Der sog. AI-Act der EU – auch als KI-Verordnung oder als KI-Gesetz bezeichnet – ist bereits letztes Jahr am 01.08.2024 in Kraft getreten. Die relevanten Pflichten aus dem AI-Act treten aber erst nach und nach in Kraft, u.a. zum 02.02.2025, zum 02.08.2025 und am 02.08.2026.
Bei dem AI-Act handelt es sich um eine EU-Verordnung, die unmittelbar in allen Ländern der EU in Kraft tritt und – vergleichbar mit der DSGVO oder dem Digital Services Act (DSA) – keiner Umsetzung in ein deutsches Gesetz bedarf.
In der Presse und speziell in den sozialen Medien ist in letzter Zeit eine Diskussion über eine am 02.02.2025 in Kraft tretende Pflicht entbrannt, und zwar über die Verpflichtung aus Art. 4 des AI-Acts.
Der in der Diskussion stehende Art. 4 des AI-Acts verpflichtet „Anbieter“ und „Betreiber“ von KI-Systemen dazu, dass sie dafür Sorge tragen müssen, dass ihre Mitarbeiter – unabhängig davon, ob es sich um Arbeitnehmer oder freie Mitarbeiter handelt – über ein ausreichendes Maß an KI-Kompetenz verfügen. Sprich: Die Mitarbeiter müssen zu KI-Themen geschult werden.
Diskutiert wird nun die Frage, ob davon alle Unternehmen betroffen sind, die KI in irgendeiner Form einsetzen oder ihren Mitarbeitern erlauben, KI zur Bewältigung von Arbeitsaufgaben zu benutzen, egal ob es sich um ein Large Language Model wie ChatGPT handelt oder um sog. Diffusion Models, wie z.B. Midjourney oder DALL-E.
Die Pflicht aus Art. 4 AI-Act adressiert zunächst die Anbieter von KI-Systemen. Nach der Definition des Anbieters in Art. 3 Nr. 3 AI Act fallen darunter Unternehmen, die KI-Systeme oder KI-Modelle entwickeln und in Verkehr bringen. Im Falle von ChatGPT wäre also der „Anbieter“ im Sinne dieser Vorschrift OpenAI.
Die Pflicht aus Art. 4 AI Act trifft aber auch den „Betreiber“. Nach Art. 3 Nr. 4 AI-Act ist der „Betreiber“ eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird nur zur persönlichen und nicht zur beruflichen Tätigkeit verwendet.
Legt man diese Definition weit aus, so würde tatsächlich z.B. jegliches Unternehmen darunterfallen, das den Einsatz von KI im Unternehmen ermöglicht.
Allerdings wird anhand des Tatbestandsmerkmals „in eigener Verantwortung“ geschlussfolgert, dass damit nicht jegliche Unternehmen, deren Mitarbeiter KI nutzen, gemeint sind. Hiernach gelten nur Unternehmen als „Betreiber“, die „Kontrolle“ über das eingesetzte KI-System haben. Ein Unternehmen, das ein KI-System lediglich als „Black Box“ einsetzt, ohne die Funktionsweise und die Auswirkungen zu verstehen oder zu beeinflussen, dürfte deshalb nicht als „Betreiber“ im Sinne des AI-Acts gelten.
Auch ein Unternehmen, das seinen Mitarbeitern z.B. die Nutzung von ChatGPT oder Midjourney als Arbeitshilfe gestattet, dürfte daher noch kein „Betreiber“ sein. Setzt das Unternehmen aber z.B. eigene, bei ChatGPT erstellte sog. GPTs, die auf eine eigene Wissensdatenbank zugreifen, ein und bindet diesen eigens erstellten GPTs über eine Schnittstelle z.B. zur Beantwortung von Kundenanfragen auf die eigene Webseite ein, sieht dies wahrscheinlich anders aus.
Die Beantwortung dieser Frage ist also nicht einfach. Da der AI-Act so konzipiert ist, dass jedes Unternehmen anhand der gesetzlichen Regelungen sich selbst einstufen und einschätzen muss, bedeutet dies natürlich, dass jedes Unternehmen anhand dieser leider sehr unscharfen Kriterien prüfen sollte, ob er unter den Begriff des „Betreibers“ fallen kann oder nicht.
Fällt ein Unternehmen unter den Begriff des „Betreibers“, so muss es konkrete Maßnahmen zur Förderung der KI-Kompetenz seiner Mitarbeiter in die Wege leiten. Zu diesen Maßnahmen können die Durchführung von Schulungen oder Workshops gehören, aber auch die Entwicklung interner Richtlinien, in denen klare Vorgaben für den Einsatz von KI-Systemen im Unternehmen festgehalten werden. Sollte ein Unternehmen unsicher sein, wie es sich selbst einzuschätzen hat und daher sicherheitshalber z.B. Fortbildungsmaßnahmen seiner Mitarbeiter ins Auge fassen, ist gleichwohl kein Grund zur Hektik, obwohl die Pflicht bereits Anfang Februar greift:
Aktuell steht noch gar nicht fest, welche Behörde in Deutschland die Umsetzung und Einhaltung der Pflichten aus dem AI-Act überwachen wird. Es ist auch nicht wahrscheinlich, dass dies noch vor der anstehenden Bundestagswahl geschehen wird.
Auch wenn Verstöße gegen die Pflichten aus dem AI-Act theoretisch mit Bußgeldern sanktioniert werden können, so gibt es also aktuell noch gar keine Behörde in Deutschland, die diese Bußgelder verhängen könnte.