KI-Verordnung: Datenschutz und KI-Kompetenz – was IT-Verantwortliche jetzt wissen müssen
Seit dem 2. Februar 2025 greift Artikel 4 der europäischen KI-Verordnung: Anbieter und Betreiber von KI-Systemen müssen nachweisen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Unser Beitrag zeigt, wie Sie diese Pflicht datenschutzkonform und praxisnah umsetzen – Schritt für Schritt und mit Blick auf DSGVO & Co.
1. Hintergrund & rechtsverbindlicher Rahmen
- Die Verpflichtung zur KI-Kompetenz stammt aus Artikel 4 der Verordnung (EU 2024/1689), gültig seit dem 2. Februar 2025.
- Ziel: Risiken minimieren & Innovation fördern – ganz im Sinne der DSGVO und ethischer Leitprinzipien.
- Die Bundesnetzagentur liefert mit ihrem Hinweispapier klare Orientierung, ohne konkrete Schulungen vorzuschreiben.
2. Was ist KI‑Kompetenz?
Definition laut Artikel 3 Nr. 56 KI‑VO: Einsatz- und Verständnisfähigkeiten zur sachkundigen, verantwortungsvollen und sicheren Nutzung von KI, inklusive Bewusstsein für Chancen und Risiken (ethisch, rechtlich, gesellschaftlich).
3. Wer ist betroffen?
- Adressaten: Alle Anbieter und Betreiber von KI-Systemen (auch Chatbots mit allgemeinem Verwendungszweck – GPAI), unabhängig von Branche oder Größe.
- Personen: Beschäftigte, Auftragnehmer, Dienstleister – alle, die mit Betrieb oder Nutzung befasst sind.
4. Vier Grundpfeiler zur Umsetzung
Die Bundesnetzagentur nennt vier zentrale Bausteine:
- Bedarfsermittlung: Analyse der KI‑Systeme, Risiken, Nutzungskontexte und Mitarbeitervorkenntnisse.
- Maßgeschneiderte Trainings: Intern/external, formfrei – angepasst an Rolle, Risiko und Kontext.
- Regelmäßige Auffrischung: Kontinuierlich aktualisieren – technologische & rechtliche Entwicklungen im Blick.
- Dokumentation: Aufzeichnen von Inhalt, Zielgruppen, Zeit, Inhalten – wichtig zur Nachweisführung bei Sorgfaltspflicht.
5. Keine starren Vorgaben – aber Sorgfaltspflicht
- Keine Pflicht für Zertifikate, standardisierte Trainings oder KI-Beauftragte.
- Dokumentationspflicht bedeutet zugleich Nachweispflicht: Bei Kompetenzmangel droht Haftung – insbesondere im Schadensfall.
6. Datenschutz & Informationssicherheit integriert denken
- Der Aufbau von KI-Kompetenz sollte DSGVO-relevante Themen einschließen: Datenschutzprinzipien, technische & organisatorische Maßnahmen (TOMs) etc.
- Sensibilisierung für ethisch-gesellschaftliche Auswirkungen hilft, Datenschutzrisiken frühzeitig zu erkennen und zu adressieren.
7. Praxis-Tipps für Datenschutzbeauftragte und IT-Berater
- Gap-Analyse durchführen: Evaluieren, welcher Schulungsbedarf intern besteht.
- Maßgeschneiderte Schulungskonzepte: Kombinieren Sie technisches, rechtliches und ethisches Wissen.
- Qualitätskontrolle: Rückmeldungen, Tests, Praxisbeispiele einbauen.
- Klare Dokumentation: Verantwortlichkeiten und Inhalte protokollieren.
- Kontinuierliche Anpassung: Verfolgen Sie Updates der KI‑VO, EU‑Leitlinien und Empfehlungen.
8. Zusammengefasst
Artikel 4 der KI-Verordnung stellt eine verbindliche Mindestanforderung: KI-Kompetenz ist Pflicht, nicht Kür. Das Bundnetzagentur‑Hinweispapier beantwortet viele praktische Fragen und macht deutlich: Es geht nicht um starre Zertifikate, sondern um ein verantwortungsbewusstes und dokumentiertes Vorgehen – insbesondere mit Blick auf Datenschutz und IT-Security. Nutzen Sie diese Orientierung für Ihr eigenes Compliance-Konzept und sichern Sie Ihr Unternehmen rechtlich und technologisch zukunftsfähig ab.
Hinweis zu den Links
- Hinweispapier der Bundesnetzagentur zu KI-Kompetenzen (PDF):
https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/_functions/Hinweispapier.pdf?__blob=publicationFile&v=2 - Themenseite der Bundesnetzagentur zur KI-Kompetenzpflicht:
https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/7_Kompetenz/start.html - FAQ der Bundesnetzagentur zur KI-Verordnung:
https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/_faq/start_faq.html - Beitrag des Deutschen Instituts für Digitale Souveränität (DIDS):
https://www.dids.de/bundesnetzagentur-aeussert-sich-zu-ki-kompetenz/
