Artikel 4 verlangt von Anbietern und Betreibern, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ein ausreichendes Maß an KI-Kompetenz verfügen.
Das ist die einzige Pflicht, die unabhängig von der Risikostufe gilt. Wer nur ein Sprachmodell für Angebotstexte nutzt, ist davon genauso erfasst wie ein Betrieb mit einem Hochrisiko-System.
Was „ausreichend" bedeutet
Die Verordnung nennt keinen Katalog und keine Stundenzahl. Sie stellt darauf ab, was angemessen ist — gemessen an
- den technischen Kenntnissen, der Erfahrung und der Ausbildung der Betroffenen,
- dem Zusammenhang, in dem die Systeme eingesetzt werden,
- und den Personen, auf die sie wirken.
Für ein Zehn-Personen-Büro, das ChatGPT für Textentwürfe nutzt, ist das etwas anderes als für eine Personalabteilung, die Bewerbungen vorsortiert.
Was in der Praxis genügt
Für den typischen Fall im Mittelstand lässt sich das auf vier Punkte bringen:
- Wer darf was. Eine kurze schriftliche Regelung, welche Werkzeuge im Betrieb erlaubt sind und wofür nicht.
- Grenzen kennen. Die Beschäftigten sollten wissen, dass Sprachmodelle Dinge erfinden, dass Ergebnisse geprüft gehören und dass personenbezogene oder vertrauliche Daten nicht ungeprüft hineingehören.
- Einweisung dokumentieren. Datum, Teilnehmer, Inhalt. Eine Seite reicht.
- Bei Wechseln nachziehen. Neue Mitarbeiter, neues Werkzeug — dann neu einweisen.
Warum es sich lohnt, das ernst zu nehmen
Nicht wegen des Bußgeldes — Art. 4 steht nicht im Katalog des Art. 99. Der Grund ist ein anderer: Fast jede andere Pflicht setzt voraus, dass jemand im Betrieb versteht, was das System tut. Die Aufsicht über ein Hochrisiko-System nach Art. 26 Abs. 2 kann nur ausüben, wer dazu befähigt ist. Ohne Kompetenz im Haus sind die übrigen Nachweise Papier.