KI-Schulungspflicht

Was ist die KI-Schulungspflicht?

Mit KI-Schulungspflicht ist fast immer Artikel 4 der KI-Verordnung (EU) 2024/1689 gemeint, der die Überschrift „KI-Kompetenz“ trägt. Das Wort Schulungspflicht kommt im Gesetzestext nicht vor. Artikel 4 regelt, was Unternehmen tun, damit Menschen, die mit KI-Systemen arbeiten, diese sachkundig einsetzen.

In der konsolidierten Fassung vom 27. Juli 2026 lautet der Kern von Absatz 1: Die Anbieter und Betreiber von KI-Systemen „ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“. Dabei zählen Vorkenntnisse, Erfahrung, Ausbildung, der Einsatzkontext und die Menschen, bei denen die Systeme eingesetzt werden.

Der letzte Satz des Absatzes ist neu und für die Praxis entscheidend: Die Verpflichtung verpflichtet Anbieter oder Betreiber nicht, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“. Was KI-Kompetenz inhaltlich bedeutet, definiert Artikel 3 Nummer 56; die Einzelheiten stehen auf der Seite zu KI-Kompetenz und AI Literacy.

Was hat sich durch den Digital-Omnibus geändert?

Die Verordnung (EU) 2026/1744 vom 8. Juli 2026, der „Digital-Omnibus zur KI“, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat nach ihrem Artikel 4 am dritten Tag danach in Kraft. Sie hat Artikel 4 der KI-Verordnung neu gefasst.

In der ursprünglichen Fassung mussten Unternehmen Maßnahmen ergreifen, um „nach besten Kräften sicherzustellen“, dass ihr Personal über ein „ausreichendes Maß an KI-Kompetenz“ verfügt. Erwägungsgrund 8 des Omnibus begründet die Änderung: Strenge Verpflichtungen seien nicht für alle Anbieter und Betreiber geeignet und verursachten besonders bei kleineren Unternehmen zusätzlichen Aufwand. KI-Kompetenz solle unabhängig von Pflichten und Sanktionen eine strategische Priorität sein.

Viele Ratgeber im Netz zitieren noch die alte Fassung. Prüfen Sie Aussagen zu Artikel 4 deshalb immer gegen den konsolidierten Text auf EUR-Lex.

Für wen gilt Artikel 4?

Artikel 4 richtet sich an Anbieter und Betreiber. Anbieter entwickeln ein KI-System und bringen es unter eigenem Namen auf den Markt. Betreiber ist nach Artikel 3 Nummer 4 jede Person oder Stelle, die ein KI-System „in eigener Verantwortung verwendet“, solange das nicht rein privat geschieht. Ein Unternehmen, dessen Team ChatGPT, Copilot oder ein KI-Übersetzungswerkzeug beruflich nutzt, ist damit in der Regel Betreiber.

Die Unternehmensgröße spielt für die Geltung keine Rolle. Ausgenommen sind nach Artikel 2 Absatz 10 nur natürliche Personen, die KI ausschließlich persönlich und nicht beruflich verwenden.

Erfasst ist nicht nur das eigene Personal. Artikel 4 nennt auch andere Personen, die im Auftrag des Unternehmens mit den Systemen arbeiten. Die EU-Kommission nennt in ihren Fragen und Antworten als Beispiele Auftragnehmer, Dienstleister und Kunden.

Für die Planung hilft eine einfache Frage je Werkzeug: Wer nutzt es, und wen betrifft das Ergebnis? Ein Übersetzungswerkzeug im Marketing betrifft vor allem Texte. Ein Chatbot auf der Website spricht direkt mit Kunden. Ein Werkzeug zur Vorauswahl von Bewerbungen betrifft Menschen, über die entschieden wird. Artikel 4 verlangt ausdrücklich, diese Personen oder Personengruppen zu berücksichtigen.

Was müssen Unternehmen konkret tun?

Ein festes Programm schreibt die Verordnung nicht vor. Die Bundesnetzagentur, die in Deutschland seit dem 29. Juli 2026 Marktüberwachungsbehörde für die KI-Verordnung ist, betont: Format, Standardtrainings und feste Kompetenzniveaus sind nicht vorgegeben. Die EU-Kommission nennt in ihren Fragen und Antworten Punkte, die ein Unternehmen mindestens bedenken sollte. Daraus ergibt sich ein Ablauf in vier Schritten.

