Ein Beitrag von Dr. Inka Knappertsbusch, LL.M. und David Rappenglück
Mit der Veröffentlichung eines ausführlichen FAQ-Katalogs zur sog. „AI Literacy“ am 12. Mai 2025 (AI Literacy – Questions & Answers) hat die EU-Kommission erstmals detailliert erläutert, wie sie die Bestimmungen zur Förderung von KI-Kompetenz nach Art. 4 KI-VO (Verordnung (EU) 2024/1689) versteht. Die FAQs liefern wertvolle Orientierung für Unternehmen, Organisationen und öffentliche Stellen – auch wenn es sich nicht um verbindliches Recht, sondern um ein Instrument der sog. „Soft Law“-Auslegung handelt.
In Ergänzung zu unserem Aufsatz im Maiheft (Knappertsbusch/Rappenglück, „KI-Kompetenz und verbotene KI-Praktiken als Compliance-Pflichten für Arbeitgeber“, CR 2025, 281-289) fassen wir hier die wichtigsten Inhalte der FAQs zusammen, heben zentrale Klarstellungen darin hervor und zeigen noch offene Fragen auf.
Hintergrund: Was regelt Art. 4 KI-VO?
Art. 4 KI-VO verpflichtet Anbieter und Betreiber von KI-Systemen, sicherzustellen, dass betroffene Personen – insbesondere Mitarbeitende, aber auch externe Akteure – über ein „ausreichendes Maß“ an KI-Kompetenz verfügen. Die Regelung gilt unabhängig vom Risikoniveau des eingesetzten Systems.
Der Begriff „KI-Kompetenz“ ist in Art. 3 Nr. 56 KI-VO legaldefiniert und umfasst die Fähigkeit, KI-Systeme informiert zu nutzen, Risiken zu erkennen und verantwortungsvoll mit ihnen umzugehen – unter Berücksichtigung rechtlicher, technischer und ethischer Rahmenbedingungen. Bereits seit dem 2. Februar 2025 ist Art. 4 KI-VO unmittelbar anwendbar.
Zentrale Klarstellungen der EU-Kommission
1. Rechtlicher Charakter der Pflicht
Die EU-Kommission betont, dass es sich bei Art. 4 KI-VO um eine „konkrete Handlungspflicht“ („obligation to take measures“) handelt und damit nicht um eine bloße Empfehlung (vgl. FAQs, S. 5). Unternehmen sind verpflichtet, alle zumutbaren und erforderlichen Maßnahmen zu ergreifen, um die Herstellung von KI-Kompetenz zu erreichen. Symbolische Maßnahmen oder reine Absichtserklärungen genügen ausdrücklich nicht (FAQs, S. 1).
2. Adressatenkreis
Die FAQs stellen klar: Neben dem internen Personal sind auch externe Personen erfasst, die „im Auftrag“ handeln. Dies betrifft insbesondere Dienstleister, Plattformnutzer oder Geschäftspartner (FAQs, S. 1).
3. Inhalt der KI-Kompetenz
Die EU-Kommission spricht sich für einen differenzierten, risikobasierten Schulungsansatz aus. Dabei sollen Inhalte und Tiefe der Qualifizierungsmaßnahmen gezielt an die jeweilige Rolle, das Vorwissen sowie das Maß an Verantwortung der betroffenen Personen angepasst werden. Einheitliche Schulungsformate nach dem Prinzip „One size fits all“ werden ausdrücklich nicht empfohlen, da sie den unterschiedlichen Anforderungen in der Praxis nicht gerecht werden.
KI-Kompetenz umfasst aus Sicht der EU-Kommission weit mehr als ein rein technisches Verständnis. Schulungsmaßnahmen sollten deshalb auch rechtliche Rahmenbedingungen (z.B. Transparenzpflichten), ethische Leitlinien (wie die Vermeidung von Diskriminierung) sowie den konkreten Anwendungskontext einbeziehen. Nur so kann gewährleistet werden, dass der Einsatz von KI-Systemen verantwortungsvoll, rechtskonform und anwendungsbezogen erfolgt (vgl. FAQs, S. 6–8).
4. Mindestanforderungen und Nachweispflicht
Die FAQs stellen klar, dass die KI-VO kein bestimmtes Schulungsformat vorschreibt. Für die konkrete Umsetzung bleibt den Unternehmen somit Gestaltungsspielraum. Allerdings sind sie verpflichtet, ein grundlegendes Verständnis über die Funktionsweise, potenzielle Risiken sowie die Einsatzbereiche von KI-Systemen zu vermitteln – einschließlich ihrer rechtlichen und ethischen Einordnung.
