Wer KI nutzt, muss mehr darüber wissen
Seit Februar müssten alle Mitarbeiter, die KI nutzen, entsprechend ausgebildet sein. Die Realität sieht anders aus. Warum Unternehmen das ändern sollten.
Warum halluziniert ChatGPT? Was passiert mit den Daten, die ich in den Chatbot DeepSeek eingebe? Mitarbeiterinnen und Mitarbeiter, die künstliche Intelligenz (KI) beruflich nutzen, sollten auf solche und ähnliche Fragen seit Februar eine Antwort haben. Denn die EU hat mit dem AI Act eine Verordnung erlassen, die den Umgang mit künstlicher Intelligenz regelt - und auch in der Arbeitswelt entsprechendes Wissen einfordert. Seit Februar sieht der AI Act vor, dass alle, die KI beruflich nutzen, eine entsprechende Kompetenz nachweisen müssen.
Neun von zehn Firmen haben sich nicht ausreichend informiert
Bloß: Die Realität sieht in Österreich anders aus. Das zeigt auch eine aktuelle Studie des Beratungsunternehmens EY, für die Entscheidungsträger in 500 mittelständischen Unternehmen befragt wurden. In knapp neun von zehn Firmen, die KI bereits nutzen, hat man sich noch nicht intensiv mit den gesetzlichen Vorgaben beschäftigt. Lediglich zwölf Prozent geben an, sich umfassend informiert zu haben. "Die Ernsthaftigkeit ist noch nicht da", sagt Susanne Zach, Leiterin des KI-Teams bei EY. "Dabei wäre mehr Wissen über KI in den Unternehmen wichtig, damit Mitarbeiter Anwendungen vertrauenswürdig einsetzen und auch hinterfragen, ob etwa die Ergebnisse generativer KI richtig sind." KI-Wissen sei ja auch ein Wettbewerbsvorteil. Unternehmen würden sich, wenn überhaupt, vor allem für Basistrainings entscheiden und zwischen verschiedenen Mitarbeitergruppen nicht groß differenzieren.
Was genau KI-Kompetenz bedeutet, ist in der EU-Verordnung nicht starr festgelegt. Es gibt kein bestimmtes Zertifikat oder einheitliche Kursinhalte. Unternehmen müssen sicherstellen, dass ihr Personal "über ein ausreichendes Maß an KI-Kompetenz" verfügt. Technische Kenntnisse, Erfahrung, Ausbildung oder der Kontext, in dem die Systeme eingesetzt werden sollen, sind zu berücksichtigen. Die Unternehmensgröße ist kein Kriterium.
Welche Kosten auf Unternehmen zukommen
Jeannette Gorzala, Mitglied des KI-Beirats der Bundesregierung, begrüßt das: "Die Verordnung bietet keine einheitliche Lösung. Diese Flexibilität ist ein Vorteil, da sie den unterschiedlichen Bedürfnissen und Ressourcen der Unternehmen gerecht wird." Schließlich mache es einen großen Unterschied, ob man KI-Anwendungen entwickle oder diese "nur" verwende. Und auch bei der Nutzung hängt es davon ab, ob man sich ein Bild zur Illustration erstellen lasse oder Hochrisiko-KI verwende - etwa bei Bewerbungsprozessen. "Eine Abteilung, die KI nur peripher einsetzt, benötigt eine andere Schulung als eine Marketingabteilung, die regelmäßig generative KI-Tools nutzt", sagt Gorzala, die mit Act.AI.Now auch ein KI-Unternehmen gegründet hat.
Bei der Umsetzung will sie gerade kleineren Unternehmen Angst nehmen. Am Markt gibt es mittlerweile ein breites Angebot an Schulungsangeboten. "Es gibt sehr schlanke Varianten. Da muss man nicht mit 10.000 Euro an Kosten rechnen." Sie rät auch, sich intern umzusehen. "Gibt es vielleicht schon Mitarbeiter, die sich auskennen, sich für das Thema interessieren und Wissen weitergeben können?" Wichtig sei, Schulungen zu dokumentieren und Abläufe zu formalisieren. "Eine einfache Checkliste kann hier Wunder wirken."
Mitarbeiter, die gar keine KI nutzen, fielen natürlich nicht unter die Regelung. Diese Zahl werde aber schrumpfen. "KI ist in immer mehr Systemen integriert. Ein grundlegendes Verständnis von Technologie wird daher flächendeckend notwendig sein. Unternehmen müssen wissen, welche Daten sie besitzen dürfen, ob der Output korrekt ist und wie Halluzinationen geprüft werden können", sagt Gorzala.
Direkte Strafen sind nicht vorgesehen - trotzdem kann es schnell teuer werden
Was passiert, wenn ein Unternehmen untätig bleibt? Direkte Strafen sind nicht vorgesehen. Indirekte aber sehr wohl - und das kann schnell teuer werden, warnt die Salzburger Anwältin Elisabeth Esterer. "Wenn ein ungeschulter Mitarbeiter einen Fehler begeht, kann es dem Unternehmen zugerechnet werden." Sie nennt dabei etwa Vergehen gegen Urheberrecht oder Datenschutz. Gerade über Sprachmodelle wie ChatGPT seien sensible Firmeninformationen schnell woanders. "Ich habe den Eindruck, dass das von vielen Unternehmen noch nicht 100-prozentig ernst genommen wird und auch das Verständnis fehlt." Viele Betriebe seien irrtümlicherweise der Meinung, KI gar nicht zu nutzen. "KI ist ja nicht nur ChatGPT. Wenn man es genau nimmt: Der Spamfilter im E-Mail-System ist ein KI-System. Viele wissen einfach nicht, wo überall schon KI-Systeme im Hintergrund laufen."
Inwiefern die Schulungspflicht kontrolliert wird und ob bei Verstößen Strafen drohen, ist Sache der Mitgliedsstaaten. Bis August müssen die nationalen Regelungen stehen - und auch die Behörde bekannt sein, die den AI Act überwacht. Laut Regierungsprogramm soll die Rundfunk und Telekom Regulierungs-GmbH (RTR) zur zentralen Anlaufstelle für KI-Angelegenheiten in Österreich werden.
Zeitplan der KI-Verordnung: "Bis zum Sommer gilt noch Welpenschutz"
"Bis zum Sommer gilt noch Welpenschutz", kommentiert Gorzala. Sinnvoll sei es trotzdem, die Zeit bis dahin zu nutzen. "Abgesehen von möglichen rechtlichen Vergehen sollte auch der Wettbewerbsvorteil ein wirtschaftlicher Antrieb sein, sich damit auseinanderzusetzen."
Tempo mahnt auch EY-Beraterin Susanne Zach ein: Denn die Hausaufgaben, die Unternehmen bis August erledigen müssen, seien weit größer. Unter anderem muss die Nutzung allgemeiner KI-Anwendungen - darunter fallen etwa Sprachmodelle wie ChatGPT oder DeepSeek - dokumentiert werden. "Dazu braucht es einiges an Vorarbeit. Ich glaube, dass viele Unternehmen Schwierigkeiten haben werden, die Anforderungen bis August zu erfüllen."