KI-Schulungspflicht nach EU AI Act: Was nach dem Digital Omnibus gilt

Seit Februar 2025 verlangt Artikel 4 des EU AI Act, dass Unternehmen für die KI-Kompetenz ihrer Mitarbeitenden sorgen. Im Juli 2026 hat die EU nachgelegt: Mit dem Digital Omnibus wurde der Artikel neu gefasst. Seitdem kursieren zwei Lesarten. Die eine sagt, die KI-Schulungspflicht sei vom Tisch. Die andere, jetzt werde es erst richtig ernst. Beide liegen daneben.

Dieser Beitrag ordnet ein, was Artikel 4 heute tatsächlich verlangt, wen die Pflicht trifft, was bei fehlender KI-Kompetenz droht und wie Sie sie im Unternehmen pragmatisch aufbauen und nachweisen. Stand: September 2026.

Was Artikel 4 verlangt - und was der Digital Omnibus geändert hat

In der ursprünglichen Fassung, gültig seit dem 2. Februar 2025, mussten Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Maßstab waren Vorwissen, Erfahrung und Ausbildung der Beschäftigten sowie der Kontext, in dem die KI eingesetzt wird.

Mit dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) wurde Artikel 4 neu formuliert. Anbieter und Betreiber müssen weiterhin Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz ihres Personals und der in ihrem Auftrag tätigen Personen unterstützen. Neu ist der ausdrückliche Zusatz, dass kein bestimmtes Kompetenzniveau für jede einzelne Person garantiert werden muss. Außerdem sollen Kommission und Mitgliedstaaten Unternehmen bei der Umsetzung unterstützen.

Was das praktisch heißt: Aus einer Pflicht, die nach Ergebnis klang, ist eine Pflicht zum ernsthaften Bemühen geworden. Gestrichen ist sie nicht. Wer KI einsetzt, muss nachvollziehbar etwas für die KI-Kompetenz seiner Leute tun - und im Zweifel zeigen können, was.

Was mit KI-Kompetenz gemeint ist: Der AI Act definiert den Begriff in Artikel 3 selbst. Gemeint sind die Fähigkeiten, Kenntnisse und das Verständnis, die nötig sind, um KI-Systeme sachkundig einzusetzen und sich ihrer Chancen und Risiken bewusst zu sein - einschließlich der Schäden, die sie verursachen können. Es geht also nicht darum, dass Ihre Mitarbeitenden Sprachmodelle programmieren können. Es geht darum, dass sie wissen, was ein Werkzeug kann, wo es danebenliegt und wann ein Ergebnis besser noch einmal geprüft wird.

Wen die KI-Schulungspflicht trifft

Artikel 4 gilt für Anbieter und für Betreiber. Anbieter entwickeln KI-Systeme oder bringen sie auf den Markt. Betreiber sind alle, die ein KI-System in eigener Verantwortung beruflich einsetzen. Und das sind heute fast alle Unternehmen.

Wer ChatGPT, Microsoft Copilot, DeepL oder die KI-Funktionen im CRM für die Arbeit nutzt, ist Betreiber im Sinne des AI Act. Es gibt keine Ausnahme für kleine Unternehmen, und es spielt keine Rolle, ob die KI selbst entwickelt oder als Abo eingekauft wurde.

Betroffen ist dabei nicht nur die IT. Die Pflicht erstreckt sich auf alle, die mit KI-Systemen arbeiten: Marketing, Vertrieb, Personal, Sachbearbeitung - und auch externe Kräfte wie Freelancer, die in Ihrem Auftrag KI nutzen.

Je nach Rolle bedeutet KI-Kompetenz etwas anderes. Im Marketing geht es um Bildrechte, Kennzeichnung und darum, dass KI-Texte nach der eigenen Marke klingen. In der Personalabteilung um den Umgang mit Bewerberdaten und darum, dass keine Vorauswahl an eine Maschine abgegeben wird, deren Kriterien niemand kennt. Im Vertrieb um verlässliche Angaben in Angeboten. Und in der Geschäftsführung darum, Einsatz, Regeln und Verantwortung überhaupt festzulegen. Eine Schulung nach dem Gießkannenprinzip trifft keine dieser Gruppen richtig.

Bußgeld, Aufsicht, Haftung: Was bei fehlender KI-Kompetenz droht

Ein eigenes Bußgeld für Artikel 4 gibt es nicht. Weder der AI Act noch das deutsche Durchführungsgesetz sieht nach aktuellem Stand eine Geldbuße für fehlende KI-Kompetenz vor. Wer deshalb abwinkt, unterschätzt allerdings, wo das Risiko tatsächlich liegt.

