12.03.2026 Seit dem 2. Februar 2025 gilt die Vorgabe zur KI-Kompetenz nach Artikel 4 des EU AI Act. Sie betrifft Anbieter und Betreiber von KI-Systemen, deren Mitarbeiter und weitere Personen im Auftrag mit solchen Systemen arbeiten. Viele Unternehmen reagieren darauf mit einem allgemeinen Onlinekurs. Das ist ein Anfang, bildet den tatsächlichen Einsatz aber oft nur unzureichend ab. langt kein bestimmtes Zertifikat und keinen europaweit einheitlichen Lehrplan. Unternehmen sollen vielmehr ein ausreichendes Kompetenzniveau sicherstellen und dabei Vorkenntnisse, Erfahrung, Ausbildung, Schulung, Einsatzkontext und betroffene Personengruppen berücksichtigen. Für die betriebliche Praxis folgt daraus ein rollen- und risikobezogenes Vorgehen. entscheidende Nachweis ist deshalb nicht ein einzelnes Teilnahmezertifikat. Aussagekräftiger ist eine zusammenhängende Dokumentation, aus der hervorgeht, welche KI-Systeme eingesetzt werden, wer sie nutzt, welche Regeln gelten, welche Inhalte vermittelt wurden und wer für Aktualisierung, Freigabe und Eskalation verantwortlich ist.
Warum eine allgemeine KI-Schulung allein meist nicht genügt
Ein Mitarbeiter im Marketing nutzt generative KI anders als ein Sachbearbeiter im Kundenservice, ein Entwickler oder eine Führungskraft. Die möglichen Fehlerfolgen unterscheiden sich ebenfalls. Ein ungeprüfter Formulierungsvorschlag für einen internen Entwurf hat eine andere Bedeutung als eine KI-gestützte Bewertung von Bewerbern, eine Entscheidung über Leistungen oder eine technische Änderung an einem produktiven System.
Eine einheitliche Basisschulung kann Grundlagen vermitteln: Funktionsweise generativer Modelle, typische Fehlermuster, Datenschutz, Informationssicherheit, Urheberrecht und menschliche Prüfung. Sie sollte jedoch durch anwendungsbezogene Inhalte ergänzt werden. Mitarbeiter müssen wissen, welche Werkzeuge freigegeben sind, welche Daten verarbeitet werden dürfen, wie Ergebnisse geprüft werden und wann eine Aufgabe an eine verantwortliche Stelle weiterzugeben ist.
Die Europäische Kommission betont, dass das Kompetenzniveau vom jeweiligen Kontext abhängt. Auch unterschiedliche Lernstufen oder Schulungswege sind zulässig. Ein Unternehmen muss daher nicht alle Beschäftigten zu technischen Spezialisten ausbilden. Es muss aber dafür sorgen, dass jede betroffene Rolle die für ihre Aufgaben notwendigen Kenntnisse besitzt.
Was KI-Kompetenz nach Artikel 4 praktisch bedeutet
KI-Kompetenz umfasst mehr als die Bedienung eines Chatfensters. Mitarbeiter sollten die Möglichkeiten und Grenzen des verwendeten Systems einschätzen können. Dazu gehört insbesondere das Verständnis, dass überzeugend formulierte Ausgaben falsch, veraltet oder unvollständig sein können. Ebenso wichtig ist die Fähigkeit, sensible Daten zu erkennen, Eingaben angemessen zu formulieren und Ergebnisse anhand geeigneter Quellen oder Fachkenntnisse zu überprüfen.
Für einfache generative Anwendungen können folgende Themen genügen:
- Zweck und Funktionsweise des eingesetzten Systems
- zulässige und unzulässige Daten
- typische Fehlermuster und Halluzinationen
- Prüfung und Freigabe erzeugter Inhalte
- Urheberrecht, Vertraulichkeit und Informationssicherheit
- interne Ansprechpartner und Eskalationswege
Bei höherer Auswirkung kommen weitere Inhalte hinzu. Wer KI in Personalprozessen, Qualitätsprüfungen, sicherheitsrelevanten Abläufen oder Entscheidungen über Personen einsetzt, benötigt vertiefte Kenntnisse über mögliche Benachteiligungen, Datenqualität, menschliche Aufsicht, Protokollierung und Folgen fehlerhafter Ausgaben.
