Im Nachgang zu unserer Kommunikation zum unserem neuen Webinar “KI clever nutzen — Datenschutz- und Sicherheitsrisiken vermeiden” für unsere Datenschutz- und Informationssicherheit-Stammkunden erreichten uns einige Nachfragen zur sog. “KI-Kompetenz” im Rahmen des EU AI Act (auf Deutsch KI-VO).
Der EU AI Act ist seit August 2024 in Kraft. Am 02. Februar 2025 wird dieser nun in den ersten abgestuften Anforderungen wirksam. Damit ist für erste Punkte die Übergangszeit vorbei, in der sich Organisationen auf die neuen rechtlichen Anforderungen vorbereiten konnten. Zu diesen ersten Punkten gehört u.a. der Artikel 4 der KI-VO, die sog. “KI-Kompetenz”. Was es damit eigentlich auf sich hat, haben wir Ihnen hier zusammengestellt.
Spoiler: Es gibt zeitnahen Handlungsbedarf für alle Organisationen, die ihren Mitarbeitenden (externe und interne) KI-Tools im Arbeitsalltag an die Hand geben!
Ein weit verbreiteter Irrglaube: Der AI Act betrifft nur Anbieter von KI-Systemen wie OpenAI
Natürlich haben die politischen Entscheidungsträger auch die Anbieter der zahlreichen KI-Systeme wie ChatGPT und andere Branchengrößen im Blick gehabt. Aber nicht nur. Und da wird es für jeden Arbeitgeber jetzt schnell eng. Deutlich wird das bereits bei den Definitionen in Artikel 3 des AI Act. Unter der Nummer 56 findet sich dort eine Definition des Begriffs KI-Kompetenz:
“KI-Kompetenz: Fähigkeiten, Kenntnisse und Verständnis, die es Anbietern, Anwendern und Betroffenen ermöglichen, KI-Systeme unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung in Kenntnis der Sachlage einzusetzen und sich über die Chancen und Risiken von KI und mögliche Schäden, die sie verursachen kann, bewusst zu werden.“
Verpflichtung zur „KI-Kompetenz“ (Artikel 4 AI Act)
Im Artikel 4 des AI Act finden sich dazu weitere Ausführungen:
„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach bestem Wissen und Gewissen sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ausreichende KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Weiterbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, berücksichtigt werden.“
Anbieter und Betreiber von KI‑Systemen müssen gemäß der KI-VO ab dem 02. Februar 2025 sicherstellen, dass eigenes Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI‑Systemen befasst sind, über ein ausreichendes Maß an sog. KI‑Kompetenz verfügen. Nun sollte man nicht dem vorschnellen Trugschluss unterliegen, dass die eigenen Mitarbeiter ja weder Anbieter noch Betreiber sind. Hier lohnt der erneut neugierige Blick in die Definitionen.
Denn Arbeitgeber, die ein KI-System entwickeln (lassen) und unter eigenem Namen in Verkehr bringen oder in Betrieb nehmen, gelten dabei als Anbieter. Das trifft derzeit noch nicht auf allzu viele Organisationen zu. Sieht ein Arbeitgeber dagegen jedoch vor, fremdentwickelte KI-Systeme (z.B. bekannte Cloud-Dienste wie ChatGPT oder MS Copilot) den eigenen Mitarbeitern als Tool zur Nutzung im Arbeitsalltag bereitzustellen, gilt er als Bereitsteller bzw. Betreiber im Sinne der KI-VO. Und welche Organisation beschreitet derzeit nicht diesen Weg? Nicht umsonst spricht man von einem derzeitigen „KI-Hype“.
Art. 3 Nummer 4 AI Act: „Bereitsteller: eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System unter ihrer Aufsicht einsetzt, es sei denn, das KI-System wird im Rahmen einer persönlichen, nicht beruflichen Tätigkeit verwendet.“
Eine Beschränkung auf eine bestimmte Mitarbeiter- oder Nutzeranzahl gibt es in der KI-VO übrigens nicht. Alle Arbeitgeber, die KI-Systeme einsetzen, sind verpflichtet, entsprechend ihren verfügbaren Ressourcen und technologischen Möglichkeiten angemessene Maßnahmen im Sinne der KI-VO und zur KI-Kompetenz zu ergreifen. Uff.
Was bedeutet nun dieses „KI-Kompetenz“?
Artikel 3 Nummer 56 haben wir bereits weiter oben kennengelernt. An dieser Definition muss sich nun orientieren, was ein Arbeitgeber im Hinblick auf Mitarbeitende umzusetzen und kontinuierlich sicherzustellen hat, die ein internes oder externes KI-Tool nutzen. Eine konkrete Anleitung oder idealerweise Checkliste liefert uns die Verordnung allerdings nicht. Das wäre zu schön gewesen. Hinzu kommt, dass sich das Thema KI rasant weiterentwickelt. Die geforderte bzw. geschaffene KI-Kompetenz ist daher weder statisch noch einmalig, sondern dynamisch zu verstehen. Diese muss mit dem Entwicklungstempo Schritt halten.
