Welche Bedeutung hat KI-Kompetenz nach Art. 4 KI-VO für Unternehmen?
KI-Kompetenz ist einer der wichtigsten Bausteine für einen rechtssicheren und verantwortungsvollen Einsatz von künstlicher Intelligenz im Unternehmen. Art. 4 KI-VO macht deutlich, dass Unternehmen, die KI-Systeme anbieten oder betreiben, nicht nur auf die Technik schauen dürfen. Sie müssen auch sicherstellen, dass die Personen, die mit diesen Systemen arbeiten, deren Funktionsweise, Grenzen, Chancen und Risiken ausreichend verstehen.
Das betrifft nicht nur IT-Abteilungen oder spezialisierte KI-Teams. In vielen Unternehmen arbeiten inzwischen auch Mitarbeitende aus Vertrieb, Marketing, Personal, Einkauf, Recht, Compliance oder Kundenservice mit KI-Tools oder mit Ergebnissen, die durch KI erzeugt wurden. Gerade deshalb muss KI-Kompetenz breit gedacht werden. Wer KI nutzt, sollte verstehen, dass ein System nicht „weiß“, ob ein Ergebnis richtig ist, sondern anhand von Mustern arbeitet, Wahrscheinlichkeiten bildet und Inhalte erzeugen kann, die plausibel klingen, aber falsch seien können.
KI-Kompetenz bedeutet deshalb nicht, dass jeder Mitarbeiter zum technischen Experten werden muss. Es geht vielmehr um ein belastbares Grundverständnis: Was ist ein KI-System? Was kann es leisten? Wo liegen typische Fehlerquellen? Wann muss ein Ergebnis überprüft werden? Wann ist eine Freigabe erforderlich? Und wann müssen Auffälligkeiten oder Risiken gemeldet werden?
Für Unternehmen ist das zugleich eine Frage der Risikosteuerung. Viele Fehler beim KI-Einsatz entstehen nicht durch bewusste Regelverstöße, sondern durch fehlendes Verständnis. Mitarbeitende laden vertrauliche Informationen in nicht freigegebene Tools hoch, übernehmen KI-Ergebnisse ungeprüft oder nutzen generative KI für Zwecke, für die das Tool nicht vorgesehen ist. Eine strukturierte KI-Kompetenzschulung hilft, solche Risiken zu reduzieren und ein gemeinsames Verständnis für den sicheren Umgang mit KI zu schaffen.
Art. 4 KI-VO sollte daher nicht als isolierte Schulungsanforderung verstanden werden, sondern als Teil eines umfassenderen KI-Governance-Ansatzes. Schulungen, interne Richtlinien, Freigabeprozesse und klare Zuständigkeiten greifen hier ineinander. Unternehmen, die KI-Kompetenz frühzeitig aufbauen, schaffen die Grundlage dafür, KI rechtssicher und zugleich produktiv einzusetzen.
Was müssen Unternehmen beim Einsatz generativer KI rechtlich besonders beachten?
Generative KI ist für Unternehmen besonders attraktiv, weil sie sehr schnell in bestehende Arbeitsprozesse integriert werden kann. Sie unterstützt beim Formulieren von Texten, beim Zusammenfassen von Dokumenten, bei Übersetzungen, Recherchen, Präsentationen, Programmierung oder Ideenentwicklung. Gerade diese einfache Verfügbarkeit macht generative KI aber rechtlich anspruchsvoll. Häufig wird ein Tool bereits genutzt, bevor geklärt ist, ob es freigegeben ist, welche Daten eingegeben werden dürfen und für welche Zwecke es eingesetzt werden darf.
Rechtlich stehen beim Einsatz generativer KI mehrere Themen im Vordergrund. Zunächst geht es um Datenschutz und Vertraulichkeit. Personenbezogene Daten, Geschäftsgeheimnisse, Kundendaten, Vertragsunterlagen, interne Strategiepapiere oder sonstige vertrauliche Informationen dürfen nicht ohne vorherige Prüfung in externe KI-Tools eingegeben werden. Unternehmen müssen wissen, ob Eingaben gespeichert, zur Verbesserung des Systems verwendet, an Dritte weitergegeben oder außerhalb der EU verarbeitet werden.
