EU AI Act Schulungspflicht (Art. 4): Wer geschult werden muss

Die sogenannte Schulungspflicht des EU AI Act ist die Vorschrift der KI-Verordnung, die die meisten Unternehmen zuerst trifft und die die wenigsten kennen. Art. 4 gilt bereits seit dem 2. Februar 2025 und betrifft nicht nur KI-Entwickler, sondern jeden Betrieb, in dem Mitarbeitende KI-Systeme beruflich nutzen. Wer ChatGPT für Angebotstexte einsetzt oder eine Software mit KI-Funktionen betreibt, fällt darunter. Eine Mindestgröße gibt es nicht.

Dieser Artikel erklärt, was Art. 4 KI-VO tatsächlich verlangt und was nicht, welche Mitarbeitenden welches Kompetenzniveau brauchen, warum das Thema seit August 2026 an Schärfe gewinnt und wie Sie den Nachweis praktisch führen, ohne ein Schulungsbürokratie-Monster aufzubauen. Stand aller rechtlichen Angaben: September 2026.

Was Art. 4 KI-VO wirklich verlangt: Kompetenz, nicht Kurse

Der Begriff Schulungspflicht ist eine Verkürzung. Art. 4 der KI-Verordnung verlangt wörtlich, dass Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind technische Kenntnisse, Erfahrung, Ausbildung und Schulung der Personen ebenso zu berücksichtigen wie der Kontext, in dem die KI-Systeme eingesetzt werden, und die Personen, bei denen sie eingesetzt werden.

KI-Kompetenz definiert die Verordnung in Art. 3 Nr. 56: die Fähigkeiten, Kenntnisse und das Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden bewusst zu werden.

Drei Dinge verlangt Art. 4 ausdrücklich nicht:

• Kein bestimmtes Schulungsformat. Ob Präsenzseminar, E-Learning, interne Unterweisung oder Selbstlernprogramm, bleibt dem Unternehmen überlassen.
• Kein Zertifikat und keine Prüfung. Die EU-Kommission hat in ihren Fragen und Antworten zur KI-Kompetenz klargestellt, dass weder Zertifikate noch formale Wissenstests verlangt werden. Empfohlen wird lediglich, interne Aufzeichnungen über durchgeführte Maßnahmen zu führen.
• Kein Einheitsniveau. Die Pflicht ist kontextbezogen: Eine Sachbearbeiterin, die gelegentlich Texte mit einem Chatbot entwirft, braucht ein anderes Niveau als ein Entwickler, der ein Bewerbermanagement mit KI-Komponente baut.

Die Pflicht ist also eine Organisationspflicht: Das Unternehmen muss sich überlegen, wer welche KI wie einsetzt, und dafür sorgen, dass die Kompetenz dazu passt.

Wer ist betroffen? Praktisch jedes Unternehmen, das KI nutzt

Art. 4 adressiert Anbieter und Betreiber. Anbieter sind Organisationen, die KI-Systeme entwickeln oder unter eigenem Namen auf den Markt bringen. Betreiber sind alle, die ein KI-System in eigener Verantwortung beruflich verwenden. Die zweite Gruppe ist die große: Betreiber ist auch, wer ausschließlich fremde Werkzeuge einsetzt.

Typische Fälle aus dem Mittelstand:

• Ein Handwerksbetrieb lässt Angebots- und Rechnungstexte von einem KI-Assistenten vorformulieren.
• Eine Steuerkanzlei nutzt KI-Funktionen ihrer Kanzleisoftware zur Belegerkennung.
• Ein Maschinenbauer setzt eine kamerabasierte KI-Sichtprüfung in der Fertigung ein.
• Eine Agentur erstellt Kundeninhalte mit Bild- und Textgeneratoren.
• Ein Personaldienstleister filtert Bewerbungen mit einem Matching-Tool vor.

Alle fünf sind Betreiber im Sinne der Verordnung. Eine Ausnahme für kleine Unternehmen gibt es bei Art. 4 nicht; die Vorschrift gilt ab der ersten Person, die beruflich mit KI arbeitet. Auch der rein private Gebrauch von KI durch Mitarbeitende ist nicht erfasst, wohl aber die private Schatten-Nutzung für dienstliche Aufgaben, denn sie geschieht im Verantwortungsbereich des Arbeitgebers und gehört deshalb in die Betrachtung hinein.

Welche Mitarbeitenden brauchen welches Kompetenzniveau?

Da Art. 4 kein Einheitsniveau kennt, hat sich in der Praxis ein rollenbasiertes Stufenmodell etabliert. Es unterscheidet danach, wie stark eine Person KI-Ergebnisse beeinflusst und wie hoch das Schadenspotenzial ihres Einsatzbereichs ist:

Wichtig: Die Pflicht erstreckt sich auch auf externe Personen, die im Auftrag des Unternehmens mit KI-Systemen arbeiten, etwa freie Mitarbeitende oder Dienstleister. Hier genügt es in der Regel, sich die Kompetenz vertraglich zusichern oder nachweisen zu lassen; schulen müssen Sie fremdes Personal nicht selbst.

Seit August 2026 wird es ernst: Aufsicht und Sanktionen

Art. 4 gilt seit dem 2. Februar 2025, wurde aber anfangs kaum kontrolliert, denn die Aufsichtsstrukturen fehlten. Das hat sich geändert. Seit dem 2. August 2026 ist die KI-Verordnung in weiten Teilen voll anwendbar, und die nationalen Marktüberwachungsbehörden haben ihre Arbeit aufgenommen. In Deutschland ist seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft; es benennt die Bundesnetzagentur als zentrale KI-Aufsichtsbehörde (Stand: September 2026).

