Die Norm erscheint am 30. April 2026
Die erste Reaktion auf die Veröffentlichung der UNI 11621-8, der italienischen Norm, die die zwölf Berufsbilder der künstlichen Intelligenz definiert, sollte Misstrauen sein. Die Berufe eines Feldes zu standardisieren, das sich alle sechs Monate ändert, ist eine fast paradoxe Übung, und es vor dem Rest Europas zu tun, heißt das Risiko zu tragen, als Erstes falschzuliegen. Die Norm kam am 30. April 2026, unterzeichnet von UNINFO mit der Koordination des Dipartimento per la Trasformazione Digitale, des italienischen Departements für digitale Transformation. Die regulatorische Verankerung führt zur Verordnung EU 2024/1689, also zum AI Act, und zum italienischen Gesetz 132/2025 über KI. Das italienische Gesetz 4/2013 über nicht reglementierte Berufe dient als Rampe zur Zertifizierung.
Ein Wort auf der Suche nach einem Maß seit Februar
Für die tägliche Compliance-Arbeit schließt sich damit ein Kreis, der seit dem 2. Februar 2025 offen geblieben war. An jenem Tag hat Artikel 4 des AI Acts Anbietern und Betreibern auferlegt, ein ausreichendes Niveau der Alphabetisierung des Personals zu gewährleisten, ohne zu erklären, was, genau, das Adjektiv „ausreichend” bedeutete. In den letzten Monaten kehrte dieses Wort, während wir an Compliance-Projekten für Kunden in stark regulierten Sektoren arbeiteten, in jedem Gespräch als unbeantwortete Frage wieder. Kein Dokumentenkit und keine DSFA-Vorlage schaffte es, seine Bedeutung ohne Umschreibungen zu fixieren. Was bedeutet, genau, „ausreichende Kompetenzen”? Wann ist eine Kundenanfrage vernünftig, und wann wird sie zu einer Forderung ohne Maß? Die UNI 11621-8 bietet dieses Maß, und sie bietet es auf Italienisch, mit Namen, die der Einkäufer einer Gesundheitsfirma oder einer regionalen Behörde lesen kann, ohne sie zu übersetzen.
Zwölf Profile, vom CAIO bis zum Forscher
Die zwölf Profile decken das Spektrum von Governance bis Forschung ab. Man geht vom Chief AI Officer bis zum AI Research Scientist. Für jedes Profil spezifiziert die Norm Mission und Aufgaben sowie eine Karte der erforderlichen Kompetenzen mit dem erwarteten Niveau und den zugehörigen Leistungsindikatoren. Die Methodik ist die konsolidierte der UNI 11621-1, und die Verankerung ist am europäischen e-Competence Framework, der UNI EN 16234-1. Technisch ist die Arbeit solide, und es ist wichtig, dies zu sagen, bevor man zu den Problemen kommt.
Ein Stoff, der kodifiziert wird, während er sich noch bewegt
Die Probleme beginnen beim Stoff, den die Norm einzufrieren versucht. Ein Beruf wird kodifiziert, wenn er einen ausreichenden Grad an Stabilität erreicht hat, und die heutige KI hat ihn nicht. Der Prompt Engineer, in der Liste als separates Profil vorhanden, ist bereits ein interessanter Fall. Als er als eigenständige Rolle existierte, hatte er ein kurzes Leben, und wurde rasch von den Entwicklern und Produktmanagern absorbiert, die direkt mit generativen Modellen arbeiten. Ihn als dediziertes Profil zu halten heißt, einer Praxis hinterherzulaufen, die sich anderswo schon weiterentwickelt hat. Dasselbe gilt, in unterschiedlichem Grad, für die scharfe Trennung zwischen Data Scientist und Machine Learning Engineer, zwei Rollen, die sich in der realen Praxis weitgehend überschneiden. Die Grenzen der kodifizierten Berufsfiguren sind weit schärfer als die Grenzen der Kompetenzen, die die Menschen tatsächlich ausüben. Ein guter Data Scientist berührt das ML Engineering, und ein kompetenter ML Engineer weiß sich in der Datenpipeline zu bewegen. Wenn ein AI Security Specialist die Modelle nicht an der Wurzel versteht, hört er auf, ein Sicherheitsprofi zu sein, und wird zum Aktenprüfer.