Ein weiterer wichtiger Punkt ist die Qualität der Ergebnisse. Generative KI kann sehr überzeugend formulieren, aber trotzdem falsche, unvollständige oder verzerrte Inhalte erzeugen. Das betrifft nicht nur fachlich schwierige Fragen. Auch einfache Zusammenfassungen, Recherchen oder Textentwürfe können Fehler enthalten. Deshalb müssen Unternehmen festlegen, in welchen Fällen KI-Ergebnisse überprüft werden müssen und wer für die abschließende Freigabe verantwortlich ist.
Entscheidend ist auch der Zweck des Einsatzes. Ein generatives KI-System kann für einen unverbindlichen Textentwurf unproblematisch sein, darf aber nicht ohne Weiteres für Bewerberauswahl, Leistungsbewertung, Kreditwürdigkeit, Risikoscoring oder andere sensible Entscheidungsprozesse genutzt werden. Der rechtliche Rahmen hängt nicht allein vom Tool ab, sondern davon, wofür es konkret eingesetzt wird.
Zu berücksichtigen sind auch urheberrechtliche und haftungsrechtliche Fragen. Bei KI-generierten Texten, Bildern, Präsentationen oder sonstigen Inhalten muss geklärt werden, ob diese intern verwendet oder extern veröffentlicht werden dürfen. Besonders bei Kundenkommunikation, Marketingmaterial, Schulungsunterlagen oder Produktinformationen sollte nicht ungeprüft davon ausgegangen werden, dass KI-generierte Inhalte rechtlich unproblematisch sind.
Unternehmen brauchen daher klare Regeln: Welche Tools sind freigegeben? Welche Daten dürfen eingegeben werden? Für welche Zwecke ist der Einsatz erlaubt? Welche Ergebnisse müssen geprüft werden? Und wann müssen Recht, Datenschutz, Informationssicherheit oder Compliance einbezogen werden? Ohne solche Vorgaben bleibt der Einsatz generativer KI rechtlich schwer kontrollierbar.
Welche typischen Fehler machen Unternehmen derzeit beim Einsatz von ChatGPT, Copilot und ähnlichen Tools?
Ein häufiger Fehler besteht darin, dass Unternehmen generative KI technisch ermöglichen, aber organisatorisch nicht ausreichend steuern. Die Tools sind verfügbar, Mitarbeitende nutzen sie im Arbeitsalltag, aber es gibt keine klaren Vorgaben dazu, welche Daten eingegeben werden dürfen, welche Zwecke erlaubt sind und wie Ergebnisse zu prüfen sind. Das führt zu einem unkontrollierten Schatteneinsatz von KI.
Ein zweiter Fehler ist die Gleichsetzung von Verfügbarkeit und Zulässigkeit. Nur weil ein Tool einfach zugänglich ist, heißt das nicht, dass es für Unternehmensdaten, personenbezogene Daten oder vertrauliche Inhalte geeignet ist. Vor dem Einsatz müssen insbesondere Datenschutz, Informationssicherheit, Vertragsbedingungen, Speicherorte, Trainingsnutzung, Berechtigungskonzepte und Administrationsmöglichkeiten geprüft werden.
Auch die fehlende Trennung zwischen privater Nutzungserfahrung und beruflichem Einsatz ist häufig ein Problem. Viele Mitarbeiter kennen generative KI aus dem privaten Bereich und übertragen diese Nutzungsmuster auf den Unternehmenskontext. Im Unternehmen gelten aber andere Anforderungen. Dort geht es um Kundendaten, Geschäftsgeheimnisse, interne Informationen, regulatorische Pflichten und mögliche Haftungsrisiken.
Teilweise werden KI-Ergebnisse zudem unkritisch übernommen. Gerade weil generative KI sprachlich sehr souverän wirkt, werden Ergebnisse häufig zu schnell akzeptiert. Das ist riskant. KI kann Quellen erfinden, Zusammenhänge falsch darstellen, rechtliche oder technische Aussagen verfälschen und bestehende Vorurteile reproduzieren. Unternehmen müssen deshalb klarstellen, dass KI-Ergebnisse Arbeitshilfen sind und keine fachliche Prüfung ersetzen.
