KI-Schulungspflicht: Was der EU AI Act wirklich fordert

Von allen Pflichten des EU AI Act ist die KI-Schulungspflicht die einzige, die schon heute jedes Unternehmen trifft - und die am zuverlässigsten übersehen wird. Während in Vorständen über Hochrisiko-Einstufungen diskutiert wird, die frühestens 2026 greifen, läuft seit Februar 2025 eine Pflicht, für die es keine Kleinunternehmerregelung, keine Übergangsfrist und keine Ausnahme nach Risikoklasse gibt.

Der Grund, warum sie untergeht, ist ihre Formulierung. Artikel 4 nennt keine Stundenzahl, kein Curriculum und kein Zertifikat. Wer nach einer Checkliste sucht, findet keine - und liest daraus fälschlich, es sei nichts zu tun. Tatsächlich ist das Gegenteil gemeint: Die Pflicht ist bewusst flexibel gehalten, damit sie zum jeweiligen KI-Einsatz passt. Flexibel heißt aber nicht unverbindlich.

Dieser Artikel klärt, wer genau verpflichtet ist, was "ausreichende KI-Kompetenz" praktisch bedeutet, was in eine Schulung nach Artikel 4 gehört und wie du sie so dokumentierst, dass sie im Zweifel als Nachweis trägt. Alle Fristen, Artikelnummern und Pflichten stammen aus der Verordnung selbst und sind unten verlinkt. Eine Einordnung vorweg: Der Beitrag erklärt die Rechtslage praxisnah, er ist keine Rechtsberatung - für die verbindliche Bewertung deines Einzelfalls gehört ein Anwalt an den Tisch.

Was die KI-Schulungspflicht ist: Artikel 4 in einem Satz

Die KI-Schulungspflicht ist die in Artikel 4 der Verordnung (EU) 2024/1689 verankerte Verpflichtung von Anbietern und Betreibern von KI-Systemen, nach besten Kräften ein ausreichendes Maß an KI-Kompetenz aller Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung dieser Systeme befasst sind. Der Fachbegriff dafür lautet KI-Kompetenz, im englischen Original AI Literacy.

Der Wortlaut von Artikel 4 zur KI-Kompetenz ist kurz, und jedes seiner Elemente hat Folgen. "Anbieter und Betreiber" legt fest, wen es trifft. "Nach besten Kräften" legt den Maßstab fest. "Ausreichendes Maß" macht das Ziel abhängig vom Kontext. Und "andere Personen, die in ihrem Auftrag" mit KI arbeiten, zieht den Kreis über die eigene Belegschaft hinaus.

Wichtig ist, was Artikel 4 nicht sagt. Er nennt keine Mindeststundenzahl, keine anerkannte Prüfstelle, kein Pflichtzertifikat und keine Wiederholungsfrequenz. Diese Lücken sind Absicht: Ein Betrieb, dessen Team ein Sprachmodell für interne Textentwürfe nutzt, braucht ein anderes Kompetenzniveau als eine Personalabteilung, die KI in der Bewerbervorauswahl einsetzt. Ein starrer Standard hätte beide Fälle falsch getroffen.

Der Preis dieser Flexibilität ist, dass du die Angemessenheit selbst begründen musst. Genau das ist die eigentliche Arbeit an Artikel 4 - nicht das Schulen, sondern das Festlegen, was in deinem Fall ausreicht, und das Belegen, dass es stattgefunden hat.

Für wen die KI-Schulungspflicht gilt

KIMit KI erzeugtes Bild

Der AI Act kennt vier Rollen: Anbieter entwickeln ein KI-System und bringen es unter eigenem Namen auf den EU-Markt. Betreiber setzen ein KI-System in beruflicher Funktion ein. Importeure bringen Systeme aus Drittländern in die EU, Händler stellen sie in der Lieferkette bereit. Artikel 4 adressiert die ersten beiden: Anbieter und Betreiber.

