Eine Pflicht, die schon gilt
Viele Unternehmen verbinden den europäischen AI Act mit Hochrisiko-KI, Konzernen und fernen Fristen. Eine Bestimmung gilt aber bereits seit 2. Februar 2025 – und sie betrifft praktisch jeden Betrieb, in dem Mitarbeitende ChatGPT, Microsoft Copilot, DeepL oder KI-Funktionen in Standardsoftware verwenden: Artikel 4, die Pflicht zur KI-Kompetenz.
Die Verordnung (EU) 2024/1689 verlangt darin, dass Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um „nach besten Kräften“ sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen. Zu berücksichtigen sind dabei technische Kenntnisse, Erfahrung, Ausbildung und der Kontext, in dem die KI eingesetzt wird.
Wer ist betroffen?
„Betreiber“ im Sinne des AI Act ist, wer ein KI-System in eigener Verantwortung beruflich verwendet. Das ist nicht nur das Softwarehaus, sondern auch die Steuerberatungskanzlei, die Texte mit ChatGPT entwirft, oder die Ordination, die Befunde mit einem KI-Werkzeug zusammenfasst. Die Europäische Kommission bestätigt in ihren Fragen und Antworten zur KI-Kompetenz ausdrücklich: Auch ein Unternehmen, dessen Mitarbeitende ChatGPT etwa für Werbetexte oder Übersetzungen nutzen, fällt unter Artikel 4. Die Pflicht gilt unabhängig von der Risikoklasse des Systems.
Erfasst sind neben den Angestellten auch Personen, die im Auftrag des Unternehmens mit KI arbeiten – etwa freie Mitarbeitende oder Dienstleister.
Was bedeutet „ausreichende“ KI-Kompetenz?
Ein fixes Niveau oder ein verpflichtendes Zertifikat schreibt der AI Act nicht vor. Laut Kommission kommt es auf die Rolle, das Vorwissen der Personen und das Risiko des konkreten Einsatzes an. Als Mindestinhalt nennt sie sinngemäß:
- ein allgemeines Verständnis, was KI ist und wie sie funktioniert,
- die eigene Rolle im Unternehmen (Anbieter oder Betreiber),
- die Risiken der eingesetzten Systeme – bei Sprachmodellen etwa Halluzinationen, also überzeugend formulierte, aber falsche Antworten,
- was Mitarbeitende konkret wissen müssen, um damit umzugehen.
Eine reine Bedienungsanleitung reicht nach Ansicht der Kommission meist nicht. Für Unternehmen, die ausschließlich Standardwerkzeuge nutzen, ist der Aufwand aber überschaubar.
Dokumentation und Folgen
Eine bestimmte Form der Dokumentation ist nicht vorgeschrieben. Die Kommission hält ein internes Verzeichnis über Schulungen und Leitfäden für ausreichend; einen eigenen „KI-Beauftragten“ verlangt Artikel 4 nicht. Die KI-Servicestelle der RTR empfiehlt darüber hinaus eine schriftliche KI-Richtlinie, ein Schulungskonzept und einen Vermerk, wer wann woran teilgenommen hat.
Der AI Act selbst sieht für Artikel 4 keine eigene Verwaltungsstrafe vor. Laut Kommission sollen die nationalen Marktüberwachungsbehörden die Einhaltung ab August 2026 beaufsichtigen; Sanktionen regeln die Mitgliedstaaten. Relevanter ist in der Praxis die Haftung: Entsteht ein Schaden, weil Mitarbeitende eine KI ohne ausreichende Einweisung eingesetzt haben, kann fehlende Schulung dem Unternehmen zugerechnet werden, wie die RTR betont. Ob und wie Sie konkret betroffen sind, klären Sie im Zweifel mit Ihrer Rechtsberatung.
Ein praktischer Plan in vier Schritten
1. Bestandsaufnahme der KI-Werkzeuge
Erfassen Sie, welche KI-Werkzeuge im Unternehmen tatsächlich genutzt werden – offiziell und inoffiziell. Dazu zählen auch KI-Funktionen, die mit Updates in bestehende Software kommen, etwa in Microsoft 365, im Browser oder in Branchenprogrammen. Halten Sie fest, wer welches Werkzeug wofür verwendet und mit welchen Daten.