Wer die Norm schreibt, und warum
Es gibt dann eine subtilere Frage, und sie betrifft die Herkunft der Berufsbildnormen in Italien. Sie werden von Ausschüssen produziert, in denen Zertifizierungsstellen und Ausbildungsanbieter sitzen, neben Berufsverbänden. Legitime Akteure, alle, und alle mit wirtschaftlichem Interesse am Endergebnis. Das macht die Norm nicht weniger nützlich, es ändert die Art, wie sie gelesen werden sollte. Unter der technischen Oberfläche steht der Aufbau eines Marktes. Der Markt der beruflichen Zertifizierung und der akkreditierten Ausbildung. Die ITS-Academy-Lehrgänge, das italienische höhere technische Bildungssystem, richten sich in diesen Wochen aus, und die Zertifizierungsstellen bereiten ihre Schemata vor. Das Gesetz 4/2013 liefert die Anbindung, wer ein Berufsbild zertifizieren kann, verdient an dieser Zertifizierung. Die Frage ist nicht, ob das System legitim ist, das ist es. Die Frage ist, was wir wirklich kaufen, wenn wir bezahlen, um einen internen Chief AI Officer zu zertifizieren.
Der Ersetzungseffekt, wie beim Datenschutzbeauftragten
Eine dritte Vorsicht betrifft den Ersetzungseffekt, der wahrscheinlich das ernsteste Risiko ist. UNI-konforme Profile zu haben bedeutet nicht, eine kompetente KI-Governance zu haben. Die jüngere Geschichte der DSGVO ist voll von Organisationen, die einen zertifizierten Datenschutzbeauftragten und desaströse Prozesse hatten, weil der Datenschutzbeauftragte ein administrativer Posten war, keine operative Funktion. Dasselbe kann dem Chief AI Officer und dem Security Specialist passieren. Compliance per Checkliste produziert organisatorischen Komfort und wenig tatsächliche Sicherheit. Wenn die UNI 11621-8 als dokumentarische Pflicht gelesen wird, werden wir Unternehmen mit sauberen Tabellen und fragilen KI-Systemen haben. Wenn sie als Skelett gelesen wird, um das herum eine echte Praxis aufgebaut wird, werden wir etwas Nützliches haben.
Eine schon gesehene Bahn
All dies gesagt, verdient die Veröffentlichung der Norm es, ernst genommen zu werden. Aus einem Grund, der wenig mit Technik zu tun hat, und viel mit dem Timing des regulierten Marktes. Das Schema, in Italien, haben wir schon gesehen. Die italienische Cloud-Italia-Strategie von 2021 hat einen Rahmen für die Klassifizierung von Daten und Diensten für die öffentliche Verwaltung erzeugt. Dieser Rahmen wurde dann zwischen 2022 und 2023 zur Verordnung der italienischen Cybersicherheitsbehörde. Der Katalog der qualifizierten Cloud-Dienste fand schließlich Eingang in die Beschaffungsverfahren der PA, bis hin zu Consip MEPA, der italienischen Zentrale-Einkaufsplattform. Die anfangs vagen Klauseln zur Sicherheit der Cloud-Dienste wurden zu überprüfbaren technischen Anforderungen und Teilnahmebedingungen. Wer später kam, hat als generischer Anbieter gegen schon qualifizierte angetreten und bedeutende Ausschreibungen verloren. Die UNI 11621-8 folgt, angewendet im Rahmen des AI Acts, einer analogen Bahn. Die Norm startet als freiwillige Referenz und endet in den Ausschreibungsunterlagen. Der Durchgang durch die Leitlinien des Departements ist fast ein administratives Detail. Das nützliche Fenster öffnet sich jetzt, und schließt sich, wenn die erste bedeutende Ausschreibung die Norm zitiert.
In einem Multi-Framework-Compliance-Kit
Für jene, die wie wir bei Oltrematica Multi-Framework-Compliance machen, ist die Norm vor allem ein Werkzeug für vertretbare Dokumentation. Die RACI-Matrix eines KI-Hochrisikoprojekts, gebaut auf den UNI-Profilen, wird zu einem Nachweis, der im Audit standhält. Der interne betriebliche Schulungsplan, auf die Profile abgebildet, hört auf, ein administrativer Kostenpunkt zu sein, und wird zum integralen Bestandteil des KI-Risikomanagementprogramms. Die Form, die wir unseren internen Dokumentenkits geben, nimmt die Norm mühelos auf, weil sie dieselbe Sprache spricht wie die Frameworks, die wir bereits nutzen, von der DSGVO bis zum Cyber Resilience Act.
