FAQ der EU-Kommission zur KI-Kompetenz

Mit dem Inkrafttreten der Verordnung (EU) 2024/1689, besser bekannt als KI-Verordnung (KI-VO), treten für Unternehmen und Organisationen in der EU, aber auch darüber hinaus, neue Pflichten in Kraft. Eine zentrale Bestimmung, die bereits seit dem 2. Februar 2025 zur Anwendung kommt, ist Artikel 4 der KI-VO. Dieser Artikel verpflichtet Anbieter und Betreiber von KI-Systemen, ein ausreichendes Maß an KI-Kompetenz (sog. „AI Literacy“) bei ihrem Personal und anderen Personen sicherzustellen, die in ihrem Namen mit KI-Systemen umgehen.

Um Orientierung in der praktischen Umsetzung dieser Pflicht zu geben, hat die EU-Kommission am 12. Mai 2025 einen ausführlichen Katalog von Fragen und Antworten (FAQ) veröffentlicht. Diese FAQs stellen zwar kein rechtlich verbindliches Recht dar, sondern sind als “Soft Law” zu verstehen, bieten aber wertvolle Einblicke in das Verständnis und die Erwartungen der Kommission.

Überblick über Art. 4 KI-VO

Als Schlüsselbestimmung verpflichtet Artikel 4 der KI-Verordnung Anbieter und Betreiber von KI-Systemen, für ausreichende KI-Kompetenz bei allen Personen zu sorgen, die unter ihrer Verantwortung mit solchen Systemen arbeiten – einschließlich externer Dienstleister oder Kunden. Ziel ist es, einen informierten und verantwortungsvollen Umgang mit KI zu gewährleisten. Die in Artikel 3 Nr. 56 definierte „KI-Kompetenz“ umfasst Wissen, Fähigkeiten und ein grundlegendes Verständnis der Chancen, Risiken und möglichen Schäden durch KI. Die Pflicht gilt für alle Organisationen, die KI-Systeme auf dem EU-Markt bereitstellen, in der EU verwenden oder deren Nutzung Auswirkungen auf Personen in der EU hat – unabhängig vom Standort.

Die FAQs betonen ausdrücklich den rechtlichen Charakter der Pflicht aus Artikel 4. Es handelt sich um eine konkrete Handlungspflicht. Unternehmen müssen zumutbare und erforderliche Maßnahmen ergreifen – symbolische Schulungen oder reine Absichtserklärungen reichen nicht aus.

Schulungsumfang zur KI-Kompetenz

Die FAQs empfehlen einen differenzierten, risikobasierten Ansatz: Inhalt und Tiefe der Schulung sollen sich an Rolle, Vorwissen und dem Nutzungskontext des KI-Systems orientieren. Ein “One size fits all”-Ansatz wird nicht empfohlen. Als Minimum sollten Anbieter und Betreiber folgendes sicherstellen:

• Ein grundlegendes Verständnis von KI in der Organisation (Funktion, Einsatz, Chancen, Risiken),
• Klärung der eigenen Rolle (Anbieter oder Betreiber),
• Einordnung der Risiken des eingesetzten Systems und wie sie gemindert werden können.

Die Berücksichtigung dieser Punkte schließt auch rechtliche und ethische Aspekte ein. Verbindungen zur EU-KI-Verordnung (Verständnis des Gesetzes) und zu ethischen Prinzipien und Governance werden ausdrücklich ermutigt. Selbst technisch versierte Mitarbeitende benötigen ggf. zusätzliche Kenntnisse zu den konkret eingesetzten Systemen und deren Risiken. Auch einfache Tools wie ChatGPT erfordern Sensibilisierung – etwa für Halluzinationen. Bei „Human-in-the-loop“-Systemen brauchen alle Beteiligten spezifische Fähigkeiten. Die KI-VO schreibt kein bestimmtes Schulungsformat vor. Organisationen haben Gestaltungsspielraum, sollten aber bedarfsgerechte Konzepte mit unterschiedlichen Schulungsniveaus und -formen entwickeln – insbesondere bei Hochrisiko-Systemen, wo verstärkte Aufsicht erforderlich ist.

