Die Antwort in drei Sätzen
Wer KI im Unternehmen einsetzt, muss Maßnahmen treffen, die die KI-Kompetenz der damit befassten Personen unterstützen. Das gilt seit dem 2. Februar 2025, für jede Unternehmensgröße und für jede Risikoklasse (Artikel 4 EU AI Act).
Es ist eine Maßnahmenpflicht, keine Erfolgspflicht: Sie müssen für niemanden ein bestimmtes Kompetenzniveau garantieren.
Der Rest dieses Artikels beantwortet die drei Fragen, die daraus folgen – wen genau es betrifft, was „Maßnahmen“ konkret heißt, und wie Sie belegen, dass Sie es getan haben.
1. Wen die Pflicht betrifft – und wen nicht
Hier steckt der Punkt, den die meisten Darstellungen übersehen. Der Wortlaut von Artikel 4 lautet, Anbieter und Betreiber ergreifen Maßnahmen zur Unterstützung der KI-Kompetenz „ihres Personals und anderer Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“.
Daraus folgen zwei Dinge, und beide werden regelmäßig falsch wiedergegeben.
Nicht nur Ihre Beschäftigten
Erfasst sind auch Freelancer, Dienstleister und Auftragnehmer, die in Ihrem Auftrag mit KI arbeiten. Für einen mittelständischen Betrieb ist das der praktisch wichtigste Satz der ganzen Vorschrift: Wer zehn Festangestellte und vier externe Kräfte beschäftigt, deckt mit einer rein internen Schulung nur einen Teil ab.
Texte, die von „Ihren Mitarbeitenden“ sprechen, greifen an dieser Stelle zu kurz.
Aber auch nicht pauschal alle
Umgekehrt gilt die Pflicht nicht für die gesamte Belegschaft. Erfasst sind die Personen, die mit dem Betrieb oder der Nutzung von KI-Systemen befasst sind. Wer in der Fertigung arbeitet und kein KI-System nutzt, ist nicht gemeint.
Das spart Geld und Zeit – setzt aber voraus, dass Sie wissen, wer in Ihrem Unternehmen mit welchem System arbeitet. Diese Übersicht ist der eigentliche erste Schritt, nicht die Schulung selbst.
Ein Satz zur Einordnung: Die Pflicht gilt unabhängig von der Risikoklasse. Auch wer ausschließlich Werkzeuge mit minimalem Risiko einsetzt – ChatGPT im Büro, eine Rechtschreibhilfe, eine Belegerkennung –, ist erfasst. Die Vorstellung, bei geringem Risiko gebe es „keine besonderen Pflichten“, ist an dieser Stelle falsch.
2. Was „Maßnahmen“ konkret heißt
Der Gesetzestext sagt nicht, wie eine Schulung aussehen muss. Die Bundesnetzagentur – in Deutschland die zentrale Marktüberwachungsbehörde – hat das konkretisiert und nennt drei Grundsteine:
- Bedarf ermitteln – wer arbeitet mit welchem System, und was muss diese Person können?
- Maßnahmen gestalten – passend zum ermittelten Bedarf.
- Dokumentieren, evaluieren, auffrischen – festhalten, was Sie getan haben, prüfen, ob es wirkt, und es aktuell halten.
Für die Inhalte nennt die Behörde drei Aufbaustufen: grundlegendes Verständnis, fortgeschrittene KI-Kompetenzen und rollenspezifische Trainings.
Was ausdrücklich nicht verlangt wird
Diese Liste ist wichtiger als die davor, weil daran am häufigsten zu viel verkauft wird:
| Nicht vorgeschrieben |
|---|
| Ein formalisiertes Training |
| Eine externe Zertifizierung |
| Ein KI-Beauftragter im Unternehmen |
| Eine behördliche Vorabprüfung |
| Ein nachgewiesenes Kompetenzniveau je einzelner Person |
Der letzte Punkt steht sogar ausdrücklich im Gesetz. Artikel 4 wurde zum 27. Juli 2026 geändert. Die frühere Fassung verlangte, ein „ausreichendes Niveau an KI-Kompetenz sicherzustellen“ – das war eine Erfolgspflicht. Die geltende Fassung verlangt, Maßnahmen zu ergreifen, die die Entwicklung der KI-Kompetenz unterstützen, und stellt klar, dass kein bestimmtes Niveau „für irgendeine Person“ zu garantieren ist.
