Die KI-Kompetenzpflicht erfüllen

TL;DR

Artikel 4 der KI-Verordnung gilt seit Februar 2025 — für jedes Unternehmen, jedes KI-System, unabhängig von der Risikoklasse. Es gibt keine vorgeschriebene Form, aber eine Nachweispflicht, wenn gefragt wird. Zwei Stunden im Jahr mit dokumentierter Teilnahme erfüllen das, wenn der Inhalt stimmt.

Was die Pflicht verlangt

Betreiber müssen sicherstellen, dass Personal, das KI-Systeme bedient, über ausreichende KI-Kompetenz verfügt — also deren Funktionsweise, Grenzen und Risiken einschätzen kann.

Drei Punkte, die dabei regelmäßig missverstanden werden:

Sie gilt bereits. Nicht ab Dezember 2027 wie die Hochrisiko-Pflichten. Seit Februar 2025. Die Verschiebung durch den Digital Omnibus betraf Artikel 4 nicht.

Sie gilt unabhängig von der Risikoklasse. Auch für eine interne Wissenssuche, einen Coding-Assistenten oder ein Textwerkzeug. Wer nur Hochrisiko-Systeme im Blick hat, hat die Pflicht übersehen, die für ihn tatsächlich gilt.

Sie gilt auch für zugekaufte Werkzeuge. Es spielt keine Rolle, ob Sie das System gebaut oder eingekauft haben. Wer es betreibt, schuldet die Kompetenz.

Was hineingehört

Der häufigste Fehler ist eine allgemeine KI-Grundlagenschulung — Geschichte des maschinellen Lernens, Funktionsweise neuronaler Netze. Das erfüllt die Pflicht nicht sinnvoll und langweilt die Teilnehmer.

Was tatsächlich gebraucht wird, bezieht sich auf das konkret eingesetzte System:

1. Was das System kann und was nicht. Nicht abstrakt, sondern an Beispielen aus dem eigenen Haus. Welche Fragen beantwortet es zuverlässig, welche nicht.

2. Wo es falsch liegt und woran man das erkennt. Der wichtigste Teil. Ein Modell erfindet plausible Angaben — Zahlen, Paragrafen, Aktenzeichen. Zeigen Sie zwei echte Beispiele aus dem eigenen Betrieb.

3. Welche Daten nicht hineingehören. Konkret als Liste, nicht als Kategorie. Nicht "personenbezogene Daten", sondern "Bewerbungsunterlagen, Gesundheitsdaten, Gehaltsangaben, Verträge mit Vertraulichkeitsklausel". Menschen wenden Listen an, keine Kategorien.

4. Was bei Verdacht zu tun ist. An wen wendet man sich, wenn eine Antwort falsch war oder versehentlich etwas eingegeben wurde. Mit Namen, nicht mit Funktionsbezeichnung.

5. Wie die Nutzung protokolliert wird. Offen und ausdrücklich. Wenn unklar bleibt, ob mitgeschrieben und bewertet wird, meiden Mitarbeiter das Werkzeug — oder nutzen es heimlich privat weiter.

Was der Nachweis braucht

Vier Dinge, die zusammen einen Ordner füllen und im Prüfungsfall reichen:

• Teilnehmerliste mit Datum und Unterschrift oder digitaler Bestätigung
• Inhaltsverzeichnis der Schulung
• Unterlagen in der Fassung, die verwendet wurde
• Wiederholungsrhythmus — jährlich ist üblich und angemessen

Ergänzend: eine Regelung, wie neue Mitarbeiter und Wechsler erfasst werden. Eine einmalige Schulung mit vollständiger Teilnahme ist nach 18 Monaten Fluktuation lückenhaft.

Die Verbindung zu anderen Pflichten

Führen Sie die Arbeit einmal und nutzen Sie sie mehrfach.

Betriebsverfassung. Wenn sich Tätigkeiten so ändern, dass Qualifizierung nötig wird, ist der Betriebsrat nach §§ 96 ff. BetrVG zu beteiligen. Das trifft sich mit Artikel 4 — und die Schulung ist ohnehin Verhandlungsgegenstand bei der Betriebsvereinbarung. Details im Beitrag zur Mitbestimmung.