Zudem fehlt häufig eine Use-Case-Prüfung. Unternehmen betrachten KI-Tools oft nur als allgemeine Software. Die KI-Verordnung fragt aber genauer: Handelt es sich um ein KI-System? Welche Rolle nimmt das Unternehmen ein? Wird das System bestimmungsgemäß genutzt? Wird es angepasst? Wird es in einem sensiblen Bereich eingesetzt? Diese Fragen müssen pro Anwendungsfall beantwortet werden.
Schließlich fehlt häufig eine ausreichende Dokumentation. Unternehmen sollten nachvollziehen können, welche KI-Systeme eingesetzt werden, wer sie nutzt, welche Zwecke freigegeben sind, welche Daten verarbeitet werden und welche internen Kontrollen bestehen. Ohne diese Transparenz lässt sich KI-Compliance praktisch kaum steuern.
Wann kann der Einsatz oder die Anpassung eines KI-Systems zu einer Hochrisiko-Konstellation führen?
Die KI-Verordnung verfolgt einen risikobasierten Ansatz. Ob ein KI-System als Hochrisiko-KI-System einzustufen ist, hängt nicht nur von der eingesetzten Technologie ab, sondern vor allem vom konkreten Einsatzbereich und Zweck. Besonders sensible Bereiche sind unter anderem Beschäftigung und Personalmanagement, Bildung, Kreditwürdigkeit, kritische Infrastrukturen, bestimmte biometrische Anwendungen, Strafverfolgung, Migration sowie bestimmte sicherheitsrelevante Produktfunktionen.
Für Unternehmen ist vor allem wichtig, dass ein System nicht allein deshalb unproblematisch bleibt, weil es ursprünglich für einen allgemeinen Zweck eingeführt wurde. Ein generatives KI-Tool, das für Textentwürfe oder Zusammenfassungen genutzt wird, ist etwas anderes als ein System, das Bewerbungen vorsortiert, Mitarbeiter bewertet oder Bonitätsentscheidungen vorbereitet. Durch eine Änderung des Zwecks kann sich die rechtliche Einordnung erheblich verändern.
Ein Beispiel: Ein Unternehmen nutzt einen KI-Assistenten zunächst nur zur Formulierung interner Texte. Später entwickelt ein Fachbereich daraus ein internes Tool, das Bewerber anhand hochgeladener Lebensläufe bewertet und eine Rangfolge erstellt. Dann bewegt sich der Einsatz in einem besonders sensiblen Bereich des Personalmanagements. Die rechtliche Bewertung ist dann eine völlig andere als bei bloßer Textunterstützung.
Besondere Aufmerksamkeit verdient in diesem Zusammenhang Art. 25 KI-VO. Danach kann ein Unternehmen unter bestimmten Voraussetzungen selbst in die Anbieterrolle hineinrutschen. Das kann etwa dann passieren, wenn ein Hochrisiko-KI-System unter eigener Marke bereitgestellt wird, wenn ein bestehendes Hochrisiko-KI-System wesentlich verändert wird oder wenn die Zweckbestimmung eines bislang nicht hochriskanten Systems so geändert wird, dass es zu einem Hochrisiko-KI-System wird.
Deshalb brauchen Unternehmen klare Freigabeprozesse für neue KI-Use-Cases und für Änderungen bestehender Systeme. Mitarbeiter sollten nicht eigenständig KI-Agenten, Scoring-Modelle, automatisierte Entscheidungslogiken oder Bewertungsprozesse für sensible Bereiche entwickeln. Jede Änderung von Zweck, Datenbasis, Automatisierungsgrad oder Funktionsumfang sollte rechtlich, technisch, datenschutzrechtlich und organisatorisch geprüft werden.
Welche Rolle spielen Datenschutz, Informationssicherheit und interne Richtlinien beim KI-Einsatz?
Datenschutz und Informationssicherheit sind zentrale Voraussetzungen für einen rechtssicheren KI-Einsatz. In der Praxis überschneidet sich die KI-Verordnung mit der DSGVO, mit IT-Sicherheitsanforderungen, mit Geschäftsgeheimnisschutz, Arbeitsrecht, Urheberrecht, Vertragsrecht und branchenspezifischen Vorgaben.
