Welche Mitarbeiter zu schulen sind, wie der Nachweis aussieht und welche Bußgelder bei Verstößen drohen
Seit dem 02.02.2025 verlangt Art. 4 der EU-KI-Verordnung von jedem Unternehmen, das KI-Systeme einsetzt oder bereitstellt, eine ausreichende KI-Kompetenz seiner Mitarbeiter. Diese Pflicht gilt unabhängig von Branche, Unternehmensgröße und Risikoklasse des Systems. Wir zeigen Ihnen, was konkret verlangt wird, wer betroffen ist und wie sich Verstöße belastbar vermeiden lassen.
Was Art. 4 KI-VO konkret verlangt
Art. 4 KI-VO verpflichtet Anbieter und Betreiber von KI-Systemen sicherzustellen, dass die in ihrem Auftrag mit Entwicklung oder Betrieb der Systeme befassten Personen über ein der Aufgabe angemessenes Maß an KI-Kompetenz verfügen. Die Vorschrift ist abstrakt gefasst und gibt daher keinen konkreten Schulungsumfang vor, sondern statuiert eine Ergebnispflicht. Verantwortlich ist die Unternehmensleitung.
Die Auslegung der Norm wird seit der ersten Geltungsphase durch Leitlinien der EU-Kommission, durch die nationalen Aufsichtsbehörden und durch erste Verfahren konkretisiert. Im Rahmen der Digital-Omnibus-Initiative erörtert die Kommission seit Ende 2025 eine Lockerung; ein Wegfall der Pflicht ist jedoch nicht zu erwarten. Unternehmen sollten die bestehende Pflicht daher als verbindlich behandeln.
Wer die Pflicht missachtet, riskiert nicht nur Bußgelder, sondern auch Abmahnungen durch Wettbewerber, schadensersatzpflichtige Compliance-Verstöße im Innenverhältnis sowie die persönliche Haftung der Geschäftsführung. Es handelt sich um eine Dauerpflicht, nicht um eine einmalige Pflicht.
Setzen Sie KI-Systeme ein, ohne die Kompetenz Ihrer Mitarbeiter zu dokumentieren, sind Sie bereits heute nicht regelkonform. Wir bewerten Ihren aktuellen Stand und schließen die Lücke.
Wer von der KI-Kompetenzpflicht betroffen ist – und auf welcher Ebene
Die Pflicht betrifft jedes Unternehmen, das KI-Systeme bereitstellt oder einsetzt. Sie gilt damit nicht allein für Anbieter von Hochrisiko-KI, sondern für jedes Unternehmen, das alltägliche KI-Tools wie Sprachmodelle, Bildgeneratoren, KI-gestützte Personalauswahl oder KI-Schreibassistenten nutzt. Innerhalb des Unternehmens erfasst sie sämtliche Funktionen, die mit KI in Berührung kommen, wenngleich auf unterschiedlichem Niveau:
Geschäftsführung und Vorstand
Strategischer Überblick über die KI-VO, Haftungsrisiken, Verantwortlichkeitsketten und Investitionsentscheidungen.
Compliance, Recht und Datenschutz
Detailwissen zur KI-VO, Schnittstellen zur DSGVO, Risikobewertung, Vertragsklauseln, Aufsichtsverfahren.
IT, Entwicklung und Datenwissenschaft
Technische Pflichten, Risikomanagement, Konformitätsbewertung, Protokollierung, Modell- und Datendokumentation.
HR, Marketing, Vertrieb, Service
Funktionsbezogenes Wissen über die KI-Tools im eigenen Bereich, Risiken (Diskriminierung, Falschauskünfte), Kennzeichnungspflichten.
Einkauf und Lieferantenmanagement
Vertragsklauseln zu KI-Komponenten, Dokumentations- und Auskunftsrechte gegenüber KI-Anbietern, Konformitätsnachweise.
Auch externe Dienstleister und Zeitarbeitskräfte unterfallen der Pflicht, soweit sie in Verantwortung des Unternehmens mit KI-Systemen umgehen. Eine pauschale Überwälzung auf den Lieferanten ist nicht möglich.
Welche Tiefe für welche Funktion erforderlich ist, lässt sich erst nach einer kurzen Bestandsaufnahme der eingesetzten Systeme beurteilen. Wir entwickeln Ihre Kompetenzmatrix anhand des tatsächlichen KI-Einsatzes.
