Die Pflicht, für die es kein Produkt gibt
Ein Bericht von Mitte August nennt eine Zahl, die aufhorchen lässt: 29 Prozent der europäischen Unternehmen halten KI-Regulierung für ihre größte Herausforderung bei der Regeltreue — mehr als in jeder anderen Weltregion. Zur selben Zeit ist die eine Vorgabe scharf geworden, für die es kein Produkt zu kaufen gibt.
Was Artikel 4 verlangt
Die KI-Verordnung enthält eine Vorschrift, die nicht von Systemen handelt, sondern von Menschen: Wer KI einsetzt, muss sich um die Kompetenz derer kümmern, die damit arbeiten. Gemeint ist nicht Programmierwissen, sondern ein Verständnis davon, was diese Werkzeuge tun, wo sie irren und wann man ihnen nicht folgen sollte.
Bemerkenswert ist die Reichweite. Betroffen sind ausdrücklich nicht nur Häuser, die selbst KI entwickeln, sondern auch alle, die vorhandene Werkzeuge einfach benutzen. Wer seiner Belegschaft einen Assistenten in die Bürosoftware stellt, fällt darunter.
Seit dem 2. August liegt die Durchsetzung bei den nationalen Behörden; in Deutschland ist das die Bundesnetzagentur, das zugehörige Durchführungsgesetz passierte am 10. Juli den Bundesrat.
Von „sicherstellen" zu „fördern"
Im Frühjahr ist diese Pflicht abgeschwächt worden. Die politische Einigung vom 7. Mai formulierte den Artikel um: Aus der harten Pflicht, die Kompetenz der eigenen Leute sicherzustellen, wurde eine Aufgabe, sie zu fördern — mit stärkerer Rolle von Kommission und Mitgliedstaaten.
Das klingt nach Entlastung, und in der Haftungsfrage ist es das vermutlich auch. Für die Planung ist es unbequemer. Bei „sicherstellen" weiß man, wann man fertig ist: Es gibt einen Nachweis oder es gibt keinen. Bei „fördern" gibt es keinen Zustand, den man erreicht. Man kann immer mehr fördern, und man kann immer weniger belegen, dass es genug war.
Eine abgeschwächte Pflicht ist nicht dasselbe wie eine abgeschaffte. Sie ist nur schwerer abzuhaken — weil niemand mehr sagt, wo Schluss ist.
Warum es dafür kein Produkt gibt
Fast alles andere in dieser Verordnung lässt sich einkaufen. Für die Kennzeichnung erzeugter Inhalte entstehen technische Verfahren. Für Dokumentation und Risikoanalysen gibt es Vorlagen, Werkzeuge und Beratung. Für Protokollierung gibt es Software, die ohnehin schon läuft.
Kompetenz lässt sich nicht so beschaffen. Sie entsteht nur, indem Menschen Zeit damit verbringen — und Zeit ist die einzige Ressource, die sich nicht durch ein Budget ersetzen lässt. Ein gekaufter Kurs, den niemand ernst nimmt, erfüllt die Vorgabe auf dem Papier und ändert nichts an der Sache.
Das macht diese Vorgabe zur ehrlichsten der ganzen Verordnung. Sie fragt nicht, ob ein Prozess dokumentiert ist, sondern ob jemand versteht, was er tut.
Was die Erhebung tatsächlich zeigt
Der eingangs genannte Bericht beruht auf einer Befragung von 459 Führungskräften aus Sicherheit, Technik, Risiko und Regeltreue in Unternehmen ab 1.000 Beschäftigten. Neben der 29-Prozent-Zahl steht ein zweiter Befund: Europa erreicht bei der Datensicherheit einen Reifewert von 40 von 100, bei der KI-Steuerung nur 33.
Man kann daraus einen Rückstand lesen. Ich halte das für die falsche Deutung. Datensicherheit hat zwei Jahrzehnte Normen, Zertifikate und Prüfroutinen hinter sich. KI-Steuerung gibt es seit ein paar Monaten als geregelte Disziplin. Dass der jüngere Bereich schlechter dasteht, ist kein Versäumnis, sondern ein Altersunterschied.
Sicherheit hat zwanzig Jahre Normen im Rücken, KI-Steuerung ein paar Monate. Der Abstand zwischen beiden Werten misst nicht Nachlässigkeit, sondern Reifezeit.
Was das für Unternehmen bedeutet
Für regulierte Branchen ist die gute Nachricht, dass der Apparat längst existiert. Pflichtschulungen mit Nachweis, rollenbezogen zugeschnitten und revisionssicher abgelegt, sind dort seit Jahren Alltag — für Geldwäsche, für Vertrieb, für Datenschutz. Es muss also nichts Neues gebaut werden. Es muss nur etwas hinein.
Die inhaltliche Frage ist dabei interessanter als die formale. Wer täglich Texte entwerfen lässt, braucht etwas anderes als wer eine Einschätzung auf ein Ergebnis stützt. Die erste Gruppe muss wissen, woran man eine erfundene Quelle erkennt. Die zweite muss wissen, wann sie einem Vorschlag nicht folgen darf — und das ist keine Schulungsfrage, sondern eine Frage der Zuständigkeit.
Mein Vorschlag für den Einstieg ist deshalb unspektakulär: eine Liste, wer im Haus KI wofür benutzt, und daneben, welche Fehlentscheidung dabei jeweils am teuersten wäre. Wer das hat, weiß, wo Schulung wirkt und wo sie nur Zeit kostet. Und er kann einer Aufsicht erklären, warum er es so und nicht anders gemacht hat — was am Ende genau das ist, was „fördern" in der Praxis bedeutet.