Aus Datenschutzsicht müssen Unternehmen zunächst klären, ob personenbezogene Daten verarbeitet werden. Ist das der Fall, braucht es eine Rechtsgrundlage, eine klare Zweckbestimmung, angemessene Transparenz gegenüber den Betroffenen und geeignete technische und organisatorische Maßnahmen. Häufig wird zudem eine Datenschutz-Folgenabschätzung erforderlich sein.
Gerade beim Einsatz externer KI-Dienste stellen sich weitere Fragen: Wird der Anbieter als Auftragsverarbeiter tätig? Werden Daten außerhalb der EU verarbeitet? Werden Eingaben gespeichert oder zu Trainingszwecken genutzt? Gibt es Subdienstleister? Können Daten gelöscht werden? Welche Protokolle und Zugriffsmöglichkeiten bestehen? Diese Punkte müssen geprüft werden, bevor personenbezogene oder vertrauliche Daten in ein KI-System eingegeben werden.
Informationssicherheit ist ebenso wichtig. KI-Systeme können sensible Informationen verarbeiten, neue Angriffsflächen schaffen und durch Manipulation beeinflusst werden. Zugleich kann generative KI von Angreifern genutzt werden, um Phishing-Mails, Social Engineering, gefälschte Dokumente, Deepfakes oder überzeugende Betrugsversuche zu erstellen. Unternehmen müssen daher Zugriffsschutz, Berechtigungskonzepte, Datenklassifizierung, Protokollierung und Meldewege klar regeln.
Interne Richtlinien übersetzen diese Anforderungen in den Arbeitsalltag. Sie sollten klar festlegen, welche KI-Tools freigegeben sind, welche Daten eingegeben werden dürfen, welche Zwecke zulässig sind, wann Ergebnisse überprüft werden müssen und wann eine Fachstelle einzubeziehen ist. Außerdem sollten sie regeln, was bei Fehlern, Auffälligkeiten, Datenschutzbedenken oder Sicherheitsvorfällen zu tun ist.
Wie hilft eine KI-Kompetenzschulung dabei, die Anforderungen der KI-Verordnung praktisch umzusetzen?
Eine KI-Kompetenzschulung schafft ein gemeinsames Grundverständnis. Das ist entscheidend, weil KI inzwischen nicht mehr nur ein Thema für Spezialisten ist. Viele Mitarbeitende nutzen KI-Systeme direkt oder arbeiten mit Ergebnissen, die durch KI erzeugt wurden. Sie müssen nicht im Detail verstehen, wie ein Modell trainiert wurde. Sie sollten aber wissen, welche Risiken bei der Nutzung entstehen können und wie sie sich im Arbeitsalltag richtig verhalten.
Eine gute Schulung verbindet deshalb drei Ebenen: technisches Grundverständnis, rechtliches Risikobewusstsein und praktische Handlungsanleitung. Sie erklärt, was KI ist, wie generative KI funktioniert, warum Ergebnisse fehlerhaft sein können und welche typischen Risiken bestehen. Zugleich macht sie deutlich, welche internen Regeln gelten und welche Daten nicht in KI-Systeme eingegeben werden dürfen.
Besonders wichtig ist der Praxisbezug. Mitarbeitende müssen typische Situationen wiedererkennen: Darf ich einen Vertragstext in ein KI-Tool laden? Darf ich Bewerbungsunterlagen zusammenfassen lassen? Darf ich Kundendaten zur Analyse eingeben? Darf ich KI-generierte Texte extern veröffentlichen? Muss ich das Ergebnis prüfen? Wann brauche ich eine Freigabe? Solche Fragen entscheiden darüber, ob KI im Unternehmen sicher eingesetzt wird.
Eine KI-Kompetenzschulung hilft außerdem, Fehlanwendungen zu vermeiden. Sie sensibilisiert für Konfabulationen, Bias, Datenschutzrisiken, Informationssicherheit und Zweckbindung. Sie vermittelt, dass KI-Ergebnisse nicht ungeprüft übernommen werden dürfen und dass der Mensch weiterhin Verantwortung für die Nutzung und Weiterverarbeitung trägt.
