Kernpunkte & Schnellleser-Modus
- Gesetzliche Schulungspflicht seit 2. Februar 2025: Alle Mitarbeiter, die im Betrieb KI-Systeme (auch ChatGPT, Copilot etc.) nutzen, müssen über grundlegende KI-Kompetenz verfügen.
- Vermeidung von Datenabfluss & DSGVO-Verstößen: Durch bereitgestellte Profi-Accounts mit Auftragsverarbeitungsvertrag (AVV) und deaktiviertem KI-Training.
- Praktischer Umsetzungsweg für den Mittelstand: Errichtung klarer Richtlinien (Erlaubnisvorbehalt) kombiniert mit dokumentierten, nachweisbaren Mitarbeiterschulungen.
Die Einführung künstlicher Intelligenz bietet enorme Potenziale für Effizienz und Automatisierung. Allerdings wachsen damit auch die regulatorischen Anforderungen an Unternehmen drastisch. Seit dem 2. Februar 2025 gilt in Europa eine konkrete Pflicht, die oft übersehen wird: der gesetzlich vorgeschriebene Aufbau von KI-Kompetenz.
In diesem Beitrag erfahren Sie, was diese Pflicht für Ihren mittelständischen Betrieb bedeutet und wie Sie sie rechtssicher umsetzen.
Was besagt das Gesetz?
Artikel 4 der EU-KI-Verordnung (AI Act) verpflichtet seit dem 2. Februar 2025 alle Unternehmen und Behörden, die KI-Systeme einsetzen (sogenannte „Betreiber“), Folgendes sicherzustellen:
„Betreiber von KI-Systemen ergreifen Maßnahmen, um im Rahmen des Möglichen sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen...“
Dies gilt ausdrücklich nicht nur für eigens entwickelte KI, sondern auch für die Nutzung kommerzieller, alltäglicher Tools wie:
- ChatGPT (OpenAI)
- Google Gemini
- Microsoft Copilot (in Office 365)
- Claude (Anthropic)
Was bedeutet „KI-Kompetenz“ konkret?
KI-Kompetenz im Sinne des Gesetzes ist keine tiefe Programmierausbildung, sondern umfasst ein grundlegendes Verständnis der folgenden Bereiche:
- Funktionsweise: Wie arbeiten Large Language Models (LLMs) statistisch? Warum „halluzinieren“ sie und wie verifiziert man Ergebnisse?
- Datenschutz (DSGVO): Welche Daten dürfen eingegeben werden? Warum müssen bezahlte Pro-Accounts mit einem Auftragsverarbeitungsvertrag (AVV) genutzt und die Weitergabe von Trainingsdaten deaktiviert werden?
- Risikobewusstsein: Erkennung von KI-generierten Fälschungen (Phishing, Social Engineering) und die Vermeidung von Vendor Lock-in bei technischen Systemen.
Haftung und Konsequenzen bei Missachtung
Unternehmen, die KI-Systeme im Betrieb zulassen, ohne die gesetzliche Schulungspflicht nachzuweisen, riskieren:
- Compliance-Verstöße mit erheblicher Haftungsexposition bei Fehlentscheidungen der Mitarbeiter.
- Datenschutzverletzungen durch unkontrollierte Eingabe von Kunden- oder Mitarbeiterdaten in öffentliche, ungesicherte Systeme (Schatten-KI).
- Reputationsschäden, wenn fehlerhafte oder halluzinierte KI-Ausgaben unkontrolliert in die externe Kommunikation gelangen.
Handlungsempfehlungen für den Mittelstand
Um die gesetzlichen Anforderungen des AI Acts pragmatisch und sicher zu erfüllen, empfiehlt sich ein dreistufiger Prozess:
- 1. Erlaubnisvorbehalt mit klaren Regeln einrichten: Verbieten Sie KI nicht (das führt zu Schatten-KI), sondern erlauben Sie sie kontrolliert. Legen Sie fest, welche Tools mit welchen Sicherheitsstufen genutzt werden dürfen.
- 2. Professionelle Accounts bereitstellen: Schließen Sie für alle genutzten Tools AVVs ab und stellen Sie sicher, dass keine Firmendaten zum Training der Modelle verwendet werden.
- 3. Strukturierte Mitarbeiter-Schulungen durchführen: Schulen Sie Ihr Team nachweislich im sicheren, kritischen Umgang mit KI-Tools.
Möchten Sie eine Schulung oder Unterstützung bei der datenschutzkonformen Einrichtung Ihrer KI-Systeme vereinbaren?
Kontaktieren Sie mich gerne:
Achim Weidner
Haßlocher Straße 73
65428 Rüsselsheim am Main
E-Mail: post@achim-weidner.de
Telefon: 06142 796066
LinkedIn: achimweidner