Zur Sanktionslage muss man ehrlich sein: Der Bußgeldkatalog der KI-Verordnung in Art. 99 enthält keine eigene Bußgeldposition für Verstöße gegen Art. 4. Wer die Kompetenzpflicht ignoriert, riskiert also kein unmittelbares KI-VO-Bußgeld allein deswegen. Das Risiko wirkt indirekt, und dort ist es real:

• Verschärfung bei anderen Verstößen: Fehlende KI-Kompetenz kann bei bußgeldbewehrten Verstößen, etwa gegen Transparenz- oder Hochrisiko-Pflichten, als erschwerender Umstand in die Bemessung einfließen.
• Haftung und Organisationsverschulden: Verursacht ein ungeschulter Mitarbeiter mit einem KI-Werkzeug einen Schaden, etwa durch eine ungeprüfte falsche Auskunft oder ein diskriminierendes Auswahlergebnis, stellt sich die Frage, ob die Geschäftsleitung ihre Organisationspflichten erfüllt hat.
• Nachweisdruck von außen: Auftraggeber, Versicherer und Datenschutzaufsichten fragen zunehmend nach dokumentierten KI-Kompetenzmaßnahmen, unabhängig von einer behördlichen Kontrolle.

Wie Sie den Nachweis führen, ohne Bürokratie aufzubauen

Da keine Zertifikate verlangt werden, genügt eine schlanke interne Dokumentation. Bewährt hat sich dieses Set:

• KI-Inventar: eine Liste aller eingesetzten KI-Systeme und -Werkzeuge, inklusive der KI-Funktionen in Standardsoftware und geduldeter Eigenlösungen.
• Rollenzuordnung: Wer nutzt was, mit welchem Entscheidungsbezug? Eine einfache Kompetenzmatrix reicht.
• Schulungsplan und Nachweise: Termin, Inhalt, Teilnehmende, Dauer, eingesetzte Materialien. Teilnahmelisten oder Bestätigungen aus dem E-Learning-System genügen.
• KI-Richtlinie: ein kurzes Dokument mit erlaubten Werkzeugen, verbotenen Eingaben (Kundendaten, Geschäftsgeheimnisse), Prüfpflichten und Ansprechpartnern.
• Wiedervorlage: ein fester Rhythmus für Auffrischung und für die Schulung neuer Mitarbeitender im Onboarding.

Diese fünf Bausteine decken zugleich ab, was Prüfer in anderen Kontexten sehen wollen, etwa im Rahmen einer ISO-Zertifizierung oder bei Kundenaudits. Wer bereits ein Managementsystem betreibt, kann Schulungsplanung und Nachweisführung dort einhängen, statt eine Parallelstruktur zu schaffen.

Umsetzung in fünf Schritten

Für ein kleines oder mittleres Unternehmen lässt sich Art. 4 in wenigen Wochen sauber umsetzen:

1. KI-Einsatz erfassen. Fragen Sie alle Abteilungen ab, welche Werkzeuge tatsächlich genutzt werden, auch inoffiziell. Das Ergebnis ist erfahrungsgemäß länger als erwartet.
2. Rollen und Risiken clustern. Ordnen Sie die Nutzenden den Kompetenzstufen zu. Prüfen Sie dabei auch, ob einzelne Anwendungen in höhere Risikoklassen der KI-VO fallen könnten; dann gelten zusätzliche Pflichten über Art. 4 hinaus.
3. Schulungsformat wählen. Für die Basisstufe genügen oft zwei bis drei Stunden, intern oder als Online-Kurs. Fach- und Führungsrollen brauchen vertiefende Formate, extern oder durch qualifizierte interne Fachleute.
4. Durchführen und dokumentieren. Termin, Inhalte, Teilnahme festhalten und die KI-Richtlinie gleich mit ausrollen.
5. Aktuell halten. Neue Werkzeuge, neue Rechtsentwicklungen und neue Mitarbeitende lösen Wiederholungen aus. Ein jährlicher Überprüfungstermin ist ein guter Standard.

Wo ISO 42001 anknüpft

Wer KI dauerhaft und in größerem Umfang einsetzt, stößt mit Einzelmaßnahmen an Grenzen. Die ISO/IEC 42001, die Norm für KI-Managementsysteme, verankert Kompetenz und Schulung systematisch: Kapitel 7.2 verlangt, erforderliche Kompetenzen zu bestimmen, Maßnahmen zu ergreifen und Nachweise als dokumentierte Information aufzubewahren. Ein KI-Managementsystem erzeugt damit genau die Struktur, die den Art.-4-Nachweis dauerhaft trägt: Inventar, Rollen, Schulungszyklen, Wirksamkeitskontrolle.

Zur Einordnung gehört Ehrlichkeit: Ein ISO-42001-Zertifikat ist kein Konformitätsnachweis nach der KI-Verordnung. Die Norm bescheinigt ein funktionierendes Managementsystem, nicht die Rechtskonformität einzelner KI-Systeme. Sie ist aber das derzeit beste Gerüst, um die organisatorischen Pflichten der KI-VO, darunter die KI-Kompetenz, geordnet und nachweisbar umzusetzen.

Häufige Fragen

Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT

Begriffe in diesem Artikel

Verwandte Beiträge