Das Projekt „AI Comp“ der Dualen Hochschule Baden-Württemberg hat im Rahmen einer Studie die verschiedenen für eine KI-Nutzung und Entwicklung erforderlichen Kompetenzfelder erarbeitet. Die Ergebnisse sind natürlich nicht rechtlich bindend. Ignorieren sollte man diese dennoch lieber nicht. Denn sie sind eine hilfreiche Unterstützung für die Entwicklung einer eigenen KI-Strategie und den Aufbau der benötigten KI-Kompetenz. Hier ein paar Auszüge, die unserer Meinung nach für den Aufbau von KI-Kompetenz bei Ihren Anwendern / Mitarbeitenden relevant sein sollten:
- Aktivitäts- und Umsetzungskompetenz: Nutzer sollen KI-Grundlagen beschreiben, Anwendungsfälle identifizieren, KI-Systeme zur Problemlösung nutzen, Ergebnisse analysieren, innovative Prozesse entwickeln, deren Effektivität bewerten und ihr Team bei der Umsetzung neuer KI-Strategien führen.
- Systemdesignkompetenz: Nutzer sollen Grundfunktionen von KI-Systemen benennen, deren Eignung für Arbeitsprozesse analysieren, kritische Bewertungen vornehmen und einen auf ihre Tätigkeiten zugeschnittenen Integrationsplan entwickeln.
- (Kreative) Problemlösungskompetenz: Nutzer sollen kreative KI-Prinzipien anwenden, Standardprobleme in simulierten Situationen lösen, Problemlösungsstrategien bewerten und Ansätze für komplexe, technisch und menschlich geprägte Probleme entwickeln.
- Kritische digitale Kompetenz: Nutzer sollen die Datenverarbeitung von KI-Systemen im Kontext von Anwendungsfällen analysieren, deren Datenverwendung kritisch bewerten und langfristige ethische sowie strukturelle Auswirkungen auf Organisationen reflektieren.
- Entscheidungskompetenz: Nutzer sollen KI-Systeme identifizieren, deren Funktionen verstehen, einfache Entscheidungen auf Basis von KI-Vorschlägen treffen, komplexe Szenarien bewerten und fundierte Entscheidungen unter Abwägung verschiedener Optionen treffen.
- Selbstwirksamkeit: Nutzer sollen die Grundlagen von KI verstehen, einfache Aufgaben selbstständig ausführen, die Eignung von KI-Systemen für komplexe Fragestellungen bewerten und geeignete Handlungsstrategien entwickeln.
- Kritisches Denken: Nutzer sollen KI-Systeme identifizieren, deren Funktionen verstehen, Auswirkungen auf Entscheidungen analysieren, kritische Bewertungen vornehmen und ethische sowie soziale Einflüsse bewerten.
- Selbststeuerung und Selbstmanagement: Nutzer sollen KI-Systeme für persönliche und berufliche Aufgaben nutzen, ihre Tätigkeiten entsprechend ihrer kognitiven Belastung planen und KI-Systeme analysieren, bewerten und individuell anpassen, um ihre Effizienz zu steigern.
- Selbstbestimmtheit (Autonomie): Nutzer sollen die Einflüsse von KI auf Autonomie verstehen, einfache Tools bewusst einsetzen, komplexe Systeme kritisch analysieren und Strategien für eine ausgewogene, selbstbestimmte Nutzung entwickeln.
- Ethische Kompetenz: Nutzer sollen ethische Dilemmata in KI-Anwendungen erkennen, beschreiben, deren Auswirkungen analysieren und verantwortungsbewusste Entscheidungen treffen.
- Kooperationskompetenz: Nutzer sollen die Rolle von KI in Kooperationen beschreiben, Wissen anwenden, effektive Kooperationsstrategien entwickeln und Teamdynamiken analysieren.
- Kommunikationskompetenz: Nutzer sollen KI-Grundlagen und typische Anwendungsfälle benennen, Auswirkungen auf die Gesellschaft analysieren und ihre Ansichten klar kommunizieren.