Zudem unterstützt eine Schulung die Dokumentation und Nachweisführung. Unternehmen können zeigen, dass sie ihre Mitarbeiter systematisch informiert und sensibilisiert haben. Das ist ein wichtiger Bestandteil eines funktionierenden KI-Compliance-Systems. Entscheidend ist aber, dass die Schulung nicht isoliert bleibt. Sie muss mit Richtlinien, Freigabeprozessen, Zuständigkeiten und Meldewegen verbunden werden.
Welche Maßnahmen braucht es neben einer Schulung, um KI im Unternehmen rechtssicher einzusetzen?
Neben Schulungsmaßnahmen müssen Unternehmen den Einsatz von KI organisatorisch steuern. Der erste Schritt ist in der Regel eine Bestandsaufnahme. Unternehmen sollten wissen, welche KI-Systeme bereits eingesetzt werden, welche Tools Mitarbeitende informell nutzen und welche neuen KI-Projekte geplant sind. Ohne Transparenz über die vorhandenen Use Cases lässt sich der rechtliche Rahmen nicht zuverlässig anwenden.
Der zweite Schritt ist die rechtliche und technische Einstufung der einzelnen Anwendungsfälle. Für jeden Use Case sollte geprüft werden, ob die KI-Verordnung anwendbar ist, welche Rolle das Unternehmen einnimmt, welche Risikoklasse betroffen ist und welche zusätzlichen Anforderungen sich aus Datenschutz, Informationssicherheit, Arbeitsrecht, Urheberrecht oder Branchenregulierung ergeben.
Der dritte Schritt ist ein klarer Freigabeprozess. Neue KI-Anwendungen sollten nicht ungeprüft eingeführt werden. Das gilt besonders für Anwendungen in sensiblen Bereichen wie Personal, Kredit, Sicherheit, Gesundheit oder kritische Infrastruktur. Unternehmen sollten festlegen, wer neue KI-Use-Cases prüft, welche Informationen vorgelegt werden müssen und wer über die Freigabe entscheidet.
Der vierte Schritt ist die Zuweisung von Verantwortlichkeiten. KI-Compliance funktioniert nur, wenn klar ist, wer für welche Themen zuständig ist. In der Praxis braucht es eine Zusammenarbeit von Recht, Datenschutz, Informationssicherheit, IT, Einkauf, Compliance und den Fachbereichen. Sinnvoll ist häufig eine zentrale Stelle, die KI-Use-Cases bündelt, bewertet und die Umsetzung koordiniert.
Der fünfte Schritt betrifft Verträge und Lieferantensteuerung. Bei externen KI-Diensten müssen Vertragsbedingungen, Datenverarbeitung, Trainingsnutzung, Sicherheitsstandards, Subdienstleister, Haftung, Dokumentation und Informationsrechte geprüft werden. Unternehmen sollten außerdem sicherstellen, dass Anbieteränderungen, neue Funktionen oder geänderte Nutzungsbedingungen regelmäßig bewertet werden.
Der letzte Schritt ist die laufende Kontrolle. KI-Systeme verändern sich, Anbieter entwickeln ihre Produkte weiter und interne Einsatzszenarien können sich ausweiten. Deshalb müssen Freigaben, Richtlinien und Schulungsinhalte regelmäßig überprüft und aktualisiert werden. Außerdem braucht es Meldewege für Fehler, Auffälligkeiten, Datenschutzbedenken und Sicherheitsvorfälle.
Rechtssicherer KI-Einsatz bedeutet daher nicht, Innovation zu verhindern. Im Gegenteil: Klare Strukturen schaffen die Grundlage dafür, KI produktiv und verantwortungsvoll zu nutzen. Unternehmen, die frühzeitig Governance, Schulung, Datenschutz, Informationssicherheit und Freigabeprozesse verbinden, können die Chancen von KI besser ausschöpfen und zugleich rechtliche Risiken deutlich reduzieren.
Vielen Dank für das Gespräch!
TIPP:
Suchen Sie Unterstützung, um die Forderungen nach KI-Kompetenz in Ihrem Unternehmen umzusetzen? Christian Krösch steuert sein Fachwissen auch zu folgenden VdS-Angeboten bei, die Ihnen die Aufgabe wesentlich erleichtern können:
KI-Unterweisung für Mitarbeitende
VdS-Online-Seminar "KI im Unternehmen: Was die neue EU-Verordnung verlangt und wie Sie sie umsetzen"
