Artikel 4 des KI-Gesetzes verlangt nicht, dass jeder Mitarbeiter zum KI-Experten wird. Er verpflichtet Unternehmen, angemessene Maßnahmen zu ergreifen, damit die Personen, die in ihrem Namen KI nutzen, die Technologie, mit der sie arbeiten, deren Grenzen und die für ihre jeweilige Rolle relevanten Risiken verstehen.
Dieser Leitfaden richtet sich an Betreiber – Unternehmen, die KI-Systeme in eigener Verantwortung im Tagesgeschäft einsetzen. Dazu zählen KMU, die weit verbreitete KI-Tools nutzen, ebenso wie Organisationen, die KI in Personal-, Finanz-, Kundenservice-, Rechts-, Betriebs- oder andere interne Prozesse integrieren.
- KI-Nutzung prüfen
Identifizieren Sie die tatsächlich genutzten KI-Systeme, deren Zweck, die Mitarbeiter oder externen Mitarbeiter, die sie verwenden, sowie die dabei verarbeiteten Informationen.
Berücksichtigen Sie sowohl die vom Unternehmen offiziell eingeführten KI-Systeme als auch Tools, die Mitarbeiter eigenständig nutzen, wie ChatGPT, Copilot oder andere KI-Assistenten. Das Ergebnis sollte ein einfaches KI-Inventar sein, das Tool, Zweck, Nutzer und relevante Risiken darstellt.
- Risiken bewerten – Mitarbeiter nach ihrer KI-Nutzung gruppieren
Berücksichtigen Sie, was in jedem Anwendungsfall schiefgehen kann: Offenlegung vertraulicher oder personenbezogener Daten, ungenaue Ergebnisse, Probleme mit geistigem Eigentum, Diskriminierung, Automatisierungsverzerrung oder übermäßiges Vertrauen in KI.
Nicht jeder benötigt dasselbe Wissensniveau. Ein sinnvoller Ausgangspunkt ist die Unterscheidung zwischen:
- Allgemeine Nutzer – Mitarbeiter, die generative KI für Textentwürfe, Recherche, Übersetzung oder Zusammenfassungen nutzen.
- Professionelle Nutzer – Mitarbeiter, die KI in Personal-, Rechts-, Finanz-, Kundenservice- oder andere Geschäftsprozesse integrieren.
- Spezialisierte oder Hochrisiko-Nutzer – Personen, die KI-Systeme betreiben oder beaufsichtigen, die sich auf Einstellungen, Mitarbeiter, Kreditvergabe, Gesundheitsversorgung, Sicherheit oder andere individuelle Rechte auswirken können.
- Festlegen, was jede Gruppe wissen muss
Die Schulung sollte die mit jeder Rolle verbundenen Risiken widerspiegeln. Vermeiden Sie standardisierte Schulungen nach dem Einheitsprinzip. Mitarbeiter sollten wissen, welche KI-Tools sie nutzen dürfen, welche Daten sie eingeben dürfen, was sie überprüfen müssen, welche Entscheidungen nicht an KI delegiert werden dürfen und wann ein Problem gemeldet werden muss. Legen Sie klar fest, wer Ergebnisse überprüft, sensible Nutzungen genehmigt und Vorfälle bearbeitet.
Allgemeine Nutzer benötigen möglicherweise Hinweise zu Vertraulichkeit, personenbezogenen Daten, geistigem Eigentum, „Halluzinationen" und der Überprüfung von Ergebnissen.
Mitarbeiter, die KI in sensibleren Prozessen einsetzen, sollten außerdem die Bedeutung menschlicher Aufsicht, Diskriminierung, Systemgrenzen und der anwendbaren Verfahren verstehen.
- Einfache Maßnahmen umsetzen
Je nach Organisation können Maßnahmen zur KI-Kompetenz Folgendes umfassen:
- eine kurze KI-Richtlinie;
- praktische Schulungen;
- Regeln zu zulässigen und untersagten KI-Nutzungen;
- werkzeugspezifische Anweisungen;
- Überprüfungsverfahren;
- regelmäßige Aktualisierungen bei Einführung neuer KI-Tools.
Es gibt kein vorgeschriebenes Schulungsformat oder eine Zertifizierungspflicht nach Artikel 4. Die internen Regeln sollten die Verantwortlichkeiten klar zuweisen: Wer welche KI-Tools nutzen darf, wer die Ergebnisse überprüft, wer sensible Nutzungen genehmigt, wer Vorfälle bearbeitet und wer für die Meldung verantwortlich ist.
- Dokumentieren und aktualisieren
Führen Sie das KI-Inventar, interne Leitlinien, Schulungsunterlagen, Nachweise sowie relevante Mitteilungen an Mitarbeiter. Die Kommission bestätigt, dass kein Zertifikat erforderlich ist und dass Unternehmen die Konformität durch interne Aufzeichnungen zu Schulungen und anderen Orientierungsmaßnahmen dokumentieren können. Überprüfen Sie diesen Prozess anschließend erneut, wenn das Unternehmen ein neues KI-System einführt oder die Nutzung eines bestehenden Systems wesentlich ändert.
Für KMU muss KI-Kompetenz keine weitere aufwendige Compliance-Übung werden. Gehen Sie in kleinen Schritten vor: Lernen Sie Ihre KI und Ihre Nutzer kennen, identifizieren Sie die Risiken, geben Sie Ihren Mitarbeitern praktische Hinweise und dokumentieren Sie, was Sie tun.