Was als ausreichende KI-Kompetenz gilt
Die KI-Verordnung versteht unter KI-Kompetenz dasjenige Verständnis, das Personen benötigen, um KI-Systeme in ihrem Aufgabenfeld sachkundig einzusetzen, deren Risiken einzuschätzen und die rechtlichen Anforderungen einzuhalten. Daraus lässt sich ein inhaltlicher Mindestkanon ableiten, der in jeder Schulung abzudecken ist:
- Funktionsweise von KI-Systemen: Grundverständnis von Modellen, Trainingsdaten, Halluzinationen, Verzerrungen und Grenzen typischer KI-Anwendungen.
- Risiken im konkreten Einsatz: Datenschutzrisiken, Diskriminierungsrisiken, Sicherheitsrisiken, urheberrechtliche Risiken im jeweiligen Aufgabenfeld.
- Risiken im konkreten Einsatz: Datenschutzrisiken, Diskriminierungsrisiken, Sicherheitsrisiken, urheberrechtliche Risiken im jeweiligen Aufgabenfeld.
- Interne Spielregeln und Prozesse: Genehmigte Tools, Eingabeverbote, Freigabewege, Eskalation bei Auffälligkeiten.
Der Detaillierungsgrad muss zur Funktion passen. Eine Geschäftsführung benötigt keine Schulung in Modellarchitekturen, eine Datenwissenschaftlerin keine Einführung in das Risikoklassensystem. Beide benötigen jedoch jeweils das Wissen, das ihre Entscheidungen und Tätigkeiten erfordern.
Wir entwickeln Schulungskonzepte funktionsspezifisch und dokumentieren die Lernziele nachvollziehbar; das ist die Grundlage eines belastbaren Nachweises.
Nachweis und Dokumentation – worauf Behörden achten
Die KI-Verordnung verlangt nicht nur die Schulung selbst, sondern auch deren Nachweisbarkeit. Im Bußgeld- oder Aufsichtsverfahren ist nicht entscheidend, ob geschult wurde, sondern ob das Unternehmen die Schulung dokumentiert vorlegen kann. Drei Elemente sollten in jeder Dokumentation enthalten sein.
Die Behörde fragt im Prüfungsfall nicht nach der Belehrung, sondern nach Dokumenten. Wir stellen Konzept- und Nachweisvorlagen bereit, die sich in Ihre bestehende Compliance-Struktur einfügen.
Risiken bei Verstoß: Bußgelder, Abmahnungen, Geschäftsführerhaftung
Verstöße gegen Art. 4 KI-VO sind nicht eigenständig mit dem höchsten Bußgeldrahmen bewehrt, fließen jedoch in nahezu jedes Bußgeldverfahren zur KI-VO als zusätzlicher Verstoß ein. In Aufsichtsverfahren wegen Hochrisiko-KI oder verbotener Praktiken wirkt eine unzureichende Schulungsdokumentation regelmäßig bußgelderhöhend.
Hinzu tritt das Abmahnrisiko: Nach dem KI-Marktüberwachungs- und Innovationsgesetz (KI-MIG) sowie über das Wettbewerbsrecht können Mitbewerber und qualifizierte Einrichtungen Verstöße gegen die KI-VO als unlautere Geschäftspraxis verfolgen. Der Mechanismus ist dem aus DSGVO-Verfahren vergleichbar, mit dem Unterschied, dass sich Schulungsdefizite leichter nachweisen lassen als technische Konformitätsmängel.
Im Innenverhältnis haftet die Geschäftsführung persönlich nach den allgemeinen Sorgfaltsmaßstäben (§ 43 GmbHG, § 93 AktG). Wer Schulungspflichten missachtet und dadurch Bußgelder oder Schadensersatzansprüche auslöst, riskiert den Regress der Gesellschaft. Auch der Schutz aus der D&O-Versicherung greift bei vorsätzlich missachteten gesetzlichen Pflichten nicht oder nur eingeschränkt.
Können Sie heute keinen Schulungsnachweis vorlegen, besteht ein Compliance-Risiko, das sich mit überschaubarem Aufwand schließen lässt. Wir prüfen Ihren aktuellen Stand und liefern den fehlenden Nachweis nach.
Wie wir Sie bei der Umsetzung unterstützen
Unsere Beratung zur KI-Kompetenzpflicht ist als durchgängiger Prozess angelegt. Wir beginnen mit einer Bestandsaufnahme der eingesetzten KI-Systeme und der bestehenden Schulungslage. Auf dieser Grundlage entwickeln wir eine Kompetenzmatrix, die je Funktion und KI-System die erforderliche Schulungstiefe ausweist.