Auch wenn die KI-VO keine formelle Nachweispflicht vorsieht, empfiehlt die EU-Kommission ausdrücklich, sämtliche durchgeführten Schulungsmaßnahmen intern zu dokumentieren. Dies dient der Nachvollziehbarkeit und kann im Streitfall dazu beitragen, Rechenschaft über die Erfüllung der Sorgfaltspflichten abzulegen (vgl. FAQs, S. 1).
5. Durchsetzung und Sanktionen
Interessant ist, dass die FAQs auch detailliert auf Fragen der Durchsetzung und Sanktionierung eingehen. Sie stellen klar:
Die Marktüberwachung beginnt am 3. August 2026.
Ab diesem Zeitpunkt sind nationale Behörden befugt, Sanktionen zu verhängen – darunter Bußgelder oder behördliche Auflagen. Die Höhe und Art der Maßnahmen richten sich nach dem konkreten Verstoß, seiner Schwere und möglichen Folgeschäden.
Sanktionen sind insbesondere dann wahrscheinlich, wenn ein Vorfall nachweislich auf unzureichende Schulung oder fehlende Anleitung zurückzuführen ist („Sanctions are more likely if there is proof of an incident due to lack of appropriate training and guidance.“, vgl. FAQs, S. 4).
Offene Fragen: Was die FAQs (noch) nicht klären
1. Unklarheit beim „ausreichenden Maß“
Die KI-VO wie auch die FAQs lassen offen, wann KI-Kompetenz als „ausreichend“ gilt. Die Bewertung bleibt kontextabhängig, orientiert sich am Schutzzweck (Grundrechtsschutz, sichere Nutzung) sowie an Komplexität und Risiko des eingesetzten Systems. Diese Unbestimmtheit geht zulasten der Rechtssicherheit.
2. Keine sektorspezifischen Standards
Obwohl die EU-Kommission betont, dass der Nutzungskontext zu berücksichtigen sei, fehlen sektorale Vorgaben – etwa für besonders sensible Bereiche wie Gesundheitswesen oder Finanzmärkte. Eine konkretisierende Branchenpraxis oder sektorale Leitlinien gemäß Art. 96 KI-VO stehen noch aus.
3. Potenzial für private Rechtsdurchsetzung
Die EU-Kommission weist zudem auf mögliche zivilrechtliche Haftungsrisiken hin. So könnten etwa Arbeitnehmer oder Verbraucher Ansprüche geltend machen, wenn mangelnde Schulung im Umgang mit KI-Systemen zu Schäden führt (vgl. FAQs Seite 5).
Fazit
Auch wenn die FAQs der EU-Kommission keine formell verbindlichen Vorgaben enthalten, kommt ihnen beachtliche praktische Relevanz zu. Im Wesentlichen haben sie deklaratorischen Charakter, da viele Aussagen bereits unmittelbar aus dem Gesetz ableitbar sind; ausführlich dazu:
Knappertsbusch, Inka / Rappenglück, David, KI-Kompetenz und verbotene KI-Praktiken als Compliance-Pflichten für Arbeitgeber, CR 2025, 281-289
Bemerkenswert ist, dass die EU-Kommission explizit auf Aspekte der Durchsetzung und Sanktionierung eingeht – einschließlich der Unterscheidung zwischen behördlicher (public enforcement) und privater Rechtsdurchsetzung (private enforcement).
Im Kern konkretisieren die FAQs zentrale Erwartungen an Unternehmen und Organisationen. Symbolische Maßnahmen genügen nicht. Entscheidend ist ein belastbares, risikobasiertes Schulungskonzept mit nachvollziehbarer Umsetzung und interner Dokumentation.
Die verbleibende Übergangszeit sollten Unternehmen strategisch nutzen: zur systematischen Bedarfsanalyse, Entwicklung maßgeschneiderter Schulungsmaßnahmen und lückenlosen Dokumentation. Auch wenn noch offene Fragen bleiben – etwa zur Auslegung des „ausreichenden Maßes“ an KI-Kompetenz –, setzen die FAQs deutliche inhaltliche Leitplanken für eine künftige Vollzugspraxis. Ein proaktiver, strukturierter Umsetzungsansatz ist deshalb nicht nur rechtlich angezeigt, sondern auch im Sinne einer tragfähigen und vertrauenswürdigen KI-Compliance.