Marktüberwachung & Sanktionen

Obwohl die Verpflichtung zur Ergreifung von Maßnahmen zur Sicherstellung der KI-Kompetenz bereits seit dem 2. Februar 2025 gilt, beginnen die Aufsichts- und Vollzugsvorschriften erst ab dem 3. August 2026 zu gelten. Zuständig für die Überwachung und Durchsetzung von Artikel 4 sind die nationalen Marktüberwachungsbehörden, die bis zum 2. August 2025 benannt werden müssen.

Eine formelle Nachweispflicht oder die Notwendigkeit eines spezifischen Zertifikats zur Einhaltung von Artikel 4 besteht nicht. Unternehmen sollten jedoch interne Aufzeichnungen über durchgeführte Schulungen und andere Initiativen führen. Dies dient der Nachvollziehbarkeit und kann im Streitfall hilfreich sein. Zu den möglichen Sanktionen zählen Bußgelder und andere Vollzugsmaßnahmen. Das entsprechende nationale Gesetz muss ebenfalls bis zum 2. August 2025 erlassen werden. Laut des FAQs sind Sanktionen sind wahrscheinlicher, wenn nachgewiesen werden kann, dass ein Vorfall auf mangelnde oder unzureichende Schulung und Anleitung zurückzuführen ist.

Keine Klärung des Haftungsrechts

Die FAQs äußern sich nur am Rande zur privaten Durchsetzung. Dies meint Fälle, in denen eine Privatperson Schaden erleidet und meint, dies sei auf die Nichteinhaltung der Pflichten aus Artikel 4 durch eine Organisation zurückzuführen, und die Organisation auf Schadensersatz verklagt. Allerdings schafft die KI-Verordnung selbst keine Straftatbestände oder ein Recht auf Entschädigung. Die Pläne einer separaten KI-Haftungsrichtlinie wurden (vorerst) verworfen. Zwar weisen die FAQs auf das Potenzial für private Rechtsdurchsetzung und mögliche zivilrechtliche Haftungsrisiken hin. Die genauen Voraussetzungen und Grenzen solcher Klagen sind aber nicht Gegenstand der FAQs.

Weitere offene Fragen

Neben den Unklarheiten zum Haftungsrecht lassen die FAQs weitere Fragen offen. Insbesondere bleibt unklar, wann genau ein Maß an KI-Kompetenz als “ausreichend” im Sinne der KI-VO gilt. Die Bewertung hängt stark vom Kontext, dem Schutzzweck sowie der Komplexität und dem Risiko des eingesetzten Systems ab, was zu einer gewissen Unbestimmtheit führt. Auch fehlen bisher sektorspezifische Standards oder konkrete Vorgaben für besonders sensible Bereiche wie das Gesundheitswesen oder die Finanzmärkte, obwohl betont wird, dass der Nutzungskontext relevant ist.

Fazit

Die FAQs der EU-Kommission zur KI-Kompetenz nach Artikel 4 KI-VO liefern wichtige Orientierung für Unternehmen und Organisationen, auch wenn sie nicht rechtsverbindlich sind. Organisationen sollten die verbleibende Übergangszeit bis August 2026 nutzen, um Maßnahmen zur KI-Kompetenz systematisch zu planen, umzusetzen und zu dokumentieren. Die Einbeziehung rechtlicher und ethischer Aspekte ist dabei ebenso wichtig wie die Anpassung an unterschiedliche Rollen. Auch ohne Zertifikatspflicht ist der Aufbau belastbarer Prozesse ein zentraler Erfolgsfaktor – nicht nur zur Erfüllung der rechtlichen Vorgaben, sondern auch zur Minimierung von Haftungsrisiken und zur Stärkung des Vertrauens im Umgang mit KI. Mit unserem „KI-Beauftragten“ bieten wir Ihnen eine ganzheitliche Unterstützung für eine rechtssichere, verantwortungsvolle und praxisnahe Umsetzung.