Daran schließen sich Schulungskonzept, Durchführung und Dokumentation an, jeweils funktionsspezifisch und mit nachweisbaren Lernzielen. Auf Wunsch übernehmen wir auch die laufende Fortschreibung der Dokumentation, sobald neue KI-Systeme eingeführt oder rechtliche Vorgaben angepasst werden.
Ergänzend prüfen wir bestehende Schulungs- und Onboarding-Unterlagen daraufhin, ob sie den Anforderungen des Art. 4 KI-VO genügen, und ergänzen sie gezielt. So vermeiden Sie Parallelstrukturen und nutzen vorhandene Compliance-Investitionen.
Wir machen Ihren Schulungsstand belastbar, auch unter behördlicher Prüfung. Sprechen Sie uns an, bevor das erste Verfahren läuft.
FAQs – Häufig gestellte Fragen zur KI-Kompetenzpflicht
Ab wann gilt die KI-Kompetenzpflicht?
Die Pflicht aus Art. 4 KI-VO gilt seit dem 02.02.2025. Sie ist damit eine der ersten Pflichten der KI-Verordnung, die unmittelbar wirksam geworden sind. Eine Übergangsfrist gibt es nicht.
Welche Mitarbeiter müssen geschult werden?
Alle Mitarbeiter, die mit KI-Systemen in Berührung kommen – also typischerweise weite Teile der Belegschaft. Die Schulungstiefe variiert nach Funktion: Geschäftsführung anders als IT, IT anders als Marketing. Auch externe Dienstleister, die im Auftrag des Unternehmens KI einsetzen, fallen unter die Pflicht.
Was muss in einer KI-Schulung konkret vermittelt werden?
Mindestens Funktionsweise und Grenzen typischer KI-Systeme, Risiken im konkreten Aufgabenfeld, relevante Pflichten aus der KI-VO sowie die internen Spielregeln des Unternehmens. Inhalte müssen zur Funktion passen und nachvollziehbar dokumentiert werden.
Wie oft muss die Schulung wiederholt werden?
Die KI-VO verlangt keinen festen Turnus, fordert aber Aktualität. In der Praxis hat sich eine jährliche Auffrischung etabliert, ergänzt um anlassbezogene Updates bei neuen Tools, neuen Risiken oder rechtlichen Änderungen.
Reicht eine einmalige Schulung?
Nein. Eine einmalige Schulung erfüllt die Pflicht nur kurz nach Durchführung. Ohne regelmäßige Auffrischung gilt der Kompetenznachweis nach einigen Monaten als veraltet. Behörden bewerten dies regelmäßig als Verstoß gegen Art. 4 KI-VO.
Welche Konsequenzen drohen bei Verstoß?
Bußgelder, Abmahnungen durch Wettbewerber und persönliche Haftung der Geschäftsführung. Im Bußgeldverfahren wirken Schulungsdefizite typischerweise verschärfend – auch dann, wenn der primäre Vorwurf ein anderer Verstoß gegen die KI-VO ist.
Können Vorgesetzte für fehlende Schulung haften?
Ja, im Innenverhältnis nach den allgemeinen Sorgfaltspflichten. Wenn ein Vorgesetzter weiß oder wissen muss, dass Mitarbeiter ungeschult mit risikobehafteter KI arbeiten, riskiert er Regress des Unternehmens für entstandene Schäden oder Bußgelder.
Wer prüft die KI-Kompetenz im Unternehmen?
In Deutschland ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde. Daneben können fachspezifische Aufsichtsbehörden zuständig sein. Auch Datenschutzbehörden prüfen mit, soweit KI-Systeme personenbezogene Daten verarbeiten.
Wie soll der Nachweis aussehen?
Mindestens als dokumentierte Teilnahmeliste mit Lernzielen, ergänzt um ein Schulungskonzept und einen Auffrischungsplan. Vorlagen, die diesen Standard erfüllen, lassen sich in die bestehende Compliance-Dokumentation einfügen.
Wann sollte ich einen Anwalt einschalten?
Spätestens, sobald Ihr Unternehmen KI-Systeme einsetzt und kein dokumentierter Schulungsnachweis vorliegt. Bei einer Abmahnung wegen Verstoßes oder einer behördlichen Prüfung sofort. Eine bestehende Rechtsschutzversicherung übernimmt anwaltliche Beratung zu Compliance-Fragen häufig – die Übernahme lässt sich vorab klären.