Für die allermeisten Unternehmen ist die Betreiberrolle die relevante. Wer ein Sprachmodell im Team nutzt, einen KI-Chatbot im Kundenservice betreibt, KI-Tools im Marketing einsetzt oder Automatisierungen mit KI-Bausteinen laufen lässt, ist Betreiber - und damit verpflichtet. Der Einsatz muss beruflich sein, mehr braucht es nicht. Es gibt keine Mitarbeiterzahl, unter der die Pflicht entfällt, und keine Risikoklasse, die davon befreit. Auch wer ausschließlich im Bereich minimales Risiko unterwegs ist, schuldet KI-Kompetenz.

Der zweite, meist unterschätzte Teil betrifft den Personenkreis. Artikel 4 spricht vom eigenen Personal und von anderen Personen, die im Auftrag des Unternehmens mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Damit fallen auch Freelancer, Agenturen und externe Dienstleister in den Blick, die für dich mit KI arbeiten. Wer seine Content-Produktion an eine Agentur gibt, die dort mit KI arbeitet, hat das Thema nicht ausgelagert, sondern nur verlagert.

Wechseln kann die Rolle übrigens auch. Wer ein zugekauftes KI-System wesentlich verändert oder unter eigenem Namen weitervertreibt, kann rechtlich zum Anbieter werden - mit den strengeren Anbieterpflichten. Für Unternehmen, die KI nicht nur nutzen, sondern in eigene Produkte einbauen, ist das die wichtigste Weiche im ganzen Gesetz. Wie die Rollen und Klassen im Gesamtbild zusammenhängen, steht im Überblicksartikel zum EU AI Act.

Seit wann die Pflicht gilt - und warum der Termin schon vorbei ist

Artikel 4 ist seit dem 2. Februar 2025 anwendbar. Die Verordnung trat am 1. August 2024 in Kraft, ihre Pflichten greifen aber gestaffelt (Art. 113). Kapitel I und II - und damit sowohl die verbotenen Praktiken nach Artikel 5 als auch die KI-Kompetenz nach Artikel 4 - bilden die erste Stufe. Der offizielle Zeitplan zur Anwendbarkeit des AI Act führt jedes Datum mit Artikelbezug auf.

Die praktische Konsequenz aus dieser Tabelle wird selten gezogen: Artikel 4 ist die einzige Zeile, bei der du nicht mehr planst, sondern nachholst. Alles darunter liegt in der Zukunft und lässt sich terminieren. Die KI-Kompetenz nicht.

Dass daraus kein Massenalarm entstanden ist, hat einen einfachen Grund: Die Pflicht ist als Bemühenspflicht formuliert. "Nach besten Kräften" bedeutet, dass nicht ein bestimmtes Ergebnis geschuldet wird, sondern ein ernsthaftes, dem Kontext angemessenes Bemühen. Wer aber gar nichts unternimmt, erfüllt auch die Bemühenspflicht nicht - und genau das ist in vielen Betrieben der Zustand. Laut Bitkom-Befragung 2025 wurden 20 Prozent der Erwerbstätigen von ihrem Arbeitgeber im Umgang mit KI geschult; 70 Prozent wird überhaupt kein Fortbildungsangebot dazu gemacht.

Was "ausreichende KI-Kompetenz" konkret heißt

Die Verordnung liefert für die Angemessenheit drei Kriterien, und die sind brauchbarer, als sie auf den ersten Blick wirken. Ausreichend bemisst sich nach dem technischen Wissen, der Erfahrung und der Ausbildung des Personals, nach dem Einsatzkontext der KI-Systeme und nach den Personengruppen, an oder mit denen die KI eingesetzt wird.

Übersetzt heißt das: Drei Fragen bestimmen dein Zielniveau. Erstens - was können deine Leute schon? Ein Entwicklerteam startet an einem anderen Punkt als das Backoffice. Zweitens - wozu wird die KI eingesetzt? Interne Textentwürfe sind harmloser als Systeme, die auf Kundendaten zugreifen oder nach außen sprechen. Drittens - wer ist betroffen? Sobald Kunden, Bewerber oder Patienten im Spiel sind, steigt das erforderliche Niveau spürbar.

Aus diesen drei Achsen folgt ein Prinzip, das die Praxis oft verfehlt: KI-Kompetenz ist rollenbasiert, nicht pauschal. Eine Schulung, die alle 40 Mitarbeitenden zwei Stunden lang dasselbe hören lässt, trifft in der Regel niemanden richtig - für die einen zu oberflächlich, für die anderen irrelevant. Der Vertrieb braucht andere Inhalte als die Buchhaltung, und Leadership braucht eine dritte Perspektive, nämlich die auf Steuerung und Verantwortung.

