Die neue EU-KI-Verordnung verfolgt das Ziel, einen einheitlichen europäischen Rechtsrahmen für die Entwicklung und Anwendung von KI-Systemen zu schaffen und auch Investitionen und Innovation zu fördern.

Die KI-VO gilt unmittelbar in allen EU-Mitgliedstaaten. Die Anwendbarkeit der verschiedenen Regelungsbereiche ist allerdings zeitlich gestaffelt: Der erste Stichtag war der 2. Februar 2025 (Pflicht zur KI-Kompetenz, Verbot von KI-Praktiken mit inakzeptablen Risiken), weitere Teile der Verordnung werden mit 2. August 2025 (Strafbestimmungen) oder 2. August 2026 (Hochrisiko KI-Systeme) in Kraft treten.

Verpflichtende KI-Kompetenzen ab 02.02.2025

Ab 02.02.2025 sind Unternehmen, die KI-Systeme anbieten oder einsetzen, verpflichtet, Maßnahmen zu ergreifen, um bestmöglich sicherzustellen, dass ihre Arbeitnehmer (und andere beauftragte Personen, z.B. freie Dienstnehmer), die mit KI-Systemen zu tun haben, über ein ausreichendes Maß an KI-Kompetenz verfügen (Artikel 4 KI-VO).

Die von der Verordnung geforderte Fachkompetenz kann den Arbeitnehmer insbesondere im Wege von Dienstanweisungen (Richtlinien, Leitfäden o.ä.) und betriebsinternen oder externen Schulungen vermittelt werden. Die getroffenen Maßnahmen sollten dokumentiert werden.

Um die Arbeitnehmer über die wesentlichsten Aspekte im Zusammenhang mit KI aufzuklären, sind interne Leitlinien wichtig, wodurch zugleich ein erster Schritt zur Erfüllung der KI-Kompetenzpflicht (Artikel 4 KI-VO) gesetzt wird.

Die internen Leitlinien sollten zumindest in groben Grundzügen auf

• den Datenschutz (DSGVO),
• die Einhaltung von Urheberrechten (UrhG),
• den Persönlichkeitsschutz (§ 16 ABGB) sowie den
• Schutz von Betriebs- und Geschäftsgeheimnissen

hinweisen.

Ein in der Praxis weiterer wesentlicher Schritt ist die Schulung aller im Betrieb mit KI-Systemen befassten Personen , wenngleich die VO bei Nicht-Schulung keine ausdrücklichen Strafsanktionen vorsieht. Das Risiko von Sanktionen oder Haftungen kann sich allerdings erhöhen, wenn durch unzureichend geschultes Personal Verstöße gegen die KI-Verordnung (z.B. Einsatz verbotener KI-Praktiken) verursacht werden.

Verbotene Praktiken im KI-Bereich ab 02.02.2025

Bestimmte inakzeptable KI-Praktiken sind seit 02.02.2025 verboten (Strafsanktionen gelten aber erst ab 02.08.2025). Das Verbot umfasst auch bereits bisher eingesetzte KI-Anwendungen, d.h. diese müssen sofort beendet werden.

Unter das Verbot fallen insbesondere KI-Anwendungen, die

• manipulative Techniken zur Beeinflussung des Verhaltens von Personen zu deren Nachteil einsetzen;
• eine Emotionserkennung am Arbeitsplatz ermöglichen, außer für medizinische oder sicherheitstechnische Zwecke (z.B. Überwachung der Konzentration von Flugpiloten);
• der biometrischen Kategorisierung zur Feststellung von ethnischer Zugehörigkeit, politischer Einstellung, religiösen oder weltanschaulichen Überzeugungen, Sexualleben oder sexueller Ausrichtung dienen.

Sanktionen ab 02.08.2025

Die KI-Verordnung sieht für Geldstrafen einen Höchstrahmen bis zu 35 Millionen € bzw. 7 % des weltweiten Vorjahresumsatzes vor (Artikel 99 KI-VO).

Für die Festlegung der konkreten Sanktionen im Rahmen der KI-VO (wie z.B. Verwarnungen, Geldstrafen, etc) und der Details des Strafverfahrens sind aber die einzelnen EU-Mitgliedstaaten zuständig. Daher bleibt abzuwarten, welche Behördenzuständigkeiten, Verfahrensvorschriften und Strafsätze der österreichische Gesetzgeber festlegen wird.

Hochrisiko-KI-System ab 02.08.2026

Die KI-Verordnung sieht für Hochrisiko-KI-Systeme strenge Anforderungen und Pflichten vor. Als Hochrisikobereiche gelten neben den anderen im Anhang III der KI-Verordnung aufgezählten Bereichen die Anwendungen im Bereich Beschäftigung und Personalmanagement, soweit es um KI-Systeme für folgende Zwecke geht:

• Platzierung gezielter Stellenanzeigen, Analyse und Filterung von Bewerbungen sowie Bewertung von Bewerber,
• Entscheidungen betreffend Arbeitsbedingungen, Beförderungen und Beendigung von Beschäftigungsverhältnissen,
• Überwachung und Bewertung der Leistung und des Verhaltens von Arbeitnehmer.

Bei Einsatz von Hochrisiko-KI-Systemen, sind geeignete technische und organisatorische Maßnahmen zu treffen, um sicherzustellen, dass die Systeme entsprechend den beiliegenden Betriebsanleitungen verwendet werden. Es müssen Personen für die menschliche Aufsicht über die KI-Systeme bestellt werden, denen die erforderliche Kompetenz, Ausbildung und Befugnis zukommt. Die verpflichtende Aufbewahrungsdauer von automatisch generierten Protokollen beträgt mindestens sechs Monate. Des Weiteren sind vor dem Einsatz eines Hochrisiko-KI-Systems am Arbeitsplatz die betroffenen Arbeitnehmer und der Betriebsrat (sofern ein solcher im Betrieb besteht) darüber zu informieren (Artikel 6 KI-VO).