Danke an ChatGPT für die Zusammenfassung. Ihnen schwirrt der Kopf? Uns auch 🙂
Wir haben bewusst etwas intensiver aus der Studie zitiert. Einfach mal „irgendwas mit KI“ einzuführen und zu nutzen, scheint kein guter Weg zu sein. Aber das war Ihnen ja auch schon klar. Umsetzungs‑, Problemlösungs‑, Digital‑, Entscheidungs‑, Denk‑, Kooperations- und Kommunikationskompetenz sind keine auf das Einsatzfeld KI beschränkte Anforderungen. Im Gegenteil: Diese betreffen eigentlich das komplette tägliche Geschehen und Handeln in Organisationen. Von daher verliert die Aufzählung etwas ihren Schrecken, da die genannten Kompetenzen bei Ihren Mitarbeitenden eigentlich so oder so schon vorhanden sein sollten.
Zusammenfassend kann gesagt werden: KI-Kompetenz bedeutet die Fähigkeit, mit KI-Systemen fundiert umzugehen, ihre Potenziale und Risiken zu erkennen und auf dieser Grundlage verantwortungsvolle Entscheidungen zu treffen.
Und da kommen wir zur eigentlichen Herausforderung: Dies für die eigenen Mitarbeitenden sicherzustellen, ist rechtliche Verpflichtung für jeden Arbeitgeber, dessen Mitarbeitende KI-Tools nutzen.
Wann ist eine ausreichende KI-Kompetenz erreicht?
Mangels konkreter Aufzählungen, wie ein “ausreichendes Maß” an KI-Kompetenz zu erreichen ist und ab wann es als erfüllt gilt, muss man sich daher als Arbeitgeber selbst Gedanken machen und ein passendes Konzept entwickeln. Der Fokus sollte darauf liegen, Mitarbeitenden die notwendigen Fähigkeiten, Kenntnisse und das Verständnis für die Nutzung der im Einsatz befindlichen bzw. geplanten KI-Tools zu vermitteln, um die Anforderungen der Verordnung zu erfüllen.
“Eine Lösung für Alles” wird es dafür nicht geben. Der konkrete Umfang an einmaligen und wiederkehrenden Aktivitäten im Zuge der KI-Strategie und Kompetenz hängt vielmehr von den Gegebenheiten in der jeweiligen Organisation ab. Dabei gilt es insbesondere, die Branche des Arbeitgebers, den Einsatzbereich des KI-Systems und die damit verbundenen Risiken zu berücksichtigen. Auch die technischen Kenntnisse der Mitarbeitenden sowie deren Ausbildung und Erfahrung sowie der Kontext, in dem KI-Systeme eingesetzt werden sollen, spielen eine sehr entscheidende Rolle.
Sind wir wieder bei einfach “irgendwas mit KI” machen, ist keine gute Idee. Aber das ist es auch nicht ohne die rechtliche Anforderung zum Aufbau und Erhalt von KI-Kompetenz.
Ein mögliches Konzept zum Aufbau der notwendigen KI-Kompetenz
Wie könnten die ersten Schritte für die Entwicklung und Umsetzung eines solchen Konzepts zum Aufbau und Erhalt der notwendigen KI-Kompetenz ausschauen? Hier ein unverbindlicher Vorschlag:
- Prüfen und bewerten, in welchen Handlungsfeldern der Einsatz von KI in Ihrer Organisation überhaupt sinnvoll ist. Beachten Sie bitte: KI ersetzt keine Versäumnisse im Organisations- und Prozessmanagement. KI kann durchaus mehr Probleme verursachen als lösen.
- Leitlinien und Richtlinien zu den gewählten KI-Tools und Einsatzfeldern entwickeln.
- Schulungsbedarf ermitteln: Welche KI-Systeme kommen konkret zum Einsatz? Wie risikoreich ist deren Einsatz? Wer wird diese Systeme nutzen? Welches Wissen und welche Fertigkeiten im Hinblick auf die KI-Nutzung und die og. Kompetenzfelder ist bei den angedachten Nutzern vorhanden?
- Konkrete Arbeitsanweisungen und Hilfestellungen erstellen. Bitte an die Usability denken. Und diese sind keine Holschuld der Mitarbeitenden, sondern eine Bringschuld des Arbeitgebers.
- KI-Schulungskonzept entwerfen: Unterteilt nach allgemeinen Schulungen (Grundkenntnissen KI, generelle Funktionsweise, allgemeine Probleme und Risiken bei der Nutzung von KI sowie rechtliche sowie ethische Aspekte der KI-Nutzung) und organisationsindividuelle Vertiefungen (Bedienung der spezifischen Anwendungen, Datennutzung, Umgang mit den Arbeitsergebnissen, Datenschutz und Informationssicherheit und Urheberrecht in Bezug auf die Inputs / Outputs, kontinuierliches Feedback und Verbesserungspotentiale). Das Schulungskonzept ist keine einmalige Sache, sondern ein kontinuierlicher wiederkehrender Prozess, der einem PDCA-Zyklus unterliegt.