Ein zweites Missverständnis lohnt die Klarstellung: KI-Kompetenz ist nicht primär Rechtskunde. Dass jemand Artikel 4 zitieren kann, macht ihn nicht kompetent im Sinne der Verordnung. Gemeint ist die Fähigkeit, KI-Systeme sachkundig einzusetzen und ihre Grenzen einzuschätzen - zu wissen, wann ein Modell zuverlässig arbeitet, wann es plausibel klingenden Unsinn produziert, welche Daten hineindürfen und wann ein Mensch das Ergebnis prüfen muss. Das ist Handwerk, kein Paragrafenwissen.

Was in eine KI-Schulung nach Artikel 4 gehört

KIMit KI erzeugtes Bild

Weil die Verordnung kein Curriculum vorgibt, hier ein Aufbau, der die drei Angemessenheitskriterien tatsächlich abdeckt. Fünf Bausteine, von denen die ersten vier jede Rolle betreffen und der fünfte nur Führung und Verantwortliche.

Erstens: Was KI ist und was sie nicht ist. Wie ein Sprachmodell zu seiner Antwort kommt, warum es überzeugend falsch liegen kann, warum es keine Datenbank ist. Ohne dieses Fundament bleibt jede weitere Regel auswendig gelernt.

Zweitens: das Handwerk am eigenen Fall. Wie ein brauchbarer Auftrag an ein Modell aussieht, wie man Ergebnisse prüft, wo Iteration nötig ist. Das ist die Ebene, auf der Kompetenz überhaupt sichtbar wird - nachlesbar im Leitfaden zum Schreiben brauchbarer KI-Prompts. Entscheidend ist, dass die Übungsfälle aus dem echten Tagesgeschäft kommen und nicht aus einem Beispielkatalog.

Drittens: Daten, Vertraulichkeit, Grenzen. Welche Informationen dürfen in welches Werkzeug, welche nie? Hier verbindet sich Artikel 4 mit dem Datenschutz - und hier liegt der Punkt, an dem eine fehlende Schulung real teuer wird, unabhängig von jeder Aufsichtsbehörde.

Viertens: Aufsicht und Kennzeichnung. Wann muss ein Mensch prüfen, bevor ein KI-Ergebnis rausgeht? Und wo gilt bereits Kennzeichnungspflicht? Die Transparenzpflichten nach Artikel 50 greifen ab dem 2. August 2026 und betreffen jeden Chatbot und jedes veröffentlichte KI-Bild - wer heute schult, nimmt das gleich mit, statt in einem Jahr erneut alle zusammenzurufen. Für Hochrisiko-Systeme ist menschliche Aufsicht nach Artikel 14 ohnehin verpflichtend.

Fünftens: Steuerung für Verantwortliche. Welche KI-Systeme laufen im Betrieb, wer ist zuständig, woran wird Wirkung gemessen? Der AI Act schreibt keinen KI-Beauftragten vor - anders als die Datenschutz-Grundverordnung beim Datenschutzbeauftragten. Sinnvoll ist die Rolle trotzdem, weil KI-Kompetenz, Aufsicht und Dokumentation sonst niemandem gehören und liegen bleiben.

Wie du die KI-Kompetenz nachweist

KIMit KI erzeugtes Bild

Ein vorgeschriebenes Zertifikat gibt es nicht. Was es braucht, ist die Fähigkeit, im Zweifel zu zeigen, dass etwas passiert ist. Vier Bestandteile reichen dafür in der Regel aus: der Schulungsinhalt in dokumentierter Form, die Teilnehmerliste mit Datum, eine Wissenskontrolle mit Ergebnis und eine Regelung, wie Neuzugänge nachgezogen werden.

Der letzte Punkt ist der, der am häufigsten fehlt. Eine Schulung im Juni 2026 nützt wenig, wenn die drei Personen, die im November anfangen, nichts davon mitbekommen. KI-Kompetenz ist kein Projekt mit Enddatum, sondern ein Teil des Onboardings - so, wie Arbeitssicherheit und Datenschutz es längst sind.

