI Systemen befasst ist, über ein ausreichendes Maß an Kenntnissen für diese Nutzung verfügen.
© Heidrich Rechtsanwälte
Joerg Heidrich
Wie müssen diese Schulungen aussehen? Wer darf diese Schulungen durchführen?
Leider macht die KI-Verordnung, wie an so vielen Stellen, auch hier keine konkreten Vorgaben zum Format der Schulungen, sondern verlangt lediglich die Vermittlung eines „ausreichenden Maßes an KI-Kompetenz“. Festhalten kann man wohl, dass die Schulungen idealerweise individuell auf die Vorkenntnisse der Mitarbeitenden, die Art der eingesetzten KI-Systeme und den spezifischen Nutzungskontext zugeschnitten sein sollten. Hierzu bietet sich ein modulares Schulungskonzept an, das verschiedene Zielgruppen im Unternehmen berücksichtigt. Dieses kann dann Grundlagenschulungen für alle Mitarbeitenden, spezifische Schulungen für Führungskräfte mit Fokus auf strategische Aspekte sowie technische Vertiefungen für IT-Personal und Entwickler enthalten. Unternehmen können die Schulungen sowohl intern als auch durch externe Dienstleister durchführen lassen. Die Schulungen können in verschiedenen Formaten stattfinden – als Präsenzveranstaltungen, Online-Kurse oder E-Learning-Module.
Wie regelmäßig müssen sie stattfinden und wie umfassend müssen sie sein?
Die KI-Verordnung macht auch keine konkreten Vorgaben zur Häufigkeit und zum exakten Umfang der Schulungen. Umfang und Häufigkeit hängen von der Aufgabe des Mitarbeiters im Unternehmen ab. Wer KI häufig und in für das Unternehmen kritischen Bereichen nutzt, ist sicher häufiger zu schulen. Für normale Mitarbeiter, die nur gelegentlich KI im Rahmen ihrer Aufgaben nutzen, dürfte eine jährliche Schulung ausreichen. Dies wäre dann vergleichbar mit den Fortbildungspflichten in Bereichen wie Arbeits- oder Brandschutz.
Wie müssen sie dokumentiert werden?
Wichtig ist die Dokumentation der durchgeführten Schulungsmaßnahmen, um die Erfüllung der gesetzlichen Anforderungen nachweisen zu können. Viele Anbieter entwickeln bereits entsprechende Schulungskonzepte, die auch Zertifikate als Nachweis der erworbenen KI-Kompetenz umfassen.
Was passiert, wenn Unternehmen ihren Mitarbeitenden keine Schulungen anbieten, also ihrer KI-Ausbildungspflicht nicht nachkommen?
Die KI-Verordnung sieht für Verstöße gegen die Schulungspflicht nach Artikel 4 keine direkten Bußgelder vor. Die Vorschrift hat vielmehr einen eher appellativen Charakter.
Allerdings können Unternehmen bei mangelnder Schulung ihrer Mitarbeiter dennoch rechtliche Konsequenzen drohen: Wenn durch unzureichend geschulte Mitarbeiter Schäden entstehen, kann dies als Verletzung der allgemeinen Sorgfaltspflicht gewertet werden und zu Haftungsansprüchen führen. Auch im Arbeitsrecht können sich Konsequenzen ergeben, etwa bei der Frage von Kündigungen wegen mangelnder KI-Kompetenz. Daher sollten die Unternehmen diese Anforderungen schon im eigenen Interesse sehr ernst nehmen.
