Die Europäische Verordnung über künstliche Intelligenz (KI-Verordnung bzw. AI-Act) ist am 01. August 2024 in Kraft getreten, wobei einzelne Regelungen sukzessive wirksam werden. Zu den einzelnen Änderungen finden Sie hier bereits erste Informationen. Die KI-Verordnung differenziert in ihren Verpflichtungen nach der Zuordnung zu Risikogruppen der jeweiligen KI-Systeme.
Pflichten ab Februar 2025: KI-Kompetenz & verbotene KI-Praktiken
Ab dem 02. Februar 2025 werden die Titel I und II der KI-Verordnung wirksam.
Der erste Teil enthält allgemeine Bestimmungen, namentlich den Gegenstand des Gesetzes, den Anwendungsbereich, die Definitionen sowie Regelungen der sogenannten KI-Kompetenz.
Anbieter und Betreiber müssen die KI-Kompetenz ihrer Mitarbeitenden sicherstellen. Das beinhaltet umfassende technische Kenntnisse, Erfahrung sowie die Ausbildung und Schulung im Bereich der Künstlichen Intelligenz. Davon umfasst sind auch Unternehmen, die mit KI arbeiten.
Die KI-Verordnung sieht keine konkreten Maßnahmen vor, um die geforderte KI-Kompetenz zu vermitteln. Allerdings wird das bloße Selbststudium den Anforderungen nicht genügen. Vielmehr sollen Schulungen und Weiterbildungsprogramme dafür sorgen, dass ein einheitlicher Wissens- und damit auch Kompetenzstand erreicht wird. Gegenwärtig wird an Leitlinien zur Umsetzung des AI-Acts gearbeitet, um eine rechtssichere AI Act Compliance in Unternehmen zu gewährleisten – etwa durch die Ernennung eines KI-Beauftragten oder die Einrichtung spezialisierter Arbeitsgruppen.
Im zweiten Teil werden in dem einzigen Artikel 5 verbotene Praktiken im Zusammenhang mit Künstlicher Intelligenz statuiert. Das sind zum Beispiel Social Scoring oder Systeme zum Zweck der kognitiven Verhaltensmanipulation. Maßgebend ist, dass bei diesen KI-Praktiken eine Bedrohung in der Form ausgeht, dass sie täuschen oder Personen aufgrund gewisser Merkmale zu einem bestimmten Verhalten manipulieren. Die Verwendung solcher KI-Systeme ist im Allgemeinen eher selten, aber dennoch sollten bereits verwendete Systeme überprüft werden. Auch zunächst harmlos wirkende Funktionen, wie zum Beispiel die Feststellung der Stimmung in Video-Konferenzen kann darunterfallen. Solche Praktiken sind nur in Ausnahmefällen zulässig.
Unklarheiten bei der Umsetzung: KI-Schulung & Haftungsrisiken
Problematisch ist, dass es keine Frist zur Umsetzung von Schulungen gibt. Ab Wirksamwerden müssen die Mitarbeitenden lediglich über ausreichende Kompetenz verfügen. In Verbindung mit der fehlenden Nennung von geeigneten Maßnahmen in der KI-Verordnung selbst führt dies zu einer gewissen Unsicherheit, wie ein hinreichender Stand an KI-Kompetenz überhaupt erreicht werden kann.
In dem Zusammenhang ist auch zu beachten, dass die Kontrolle der Umsetzung der Verpflichtungen den nationalen Behörden obliegen soll. In Deutschland wird voraussichtlich die Bundesnetzagentur die Aufsicht übernehmen, die Einrichtung der Aufsichtsbehörde soll jedoch erst zum 02. August 2025 erfolgen. Mangels bestehender Aufsichtsbehörde ist zunächst unklar, was die Konsequenz einer Nichteinhaltung sein wird. Nicht geklärt ist deshalb, ob ungeschulte Mitarbeitende ab Wirksamwerden nicht mehr mit KI arbeiten dürfen.
Unternehmen sollten jedoch das erhebliche Haftungsrisiko im Auge behalten: Eine unterlassende Schulung der Mitarbeitenden kann direkte Schadensersatzansprüche auslösen, sofern ein Schaden durch die Verwendung Künstlicher Intelligenz entsteht, der bei ordnungsgemäßer Schulung vermeidbar gewesen wäre.
Das führt dazu, dass eine entsprechende Schulung eine Sorgfaltspflicht der Unternehmen darstellt und aufgrund der potenziellen Schadensersatzpflicht im Eigeninteresse der Anbieter oder Betreiber liegt.
Stufenplan bis 2030: Wann weitere Vorschriften des AI Acts greifen
Schrittweise werden weitere Regelungen der KI-Verordnung wirksam.
Ab dem 02. August 2025 treten neben Verwaltungsvorschriften auch Regelungen über KI-Systeme für allgemeine Zwecke (General Purpose AI – GPAI) in Kraft. Unter „allgemeinen Zwecken“ sind vielseitig einsetzbare KI-Systeme zu verstehen. Anbieter von solchen Systemen, die vor diesem Zeitpunkt in den Verkehr gebracht oder in Betrieb genommen wurden, müssen bis zum 02. August 2027 mit den Vorschriften des AI-Acts in Einklang gebracht werden.