Wir haben das für den eigenen Betrieb genau so gelöst. Am 19. Juni 2026 lief eine Inhouse-Schulung für das gesamte Team, mit einem Quiz als Wissensnachweis, das mindestens vier von fünf Fragen richtig verlangt, dazu Protokoll und Unterschriftenliste in der Compliance-Akte. Auf Nachfrage bei der IHK Köln wurde bestätigt, was der Wortlaut ohnehin hergibt: Eine lückenlose interne Dokumentation genügt als Eigennachweis, ein externer Zertifizierer ist nicht vorgeschrieben.

Das Quiz ist dabei mehr als eine Formalie. Es verwandelt eine Anwesenheitsliste in einen Kompetenznachweis - und es zeigt dir, wo im Team echte Lücken sind, statt sie zu verdecken. Genau deshalb haben wir daraus einen dauerhaften Prüfungstrainer gebaut, mit dem neue Kolleginnen und Kollegen den Nachweis nachholen können, ohne dass eine ganze Schulung wiederholt werden muss. Der zweite Baustein aus dem eigenen Haus liegt offen einsehbar auf der Seite zur KI-Transparenz: dort steht, welche KI-Systeme wir wofür einsetzen. Beides zusammen - geschultes Team und dokumentierte Systeme - ist der Zustand, den Artikel 4 praktisch meint.

Häufige Fehler bei der KI-Schulungspflicht

Der teuerste Fehler ist die falsche Reihenfolge. Unternehmen beginnen bei der Hochrisiko-Frage, arbeiten sich wochenlang durch Anhang III, kommen zum Ergebnis "betrifft uns nicht" - und haben in der Zwischenzeit die einzige Pflicht liegen lassen, die längst gilt. Richtig ist umgekehrt: erst Artikel 4 erledigen, weil er anwendbar ist und sich in überschaubarer Zeit lösen lässt, danach die Kennzeichnung für August 2026 aufsetzen, und erst dann die Hochrisiko-Frage sauber prüfen.

Der zweite Fehler ist die Richtlinie im Intranet. Wir sehen in Projekten regelmäßig Unternehmen, die ein KI-Nutzungsdokument ablegen und das als KI-Kompetenz verbuchen. Ein Papier, das niemand gelesen hat, ist kein Nachweis - und es verhindert auch nichts. Die Mitarbeitenden, die Kundendaten in ein beliebiges Werkzeug kopieren, tun das nicht aus Bosheit, sondern weil ihnen niemand gezeigt hat, wo die Grenze verläuft. Aus über 600 umgesetzten Projekten seit 2012 ist das die konsistenteste Beobachtung: Was nicht geübt wurde, wird im Alltag nicht angewendet.

Der dritte Fehler ist die Tool-Demo als Schulung. Zwei Stunden, in denen jemand vorne ein Werkzeug vorführt und alle zuschauen, erzeugen weder Kompetenz noch Nachweis. Wirksam wird es erst, wenn die Teilnehmenden an ihren eigenen Aufgaben arbeiten und am Ende ein Ergebnis in der Hand halten, das sie am nächsten Tag benutzen. Sonst passiert genau das, was wir bei Betrieben sehen, die KI-ready sind, aber nicht KI-produktiv: Werkzeuge lizenziert, Schulung abgehakt, Nutzung nahe null.

Der vierte Fehler ist das Ignorieren der Schatten-KI. Laut dem Work Trend Index von Microsoft und LinkedIn bringen 78 Prozent der KI-Nutzenden eigene Werkzeuge mit zur Arbeit, in kleinen und mittleren Unternehmen sogar 80 Prozent. Wer glaubt, im eigenen Haus werde keine KI genutzt, hat sie nur nicht gesehen. Für Artikel 4 ist das die unangenehmste Konstellation: Es wird längst mit KI gearbeitet, nur eben ohne Regeln, ohne Schulung und ohne Dokumentation - und wenn dabei etwas schiefgeht, ist der Betrieb trotzdem der Betreiber.

