Schulen müssen Sie seit Februar 2025.
Belegen können es die wenigsten.

Art. 4 der KI-Verordnung gilt seit dem 2. Februar 2025. Er verlangt von Ihnen Maßnahmen, damit Ihre Leute wissen, was sie da tun. Ein Bußgeld droht dafür nicht direkt. Der Nachweis wird trotzdem verlangt, nur eben nicht von einer Behörde, sondern von Kunden, Auftraggebern und Versicherern.

Die meisten Betriebe haben den Artikel nie gelesen. Das ist verständlich, denn die öffentliche Aufmerksamkeit lag bei den Verboten und bei den Hochrisiko-Systemen, und beides klingt nach jemand anderem. Art. 4 dagegen betrifft jeden, der KI im Arbeitsalltag einsetzt, und das sind inzwischen fast alle.

Was da eigentlich steht

Der Wortlaut ist kurz. Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung solcher Systeme befasst sind. Nachzulesen in Art. 4 der Verordnung (EU) 2024/1689.

Zwei Dinge daran werden regelmäßig überlesen. Erstens steht dort „Personal und andere Personen", nicht „IT-Abteilung". Wer im Marketing Texte erzeugen lässt, wer im Vertrieb Angebote vorformulieren lässt, wer in der Buchhaltung Belege durch eine Erkennung schickt, fällt darunter. Zweitens gilt die Pflicht unabhängig davon, in welche Risikoklasse Ihre Anwendung fällt. Auch wer nur harmlose Werkzeuge einsetzt, muss die Kompetenz dafür fördern.

Der Digital Omnibus hat die Pflicht abgeschwächt, nicht gestrichen

Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 in Kraft getreten und hat über vierzig Artikel der KI-Verordnung geändert. Art. 4 war darunter. Aus einer Formulierung, die auf ein sicherzustellendes Ergebnis hinauslief, wurde eine Bemühenspflicht: Sie müssen Maßnahmen ergreifen, aber kein bestimmtes Kompetenzniveau garantieren.

Das ist eine echte Entlastung, und ich halte nichts davon, sie kleinzureden. Es ändert aber nichts an der Grundlage. Die Norm ist weiterhin verbindlich, und wer gar keine Maßnahme ergreift, erfüllt auch eine Bemühenspflicht nicht. Der Unterschied liegt in der Messlatte, nicht im Ob.

Warum kein Bußgeld droht und die Sache trotzdem ernst ist

Hier wird im Markt viel Angst verkauft, deshalb der nüchterne Blick. Der Sanktionskatalog der Verordnung steht in Art. 99. Dort sind die Verbote aus Art. 5 mit bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes bewehrt, zentrale Pflichten einschließlich der Kennzeichnung mit bis zu 15 Millionen oder drei Prozent. Art. 4 taucht in dieser Liste nicht auf. Ein unmittelbares Bußgeld für fehlende Schulung gibt es also nicht.

Wirksam wird die Lücke an drei anderen Stellen. Bei einem Vorfall ist die fehlende Schulung ein Baustein des Organisationsverschuldens, und das schlägt auf Bußgelder und Haftung durch. Wer ein Hochrisiko-System betreibt, muss die menschliche Aufsicht nach Art. 26 Personen übertragen, die dafür die nötige Kompetenz und Schulung haben, und ab dem 2. Dezember 2027 trifft das jeden, der KI in der Bewerberauswahl einsetzt. Und im Datenschutzrecht ist die Unterweisung der Beschäftigten ohnehin Teil der technischen und organisatorischen Maßnahmen.

Dazu kommt seit dem Sommer 2026 eine Zuständigkeit, die es vorher nicht gab. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz vom 22. Juli 2026 macht die Bundesnetzagentur zur Marktüberwachungsbehörde und zur zentralen Beschwerdestelle. Beschweren kann sich dort jede Person. Seit Ende Juli 2026 stehen Verstöße gegen die KI-Verordnung außerdem unter Hinweisgeberschutz, aufgenommen in § 2 Abs. 1 Nr. 10 HinSchG. Die eigenen Leute können melden, und sie sind dabei gesetzlich geschützt.

Was Kompetenz konkret bedeutet

Die Verordnung definiert den Begriff in Art. 3 Nr. 56 und meint damit keine technische Ausbildung. Es geht um vier Fähigkeiten, die man an einem Nachmittag vermitteln kann und die im Alltag den Unterschied machen.