Ab diesem Zeitpunkt sollen Behörden in den Mitgliedsstaaten eingerichtet werden, welche Konformitätsbewertungen von Hochrisiko-Systemen vornehmen. Außerdem sollen auch auf Unionsebene Verwaltungsapparate eingerichtet werden, nämlich ein Büro für Künstliche Intelligenz und ein entsprechendes Gremium. Zusätzlich treten die in Kapitel 12 genannten Sanktionen in Kraft.
Die meisten übrigen Bestimmungen werden am 02. August 2026 wirksam, mit Ausnahme des Art. 6 Abs. 1 KI-VO. Das sind umfassende Regelungen für das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen innerhalb der Europäischen Union.
Ab dem 02. August 2027 werden die Vorschriften auf risikobehaftete Systeme ausgeweitet, die bereits durch andere EU-Bestimmungen reguliert werden. Bestandteile von bestimmten IT-Großsystemen, die vor diesem Zeitpunkt in den Verkehr gebracht oder in Betrieb genommen wurden, müssen bis zum 31. Dezember 2030 mit den Vorschriften der KI-Verordnung konform sein.
Handlungsempfehlungen für Unternehmen: KI-Compliance sicherstellen
Unternehmen sollten vor allem auf die Schulung ihrer Mitarbeitenden achten. Sofern ein sicherer und fachkundiger Umgang jeder Person, die mit Künstlicher Intelligenz arbeitet, sichergestellt ist, kann der Angst einer Schadensersatzpflicht vorgegriffen werden. Außerdem ist es sinnvoll, bereits vor Inkrafttreten festzustellen, welche Arten der KI in dem Unternehmen genutzt werden, um künftige Pflichten eingrenzen zu können. Vorab kann eine Information über Schulungs- oder Weiterbildungssysteme sowie die Einteilung nach Wissensstand helfen, um den Bedarf im Unternehmen zu ermitteln. Auch eine etwaige Beteiligung des Betriebsrats muss berücksichtigt werden.
Außerdem sollten Sie bereits jetzt sicherstellen, dass Sie kein verbotenes KI-System im Sinne des Art. 5 Abs. 1 KI-VO verwenden und falls doch, ob eine Ausnahme greift.
Gerne prüfen wir Ihre bereits verwendeten Systeme und unterstützen Sie im Hinblick auf geeignete Maßnahmen für einen mit der KI-Verordnung konformen Umgang mit Künstlicher Intelligenz.
KontaktFAQ: Häufig gestellte Fragen zur KI-Verordnung
Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz der Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, zu unterstützen, etwa durch Schulungen und Weiterbildungen. Seit der Änderung von Art. 4 KI-VO durch den Digital Omnibus (Verordnung (EU) 2026/1744) muss dabei kein bestimmtes Kompetenzniveau mehr garantiert werden; die Maßnahmen sollten sich am konkreten Einsatzkontext orientieren.
Eine fehlende Schulung der Mitarbeitenden stellt eine Verletzung der unternehmerischen Sorgfaltspflicht dar. Entsteht durch die KI-Nutzung ein Schaden, der durch eine ordnungsgemäße Schulung vermeidbar gewesen wäre, können direkte Schadensersatzansprüche gegen das Unternehmen geltend gemacht werden.
Untersagt sind KI-Systeme zur kognitiven Verhaltensmanipulation, zur Täuschung oder für Social Scoring. Auch vermeintlich harmlose Anwendungen, wie die automatisierte Erkennung von Stimmungen und Emotionen in Videokonferenzen, können bereits unter diese verbotenen Praktiken fallen.
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General Purpose AI), die vor August 2025 in den Verkehr gebracht wurden, müssen diese noch bis spätestens zum 02. August 2027 vollständig mit den Vorgaben des AI-Acts in Einklang bringen.
Für risikobehaftete KI-Systeme, die bereits durch andere EU-Vorschriften reguliert sind, gelten die Hochrisiko-Vorschriften nach der Verschiebung durch den Digital Omnibus erst ab dem 02. August 2028. Für Bestandteile bestimmter älterer IT-Großsysteme läuft die Übergangsfrist zur Anpassung noch bis zum 31. Dezember 2030.
Unternehmen sollten kontinuierlich erfassen, welche KI-Systeme im Einsatz sind, verbotene Praktiken streng ausschließen und den Schulungsbedarf der Belegschaft decken. Bei der Einführung von KI-Richtlinien und entsprechenden Schulungskonzepten ist zudem eine etwaige Beteiligung des Betriebsrats zu berücksichtigen.
Ja, das Unterlassen von notwendigen KI-Compliance-Strukturen und Prüfprozessen stellt eine Verletzung der organschaftlichen Sorgfaltspflicht dar, die bei Verhängung von Sanktionen oder Entstehen von Regressschäden zu einer persönlichen Innenhaftung der Geschäftsführung gegenüber der Gesellschaft gemäß § 43 Abs. 2 GmbHG führen kann.