Die Kommission weist außerdem darauf hin, dass der bloße Verweis auf Gebrauchsanleitungen der Hersteller oft nicht wirkt. Für Beschäftigte, die mit ChatGPT Texte schreiben oder übersetzen, nennt sie als Beispiel, dass sie über konkrete Risiken wie Halluzinationen informiert sein sollten.

Für die Inhalte schlägt die Bundesnetzagentur einen stufenweisen Aufbau vor. Stufe eins vermittelt Grundlagen von Daten und KI sowie allgemeine Chancen und Risiken. Stufe zwei behandelt die Rolle der Organisation, technische Aspekte und die rechtliche Einordnung. Stufe drei sind Trainings für einzelne Rollen, etwa in Technik oder Recht. Die Behörde betont, dass diese Inhalte weder verpflichtend noch abschließend sind.

In der Praxis heißt das: Eine Assistenz, die mit ChatGPT im Unternehmen Mails entwirft, braucht andere Inhalte als eine Personalabteilung, die Bewerbungen mit KI vorsortiert. Je mehr Menschen von einem Ergebnis betroffen sind, desto tiefer sollte die Maßnahme gehen.

1. Bestand aufnehmen

   Erfassen Sie, welche KI-Systeme im Unternehmen laufen, wer sie nutzt und ob Sie dabei Anbieter oder Betreiber sind.

2. Risiken einschätzen

   Klären Sie je System, welche Daten hineinfließen, wer von den Ergebnissen betroffen ist und was ein Fehler auslösen kann.

3. Maßnahmen zuschneiden

   Passen Sie Inhalte an Vorwissen und Rolle an: Grundlagen für alle, Vertiefung für Personal, Recht oder IT.

4. Dokumentieren und auffrischen

   Halten Sie Art, Umfang und Teilnehmende fest und wiederholen Sie die Maßnahmen, wenn sich Werkzeuge oder Aufgaben ändern.

Muss es eine Schulung mit Zertifikat sein?

Nein. Die Kommission schreibt ausdrücklich, dass kein Zertifikat nötig ist. Die Bundesnetzagentur zählt weder eine Zertifizierungspflicht für Schulungen noch externe Zertifizierungen zu den Pflichten. Maßnahmen dürfen intern oder extern stattfinden.

Als Maßnahme zählen neben Kursen auch Leitfäden, Einweisungen am Arbeitsplatz, interne Regeln oder Lernformate im Team. Kursnamen wie „KI-Führerschein“ sind Bezeichnungen der Anbieter und kein amtlicher Nachweis; was hinter dem Begriff steckt und wie Sie solche Kurse prüfen, zeigt die Seite zum KI-Führerschein.

Die Kommission sammelt Praxisbeispiele von Unternehmen in einem öffentlichen Verzeichnis. Sie stellt klar, dass die Übernahme eines dort gelisteten Beispiels nicht automatisch die Vermutung begründet, Artikel 4 sei erfüllt.

Wie dokumentieren Sie die Maßnahmen?

Eine ausdrückliche Nachweispflicht enthält Artikel 4 nicht. Die Kommission schreibt aber, Unternehmen könnten interne Aufzeichnungen über Schulungen und andere Maßnahmen führen. Die Bundesnetzagentur empfiehlt, die Maßnahmen gut zu dokumentieren, damit sich die Erfüllung von Artikel 4 nachweisen lässt, und nennt dabei Art, Umfang und Teilnehmende.

Eine schlanke Tabelle reicht für den Anfang. Wichtig ist, dass sie aktuell bleibt und zu den tatsächlich genutzten Werkzeugen passt.

Die Beispiele in der Tabelle sind ein Vorschlag zur Gliederung. Weder die KI-Verordnung noch die Behörden schreiben Felder, Stundenzahlen oder Fristen vor.

Drohen Bußgelder bei fehlender KI-Kompetenz?