Aufsicht: Zuständig für die Überwachung ist in Deutschland grundsätzlich die Bundesnetzagentur, für den Finanzsektor die BaFin. Sie können prüfen, nachfragen und Empfehlungen aussprechen.

Haftung: Das eigentliche Risiko steckt im allgemeinen Recht. Fehlende KI-Kompetenz kann als Verletzung der Sorgfaltspflicht gewertet werden - mit Folgen für die Haftung des Unternehmens für Fehler seiner Mitarbeitenden und für die Sorgfaltspflichten der Geschäftsführung. Dazu kommt der Datenschutz: Wer Kundendaten ohne Regeln in KI-Tools kopieren lässt, riskiert DSGVO-Bußgelder, und die sind sehr real.

Zwei typische Fälle aus der Praxis: Eine Mitarbeiterin lädt Bewerbungsunterlagen in einen frei verfügbaren Chatbot, um schneller zu sortieren - personenbezogene Daten landen bei einem Anbieter, mit dem kein Vertrag besteht. Oder ein Vertriebsmitarbeiter übernimmt eine KI-generierte Produktbeschreibung ins Angebot, die eine Eigenschaft enthält, die das Produkt gar nicht hat. In beiden Fällen ist nicht die KI das Problem, sondern fehlendes Wissen darüber, was man ihr anvertrauen darf und was man prüfen muss.

Im Schadensfall zählt vor allem eine Frage: Was haben Sie vorher nachweislich getan?

KI-Kompetenz nachweisen: Was Sie dokumentieren sollten

Ein offizielles Zertifikat für KI-Kompetenz schreibt der AI Act nicht vor. Nach Auffassung der EU-Kommission genügen interne Aufzeichnungen. Entscheidend ist, dass sie nachvollziehbar zeigen, was Ihr Unternehmen getan hat.

Welche KI-Tools im Einsatz sind - offiziell eingeführt oder geduldet.

Wer sie nutzt und wofür - nach Rollen und Einsatzbereichen.

Wer wann welche Schulung erhalten hat - mit Datum, Dauer und Inhalten.

Welche Regeln gelten - idealerweise als KI-Richtlinie, deren Kenntnisnahme die Mitarbeitenden bestätigen.

Wann aufgefrischt wird - etwa wenn neue Tools dazukommen oder sich Regeln ändern.

Wie oft auffrischen? Eine feste Frist nennt das Gesetz nicht. Praktikabel ist eine kurze Auffrischung, sobald ein neues Werkzeug eingeführt wird oder sich Regeln ändern, und ansonsten etwa einmal im Jahr. Neue Mitarbeitende sollten das Basismodul in den ersten Wochen durchlaufen - am besten als fester Teil des Onboardings.

Eine gute KI-Kompetenz-Schulung liefert dafür die Grundlage gleich mit: Teilnahmeliste und Inhaltsübersicht für Ihre Unterlagen.

In fünf Schritten zur KI-Kompetenz im Unternehmen

1. Bestandsaufnahme: Welche KI-Werkzeuge werden genutzt - auch die, von denen die Geschäftsführung nichts weiß?

2. Rollen und Risiken: Wer arbeitet wie intensiv mit KI, und wo sind sensible Daten im Spiel?

3. Regeln festlegen: Eine KI-Richtlinie klärt, welche Tools erlaubt sind, welche Daten tabu sind und wer freigibt.

4. Schulen: ein Basismodul für alle, Vertiefungen für Teams, die KI intensiv oder in sensiblen Prozessen nutzen.

5. Dokumentieren und auffrischen: Teilnahme und Inhalte festhalten, bei neuen Tools nachschulen.

Drei verbreitete Missverständnisse:

"Das betrifft nur Hochrisiko-KI." Nein. Artikel 4 gilt für alle KI-Systeme, auch für ganz alltägliche wie ChatGPT oder Copilot.

"Ein Einmal-Webinar reicht." Als Einstieg vielleicht. Die Pflicht zielt aber auf Kompetenz im jeweiligen Einsatzkontext - ein allgemeines Video ohne Bezug zu Ihren Tools und Daten ist schwer als sinnvolle Maßnahme zu verkaufen.

"Wir verbieten KI einfach." Das klingt sicher, funktioniert aber selten: Die Nutzung wandert dann auf private Geräte und Accounts, und das Risiko wird größer statt kleiner.

Fazit: Der Digital Omnibus hat die KI-Schulungspflicht ehrlicher formuliert, nicht abgeschafft. Wer KI einsetzt, braucht Leute, die wissen, was sie damit tun - und Unterlagen, die das belegen. Das ist weniger Compliance-Aufwand als gesunder Menschenverstand.

Hinweis: Dieser Beitrag ordnet die Rechtslage aus der Praxis ein und ersetzt keine Rechtsberatung.