KI-Verordnung und Vorgaben zur KI-Kompetenz: Aller Anfang ist schwer?

Die EU wird in Fragen, wie dem geo-ökonomischen Wettstreit der Großmächte, oftmals als Regulierungsgroßmacht bezeichnet. Diese Zuschreibung fußt auf der Größe und wirtschaftlichen Bedeutung des EU-Binnenmarktes mit seinen rund 450 Millionen Bürger*innen sowie auf der Bereitschaft und Notwendigkeit der EU ihren aus 27 Mitgliedstaaten bestehenden Binnenmarkt durch gemeinsame verpflichtende Normen und Standards zu „harmonisieren“ bzw. zu regulieren. Unter diesem Vorzeichen erscheint es folgerichtig, dass sich die EU-Kommission, die Europaabgeordneten und nationalen EU-Regierungen nach harten Verhandlungen Ende 2023 auf die weltweit erste umfassende Regulierung von KI-Systemen geeinigt haben: die KI-Verordnung. Das Gesetz trat im Sommer 2024 in Kraft und muss nun in mehreren Schritten umgesetzt werden. 

Seit dem 2. Februar 2025 gelten Kapitel I und II des Gesetzes, dazu zählen u.a. Verbote für eine Reihe manipulativer und zu gefährlicher Anwendungsfälle, sowie die Vorgaben zur KI-Kompetenz. 

Zunächst definiert die KI-Verordnung ein KI-System in Art. 3 (1) als: 

„ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können.“ 

Viele Punkte der Umsetzung sind aber aktuell, nach Geltungsbeginn, nach wie vor unklar. Art. 4 der KI-Verordnung gibt Folgendes vor:  

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.“ 

Die Begriffsbestimmungen werden in Art. 3 KI-VO erläutert. „Anbieter“ (Art. 3 (3)) sind vereinfacht ausgedrückt Akteur*innen, die KI-Systeme entwickeln und zur Nutzung anbieten. „Betreiber“ (Art. 3 (4)) sind, ebenfalls vereinfacht, Akteur*innen, die KI-Systeme verwenden.  

Art. 3 (56) definiert KI-Kompetenz als 

„[…] die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden.“ 

Wer KI-Systeme betreibt und nutzt muss laut Art. 3 und 4 KI-VO also wissen, wie die KI-Systeme korrekt einzusetzen sind und welche Möglichkeiten, Gefahren und Schäden bestehen bzw. entstehen können. Dabei spielt es neben dem Vorwissen der Personen eine Rolle, wofür KI-Systeme eingesetzt werden und welche Personen von der Nutzung der KI-Systeme betroffen sind. Generell gibt die KI-Verordnung vor, dass je größer die Risiken durch KI-Systeme für Personengruppen sein können, desto mehr Vorsicht geboten ist und desto mehr Vorgaben einzuhalten sind. 

Aus Sicht einer Organisation, die KI-Systeme betreibt oder nutzt, bleibt nichtsdestotrotz vermutlich aber weiterhin Vieles unklar. Welche Maßnahmen sind „nach besten Kräften“ ausreichend? Was ist ein ausreichendes Maß an Kompetenz? Wie genau sind Erfahrung, Ausbildung und der Kontext zu gewichten? Zumal z.B. Wohlfahrtsverbände, die KI-Systeme anbieten oder verwenden in vielen Anwendungsfällen in der Hochrisikokategorie der KI-Verordnung operieren.   

Sicher wäre es wünschenswert, wenn das Gesetz hier bereits konkretere Antworten liefern würde. Es wäre allerdings angesichts der Breite des Anwendungsbereichs des Gesetzes, sowie der Geschwindigkeit der Entwicklung und Verbreitung von KI-Systemen quasi unmöglich im Detail alles in der Verordnung festzuschreiben. Die KI-Verordnung der EU illustriert diese Entwicklungsgeschwindigkeit. Der horizontale Ansatz des Gesetzes, der KI-Systemen je nach Anwendungsbereichen in Risikokategorien einteilt, statt sektorspezifisch zu regulieren, sollte das Gesetz zukunftssicher machen. Während des Gesetzgebungsprozesses kamen dann allerdings General-Purpose-KI-Modelle – die eine Vielzahl von Verwendungsformen ermöglichen, wie bspw. große Sprachmodelle (Large Language Models) – auf den Markt und der Ansatz des Gesetzesvorschlags musste ergänzt werden.  

Ein Großteil der Detailarbeit wird nun in den Umsetzungsbehörden und Normierungsgremien geleistet. Das Deutsche Institut für Normung (DIN) und die europäischen Standardisierungsorganisationen erarbeiten zusammen mit Interessenvertreter*innen Normen und Standards. Die EU-Kommission richtet parallel ein KI-Büro ein, was die Umsetzung des Gesetzes begleiten soll. Das KI-Büro hat bereits sehr umfassende Leitlinien für die seit 2. Februar verbotenen KI-Anwendungen herausgegeben. Weitere Leitlinien zu den Inhalten der Verordnung sollen folgen. Das neu gegründete Büro muss allerdings noch weiteres Personal anstellen, um seinen Aufgaben gerecht werden zu können. Auch national sollen Behörden die Umsetzung der KI-Verordnung begleiten und überwachen. In Deutschland soll die Bundesnetzagentur diese Aufgabe übernehmen. Aber auch hier müssen erst die notwendigen Kapazitäten aufgebaut werden. Besserung und klarere Vorgaben sind also in Sicht, es ist aber noch Geduld gefragt. 

Die aktuellen Unsicherheiten sind also nach wie vor ein Hemmnis im Einsatz von KI-Systemen, nicht zuletzt da die KI-Verordnung bei Verstößen hohe Strafen vorsieht.