Wann sich mehr lohnt als das Pflichtprogramm

Für kleine Betriebe mit überschaubarem KI-Einsatz ist Artikel 4 in wenigen Tagen erledigt: Systeme auflisten, Personenkreis klären, einen Halbtag rollenbasiert schulen, Wissenskontrolle, Akte anlegen, Onboarding ergänzen. Das ist keine Beraterlösung, das ist Hausarbeit - und für viele Unternehmen genau richtig. Die Mitgliedstaaten organisieren nach Artikel 62 zudem KMU-spezifische Sensibilisierungs- und Schulungsmaßnahmen, wie der Leitfaden für kleine Unternehmen zum AI Act ausführt.

Der Rechenweg kippt, sobald zwei Dinge zusammenkommen: mehr als eine Handvoll Rollen mit unterschiedlichen KI-Berührungspunkten, und KI, die nach außen wirkt - im Kundenkontakt, in der KI-Telefonie, in veröffentlichten Inhalten. Dann reicht ein Pflicht-Halbtag inhaltlich nicht mehr aus, und eine rollenbasierte KI-Schulung wird zur Investition mit doppeltem Ertrag: Sie erfüllt Artikel 4 und hebt gleichzeitig die Produktivität, die sonst in ungesteuertem Ausprobieren verpufft.

Der dritte Fall ist der interessanteste. Wenn im Betrieb schon Prozessautomatisierung mit KI läuft, ist die Kompetenzfrage keine Compliance-Aufgabe mehr, sondern eine Betriebsfrage: Wer versteht die Automatisierung gut genug, um zu merken, wenn sie falsch läuft? Diese Fähigkeit entscheidet über den Nutzen der Systeme, lange bevor eine Behörde danach fragt.

So gehst du die KI-Schulungspflicht an

Vier Schritte, keiner davon braucht ein Großprojekt. Erstens: Schreib auf, welche KI-Systeme im Betrieb tatsächlich laufen - Sprachmodelle, Chatbots, Bildgeneratoren, Automatisierungen mit KI-Bausteinen. Frag dabei aktiv nach privaten Werkzeugen, sonst bekommst du eine geschönte Liste. Zweitens: Klär den Personenkreis, inklusive Externer. Drittens: Leg pro Rolle das Zielniveau fest und schule rollenbasiert an echten Aufgaben. Viertens: Dokumentiere Inhalt, Teilnehmer, Datum und Wissenskontrolle - und häng das Ganze ins Onboarding, damit es nicht in sechs Monaten wieder verfällt.

Diese Einordnung stammt nicht aus zweiter Hand. René Tzschoppe, EU AI Act Beauftragter mit TÜV Rheinland geprüfter Qualifikation, trägt das Prüfzeichen mit der ID 0217466644, gültig bis 27.07.2029 - die Prüfung umfasst Risikoklassifizierung nach Verordnung (EU) 2024/1689, KI-Kompetenz nach Artikel 4, Transparenzpflichten nach Artikel 50 sowie Konformitätsbewertung und Dokumentation.

Die Qualifikation belegt Fachkunde, keine Rechtsberatung - der Hinweis vom Anfang gilt unverändert. Praktisch bedeutet sie, dass die Frage nach Kompetenznachweis, Kennzeichnung und Dokumentation Teil der Bauplanung ist, wenn wir als KI-Agentur Systeme entwickeln oder in der KI-Strategie-Beratung den Fahrplan aufsetzen. Welche Anwendungsfälle wie eingeordnet werden, zeigen unsere KI-Anwendungsfälle; Begriffe wie Anbieter, Betreiber oder KI-Kompetenz stehen im Glossar.

Die ehrliche Zusammenfassung: Artikel 4 ist keine Bedrohung, sondern die Aufgabe, die ohnehin anstand. Ein Team, das versteht, was die eingesetzten Systeme können und wo sie kippen, arbeitet nicht nur regelkonform - es holt aus denselben Werkzeugen mehr heraus als eines, das sie heimlich benutzt. Wer die Pflicht als Anlass nimmt, das nachzuholen, bekommt Compliance als Nebenprodukt einer Entscheidung, die sich sowieso rechnet - und vermeidet nebenbei die Möglichkeitslähmung, in der zu viele KI-Vorhaben stecken bleiben.