Seit dem 2. Februar 2025 gilt eine Pflicht, die in vielen mittelständischen Unternehmen noch niemand auf dem Schirm hat: Artikel 4 der KI-Verordnung verlangt, dass Beschäftigte, die KI einsetzen, über ausreichende KI-Kompetenz verfügen. Keine Übergangsfrist, keine Mitarbeiter-Untergrenze – die Pflicht besteht bereits.

Das Missverständnis ist verbreitet: Viele glauben, der EU AI Act betreffe erst ab 2027 jemanden, und dann auch nur Unternehmen, die selbst KI entwickeln. Beides stimmt nicht.

Was Artikel 4 genau verlangt

Der Wortlaut ist knapp: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag KI-Systeme betreiben und nutzen, über ein ausreichendes Maß an KI-Kompetenz verfügen.

Zwei Begriffe sind entscheidend:

• Betreiber ist jeder, der ein KI-System beruflich einsetzt. Wer im Unternehmen ChatGPT, Microsoft Copilot, eine KI-gestützte Übersetzung oder ein Bewerbermanagement mit KI-Funktion nutzt, ist Betreiber – auch ohne eine Zeile Code geschrieben zu haben.
• Ausreichend ist kein fester Stundenumfang. Der Maßstab richtet sich nach den eingesetzten Systemen, den Vorkenntnissen der Beschäftigten und danach, welche Auswirkungen die KI auf betroffene Personen hat.

Anders gesagt: Wer KI nur zum Formulieren von Texten nutzt, braucht weniger Tiefe als ein Unternehmen, das KI in der Personalauswahl einsetzt. Aber niemand, der KI einsetzt, ist von der Pflicht ausgenommen.

Warum das mehr ist als eine Formalie

Die eigentliche Gefahr liegt selten in der Verordnung selbst, sondern im Arbeitsalltag. In fast jedem Unternehmen, das wir prüfen, findet sich dasselbe Muster: Mitarbeitende kopieren Bewerbungsunterlagen, Kundenlisten, Angebotskalkulationen oder Vertragsentwürfe in frei zugängliche KI-Tools – gut gemeint, um schneller zu arbeiten.

Damit verlassen personenbezogene Daten das Unternehmen, meist ohne Rechtsgrundlage, ohne Auftragsverarbeitungsvertrag und ohne dass jemand davon weiß. Aus einem KI-Thema wird so binnen Sekunden ein Datenschutzvorfall – und der ist unter Umständen innerhalb von 72 Stunden meldepflichtig.

Genau hier wirkt die Schulung: Sie ist kein bürokratischer Selbstzweck, sondern der wirksamste Schutz vor genau diesem Szenario.

Welche Inhalte eine KI-Schulung abdecken sollte

Die Verordnung schreibt keinen Lehrplan vor. Bewährt hat sich in der Praxis dieser Rahmen:

• Wie KI funktioniert – und wo sie irrt. Sprachmodelle erfinden plausibel klingende Fakten. Wer das verstanden hat, prüft Ergebnisse, statt sie zu übernehmen.
• Welche Daten hineindürfen. Die wichtigste Regel überhaupt: keine personenbezogenen Daten, keine Geschäftsgeheimnisse in nicht freigegebene Tools.
• Welche Tools freigegeben sind. Eine kurze, aktuelle Liste wirkt besser als jedes allgemeine Verbot.
• Kennzeichnung von KI-Inhalten. Seit August 2026 gelten Transparenzpflichten für synthetisch erzeugte Inhalte, die bis Dezember 2026 umzusetzen sind.
• Menschliche Kontrolle. Wer unterschreibt, verantwortet – unabhängig davon, wer oder was den Text erzeugt hat.

Wie Sie die Schulung nachweisen

Wie bei der Datenschutzschulung gilt: Was nicht dokumentiert ist, hat im Zweifel nicht stattgefunden. Halten Sie fest, wer wann an welcher Schulung teilgenommen hat, welche Inhalte vermittelt wurden und auf welche Systeme sie sich bezogen. Eine kurze Lernerfolgskontrolle erhöht den Nachweiswert zusätzlich.

Verbote funktionieren nicht

Ein häufiger Reflex: KI wird per Anweisung untersagt. Das Ergebnis ist regelmäßig, dass die Nutzung auf private Geräte und private Accounts abwandert – dorthin, wo niemand mehr Einblick hat und wo erst recht kein Vertrag greift.

Wirksamer ist der umgekehrte Weg: eine kurze Liste freigegebener Werkzeuge, klare Regeln für den Umgang mit Daten und geschulte Mitarbeitende, die verstehen, warum diese Regeln existieren.

Was jetzt zu tun ist

1. Bestandsaufnahme: Welche KI-Systeme sind tatsächlich im Einsatz? Erfahrungsgemäß liegt die reale Zahl deutlich über der bekannten.
2. Risiken einordnen: Welche Systeme fallen in welche Kategorie des EU AI Act?
3. KI-Richtlinie erstellen: freigegebene Tools, erlaubte Daten, Zuständigkeiten, Prüfpflichten.
4. Schulen und dokumentieren: zugeschnitten auf die real genutzten Systeme.
5. Mit dem Datenschutz verzahnen: Rechtsgrundlage, AV-Verträge und gegebenenfalls Folgenabschätzung prüfen.

Wer diese fünf Schritte geht, erfüllt nicht nur Artikel 4, sondern hat vor allem die Kontrolle darüber zurückgewonnen, was mit den eigenen Daten geschieht.

Passend zum Thema