Systeminventar. Die Liste der eingesetzten KI-Systeme brauchen Sie für die Schulung, für die Einstufung nach der KI-Verordnung, für NIS2 und für jedes Sicherheitsaudit. Die Systematik steht im Beitrag zu Hochrisiko-Systemen.

Schatten-Nutzung. Eine Schulung, die anerkennt, dass private Werkzeuge bereits genutzt werden, wirkt anders als eine, die es ignoriert. Und die Messung der tatsächlichen Nutzung liefert Ihnen gleich die Beispiele für Punkt 3. Siehe Schatten-KI messen statt verbieten.

Was für Entwicklerteams dazukommt

Bei Teams, die mit einem Coding-Assistenten arbeiten, gehören drei Punkte zusätzlich hinein — sie sind keine Compliance-Pflicht, sondern verhindern konkrete Schäden:

Zugangsdaten im Kontext. Ein Assistent liest die geöffnete Datei. Steht dort ein Schlüssel, geht er mit. Das passiert häufiger als jeder Angriff.

Die Vertragslage. Welche Projekte dürfen über den Assistenten laufen und welche nicht. Wenn Kundenverträge die Weitergabe an Dritte untersagen, ist das eine Information, die jeder Entwickler braucht — nicht nur die Rechtsabteilung. Siehe Geheimhaltungsklauseln.

Die Prüfpflicht bleibt. Erzeugter Code sieht plausibel aus. Die Durchsicht durch einen Menschen ist keine Formalie, und die Einführung eines Assistenten ist ein guter Anlass, sie zu formalisieren statt sie zu lockern.

Häufig gestellte Fragen

Ab wann gilt die KI-Kompetenzpflicht?

Seit Februar 2025, für jedes Unternehmen und jedes KI-System, unabhängig von der Risikoklasse. Die Verschiebung durch den Digital Omnibus betraf ausschließlich die Pflichten für Hochrisiko-Systeme, nicht Artikel 4. Wer nur auf Dezember 2027 schaut, hat die geltende Pflicht übersehen.

Welche Form muss die Schulung haben?

Die Verordnung schreibt keine vor. Praktikabel und angemessen ist eine jährliche Schulung von ein bis zwei Stunden, die das konkret eingesetzte System behandelt statt allgemeiner KI-Grundlagen — mit dokumentierter Teilnahme, Inhaltsverzeichnis und abgelegten Unterlagen als Nachweis.

Gilt die Pflicht auch für eingekaufte Werkzeuge?

Ja. Es spielt keine Rolle, ob Sie das System selbst gebaut oder als fertiges Produkt eingekauft haben — die Pflicht trifft den Betreiber. Auch für einen Coding-Assistenten oder eine interne Wissenssuche gilt sie, obwohl beide regulatorisch unkritisch sind.

Was gehört inhaltlich hinein?

Fünf Punkte, alle bezogen auf das konkrete System: was es zuverlässig kann und was nicht, woran man falsche Antworten erkennt, welche Daten nicht hineingehören (als konkrete Liste, nicht als Kategorie), an wen man sich bei Verdacht wendet, und wie die Nutzung protokolliert wird. Allgemeine KI-Grundlagen erfüllen die Pflicht nicht sinnvoll.

Reicht eine einmalige Schulung?

Nein, weil Fluktuation und Wechsel sie binnen weniger Monate lückenhaft machen. Legen Sie einen jährlichen Rhythmus fest und regeln Sie, wie neue Mitarbeiter erfasst werden. Ohne diese Regelung ist der Nachweis nach anderthalb Jahren unvollständig, auch wenn die erste Runde vollständig war.

Der nächste Schritt

Setzen Sie die Schulung an, bevor die ersten Nutzer produktiv arbeiten — die Pflicht gilt bereits, unabhängig von Ihrem Projektfortschritt. Und nehmen Sie zwei echte Fehlbeispiele aus dem eigenen Betrieb hinein; die wirken stärker als jede allgemeine Warnung. Bei der Ausgestaltung unterstützen wir gern.