2. Interne KI-Richtlinie
Eine kurze, verständliche Richtlinie schafft Klarheit: Welche Werkzeuge sind freigegeben? Welche Daten dürfen eingegeben werden? Wer prüft Ergebnisse, bevor sie an Kundinnen, Klienten oder Patienten gehen? Wer entscheidet über neue Werkzeuge?
3. Rollenbasierte Schulung
Nicht alle brauchen dasselbe. Die Assistenz, die E-Mails formuliert, braucht andere Inhalte als die Person, die KI-Ergebnisse in Gutachten oder Befunde übernimmt. Bewährt haben sich eine kurze Grundschulung für alle, vertiefende Einheiten je Rolle und eine Auffrischung, wenn neue Werkzeuge dazukommen. Neue Mitarbeitende sollten die Grundschulung beim Einstieg erhalten.
4. Datenschutz mitdenken
KI-Kompetenz und Datenschutz gehören zusammen. Die DSGVO gilt unabhängig vom AI Act weiter. Die wichtigste Regel für den Alltag: Keine personenbezogenen Daten, Mandanten- oder Patientendaten in öffentliche KI-Dienste eingeben, solange kein geprüfter Vertrag und keine technische Absicherung bestehen. Für Kanzleien und Ordinationen kommen Berufsgeheimnisse hinzu.
Wer KI trotzdem mit echten Unterlagen nutzen möchte, braucht eine technische Lösung. Eine Möglichkeit ist ein Filter wie houdini, der personenbezogene Daten lokal durch Platzhalter ersetzt, bevor eine Anfrage das KI-Modell erreicht. Andere Wege sind Unternehmensversionen mit entsprechenden Verträgen oder lokal betriebene Modelle.
Checkliste: KI-Kompetenz im Betrieb
- Liste aller genutzten KI-Werkzeuge erstellt (inkl. KI-Funktionen in bestehender Software)
- Verantwortliche Person für das Thema KI benannt
- Schriftliche KI-Richtlinie mit freigegebenen Werkzeugen und Datenregeln
- Grundschulung für alle, Vertiefung je Rolle geplant
- Teilnahme und Inhalte der Schulungen dokumentiert
- Regel „keine personenbezogenen Daten in öffentliche KI“ kommuniziert und technisch abgesichert
- Termin für die jährliche Überprüfung eingetragen
Ausblick: Die nächsten Fristen des AI Act
Der AI Act wird schrittweise wirksam (Art. 113):
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | KI-Kompetenz (Art. 4) und Verbote bestimmter KI-Praktiken (Art. 5) |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Governance, Sanktionsrahmen |
| 2. August 2026 | Großteil der übrigen Bestimmungen, u. a. Hochrisiko-KI nach Anhang III und Transparenzpflichten |
| 2. August 2027 | Hochrisiko-KI als Teil regulierter Produkte (Art. 6 Abs. 1) |
Für die meisten kleinen und mittleren Unternehmen, die KI als Werkzeug nutzen, bleiben KI-Kompetenz und Transparenz die wichtigsten Punkte. Wer KI etwa in der Personalauswahl einsetzt, sollte prüfen, ob ab August 2026 Hochrisiko-Pflichten greifen.
Wie IT United unterstützt
Wir helfen bei der Bestandsaufnahme der eingesetzten KI-Werkzeuge, bei einer praxistauglichen KI-Richtlinie und bei Schulungen, die zu Ihren Abläufen passen. Technisch sorgen wir dafür, dass KI sicher in Ihre IT-Umgebung und Microsoft 365 eingebunden ist. Mehr dazu unter KI-Consulting.
Sie möchten wissen, wo Ihr Unternehmen bei der KI-Kompetenz steht? Vereinbaren Sie ein kostenloses Erstgespräch – wir gehen die Punkte gemeinsam durch.
