Beliebt
KI-Verordnung
KI-Verordnung
Rechtsgutachten als Hilfestellung für Hochschulen
Wenn Hochschulen ihren Studierenden und Beschäftigten Arbeitsmittel Künstlicher Intelligenz (KI) zur Verfügung stellen, sind sie an die KI-Verordnung (KI-VO) der Europäischen Union gebunden. Ein Rechtsgutachten von Professor Thomas Hoeren, Direktor des Instituts für Informations-, Telekommunikations- und Medienrecht (ITM) der Universität Münster, soll den Hochschulen Orientierung und Hilfestellungen für die praktische Anwendung bei der Etablierung von KI-Systemen bieten. Das Gutachten, das vom KI:Expertisezentrum.nrw in Auftrag gegeben wurde, ist 2025 erstmals erschienen. Hoeren hat es auf Grundlage der aktualisierten KI-VO, der sogenannten Digital Omnibus-Verordnung, überarbeitet und im August 2026 neu veröffentlicht. Demnach müssen sich Hochschulen an die europäische Rechtsgrundlage halten, sobald ein KI-System für den Einsatz in der Forschungs- oder Lehrpraxis in Betracht kommt – auch wenn es zunächst ausschließlich als Forschungsobjekt entwickelt wurde.
Fristen für Hochrisiko-KI-Pflichten werden zeitlich verschoben
Eine für Hochschulen relevante Änderung liegt darin, dass die Pflichten für Hochrisiko-KI, darunter zum Beispiel Risikomanagement, Daten-Governance oder Dokumentationspflichten, zeitlich verschoben wurden, führt Hoeren im Gutachten aus. Für KI-Systeme, die Teil eines sicherheitsrelevanten Produkts sind (Art. 6 Abs. 1 i. V. m. Anhang I) gelten die rechtlichen Pflichten nun ab dem 2. August 2028 statt schon 2027. KI-Tools wiederum, die in besonders sensiblen Arbeitsbereichen genutzt werden (Art. 6 Abs. 2 i. V. m. Anhang III), also beispielsweise in Prüfungs- oder Lernverfahren, fallen ab dem 2. Dezember 2027 und nicht wie zuvor geplant ab August 2026 unter die Hochrisiko-Pflichten.
Kompetenzerwerb ermöglichen statt individuell sicherstellen
Eine wichtige Änderung stellt Hoeren auch für den Erwerb von KI-Kompetenzen an Hochschulen fest. Demnach besteht künftig zwar die Pflicht, "die Entwicklung von KI-Kompetenz durch angemessene Maßnahmen zu unterstützen". Hochschulen seien jedoch nicht für den individuellen Lernerfolg verantwortlich.
Rollen von Anbietern und Betreibern werden konkretisiert
Dem Gutachten zufolge müssen Hochschulen zukünftig stärker prüfen, ob sie Betreiber oder Anbieter eines KI-Systems sind. Stelle eine Hochschule ihren Studierenden oder Mitarbeitenden nur den Zugang zu einer Anwendung zur Verfügung, sei sie Betreiberin. Entwickle sie jedoch selbst ein KI-System oder nehme eine wesentliche Veränderung an einem bestehenden System vor, werde sie zur Anbieterin. In diesem Fall sei sie für technische Zugänge und Unterstützungsleistungen zuständig. Im Falle eines Anbieterwechsels müsse der ursprüngliche Anbieter mit dem neuen kooperieren und "erforderliche Informationen, technische Zugänge und Unterstützungsleistungen bereitstellen". Ob eine Hochschule Anbieter oder Betreiber ist, werde nicht durch vertragliche Vereinbarungen bestimmt, sondern hänge von objektiven Umständen ab.
Was Hochschulen im Gutachten empfohlen wird
Auf Grundlage der Omnibus-Verordnung spricht Hoeren in seinem Rechtsgutachten konkrete Empfehlungen für Hochschulen aus:
- Inventarisierung
Hochschulen sollten ein KI-Inventar führen, das zentrale sowie dezentrale Beschaffungen sowie unter anderem den jeweiligen Zweck, Nutzerkreis, Anbieter und Betreiber erfasst.
- Rollenklärung
Da die rechtlichen Pflichten von der jeweiligen Rolle abhingen, sollten Hochschulen klar definieren, ob sie ein KI-System als Anbieter oder Betreiber zur Verfügung stellen.
- Beschaffung und Vertragsgestaltung
Beschaffungs- und Vertragsprozesse müssten an die KI-VO angepasst werden und sollten beispielsweise klar festlegen, welche Nutzungsszenarien erlaubt sind, wie Dokumentation bereitgestellt oder Änderungen angekündigt werden.
- KI-Kompetenz
Hochschulen sollten regelmäßig Kompetenzstandards definieren und geeignete Angebote zur Verfügung stellen. Als sinnvoll erachtet das Gutachten beispielsweise Pflichtfortbildungen für Beschäftigte als hochschulinterne Regelungen.
- Prüfungs- und Lehrgovernance
Bei der Anwendung von KI in Prüfungs- und Lehrkontexten müssten die Einrichtungen frühzeitig prüfen, ob die fraglichen Systeme unter die Hochrisiko-Pflichten der KI-VO fallen. Dabei genüge nicht die formale Letztentscheidung durch einen Menschen. Hochschulen müssten unter anderem die menschliche Aufsicht, Korrekturprozesse sowie Zuständigkeiten ausdrücklich regeln.
- Vorbereitung der Hochrisiko-Pflichten
Das Gutachten empfiehlt eine frühzeitige Vorbereitung auf die Pflichten, die mit der Anwendung von Hochrisiko-KI einhergehen. Darunter fielen zum Beispiel die technische Dokumentation, Transparenz und Cybersicherheit.
- Verbindung von Datenschutz- und KI-Compliance
Hochschulen sollten Datenschutz-Folgeabschätzungen, KI-Risikobewertungen und Informationssicherheitsüberprüfungen zusammenführen, statt sie einzeln abzuarbeiten.
- Transparenz und Kennzeichnung
Festgelegt werden muss laut Gutachten, wann Personen darüber informiert werden, dass sie mit KI-Systemen interagieren, beispielsweise bei Chatbots auf Internetseiten, bei Beratungssystemen oder Lernmaterial.
- Verbotene Praktiken
Mehr als bloße Verbotsklauseln fordert Hoeren für verbotene Praktiken wie Nudifier-Anwendungen, die Erzeugung nicht einvernehmlicher intimer Darstellungen und Ähnlichem. Eingerichtet werden sollten hier unter anderem Sofortsperren, Beweissicherung, Meldewege und Opferunterstützung.
- Laufende Kontrolle
Die Pflichten der Betreiber von KI-Systemen erstreckten sich auch auf einen laufenden Kontrollprozess, beispielsweise durch Versionskontrollen, Anbieterupdates oder Nachschulungen, so das Gutachten.
- Open-Source Governance
Auch beim Einsatz von Open-Source-Systemen müssten Hochschulen ihre Pflichten als Anbieter oder Betreiber prüfen.
- Risikogestufter Freigabeprozess
Für die hochschulinterne Freigabe von KI-Systemen empfiehlt das Gutachten einen abgestuften Prozess, der sich am Risiko der jeweiligen Anwendung orientiert. Dabei sollten auch verbindliche Ablehnungsmechanismen etabliert werden.
hae