Welche Personen einbezogen werden sollten
Artikel 4 beschränkt sich nicht nur auf fest angestellte Mitarbeiter. Er erfasst auch andere Personen, die im Auftrag eines Anbieters oder Betreibers mit Betrieb und Nutzung von KI-Systemen befasst sind. Das können externe Dienstleister, freie Mitarbeiter, Administratoren oder Vertragspartner sein.
Unternehmen sollten deshalb nicht ausschließlich auf die Personalabteilung schauen. Sinnvoll ist eine Zuordnung nach tatsächlicher Tätigkeit. Wer ein KI-System auswählt, konfiguriert, betreibt, überwacht, mit Daten versorgt, dessen Ausgaben prüft oder auf dieser Grundlage handelt, kann einbezogen werden müssen.
Auch Führungskräfte benötigen passende Kenntnisse. Sie entscheiden über Einsatzbereiche, Budgets, Verantwortlichkeiten und akzeptierte Risiken. Ohne ein belastbares Verständnis der technischen und organisatorischen Grenzen können sie weder geeignete Vorgaben machen noch Vorfälle angemessen bewerten.
Was Unternehmen dokumentieren sollten
Die Europäische Kommission schreibt kein bestimmtes Nachweisformat vor. Ein internes Register oder eine strukturierte Ablage kann jedoch zeigen, dass Maßnahmen nicht nur angekündigt, sondern umgesetzt wurden. Folgende Bestandteile sind in der Praxis besonders nützlich.
1. Verzeichnis der eingesetzten KI-Systeme
Das Unternehmen sollte festhalten, welche KI-Systeme offiziell genutzt werden, zu welchem Zweck sie dienen, welche Abteilungen beteiligt sind und welche Datenarten verarbeitet werden. Auch Pilotanwendungen und eingebettete KI-Funktionen in bestehender Software gehören in die Betrachtung.
Ein solches Verzeichnis verbindet Schulung mit dem tatsächlichen Technikeinsatz. Ohne diese Zuordnung bleibt offen, auf welche Systeme sich eine Unterweisung überhaupt bezieht.
2. Rollen- und Kompetenzmatrix
Für jede betroffene Rolle sollte dokumentiert werden, welche Kenntnisse erforderlich sind. Ein Basismodul kann für alle Nutzer gelten. Fachanwender erhalten zusätzliche Inhalte zu ihrem Prozess. Administratoren, Entwickler, Datenschutz, Informationssicherheit, Einkauf und Führungskräfte benötigen jeweils andere Schwerpunkte.
Die Matrix muss nicht kompliziert sein. Eine Tabelle mit Rolle, System, Tätigkeit, Risikokontext, Lernziel, Schulungsmodul und Wiederholungsintervall reicht häufig aus.
3. Schulungs- und Unterweisungsnachweise
Der Nachweis sollte Teilnehmer, Datum, Inhalt, Version des Schulungsmaterials und verantwortliche Stelle enthalten. Bei digitalen Kursen können Abschlussdaten oder Lernplattformprotokolle verwendet werden. Bei Workshops genügen häufig Teilnehmerliste, Agenda und bereitgestellte Unterlagen.
Die Kommission verlangt kein bestimmtes Zertifikat. Ein internes Protokoll über Trainings und andere Leitmaßnahmen kann als Dokumentation geführt werden. Entscheidend ist, dass die Unterlagen zum tatsächlichen Einsatz passen und bei Änderungen fortgeschrieben werden.
4. Verbindliche Nutzungsregeln
Schulung und Richtlinie sollten zusammengehören. Mitarbeiter müssen wissen, welche KI-Werkzeuge zugelassen sind, welche Informationen nicht eingegeben werden dürfen, wann eine menschliche Prüfung nötig ist und welche Ergebnisse nicht ohne Freigabe verwendet werden dürfen.
Eine KI-Richtlinie sollte außerdem Zuständigkeiten, Meldewege, Umgang mit Vorfällen, Beschaffung neuer Werkzeuge und Ausnahmen behandeln. Der Erhalt oder die Bestätigung dieser Regeln kann dokumentiert werden.