Der Zuschnitt macht den Unterschied
Das Gesetz nennt fünf Kriterien, nach denen Sie Ihre Maßnahmen ausrichten: technische Kenntnisse, Erfahrung, Aus- und Fortbildung, den Einsatzkontext – und die Personengruppen, bei denen das System eingesetzt wird.
Das letzte Kriterium wird fast immer übersehen, und es ist das aufschlussreichste. Übersetzt heißt es: Eine Person, deren KI-Einsatz andere Menschen betrifft, braucht mehr als jemand, der Produkttexte formuliert.
In der Praxis läuft das auf eine Unterscheidung nach Fachbereichen hinaus, nicht nach Hierarchie:
| Bereich | Was dort zusätzlich gebraucht wird |
|---|---|
| Marketing und Kommunikation | Kennzeichnungspflichten nach Artikel 50, Quellenprüfung, Urheber- und Markenrecht |
| Personalwesen | Diskriminierungsrisiken, Datenschutz, die Grenze zwischen Vorschlag und Entscheidung |
| Geschäftsführung | Rollenfrage, Risikoeinordnung, Dokumentation |
3. Wie ein Nachweis aussieht
Die Dokumentation ist der dritte Grundstein – und der Teil, der im Alltag am häufigsten fehlt. Wer geschult hat, es aber nicht festgehalten hat, steht im Zweifel so da wie jemand, der nicht geschult hat.
Ein brauchbarer Nachweis enthält:
- wer teilgenommen hat,
- wann,
- welchen Inhalt die Maßnahme hatte – idealerweise mit der Fassung, die zu diesem Zeitpunkt galt,
- und welche Systeme die Person im Unternehmen nutzt.
Dazu gehört auf Unternehmensebene eine kurze Beschreibung, wie Sie den Bedarf ermittelt haben und in welchem Rhythmus Sie auffrischen. Das sind zusammen ein bis zwei Seiten, keine Aktenordner.
Bei uns heißt der individuelle Nachweis Teilnahmebescheinigung. Bewusst nicht „Zertifikat“: Ein Zertifikat ist im EU AI Act ein belegter Rechtsbegriff – es bezeichnet die Bescheinigung einer notifizierten Stelle im Konformitätsbewertungsverfahren (Artikel 43 ff.). Was eine Schulung hervorbringt, ist etwas anderes, und ein Anbieter, der das vermischt, verspricht eine Prüfinstanz, die er nicht ist.
Und eine Frage, die uns oft gestellt wird und die wir ehrlich beantworten: Wie lange müssen Sie die Nachweise aufbewahren? Der EU AI Act nennt dafür keine Frist. Wir haben Verordnung, Änderungsverordnung und das deutsche Durchführungsgesetz daraufhin geprüft. Wer Ihnen eine Frist nennt, nennt eine eigene Festlegung – nicht das Gesetz. Praktisch heißt das: so lange, wie Sie den Nachweis im Zweifel brauchen könnten.
4. Wie eine Schulung aussieht, die tatsächlich stattfindet
Der häufigste Grund, warum Schulungen im Mittelstand scheitern, ist nicht der Inhalt. Es ist die Länge. Ein Halbtagesseminar für zwölf Leute kostet einen halben Betriebstag – und wird deshalb verschoben, bis es niemand mehr macht.
Unser Basiskurs dauert deshalb rund 15 Minuten. Er ist für Menschen gemacht, die KI gelegentlich im Job nutzen, ohne für den KI-Einsatz im Unternehmen verantwortlich zu sein, und besteht aus vier kurzen Bausteinen und einem Abschlusstest mit sechs Fragen:
- Was ist KI eigentlich? Der Unterschied zwischen einer Software, die nach Regeln arbeitet, und einer, die aus Eingaben ableitet.