Eine unvollkommene Karte, aber eine Karte
Es gibt eine Arbeitslinie, die interessanter ist als reine Konformität, und wahrscheinlich kurzfristig weniger lukrativ. Die Norm ist eine Gelegenheit zu interner Verständlichkeit. Sie erlaubt Organisationen, die KI einführen, mit einem geteilten Vokabular darüber zu sprechen, noch bevor sie mit Regulatoren oder Zertifizierungsstellen sprechen. Es ist ein unvollkommenes Vokabular, teils datiert und um erkennbare wirtschaftliche Interessen herum gebaut. Aber es ist das erste verfügbare Vokabular, und seine Unvollkommenheit ist geringer als sein Nutzen. Die eigentliche Frage, die entscheiden wird, ob die UNI 11621-8 eine gute oder eine schlechte Norm ist, steht nicht im Text. Sie wird in den kommenden Monaten geschrieben, in den Auslegungen, die Organisationen ihr geben werden, und in den Ausschreibungen, die sie nutzen werden, um Anbieter zu filtern.
In der Zwischenzeit, lohnt es sich, sie für das zu lesen, was sie ist. Eine unvollkommene Karte des Territoriums, das wir schon durchqueren, das wenigstens eine geteilte Toponymie vorschlägt, damit wir uns nicht alle auf dieselbe Weise verlieren.
Was du mitnimmst
Die UNI 11621-8 kodifiziert zwölf Berufsbilder für KI, verankert am AI Act (Verordnung EU 2024/1689) und am italienischen Gesetz 132/2025. Veröffentlicht am 30. April 2026, ist sie die erste nationale europäische Norm zu den Berufen der künstlichen Intelligenz. Für die Compliance-Praxis bietet sie das Maß, das Artikel 4 des AI Acts undefiniert ließ, als er eine ausreichende Alphabetisierung des Personals verlangte.
Technisch ist die Norm solide: Methodik UNI 11621-1, Verankerung am europäischen e-Competence Framework (UNI EN 16234-1), mit Mission, Aufgaben, erwartetem Niveau und Indikatoren für jedes Profil. Die zwölf Profile reichen vom Chief AI Officer bis zum AI Research Scientist.
Der Stoff, den die Norm einzufrieren versucht, ist noch in Bewegung. Der Prompt Engineer als eigenständige Rolle wurde bereits von Entwicklern und Produktmanagern absorbiert. Data Scientist und Machine Learning Engineer überschneiden sich in der realen Praxis stark. Die Grenzen der kodifizierten Figuren sind schärfer als die Grenzen der Kompetenzen, die Menschen tatsächlich ausüben.
Unter der technischen Oberfläche wird ein Markt gebaut. In den Normungsausschüssen sitzen Zertifizierungsstellen und Ausbildungsanbieter, alle legitime Akteure, alle mit wirtschaftlichem Interesse am Ergebnis. Das italienische Gesetz 4/2013 über nicht reglementierte Berufe liefert die kommerzielle Anbindung für die Zertifizierung der Profile.
Das ernsteste Risiko ist der schon mit der DSGVO gesehene Ersetzungseffekt. Einen zertifizierten Chief AI Officer zu haben bedeutet nicht, eine kompetente KI-Governance zu haben, so wie einen zertifizierten Datenschutzbeauftragten zu haben nicht bedeutet hat, anständige Datenschutzpraxis zu haben. Compliance per Checkliste produziert organisatorischen Komfort und wenig tatsächliche Sicherheit.
Die Bahn ist die von Cloud Italia: freiwillige Referenz 2021, Verordnung der italienischen Cybersicherheitsbehörde zwischen 2022 und 2023, technische Anforderungen in Consip-MEPA-Ausschreibungen danach. Die Nachzügler haben als generische Anbieter gegen bereits qualifizierte angetreten. Die UNI 11621-8 dürfte denselben Weg gehen, beschleunigt durch den AI Act.