Artikel 99 der KI-Verordnung legt Höchstbeträge für bestimmte Verstöße fest, etwa für verbotene Praktiken nach Artikel 5 und für Pflichten der Betreiber nach Artikel 26. Artikel 4 ist in diesen Absätzen 3 bis 5 nicht genannt. Nach Absatz 1 erlassen die Mitgliedstaaten eigene Vorschriften für Sanktionen und andere Durchsetzungsmaßnahmen, die verhältnismäßig sein müssen.

Die Aufsicht liegt bei den nationalen Marktüberwachungsbehörden. Die Kommission schreibt, die Regeln zu Aufsicht und Durchsetzung gelten seit dem 2. August 2026. In Deutschland übernimmt diese Rolle nach dem Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) die Bundesnetzagentur.

Unabhängig von Bußgeldern weist die Bundesnetzagentur darauf hin, dass fehlende KI-Kompetenz als Verletzung der Sorgfaltspflicht gelten kann, besonders wenn ein Schaden entsteht. Ob und wie das im Einzelfall greift, klären Sie mit Ihrer Rechtsberatung.

Diese Seite erklärt die Rechtslage allgemein und ersetzt keine Rechtsberatung. Stand der Normen: konsolidierte Fassung der KI-Verordnung vom 27. Juli 2026.

Welche Pflichten gehen über Artikel 4 hinaus?

Wer ein Hochrisiko-KI-System betreibt, etwa im Personalbereich nach Anhang III, überträgt die menschliche Aufsicht nach Artikel 26 Absatz 2 Personen mit „der erforderlichen Kompetenz, Ausbildung und Befugnis“. Diese Pflichten gelten nach Artikel 113 ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I. Wie Sie Ihre Systeme einstufen, erklärt der Überblick zur KI-Verordnung auf kiagentensicherheit.de.

Aus dem Datenschutz kommt eine zweite Erwartung: Die Datenschutzkonferenz empfiehlt in ihrer Orientierungshilfe zu KI, Beschäftigte durch Schulungen, Leitfäden und Gespräche dafür zu sensibilisieren, ob und wie sie KI-Anwendungen nutzen dürfen. Was das für Ihre Unterweisungen bedeutet, steht auf der Seite zur Datenschutz-Schulung mit KI.

Gibt es einen Betriebsrat, muss der Arbeitgeber ihn nach § 90 Absatz 1 Nummer 3 BetrVG rechtzeitig über die Planung von Arbeitsverfahren „einschließlich des Einsatzes von Künstlicher Intelligenz“ unterrichten. Einen eigenen KI-Beauftragten schreibt die KI-Verordnung nicht vor; wann die Rolle trotzdem sinnvoll ist, zeigt die Seite zum KI-Beauftragten.

Checkliste: Was Ihr Team konkret tut

Maßnahmen nach Artikel 4 wirken erst, wenn sie im Arbeitsalltag ankommen. Das BSI nennt die Sensibilisierung der Nutzenden einen entscheidenden Faktor zur Minderung der Risiken generativer KI: Sie sollen Ausgaben kritisch hinterfragen und wissen, welche Daten sie eingeben dürfen. Vier Regeln decken die häufigsten Fehler ab.

Legen Sie für die vierte Regel einen festen Meldeweg fest, etwa eine Mailadresse oder einen Ansprechpartner in der IT. Wer einen Fehler schnell meldet, gibt dem Unternehmen die Zeit, Zugänge zu sperren oder Betroffene zu informieren.

Wie Sie diese Regeln in ein Schulungsprogramm für alle Beschäftigten einbetten, beschreibt die Seite zur Security-Awareness-Schulung. Möchten Sie die Regeln mit Ihrem Team üben, können Sie ein Training für Ihr Team anfragen.

• Daten schützen: Kunden- und Personaldaten nur in freigegebene Werkzeuge eingeben.
• Zweiten Kanal nutzen: Ungewöhnliche Anweisungen über einen bekannten Kontakt bestätigen.
• Ergebnisse prüfen: Zahlen, Zitate und Quellen aus KI-Antworten vor der Weitergabe nachprüfen.
• Vorfälle melden: Fehleingaben und Verdachtsfälle sofort melden, ohne Schuldfrage.

Häufige Fragen