EU AI Act – Schulungspflicht rechtssicher umsetzen

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung von künstlicher Intelligenz (KI) in der Europäischen Union. Es teilt KI-Anwendungen nach ihrem Risiko in verschiedene Stufen ein, von minimal bis inakzeptabel, um Sicherheit und Grundrechte zu schützen. Ziel ist es, Vertrauen in KI zu schaffen, Innovation zu fördern und einen einheitlichen rechtlichen Rahmen für Unternehmen zu etablieren.

Der EU AI Act verlangt, dass Unternehmen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenzen verfügt, insbesondere beim Einsatz von Hochrisiko-KI-Systemen. Diese seit Februar 2025 geltende Pflicht zur „AI Literacy“ soll gewährleisten, dass Mitarbeitende die Funktionsweise, Risiken und rechtlichen Rahmenbedingungen verstehen. Ein Mangel an nachweisbarer Schulung kann als Verletzung der Sorgfaltspflicht und als Haftungsrisiko gewertet werden.

Der EU AI Act gilt für alle Akteure, die KI-Systeme in der EU entwickeln, auf den Markt bringen oder nutzen, unabhängig von ihrem Standort. Das betrifft sowohl große Konzerne als auch kleine und mittlere Unternehmen (KMU) sowie den öffentlichen Sektor. Entscheidend ist nicht die Unternehmensgröße, sondern die Tatsache, dass ein KI-System innerhalb der EU eingesetzt wird oder dessen Nutzung Auswirkungen auf Menschen in der EU hat.

Bei Verstößen gegen den EU AI Act drohen hohe Bußgelder, die je nach Schwere des Verstoßes gestaffelt sind. Für die Nutzung verbotener KI-Praktiken können Strafen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes verhängt werden. Andere Pflichtverletzungen, etwa bei Hochrisiko-Systemen, können mit bis zu 15 Millionen Euro oder 3 % des Umsatzes geahndet werden.

Künstliche Intelligenz (KI) ist die Fähigkeit von Computersystemen, menschenähnliche Aufgaben wie Lernen, Problemlösung und Entscheiden auszuführen. Typische Beispiele aus dem Alltag sind Sprachassistenten wie Siri, personalisierte Empfehlungen von Streaming-Diensten und Navigations-Apps. In Unternehmen wird KI zum Beispiel in Chatbots für den Kundenservice oder zur Optimierung von Produktionsprozessen eingesetzt.

Ein KI-Sprachmodell wie ChatGPT basiert auf künstlichen neuronalen Netzen und wurde mit riesigen Mengen an Textdaten aus dem Internet trainiert. Es lernt dabei, Muster, Strukturen und Zusammenhänge in der Sprache zu erkennen. Wenn es eine Anfrage erhält, berechnet es Wort für Wort die wahrscheinlichste Abfolge, um eine passende und kohärente Antwort zu generieren, ohne den Inhalt im menschlichen Sinne zu „verstehen“.

Der EU AI Act und die Datenschutz-Grundverordnung (DSGVO) sind zwei sich ergänzende Regelwerke, die oft parallel gelten. Während die DSGVO den Schutz personenbezogener Daten bei jeder Art von Verarbeitung regelt, stellt der AI Act spezifische Anforderungen an die KI-Systeme selbst, wie Transparenz und Sicherheit. Unternehmen, deren KI-Systeme personenbezogene Daten verarbeiten, müssen daher die Vorschriften beider Verordnungen einhalten.

Zu den größten ethischen Risiken von KI zählen Diskriminierung durch voreingenommene Daten (Bias), mangelnde Transparenz und Nachvollziehbarkeit von Entscheidungen sowie die Frage der Verantwortung. Ein praktisches Problem entsteht, wenn eine KI bei Bewerbungsverfahren systematisch bestimmte Personengruppen benachteiligt. Auch die unbemerkte Manipulation von Nutzenden oder die Verletzung der Privatsphäre durch Überwachungstechnologien sind zentrale ethische Herausforderungen.

Grundsätzlich haftet das Unternehmen, das ein KI-System einsetzt und dessen Ergebnisse verwendet (der Betreiber), für dadurch entstehende Schäden. Die KI selbst ist nur ein Werkzeug. Je nach Fall kann auch der Hersteller des KI-Systems im Rahmen der Produkthaftung zur Verantwortung gezogen werden. Eine Verletzung der Sorgfaltspflicht, etwa durch unzureichend geschulte Mitarbeitende, kann die Haftung des einsetzenden Unternehmens begründen.

Um KI DSGVO-konform zu nutzen, müssen Datenschutzprinzipien wie Datenminimierung, Zweckbindung und Transparenz von Beginn an beachtet werden („Privacy by Design“). Das bedeutet, nur die notwendigen personenbezogenen Daten zu verarbeiten und Betroffene klar über den KI-Einsatz zu informieren. Zudem ist oft ein Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter nötig und es müssen technische Maßnahmen zum Schutz der Daten getroffen werden.