5. Verantwortlichkeiten und Eskalation
Für jedes wesentliche KI-System sollte eine fachliche und technische Verantwortung benannt sein. Mitarbeiter benötigen Ansprechpartner für Datenschutz, Sicherheitsfragen, fachliche Fehler und neue Anwendungsfälle. Bei kritischen Ergebnissen muss feststehen, wer die Nutzung stoppt, prüft oder freigibt.
Ein spezieller KI-Beauftragter ist durch Artikel 4 nicht vorgeschrieben. Die Aufgaben können in bestehende Rollen und Gremien integriert werden, sofern Zuständigkeiten und Entscheidungswege nachvollziehbar festgelegt sind.
6. Aktualisierung und Wirksamkeitsprüfung
KI-Systeme, Anbieterfunktionen und interne Prozesse verändern sich. Schulungsmaterialien sollten deshalb versioniert und bei wesentlichen Änderungen angepasst werden. Auch Vorfälle, Fehlanwendungen und wiederkehrende Rückfragen liefern Hinweise darauf, welche Inhalte ergänzt werden müssen.
Eine formale Wissensprüfung ist nach den Erläuterungen der Kommission nicht zwingend vorgeschrieben. Unternehmen sollten dennoch prüfen, ob die Maßnahmen im Arbeitsalltag wirken. Kurze Fallübungen, Stichproben, Feedback oder die Auswertung gemeldeter Fehler können dafür besser geeignet sein als ein allgemeiner Multiple-Choice-Test. arum Nutzungsregeln Teil der KI-Kompetenz sind
Wissen allein verhindert keine Fehlanwendung. Ein Mitarbeiter kann die Risiken generativer KI kennen und trotzdem nicht wissen, welche internen Daten er verwenden darf oder wer einen erzeugten Text freigeben muss. Erst die Verbindung aus Wissen, Prozess und Verantwortung macht eine Schulung betrieblich nutzbar.
Besonders wichtig sind Regeln für öffentlich verfügbare KI-Dienste. Die Kommission nennt selbst das Beispiel von Mitarbeitern, die ChatGPT für Werbetexte oder Übersetzungen verwenden. Auch in diesem Fall sollen sie über spezifische Risiken wie Halluzinationen informiert werden. Für Unternehmen folgt daraus, dass alltägliche Nutzung nicht automatisch außerhalb des Anwendungsbereichs liegt.
Eine kurze Richtlinie mit konkreten Beispielen ist häufig wirksamer als ein umfangreiches Grundsatzpapier. Sie sollte typische Situationen aus dem jeweiligen Unternehmen aufnehmen: Kundendaten in Prompts, vertrauliche Projektdokumente, Übersetzungen, Programmcode, Angebotsinhalte, Personalinformationen oder Veröffentlichungen unter dem Firmennamen.
Ein praktikables Schulungsmodell für den Mittelstand
Für mittelständische Unternehmen bietet sich ein dreistufiges Modell an.
Stufe 1: Grundlagen für alle Nutzer
Behandelt werden Funktionsweise, Grenzen, Datenschutz, Informationssicherheit, Urheberrecht, menschliche Prüfung und interne Regeln.
Stufe 2: Rollenbezogene Anwendung
Fachbereiche arbeiten mit Beispielen aus ihren Prozessen. Marketing behandelt Veröffentlichungen und Markenfreigaben, Kundenservice den Umgang mit Kundendaten und Antwortprüfung, Personalabteilungen mögliche Benachteiligungen und sensible Entscheidungen.
Stufe 3: Vertiefung für Verantwortliche
Administratoren, Entwickler, Prozessverantwortliche und Führungskräfte erhalten Inhalte zu Berechtigungen, Systemkonfiguration, Protokollierung, Lieferantenprüfung, Vorfällen und menschlicher Aufsicht.
Dieses Modell kann mit kurzen digitalen Modulen, Workshops und regelmäßigen Aktualisierungen umgesetzt werden. Entscheidend ist nicht die Länge des Kurses, sondern die Verbindung zur Rolle und zum verwendeten System.