- Aufbau von grundlegendem KI-Know-How bei ausgewählten Mitarbeitenden zur Weiterentwicklung der KI-Strategie Ihrer Organisation.
Wie geschrieben, nur ein Vorschlag.
Braucht es nun zwingend einen KI-Officer oder KI-Beauftragten?
Ausbildungen zum KI-Officer schießen derzeit wie die Pilze aus dem Boden. In beruflichen Netzwerken schmücken sich immer mehr Profile damit. Unbestritten: Es braucht eine oder mehrere Personen (je nach Organisationsgröße), die sich mit dem KI-Einsatz in der eigenen Organisation aktiv und mit ausreichend Ressourcen auseinandersetzen, die notwendigen Schritte einleiten und strategisch weiterentwickeln. Dazu benötigen diese Personen entsprechendes Fachwissen (allgemein und zu den einzusetzenden Tools), Zeit und Ressourcen. Mit der Benennung eines KI-Officer ist es also allein nicht getan. Es ist vielleicht auch nicht ratsam, der Doppelrolle DSB / ISB zusätzlich die Last der KI-Strategie und Umsetzung aufzuerlegen. Es kann gut sein, dass die Doppelrolle bereits auf Anschlag fährt. Da war doch gerade was mit ausreichend Ressourcen. Widerstehen Sie bitte diesen Versuchungen nach dem Motto “Hauptsache benannt” 🙂
Muss denn jemand haften, wenn wir uns nicht an die gesetzliche Forderung zum Aufbau von KI-Kompetenz kümmern (können / wollen)?
Der AI Act sieht keine konkreten Haftungsregeln für das Ignorieren von Art. 4 AI Act vor. Somit drohen keine unmittelbaren Geldstrafen.
Bitte nicht zu früh freuen. Ja, wir sind’s, die Spaßbremsen.
Sollte durch eine fehlerhafte Bedienung eines KI-Systems ein Schaden entstehen, kann dies als Verstoß gegen die allgemeine Sorgfaltspflicht des Arbeitgebers ausgelegt werden. Und hätte der Schaden durch den Aufbau von KI-Kompetenz vermieden werden können, dann gilt das allgemeine Haftungsrecht. Übrigens für öffentliche Stellen ebenso wie für nicht-öffentliche Stellen.
Auch ohne drohende direkte Sanktionen sollten Arbeitgeber die Pflicht zum Aufbau der KI-Kompetenz ernst nehmen. Durch die Etablierung eines umfassenden Schulungskonzepts können nicht nur die regulatorischen Vorgaben erfüllt werden, sondern auch die sichere, verantwortungsvolle und vor allem zielführende Nutzung von KI-Systemen gefördert werden. Letztlich bietet die Sicherstellung von KI-Kompetenz nicht nur rechtliche Absicherung, sondern auch den klaren Vorteil, dass gut geschulte Mitarbeitende KI-Systeme effizienter und risikoärmer einsetzen können.
Was soll schon passieren? Na, dann werfen Sie mal die Suchmaschine Ihrer Wahl mit den Suchbegriffen “KI fail” an und staunen Sie.
Nicht vergessen: Datenschutz und Informationssicherheit
Das Nutzen von KI-Tools ist fast unmöglich, ohne mit den (rechtlichen) Anforderungen aus Datenschutz und Informationssicherheit konfrontiert zu werden. Von daher ist es ratsam, frühzeitig (also bereits in der Planungsphase und nicht erst 2h vor Start der aktiven Nutzung) die Rollen des Datenschutz- und Informationssicherheitsbeauftragten einzubinden.
Reicht das a.s.k.-Webinar „KI clever nutzen – Datenschutz- und Sicherheitsrisiken vermeiden“ zum Erwerb der KI-Kompetenz aus?
Nein.
Ok, etwas ausführlicher. Im Rahmen Ihrer Strategie zum Aufbau der benötigten KI-Kompetenz ist das von uns erstmalig im Februar 2025 stattfindende Webinar ein Mosaikstein. Ein Einstieg, mehr aber auch nicht. Das Webinar wird alleine nicht ausreichend sein, da die notwendigen Kompetenzen sehr von den bei Ihnen eingesetzten Systemen und Zwecken sowie den Kenntnisständen der Mitarbeitenden abhängen. Als Schulungsangebot „allgemeine Schulung“ zum Thema KI können wir das Webinar jedoch empfehlen.
Weitere Termine sind: 19.03., 30.04. und 24.06.2025. Jeweils von 09:00 bis 10:30 über unsere Webinar-Plattform.
Sie sind kein Stammkunde von uns, würden Ihre Mitarbeitenden jedoch gerne durch uns schulen lassen? Kein Problem. Schreiben Sie uns einfach eine Mail.
Hahn IT Services, Schwaig
No responses yet