- Sie führen, die KI schlägt vor. Warum die Entscheidung beim Menschen bleibt.
- Erst prüfen, dann vertrauen. Wie man Ausgaben gegenprüft, statt sie zu übernehmen.
- Die Postkarten-Regel. Was man einem KI-Werkzeug anvertraut – und was nicht.
Durch den Kurs führt Max, eine wiederkehrende Comic-Figur. Das ist kein Beiwerk: Menschen, die im Alltag keine Lust auf Compliance haben, bleiben eher dabei, wenn ihnen jemand etwas erklärt, statt dass ein Foliensatz sie belehrt.
Am Ende steht eine Teilnahmebescheinigung mit Zeitstempel und Kursfassung – der Nachweis aus Abschnitt 3, ohne zusätzlichen Verwaltungsaufwand.
Für Personen, die für den KI-Einsatz verantwortlich sind, gibt es einen Aufbaukurs. Das entspricht der zweiten und dritten Aufbaustufe der Bundesnetzagentur.
5. Strenger wird es bei Hochrisiko-Systemen
Eine Ausnahme sollten Sie kennen, weil sie ab 2027 relevant wird.
Wer ein Hochrisiko-System betreibt – im Mittelstand am ehesten KI im Personalwesen, etwa bei der Bewerberauswahl oder der Leistungsbewertung –, muss die menschliche Aufsicht Personen übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen (Artikel 26 Absatz 2). „Erforderlich“ ist dabei auf die konkrete Person und das konkrete System bezogen – deutlich mehr, als Artikel 4 verlangt.
Diese Pflicht greift mit den übrigen Hochrisiko-Regeln: ab 2. Dezember 2027 für die Bereiche nach Anhang III, ab 2. August 2028 für KI in regulierten Produkten.
Nicht jedes System im Personalwesen ist hochriskant. Artikel 6 Absatz 3 nimmt Systeme aus, die nur eine enge Verfahrensaufgabe erfüllen oder eine menschliche Entscheidung vorbereiten – solange sie kein Profiling betreiben und die Entscheidung nicht wesentlich beeinflussen. Welche Systeme betroffen sind, behandelt unser Grundlagenartikel zu den Betreiberpflichten.
Auch hier gilt aber: Ein Zertifikat oder eine externe Prüfung verlangt der Artikel nicht.
6. Was passiert, wenn nicht geschult wird
Nüchtern betrachtet: Artikel 4 ist nicht unmittelbar bußgeldbewehrt. Es gibt dazu keinen eigenen Sanktionstatbestand im EU AI Act.
Das ist allerdings kein Freibrief, und zwar aus drei Gründen.
Erstens bleibt die zivilrechtliche Sorgfaltspflicht. Wer ungeschulte Mitarbeitende mit KI arbeiten lässt und dadurch einen Schaden verursacht, haftet nach allgemeinem Recht.
Zweitens hängen andere Pflichten praktisch daran. Ob ein KI-Text kennzeichnungspflichtig ist, ob ein Werkzeug eine verbotene Funktion enthält, ob Geschäftsgeheimnisse in ein Sprachmodell wandern – all das entscheidet sich an der einzelnen Person am Arbeitsplatz. Diese Pflichten sind bußgeldbewehrt.
Drittens fragen Geschäftspartner zunehmend danach. In Ausschreibungen und Lieferantenfragebögen taucht die KI-Kompetenz inzwischen regelmäßig auf.
7. Es gibt kostenlose Angebote – eine ehrliche Einordnung
Sie werden bei der Recherche darauf stoßen, deshalb sagen wir es selbst: Die Allianz für Cyber-Sicherheit des BSI stellt ein kostenloses Informationspaket bereit, darunter Schulungsfolien zur Sensibilisierung und ein Merkblatt. Das ist gutes Material und für viele Betriebe ein sinnvoller Einstieg.