Was nicht zwingend erforderlich ist
Artikel 4 schreibt weder ein bestimmtes Zertifikat noch eine einheitliche Prüfungsform vor. Auch eine eigene Governance-Struktur oder ein KI-Beauftragter ist für die Erfüllung dieser Vorschrift nicht generell vorgeschrieben. Unternehmen können vorhandene Zuständigkeiten nutzen, etwa Datenschutz, Informationssicherheit, Compliance, Personalentwicklung oder Prozessmanagement. so wenig müssen alle Mitarbeiter dasselbe technische Niveau erreichen. Die Anforderung ist kontextbezogen. Ein gelegentlicher Nutzer eines freigegebenen Textassistenten benötigt andere Kenntnisse als ein Entwickler, der Modelle integriert, oder eine Person, die menschliche Aufsicht bei einem System mit hoher Auswirkung ausübt.
Nicht empfehlenswert ist dagegen, ausschließlich auf Bedienungsanleitungen des Herstellers zu verweisen. Die Kommission weist darauf hin, dass dies in vielen Fällen nicht ausreicht. Interne Nutzung, Daten, Prozesse und Verantwortlichkeiten müssen zusätzlich berücksichtigt werden.
So kann die Umsetzung in vier Wochen beginnen
In der ersten Woche werden eingesetzte KI-Systeme und betroffene Rollen erfasst. Dabei sollte auch informelle Nutzung berücksichtigt werden, etwa frei zugängliche Assistenten, Übersetzungsfunktionen oder KI-Komponenten in bereits lizenzierter Software.
In der zweiten Woche entstehen eine einfache Rollenmatrix und Nutzungsregeln. Unternehmen legen fest, welche Daten zulässig sind, welche Prüfungen nötig sind und welche Anwendungen nicht ohne Freigabe eingesetzt werden dürfen.
In der dritten Woche werden ein Basismodul und zwei oder drei rollenbezogene Unterweisungen durchgeführt. Teilnahme, Inhalte und Materialversion werden dokumentiert.
In der vierten Woche werden offene Fragen, Vorfälle und Verbesserungen ausgewertet. Danach wird ein Wiederholungs- und Aktualisierungsrhythmus festgelegt. Neue Systeme, geänderte Funktionen oder zusätzliche Einsatzfelder lösen eine erneute Bewertung aus.
Fazit: Nachweis entsteht aus dem Zusammenspiel mehrerer Maßnahmen
KI-Kompetenz nach Artikel 4 lässt sich nicht auf ein Zertifikat reduzieren. Unternehmen sollten zeigen können, dass sie ihre KI-Nutzung kennen, betroffene Rollen zugeordnet, passende Inhalte vermittelt, verbindliche Regeln eingeführt und Verantwortlichkeiten festgelegt haben.
Eine kompakte, gepflegte Dokumentation ist dabei wertvoller als ein umfangreicher Ordner ohne Bezug zum Arbeitsalltag. Sie unterstützt nicht nur die regulatorische Einordnung, sondern senkt Fehlanwendungen, schützt vertrauliche Informationen und erleichtert die Einführung weiterer KI-Systeme.
Quellen und Rechtsstand
Europäische Kommission:
https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
EUR-Lex – Verordnung (EU) 2024/1689:
https://eur-lex.europa.eu/eli/reg/2024/1689/oj
Rechtsstand des Beitrags: 12. März 2026.
Muss jedes Unternehmen eine KI-Schulung durchführen?
Unternehmen, die KI-Systeme anbieten oder betreiben und deren Mitarbeiter oder Beauftragte damit arbeiten, müssen Maßnahmen für ein ausreichendes Kompetenzniveau treffen. Ob dafür ein formaler Kurs erforderlich ist, hängt vom Einsatzkontext ab. In vielen Fällen sind Schulungen und ergänzende Leitlinien zweckmäßig. Eine bloße Bedienungsanleitung kann nach Einschätzung der EU-Kommission unzureichend sein.
Seit wann gilt Artikel 4 des EU AI Act?
Die Vorgabe zur KI-Kompetenz wurde am 2. Februar 2025 anwendbar. Sie betrifft Anbieter und Betreiber von KI-Systemen sowie Mitarbeiter und weitere Personen, die in ihrem Auftrag mit Betrieb oder Nutzung befasst sind. Die konkrete Ausgestaltung richtet sich nach Vorkenntnissen, Erfahrung, Ausbildung, Schulung, Einsatzkontext und den betroffenen Personengruppen.