Fragen & Antworten
Was ändert die UNI 11621-8 für die Compliance-Praxis?
Seit dem 2. Februar 2025 verlangt Artikel 4 des AI Acts von Anbietern und Betreibern, eine ausreichende KI-Alphabetisierung des Personals zu gewährleisten, ohne zu definieren, was ausreichend bedeutet. Die Norm bietet dieses Maß, und sie bietet es auf Italienisch, mit Namen, die der Einkäufer einer Gesundheitsfirma oder einer regionalen Behörde lesen kann, ohne sie zu übersetzen. Es ist nicht die einzige mögliche Lesart von Artikel 4, aber es ist die erste, die auf italienischem Papier verfügbar ist.
Welches sind die zwölf Profile?
Sie reichen von Governance bis Forschung und umfassen Chief AI Officer, AI Architect, AI Engineer, AI Developer, Data Scientist, Machine Learning Engineer, AI Security Specialist, AI Auditor, AI Ethics Specialist, Prompt Engineer, AI Trainer und AI Research Scientist. Für jedes Profil spezifiziert die Norm Mission, Aufgaben, erforderliche Kompetenzen mit erwartetem Niveau und Leistungsindikatoren, nach der Methodik UNI 11621-1 und mit Verankerung am europäischen e-Competence Framework (UNI EN 16234-1).
Warum der Kodifizierung von Profilen in einem Feld misstrauen, das sich alle sechs Monate ändert?
Weil ein Beruf kodifiziert wird, wenn er Stabilität erreicht hat, und die heutige KI hat sie nicht. Der Prompt Engineer als getrennte Rolle hatte ein kurzes Leben und wurde rasch von Entwicklern und Produktmanagern absorbiert, die mit generativen Modellen arbeiten. Die scharfe Trennung zwischen Data Scientist und Machine Learning Engineer entspricht nicht der realen Praxis, in der sich beide weitgehend überschneiden. Die Norm kodifiziert Figuren, die die Menschen in dieser Form nicht ausüben.
Wer schreibt diese Normen, und was ändert es, das zu wissen?
Sie werden von Ausschüssen erarbeitet, in denen Zertifizierungsstellen, Ausbildungsanbieter und Berufsverbände sitzen. Alle legitimen Akteure, und alle mit wirtschaftlichem Interesse am Endergebnis. Das macht die Norm nicht weniger nützlich, es ändert die Art, wie sie gelesen werden sollte. Unter der technischen Oberfläche wird ein Markt für berufliche Zertifizierung und akkreditierte Ausbildung gebaut. Die Frage ist nicht, ob das System legitim ist, das ist es. Die Frage ist, was wir wirklich kaufen, wenn wir bezahlen, um einen internen Chief AI Officer zu zertifizieren.
Wie sieht das Ersetzungsrisiko konkret aus?
Die DSGVO ist voll von Organisationen mit zertifiziertem Datenschutzbeauftragten und desaströsen Prozessen, weil der Datenschutzbeauftragte ein administrativer Posten war, keine operative Funktion. Dasselbe kann dem Chief AI Officer und dem Security Specialist passieren. Wenn die UNI 11621-8 als dokumentarische Pflicht gelesen wird, werden wir Unternehmen mit sauberen Tabellen und fragilen KI-Systemen haben. Wenn sie als Skelett gelesen wird, um das herum eine echte Praxis aufgebaut wird, werden wir etwas Nützliches haben.
Wann wird die Norm in Ausschreibungen einfließen?
Die wahrscheinliche Bahn ist die, die wir schon gesehen haben. Die italienische Cloud-Italia-Strategie von 2021 wurde zwischen 2022 und 2023 zur Verordnung der italienischen Cybersicherheitsbehörde, dann floss sie über Consip MEPA in die Beschaffungsverfahren der öffentlichen Verwaltung ein. Anfangs vage Klauseln zur Sicherheit von Cloud-Diensten wurden zu überprüfbaren technischen Anforderungen und Teilnahmebedingungen. Die UNI 11621-8 folgt im Rahmen des AI Acts einer analogen Bahn. Das nützliche Fenster, sich zu rüsten, öffnet sich jetzt und schließt sich, wenn die erste bedeutende Ausschreibung die Norm zitiert.
Der Autor