Der Unterschied liegt nicht im Inhalt, sondern im Nachweis. Ein Foliensatz erzeugt keine Teilnahmebescheinigung mit Zeitstempel, keine Einzelzugänge je Person, keinen Abschlusstest und keine zentrale Übersicht, wer wann was absolviert hat. Genau das ist es aber, was der dritte Grundstein – dokumentieren, evaluieren, auffrischen – im Zweifel von Ihnen verlangt.
Wenn Sie zehn Leute haben und die Dokumentation selbst führen wollen, kommen Sie mit dem BSI-Material weit. Wenn Sie den Nachweis nicht selbst verwalten wollen, ist das der Punkt, an dem eine Lösung wie unsere Sinn ergibt.
Häufige Fragen
Müssen wir alle Mitarbeitenden schulen? Nein. Erfasst sind das Personal und weitere Personen, die mit dem Betrieb oder der Nutzung von KI-Systemen befasst sind – nicht pauschal die gesamte Belegschaft. Dafür sind auch Freelancer und Auftragnehmer erfasst, die in Ihrem Auftrag mit KI arbeiten.
Gilt die Schulungspflicht auch bei geringem Risiko? Ja. Artikel 4 gilt unabhängig von der Risikoklasse und unabhängig von der Unternehmensgröße.
Brauchen wir eine externe Zertifizierung? Nein. Weder das Gesetz noch die Bundesnetzagentur verlangt eine externe Zertifizierung, ein formalisiertes Training oder einen KI-Beauftragten.
Wie oft muss aufgefrischt werden? Eine feste Frist nennt das Gesetz nicht. Die Bundesnetzagentur führt „auffrischen“ als Teil des dritten Grundsteins. Praktisch sinnvoll ist eine Auffrischung, wenn sich der Rechtsstand ändert oder neue Systeme eingeführt werden.
Reicht eine einmalige Unterweisung im Team-Meeting? Sie kann eine Maßnahme sein – aber nur, wenn Sie festhalten, wer teilgenommen hat, wann und mit welchem Inhalt. Ohne Dokumentation fehlt Ihnen der dritte Grundstein.
Ist die Schulungspflicht nicht abgeschafft worden? Nein. Abgeschwächt wurde die Erfolgspflicht: Sie müssen kein Kompetenzniveau garantieren. Die Pflicht, Maßnahmen zu ergreifen, besteht unverändert. Und für Betreiber von Hochrisiko-Systemen gilt ab Dezember 2027 zusätzlich die strengere Anforderung aus Artikel 26 Absatz 2.
Wo steht Ihr Unternehmen?
Der Kurzcheck: in wenigen Minuten wissen, was für Sie gilt
Sie beantworten Fragen zu Ihrem Unternehmen und Ihren KI-Systemen. Daraus entstehen ein Verzeichnis, eine priorisierte Aufgabenliste und datierte Dokumente, mit denen Sie belegen können, was Sie getan haben.
Über den Autor
Holger Fiegl · Gründer von AI Act Coach
Als Unternehmensberater und KI-Anwender habe ich mich tief in die rechtliche Hintergründe zum EU AI Act eingearbeitet und veröffentliche mit der Softwarelösung AI Act Coach eine zuverlässige und preisgünstige Möglichkeit, damit kleine und mittelständische Unternehmen (KMU) ihre Compliance-Pflichten und Schulungsanforderungen aus dem EU AI Act erfüllen können.
Kontaktieren Sie mich gerne per Email: info@ai-act-coach.com oder über mein Linkedin-Profil: https://www.linkedin.com/in/holger-fiegl/
Zuletzt fachlich geprüft am TT.MM.JJJJ. Rechtsstand: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744.
Diese Informationen dienen der allgemeinen Orientierung und ersetzen keine Rechtsberatung. Wir sind Anbieter einer Compliance-Software, keine Rechtsanwaltskanzlei.