Kurz gesagt: Wer im Unternehmen KI nutzt – und sei es nur ChatGPT oder Copilot im Büro –, muss die KI-Kompetenz seiner Beschäftigten fördern. Seit Juli 2026 verlangt Art. 4 KI-Verordnung dafür geeignete Maßnahmen, aber keinen garantierten Wissensstand und kein Zertifikat. Entscheidend ist, dass Sie nachvollziehbar handeln und das festhalten.
Worum es geht
Die KI-Verordnung (EU) 2024/1689 verpflichtet in Art. 4 Anbieter und Betreiber von KI-Systemen, sich um die KI-Kompetenz ihres Personals zu kümmern. „Betreiber“ ist dabei jedes Unternehmen, das ein KI-System beruflich einsetzt – also auch die Steuerkanzlei, die E-Mails mit einem KI-Assistenten vorformulieren lässt. KI-Kompetenz meint: wissen, was das Werkzeug kann, wo seine Grenzen liegen und welche Risiken entstehen.
Die Pflicht gilt seit dem 2. Februar 2025. Mit dem sogenannten Digital Omnibus, der Verordnung (EU) 2026/1744, wurde Art. 4 im Juli 2026 neu gefasst: Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz zu unterstützen. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie ausdrücklich nicht garantieren. Gestrichen wurde die Pflicht also nicht – geschuldet ist das ernsthafte Bemühen, nicht ein Prüfungsergebnis.
Seit dem 2. August 2026 überwachen die nationalen Marktüberwachungsbehörden die Einhaltung; in Deutschland ist das im Wesentlichen die Bundesnetzagentur. Einen eigenen Bußgeldtatbestand für Art. 4 enthält die KI-Verordnung nicht. Die EU-Kommission weist in ihren Fragen und Antworten zur KI-Kompetenz aber darauf hin, dass Behörden Verstöße nach nationalem Recht ahnden können. Wichtiger ist aus meiner Sicht etwas anderes: Geht durch KI etwas schief, wird man fragen, ob Sie Ihre Leute vorbereitet haben.
Wer betroffen ist
Betroffen ist praktisch jedes Unternehmen, in dem Beschäftigte KI-Werkzeuge dienstlich nutzen: Textassistenten wie ChatGPT oder Microsoft Copilot, Übersetzungsdienste, KI-Funktionen in Buchhaltungs-, CRM- oder Bewerbermanagement-Software. Auf die Unternehmensgröße kommt es nicht an. Mitgemeint sind auch „andere Personen“, die in Ihrem Auftrag mit den Systemen arbeiten, etwa Freelancer oder Leiharbeitskräfte.
Je nach Einsatz unterscheidet sich, wie viel Kompetenz nötig ist. Wer KI nur zum Umformulieren eigener Texte nutzt, braucht weniger als die Personalabteilung, die mit KI Bewerbungen vorsortiert. Für Hochrisiko-KI-Systeme, zu denen etwa bestimmte Anwendungen im Personalbereich gehören, kommen nach Art. 26 weitergehende Pflichten zur menschlichen Aufsicht hinzu.
Was jetzt zu tun ist
- KI-Einsatz erfassen: Welche KI-Werkzeuge werden genutzt, von wem und wofür? Fragen Sie ausdrücklich auch nach privat angelegten Konten – die „Schatten-KI“ ist oft der größte Teil.
- Zielgruppen bilden: Gelegentliche Nutzer, Vielnutzer, Führungskräfte und Fachbereiche mit sensiblen Daten brauchen unterschiedlich viel.
- Passende Maßnahmen wählen: Eine kurze Grundschulung für alle, vertiefende Formate für einzelne Bereiche. Mindestinhalte: Funktionsweise und Grenzen, erfundene Antworten („Halluzinationen“), Umgang mit personenbezogenen und vertraulichen Daten, Urheberrecht.
- Regeln festlegen: Welche Werkzeuge sind erlaubt, welche Daten dürfen hinein, wer prüft Ergebnisse? Das gehört in eine kurze KI-Richtlinie.
- Dokumentieren: Ein Zertifikat ist nicht erforderlich. Es genügt eine interne Übersicht, wer wann an welcher Maßnahme teilgenommen hat und welche Regeln gelten.
- Auffrischen: Bei neuen Werkzeugen, neuen Einsatzzwecken und sonst etwa einmal im Jahr.
Die Datenschutz-Grundverordnung gilt daneben unverändert. Wer personenbezogene Daten in ein KI-Werkzeug gibt, braucht eine Rechtsgrundlage und bei externen Anbietern in der Regel einen Vertrag über Auftragsverarbeitung (Art. 28 DSGVO). KI-Kompetenz und Datenschutzschulung lassen sich deshalb gut verbinden.
Praxisbeispiel
Ein typisches Szenario aus meiner Beratung: Ein Dienstleister mit rund 40 Beschäftigten hat offiziell „keine KI im Einsatz“. Bei der Bestandsaufnahme stellt sich heraus, dass der Vertrieb Angebote mit einem kostenlosen Chatbot formuliert – inklusive Kundennamen und Preisen –, die Buchhaltung KI-Funktionen der Finanzsoftware nutzt und zwei Kolleginnen Besprechungen automatisch zusammenfassen lassen.
Wir haben in einer Stunde Grundschulung die wichtigsten Risiken erklärt, eine einseitige KI-Richtlinie beschlossen und die kostenlosen Konten durch eine Unternehmenslizenz mit Auftragsverarbeitungsvertrag ersetzt. Die Teilnahmeliste und die Richtlinie liegen in der Datenschutzdokumentation. Aufwand insgesamt: ein halber Tag – und das Unternehmen kann jetzt jeder Nachfrage gelassen begegnen.
Fazit
Art. 4 verlangt kein Diplom, sondern dass Sie Ihre Beschäftigten befähigen, KI überlegt einzusetzen – und das belegen können.
Sie möchten das in Ihrem Unternehmen angehen?
Ich unterstütze Sie persönlich – von der Bestandsaufnahme über die KI-Richtlinie bis zur Schulung Ihres Teams.
Stand: November 2026. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.