• Verstehen, wie diese Systeme grundsätzlich arbeiten und wo ihre Grenzen liegen. Wer weiß, dass ein Sprachmodell das nächste Wort schätzt, prüft Zahlen und Fundstellen nach.
• Risiken und Fehlerraten einer Ausgabe einschätzen können. Nicht jede Antwort braucht dieselbe Sorgfalt, aber jemand muss den Unterschied kennen.
• Wissen, welche Daten in welches Werkzeug dürfen. Das ist der Punkt, an dem im Mittelstand die meisten unbemerkten Verstöße passieren.
• Verstehen, warum der Mensch die Kontrolle behält, und wo genau er sie ausüben muss.

Was als Nachweis nicht taugt

Ein Format schreibt die Verordnung nicht vor, und das verleitet dazu, das Billigste zu nehmen. Drei Varianten sehe ich immer wieder, und keine davon hält einer Nachfrage stand.

Die Unterschrift unter eine Nutzungsordnung belegt, dass jemand ein Blatt unterschrieben hat. Über Kompetenz sagt sie nichts. Ein einmal angesehenes Video belegt, dass ein Fenster offen war. Und die zwanzigseitige KI-Richtlinie, die im Intranet liegt, wird von niemandem gelesen und ändert entsprechend nichts am Verhalten. Umfang ist kein Qualitätsmerkmal, im Gegenteil.

Belastbar wird ein Nachweis, wenn er vier Dinge enthält: wer geschult wurde, welche Inhalte behandelt wurden, wann das war, und ob der Lernerfolg überprüft worden ist. Der letzte Punkt ist der, der die Sache von einer Anwesenheitsliste unterscheidet.

Was wir daraus gebaut haben

Wir hatten das Problem selbst. Als Betreiber mehrerer KI-Systeme brauchen wir für unsere eigenen Leute einen Nachweis, und die vorhandenen Angebote waren entweder oberflächlich oder auf Konzerne zugeschnitten. Also haben wir eine eigene Schulung aufgesetzt, direkt am Gesetzestext in der Fassung des Digital Omnibus.

Acht Module, danach eine Prüfung mit 25 Fragen und 100 Punkten in 35 Minuten. Die Fragen werden aus einem Pool gezogen, zwei Teilnehmer bekommen also nicht denselben Test. Knapp zwei Drittel der Punkte hängen an Faktenwissen und Einordnung, gut ein Drittel an Fallbeispielen aus dem Betriebsalltag. Wer nur auswendig lernt, kommt rechnerisch nicht durch.

Ab 75 Prozent gibt es einen Kompetenznachweis mit Prüfnummer, deren Echtheit sich online bestätigen lässt. Zwischen 50 und 75 Prozent gibt es eine Teilnahmebestätigung, die ausdrücklich keine Aussage über das Ergebnis enthält. Diese Trennung ist Absicht. Ein Dokument, das jeder bekommt, ist als Nachweis wertlos.

Womit Sie diese Woche anfangen können

Bevor Sie schulen, sollten Sie wissen, was überhaupt im Einsatz ist. Eine offene Frage in der Teamrunde bringt mehr als ein Formular: nicht „welche KI-Tools nutzt ihr", sondern „womit erstellt ihr eure Texte". Die Antworten überraschen fast immer, und sie umfassen meist Funktionen, die in vorhandener Software mitlaufen, ohne dass jemand sie als KI wahrgenommen hätte.

Aus dieser Liste ergibt sich, was Sie regeln müssen und wen Sie schulen. Danach folgt die Richtlinie, und zwar eine kurze, die vier Fragen beantwortet: welche Werkzeuge sind frei, welche Daten sind tabu, wer gibt neue Werkzeuge frei, und was wird vor einer Veröffentlichung geprüft.

Wenn Sie an dem Punkt sind, an dem der Nachweis fehlt: unsere Schulung zum EU AI Act ist online und lässt sich in einem Nachmittag abschließen. Rechtsberatung im Einzelfall ersetzt sie nicht, und für die Frage, ob eines Ihrer Systeme in den Hochrisiko-Bereich fällt, sollten Sie jemanden hinzuziehen, der dafür haftet.