Seit dem 2. August 2025 gilt Artikel 4 des EU AI Act verbindlich. Er schreibt vor, dass Unternehmen sicherstellen müssen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Klingt abstrakt, hat aber handfeste Konsequenzen: Wer KI-Systeme einsetzt oder entwickelt und das nicht dokumentiert nachweisen kann, riskiert Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes. Für ein mittelständisches Unternehmen mit 50 Millionen Euro Umsatz wären das 1,5 Millionen Euro.
Was der EU AI Act unter KI-Kompetenz versteht
Der Begriff „AI literacy“ im Gesetzestext ist bewusst weit gefasst. Er umfasst nicht nur technisches Wissen, sondern auch das Verständnis von Risiken, ethischen Grundsätzen und regulatorischen Anforderungen. Konkret geht es darum, dass Mitarbeitende einschätzen können, welche KI-Systeme sie nutzen, welcher Risikoklasse diese angehören und welche Konsequenzen ein Fehlurteil hat.
Die Verordnung unterscheidet vier Risikoklassen: minimales Risiko, begrenztes Risiko, hohes Risiko und inakzeptables Risiko. Ein KI-gesteuertes Bewerbermanagementsystem fällt beispielsweise in die Hochrisiko-Kategorie, weil es Entscheidungen über Menschen trifft. Wer solche Systeme betreibt, muss sicherstellen, dass Entscheider die Logik hinter den Empfehlungen verstehen und diese kritisch hinterfragen können.
Wer im Unternehmen wirklich geschult werden muss
Viele Unternehmen machen den Fehler, KI-Schulungen nur an die IT-Abteilung zu delegieren. Das greift zu kurz. Die Pflicht aus Artikel 4 richtet sich an alle, die mit KI-Systemen in Berührung kommen. Dazu gehören:
- Führungskräfte, die KI-gestützte Berichte oder Prognosen als Entscheidungsgrundlage verwenden
- HR-Mitarbeitende, die Bewerberscreening-Tools nutzen
- Vertriebsteams, die CRM-Systeme mit KI-Empfehlungen bedienen
- Einkäufer, die automatisierte Lieferantenbewertungen abrufen
- Compliance-Verantwortliche, die KI-Einsatz im Betrieb überwachen
Die Schulungstiefe muss der jeweiligen Funktion entsprechen. Ein Sachbearbeiter, der lediglich KI-generierte Textentwürfe korrigiert, braucht ein anderes Schulungsniveau als ein Data Scientist, der Modelle trainiert. Entscheidend ist, dass das Unternehmen diese Abstufung dokumentiert und nachweisen kann.
Zertifikate als Nachweis gegenüber Behörden
Die Behörden werden im Rahmen von Marktüberwachung und Beschwerdeprüfungen Dokumentation einfordern. Interne Schulungsnachweise reichen in vielen Fällen nicht aus, weil sie keine unabhängige Qualitätsprüfung belegen. Externe Zertifikate schließen diese Lücke.
Wer seinen Mitarbeitenden und sich selbst strukturiert auf den Stand bringen will, den der EU AI Act verlangt, findet mit Angeboten wie KI sicher im Unternehmen nutzen einen konkreten Einstiegspunkt, der sowohl Grundlagenwissen als auch praxisnahe Anwendungsfälle abdeckt. Solche Angebote richten sich gezielt an Betriebe, die keine eigene KI-Abteilung haben, aber trotzdem compliant sein müssen.
Wichtig bei der Auswahl eines Zertifizierungsprogramms: Es sollte die vier Risikoklassen des EU AI Act behandeln, auf die DSGVO-Schnittstellen eingehen und konkrete Handlungsempfehlungen für den Berufsalltag liefern, keine rein theoretische Einführung in Algorithmen. Anbieter, die bereits ISO-42001-Bezüge einbauen, sind für 2025 und 2026 besser aufgestellt, weil diese Norm zunehmend als Qualitätsbenchmark gilt.
Typische Fehler bei der Umsetzung
In der Praxis beobachten Compliance-Berater immer wieder dieselben Stolpersteine. Erstens: Unternehmen schulen einmalig und dokumentieren das als erledigt. Der EU AI Act verlangt jedoch, dass Kompetenz aktuell gehalten wird. Bei sich schnell verändernden KI-Systemen kann ein einmaliges Training innerhalb von zwölf Monaten veraltet sein.
Zweitens: Die Dokumentation fehlt oder ist lückenhaft. Behörden verlangen nicht nur den Nachweis, dass jemand eine Schulung absolviert hat, sondern auch, welche Inhalte vermittelt wurden und wie diese zur konkreten Tätigkeit der Person passen. Eine Excel-Tabelle mit Namen und Datum reicht nicht.
Drittens: Viele Unternehmen vergessen externe Dienstleister. Wenn ein Marketingdienstleister KI-Tools im Auftrag des Unternehmens einsetzt, fällt die Verantwortung für die KI-Kompetenz dieser Personen ebenfalls auf den Auftraggeber zurück, sofern das vertraglich nicht klar geregelt ist.
Zeitplan und realistische Budgets
Für ein Unternehmen mit 200 Mitarbeitenden, von denen 80 regelmäßig KI-Tools nutzen, lässt sich folgende Übersicht als Orientierung verwenden:
| Maßnahme | Zeitaufwand | Kosten (ca.) |
|---|---|---|
| Bestandsaufnahme KI-Nutzung | 2 bis 4 Wochen | intern oder 2.000 bis 5.000 Euro |
| Grundlagenschulung für alle Betroffenen | 4 bis 8 Stunden pro Person | 150 bis 400 Euro pro Person |
| Vertiefungsschulung für Hochrisikorollen | 1 bis 2 Tage | 800 bis 1.500 Euro pro Person |
| Dokumentationssystem aufbauen | 2 bis 6 Wochen | intern oder 3.000 bis 8.000 Euro |
Diese Zahlen sind keine Garantie, zeigen aber, dass KI-Compliance kein Millionenprojekt sein muss. Wer früh beginnt und strukturiert vorgeht, kommt mit deutlich weniger aus als jemand, der kurz vor einer Behördenprüfung nachrüsten muss.
Praktischer Einstieg in drei Schritten
Der schnellste Weg zur Compliance führt über eine klare Reihenfolge. Schritt eins: Inventarisieren Sie alle KI-Systeme, die im Unternehmen genutzt werden, einschließlich eingebetteter KI in bestehender Software wie ERP- oder CRM-Systemen. Viele Unternehmen unterschätzen, wie viele Produkte bereits KI-Komponenten enthalten.
Schritt zwei: Ordnen Sie jedes System einer Risikoklasse zu und identifizieren Sie, welche Mitarbeitenden damit arbeiten. Daraus ergibt sich automatisch, wer welches Schulungsniveau benötigt.
Schritt drei: Wählen Sie ein Schulungsprogramm, das extern zertifiziert ist, aktualisiert wird und einen prüfbaren Nachweis liefert. Starten Sie mit den Rollen, die Hochrisiko-Systeme bedienen, und weiten Sie die Schulung schrittweise auf alle betroffenen Mitarbeitenden aus.
Der EU AI Act ist keine theoretische Herausforderung mehr. Für Unternehmen, die KI produktiv nutzen, ist Artikel 4 seit August 2025 gelebtes Recht. Die Frage ist nicht ob, sondern wie schnell und wie strukturiert die eigene Organisation reagiert.
