EU AI ACT: Die To-dos & Schulungsmöglichkeiten
Die Ziele des EU AI ACTs
Die Europäische Union hat mit dem EU AI Act (Verordnung zur Regulierung von Künstlicher Intelligenz) den weltweit ersten umfassenden Rechtsrahmen für KI geschaffen. Die 2024 beschlossene Verordnung ist in großen Teilen bereits aktiv und muss bis 2026 stufenweise umgesetzt sein. Für Organisationen, bringt das erhebliche Veränderungen mit sich – aber auch Chancen.
Ziel des EU AI Act ist es, KI-Systeme nach ihrem Risiko zu kategorisieren und entsprechend zu regulieren. Vor allem folgt die Verordnung einem risikobasierten Ansatz, und unterschiedet dabei folgende Stufen:
– Verbotene KI (z. B. Social Scoring, manipulative Systeme)
– Hochrisiko-KI (z. B. KI in HR, Kreditvergabe, kritischer Infrastruktur)
– Begrenztes Risiko (z. B. Chatbots mit Kennzeichnungspflicht)
– Minimales Risiko (z. B. Spamfilter – weitgehend frei einsetzbar)
To-dos für Organisationen
Auch die Pflichten für Anbieter & Betreiber von KI-Systemen sind angeführt und erfordern genaue Risikobewertungen, die Daten- und Modell-Dokumentation, Transparenzpflichten sowie menschliche Kontrollmechanismen.
Zunächst müssen Unternehmen ihre bestehenden KI-Systeme identifizieren und kategorisieren: Ist überhaupt KI im Einsatz (im Sinne der EU-Definition)? Welche Systeme sind eigenentwickelt, welche zugekauft? Und welche Einstufung ist anzuwenden (verboten / hochriskant / begrenzt / niedrig)?
Je nach Risikostufe ergeben sich dann unterschiedliche TOMs (Technische und Organisatorische Maßnahmen):
Für Hochrisiko-KI wird beispielsweise vorgeschrieben, Risikomanagementsysteme einzuführen, Trainingsdaten zu dokumentieren, Logging & Monitoring zu betreiben, Robustheitstest durchzuführen sowie menschliche Kontrollmechanismen installiert zu haben („human in the loop“). Bei KI-Systemen mit begrenzten Risiken ist jedenfalls Transparenz schaffen (z. B. Mit einem Hinweis: „Dies ist ein KI-System“) sowie Interaktionsmöglichkeiten für Nutzer zu ermöglichen
Auch der Dokumentation & Governance kommt selbstverständlich eine tragende Rolle zu: Technische Systeme müssen nachvollziehbar dokumentiert sein – Stichwort „Explainability“ und „Auditability“. Ein AI-Governance-Framework kann dabei helfen, Verantwortlichkeiten zwischen IT, Recht, Datenschutz und Business zu klären.
Jetzt handeln zahlt sich aus
Der EU AI Act ist kein „Nice-to-have“, sondern wird schnell zur Compliance-Pflicht. Die rasche Umsetzung hilft nicht nur dabei, Bußgelder zu vermeiden, sondern auch Vertrauen bei Kunden und Partnern gewinnen. Eine kurze To-do-Liste könnte dabei so aussehen:
- KI-Systeme inventarisieren und klassifizieren
- Technische Anforderungen prüfen und umsetzen
- Dokumentationsprozesse etablieren
- Governance-Strukturen schaffen
- MA-Schulungen anstoßen
Was bedeutet das für die Schulung?
Der EU AI Act erfordert Awareness auf mehreren Ebenen. Die Verordnung geht nicht näher auf mit konkrete Schulungserwartungen ein, sondern erwähnt, dass „alle Mitarbeitenden mit KI-Systembezug über angemessene Kenntnisse verfügen müssen.“
IdR. wird zur Schulung – wo möglich – ein rollen-basierter Ansatz empfohlen: Projektleiter und Product Owner benötigen z.B. Skills zur Risikoabschätzung von KI-Systemen, müssen Konformitätsprüfungen planen und Schnittstellen zu Datenschutz & Compliance bereitstellen, wohingegen für das Management die strategische Bedeutung von KI-Risiken, der Aufbau einer Governance-Struktur oder die Integration in bestehende interne Kontrollen vorrangig sein wird.
Für „normale“ Mitarbeiterinnen und Mitarbeiter – also solche ohne technischen oder juristischen Hintergrund – sind beim Thema EU AI Act vor allem Verständnis, Sensibilisierung und die richtige Einordnung wichtig. Diese sollten zumindest wissen, wo KI im Unternehmen zum Einsatz kommt, welche Risiken es gibt und wie sie verantwortungsvoll damit umgehen.
Das gelingt vor allem über interaktive Formate (z. B. kurze Quizze, Beispiel-Use-Cases, Microlearning-Module), Gamification (Was ist erlaubt / was nicht? (Beispiel: AI-Escape Room) oder gutes Stroytelling / Case-Studies von realen Situationen (Beispiel: Was passiert, wenn ein KI-Bewerbungsfilter diskriminiert?)
Jedenfalls sollte die Schulung niedrigschwellig, praxisnah und risikoorientiert sein. Und schließlich ist vor allem auch wichtig, dass die Mitarbeitenden wissen, an wen sie sich wenden können, wenn Unklarheiten oder Nicht-Nqchvollziehbares auftritt.
Unser Schulungs-Angebot dazu
Wir haben zum Thema KI zwei E-Learning-Module erarbeitet. Diese dauern wie gehabt 15-20min, können auf Wunsch inhaltlich adaptiert werden und schließen mit einem Quizteil ab.
Das Modul „Künstliche Intelligenz verantwortungsvoll nutzen“ vermittelt auch einen kritischen Blick auf KI. Es erklärt Funktionsweise, Businessmodelle der Anbieter und geht auch auf den EU Digital Act ein. Ziel ist es, Mitarbeitenden ein Verständnis über den Umgang mit sensiblen Daten zu geben, und wo und wie diese unbedingt geschützt werden müssen.
Das Modul „Deep Fake & Co. – neue Bedrohungen für die Informationsicherheit“ widmet sich Themen wie Deep Fake, Phishing 2.0 und erklärt, wie auch Cyberkriminelle neue Technologien für den persönlichen Vorteil nutzen. Auch das kritische Hinterfragen von Netzinhalten und ein Verständnis für die eigene Exponiertheit werden vermittelt.
Zusätzlich gibt es auch kurze Schulungsvideos, sowie Content für Infoscreen, Plakate oder Handkarten zum jeweiligen Thema.
