KI-Kompetenzpflicht nach Art. 4 AI Act: Was KMU jetzt schulen müssen

Nutzt in Ihrem Unternehmen jemand ChatGPT für Angebotstexte, ein Übersetzungstool für Kundenmails oder eine KI-Funktion in der Branchensoftware? Dann betrifft Sie eine Pflicht, die viele KMU noch gar nicht auf dem Zettel haben: Nach Artikel 4 der europäischen KI-Verordnung (AI Act) müssen Unternehmen, die KI-Systeme einsetzen, dafür sorgen, dass ihre Mitarbeiter über ein „ausreichendes Maß an KI-Kompetenz" verfügen. Diese Regelung gilt bereits seit dem 2. Februar 2025, und anders als viele andere Teile der Verordnung kennt sie keine Ausnahme für kleine Unternehmen und keine Bagatellgrenze für den gelegentlichen Einsatz.

Die gute Nachricht gleich vorweg: Verlangt wird kein Zertifikatslehrgang und kein Compliance-Großprojekt, sondern eine Schulung mit Augenmaß, angepasst an das, was Ihre Mitarbeiter tatsächlich mit KI tun. Dieser Beitrag ordnet die Pflicht ein und zeigt einen pragmatischen Weg zur Umsetzung.

Wen die Pflicht trifft

Der AI Act unterscheidet zwischen Anbietern, die KI-Systeme entwickeln, und Betreibern, die sie beruflich einsetzen. Die Kompetenzpflicht aus Art. 4 trifft beide, und Betreiber ist ein Unternehmen schneller, als man denkt:

• Mitarbeiter nutzen ChatGPT, Copilot oder vergleichbare Assistenten für Texte, Recherche oder Code,
• die eingesetzte Standardsoftware bringt KI-Funktionen mit, vom E-Mail-Assistenten bis zur automatischen Bilderkennung,
• ein Chatbot beantwortet Kundenanfragen auf der Website,
• KI unterstützt bei Bewerbungssichtung, Angebotskalkulation oder Qualitätskontrolle.

Entscheidend: Die Pflicht erstreckt sich auf alle Personen, die in Ihrem Auftrag mit KI-Systemen umgehen, neben den eigenen Angestellten also etwa auch externe Kräfte. Und sie gilt unabhängig davon, ob der KI-Einsatz offiziell eingeführt wurde oder als „Schatten-KI" einfach passiert. Gerade der ungeregelte Einsatz privater KI-Konten ist dabei doppelt heikel, denn er berührt neben dem AI Act fast immer auch den Datenschutz; warum, haben wir in DSGVO-konforme KI im Unternehmen beschrieben.

Was „ausreichende KI-Kompetenz" bedeutet

Eine starre Stundenzahl oder einen Pflichtlehrplan gibt die Verordnung bewusst nicht vor. Das geforderte Niveau richtet sich nach Vorkenntnissen der Mitarbeiter, dem konkreten Einsatzzweck und den Risiken der genutzten Systeme. Als Kern lässt sich festhalten, dass Mitarbeiter verstehen sollten:

1. Grundfunktion und Grenzen: Was ein Sprachmodell kann, und dass es überzeugend klingende Fehler produziert („Halluzinationen"), die geprüft werden müssen.
2. Datendisziplin: Welche Daten in ein KI-Werkzeug eingegeben werden dürfen und welche nicht, Stichwort Kundendaten, Personaldaten, Geschäftsgeheimnisse.
3. Verantwortung: Dass KI-Ergebnisse Entscheidungshilfen sind und die Verantwortung für das Ergebnis beim Menschen bleibt.
4. Interne Spielregeln: Welche Werkzeuge im Unternehmen freigegeben sind und an wen man sich bei Unsicherheit wendet.

Je risikoreicher der Einsatz, desto mehr ist nötig: Wer KI nur für Textentwürfe nutzt, braucht weniger Tiefe als jemand, der KI-gestützt Bewerbungen vorsortiert.

Warum das mehr als eine Formalie ist

Art. 4 selbst nennt kein eigenes Bußgeld, unterschätzen sollte man die Pflicht trotzdem nicht. Zum einen prüfen Aufsichtsbehörden im Rahmen des AI Act auch, ob Betreiber ihren Pflichten insgesamt nachkommen, und die Kompetenzpflicht ist dabei die grundlegendste. Zum anderen wirkt sie mittelbar: Verursacht ein ungeschulter Mitarbeiter mit einem KI-Werkzeug einen Schaden, etwa eine Datenschutzverletzung oder eine fehlerhafte Kundenauskunft, stellt sich sofort die Frage, ob das Unternehmen seine Schulungs- und Sorgfaltspflichten erfüllt hat. Eine dokumentierte Schulung ist dann Ihre beste Verteidigung.