Ist ein Zertifikat als Nachweis vorgeschrieben?
Nein. Die EU-Kommission nennt kein verpflichtendes Zertifikat und kein einheitliches Schulungsformat. Unternehmen können interne Aufzeichnungen über Trainings, Unterweisungen und weitere Leitmaßnahmen führen. Aussagekräftig sind Angaben zu Teilnehmern, Datum, Inhalten, Materialversion, betroffenem KI-System und verantwortlicher Stelle. Ein externes Zertifikat kann ergänzen, ersetzt aber nicht die betriebliche Einordnung.
Müssen alle Mitarbeiter dieselbe Schulung erhalten?
Nein. Artikel 4 verfolgt einen kontextbezogenen Ansatz. Ein allgemeines Grundlagenmodul kann für alle Nutzer sinnvoll sein, sollte aber durch rollenbezogene Inhalte ergänzt werden. Marketing, Kundenservice, Personalabteilung, Entwickler, Administratoren und Führungskräfte arbeiten mit unterschiedlichen Daten und Auswirkungen. Lernziele, Beispiele und Wiederholungsintervalle dürfen deshalb voneinander abweichen.
Reicht eine interne KI-Richtlinie ohne Schulung aus?
Eine Richtlinie ist wichtig, reicht allein aber häufig nicht aus. Mitarbeiter müssen die Vorgaben verstehen und auf ihre Aufgaben übertragen können. Dazu gehören praktische Beispiele, typische Fehlermuster und die Behandlung konkreter Systeme. Umgekehrt bleibt auch eine Schulung ohne verbindliche Nutzungsregeln lückenhaft. Sinnvoll ist die dokumentierte Verbindung aus Richtlinie, Unterweisung und Ansprechpartnern.
Müssen auch externe Dienstleister geschult werden?
Auch Personen außerhalb der Stammbelegschaft können erfasst sein, wenn sie im Auftrag des Unternehmens mit Betrieb oder Nutzung von KI-Systemen befasst sind. Dazu können freie Mitarbeiter, Administratoren, Berater oder andere Dienstleister gehören. Umfang und Inhalt richten sich nach Tätigkeit, Systemzugriff und möglichen Auswirkungen. Zuständigkeiten lassen sich zusätzlich in Verträgen und Leistungsbeschreibungen festhalten.
Ist eine Wissensprüfung verpflichtend?
Eine formale Prüfung des Wissensstands ist nach den Erläuterungen der EU-Kommission nicht ausdrücklich vorgeschrieben. Unternehmen müssen jedoch ein ausreichendes Kompetenzniveau sicherstellen. Kurze Fallübungen, Rückfragen, Stichproben oder die Auswertung von Fehlanwendungen können zeigen, ob Inhalte verstanden und angewendet werden. Die gewählte Methode sollte zur Rolle und zum Risiko des Systems passen.
Braucht jedes Unternehmen einen KI-Beauftragten?
Nein. Artikel 4 schreibt keine bestimmte Governance-Struktur und keinen eigenen KI-Beauftragten vor. Aufgaben können auf bestehende Funktionen verteilt werden, beispielsweise Compliance, Datenschutz, Informationssicherheit, Personalentwicklung oder Fachbereiche. Wichtig ist, dass Verantwortung für Systeme, Schulungsinhalte, Freigaben, Aktualisierungen und Vorfälle nachvollziehbar zugeordnet ist und Mitarbeiter geeignete Ansprechpartner kennen.
Wie oft sollte eine KI-Unterweisung wiederholt werden?
Ein festes gesetzliches Intervall wird nicht vorgegeben. Eine Aktualisierung ist besonders sinnvoll, wenn neue Systeme eingeführt, Funktionen wesentlich verändert, weitere Datenarten verarbeitet oder neue Einsatzbereiche freigegeben werden. Auch Vorfälle und wiederkehrende Fehler können zusätzlichen Schulungsbedarf auslösen. Viele Unternehmen kombinieren eine regelmäßige Auffrischung mit anlassbezogenen Unterweisungen.
