AI Act ab 2. Februar 2025: Erste Verbote und Pflicht zur KI-Kompetenz

Seit dem 2. Februar 2025 gelten die ersten Vorschriften der KI-Verordnung (EU) 2024/1689: die allgemeinen Bestimmungen, die Verbote bestimmter KI-Praktiken nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4. Die Bußgeldvorschriften greifen zwar erst ab August 2025, die Pflichten bestehen aber schon jetzt. Verstöße können zivilrechtlich und wettbewerbsrechtlich relevant werden.

Verbotene KI-Praktiken nach Art. 5 AI Act

Untersagt sind KI-Systeme, deren Risiko der Gesetzgeber für unannehmbar hält. Dazu gehören insbesondere:

• unterschwellige oder absichtlich manipulative Techniken, die Verhalten wesentlich beeinflussen und erheblichen Schaden verursachen können
• Ausnutzen der Schutzbedürftigkeit von Personen wegen Alter, Behinderung oder sozialer Lage
• Social Scoring mit nachteiligen Folgen in fremden Zusammenhängen
• Vorhersage von Straftaten allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen
• ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung für Gesichtserkennungsdatenbanken
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen
• biometrische Kategorisierung, um etwa auf politische Einstellung, Religion oder sexuelle Orientierung zu schließen
• biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken, von engen Ausnahmen abgesehen

Die Kommission hat Leitlinien zu den verbotenen Praktiken angekündigt. Für die meisten Unternehmen sind die Verbote kein Alltagsthema. Relevant werden sie bei Software zur Mitarbeiterüberwachung, bei Analyse von Stimme oder Mimik in Callcentern, bei Bewerbungsvideos und bei personalisierten Verkaufsstrategien, die Schwächen ausnutzen.

KI-Kompetenz nach Art. 4: Das betrifft fast jedes Unternehmen

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ausreichende KI-Kompetenz verfügen. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung und der Einsatzkontext.

Betreiber ist jedes Unternehmen, das KI-Systeme in eigener Verantwortung beruflich verwendet. Wer Mitarbeitern einen Chatbot, ein KI-Übersetzungstool oder KI-Funktionen in Office-Anwendungen bereitstellt, ist erfasst. Ein Zertifikat schreibt die Verordnung nicht vor, eine Dokumentation der Maßnahmen ist aber dringend zu empfehlen.

So setzen wir die KI-Kompetenz in Mandaten um

• Bestandsaufnahme: Welche KI-Systeme werden wo von wem genutzt, auch inoffiziell?
• Rollen bilden: Gelegentliche Nutzer, Fachanwender, IT und Entscheider brauchen unterschiedliche Inhalte.
• Schulungsinhalte festlegen: Funktionsweise und Grenzen von KI, typische Fehler, Datenschutz, Vertraulichkeit, Urheberrecht, Kennzeichnung
• KI-Richtlinie erlassen: zugelassene Tools, verbotene Eingaben, Freigabeprozess für neue Anwendungen
• Dokumentation: Teilnahme, Inhalte und Aktualisierung festhalten

Bei Einführung einer KI-Richtlinie und bei Systemen, die Leistung oder Verhalten von Beschäftigten erfassen können, ist der Betriebsrat zu beteiligen.

Ausblick

Am 2. August 2025 folgen die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie die Sanktionsvorschriften. Bis dahin muss Deutschland auch die zuständige Marktüberwachungsbehörde benennen.

Fragen dazu? Wir unterstützen Sie bei KI-Richtlinie, Schulungskonzept und der Prüfung Ihrer KI-Anwendungen. Nutzen Sie unsere Onlineberatung. Mehr unter KI-Kompetenz, AI Act und KI im Personalbereich.