Wie sich die Pflichten im Einzelfall auf Ihr Unternehmen auswirken, ist eine rechtliche Frage: Dieser Beitrag ordnet ein, ersetzt aber keine Rechtsberatung.

Übrigens ist die Kompetenzpflicht nicht die einzige AI-Act-Vorgabe, die KMU praktisch betrifft: Seit August 2026 greifen auch die Transparenzpflichten aus Art. 50, etwa die Kennzeichnung von Chatbots und KI-generierten Inhalten. Was dort gilt, haben wir im Beitrag zur KI-Kennzeichnungspflicht zusammengefasst.

In vier Schritten zur Umsetzung

Für ein typisches KMU lässt sich die Pflicht in einem überschaubaren Anlauf erfüllen:

1. Bestandsaufnahme: Erfassen Sie, wo im Unternehmen KI tatsächlich im Einsatz ist, inklusive der inoffiziellen Nutzung. Eine kurze, sanktionsfreie Umfrage bringt hier oft Überraschendes zutage.
2. Rollen und Risiken zuordnen: Nicht jeder braucht dieselbe Schulung. Bilden Sie zwei, drei Gruppen, etwa gelegentliche Nutzer, intensive Nutzer und Verantwortliche, und legen Sie je Gruppe den Schulungsumfang fest.
3. Schulen und Regeln festhalten: Eine kompakte Schulung von wenigen Stunden plus eine kurze, verständliche KI-Richtlinie (erlaubte Werkzeuge, verbotene Eingaben, Prüfpflicht für Ergebnisse) decken für die meisten KMU das geforderte Niveau ab.
4. Dokumentieren und auffrischen: Halten Sie fest, wer wann wozu geschult wurde, und wiederholen Sie das Ganze regelmäßig, insbesondere bei neuen Werkzeugen. KI-Kompetenz ist keine Einmalveranstaltung.

Der angenehme Nebeneffekt: Diese vier Schritte sind zugleich die Vorarbeit für jeden sinnvollen KI-Einsatz. Wer weiß, wo KI genutzt wird und wofür, kann auch fundiert entscheiden, wo sie echten Nutzen stiftet, ein Thema, das wir in der Workflow-Automatisierung für KMU vertiefen.

Häufige Fragen

Wir nutzen KI nur gelegentlich. Gilt die Pflicht trotzdem? Ja. Art. 4 kennt weder eine Mindestgröße des Unternehmens noch eine Mindestintensität der Nutzung. Der Umfang der Schulung darf sich aber am tatsächlichen, geringen Einsatz orientieren.

Reicht es, den Mitarbeitern ein Merkblatt auszuhändigen? Ein Merkblatt allein wird dem Anspruch „Maßnahmen zur Sicherstellung von Kompetenz" kaum gerecht. Die Kombination aus kurzer Schulung, klarer Richtlinie und Dokumentation ist mit wenig Mehraufwand deutlich belastbarer.

Müssen wir eine zertifizierte externe Schulung einkaufen? Nein, eine bestimmte Form schreibt die Verordnung nicht vor. Interne Schulungen sind zulässig, sofern Inhalt und Niveau zum Einsatz passen und die Durchführung dokumentiert ist.

Gilt die Pflicht auch, wenn nur der Chef KI nutzt? Ja, auch dann sollte diese Nutzung kompetent und dokumentiert erfolgen. Spätestens wenn weitere Mitarbeiter Zugriff erhalten, braucht es die geordnete Variante mit Richtlinie und Schulung.

Fazit: Eine Pflicht, die sich doppelt auszahlt

Die KI-Kompetenzpflicht aus Art. 4 AI Act gilt seit Februar 2025 für praktisch jedes Unternehmen, das KI einsetzt, auch für den Drei-Personen-Betrieb mit gelegentlicher ChatGPT-Nutzung. Der Aufwand ist überschaubar: Bestandsaufnahme, rollengerechte Schulung, kurze Richtlinie, Dokumentation. Wer das erledigt, erfüllt nicht nur eine gesetzliche Pflicht, sondern legt zugleich das Fundament dafür, KI im Unternehmen produktiv und ohne Datenschutz-Fallen zu nutzen.

Wenn Sie wissen möchten, wo Ihr Unternehmen bei KI, Datenschutz und den übrigen Compliance-Themen steht, liefert unser kostenfreier Compliance-Checker eine erste Einschätzung. Und wenn Sie das Thema strukturiert angehen wollen, von der KI-Richtlinie bis zur souveränen KI-Infrastruktur, sprechen Sie uns an: Das Erstgespräch ist kostenfrei und unverbindlich.