KI-Schulungspflicht für Mitarbeiter: Was Artikel 4 des AI Act verlangt und was nicht

Wenn deine Mitarbeiter bei der Arbeit KI nutzen, musst du dafür sorgen, dass sie lernen, damit umzugehen. Ein Zertifikat, einen externen Kurs oder eine Prüfung verlangt das Gesetz dafür nicht. Seit Ende Juli 2026 ist die Pflicht außerdem schwächer formuliert als vorher. Artikel 4 der KI-Verordnung verlangt jetzt, dass du die Entwicklung von KI-Kompetenz unterstützt, und er sagt ausdrücklich, dass du dabei kein bestimmtes Niveau garantieren musst.

Entwarnung ist das keine, aber die Frage verschiebt sich. Es kommt weniger darauf an, welchen Kurs du buchst. Entscheidend ist, ob die Leute, die mit euren KI-Systemen arbeiten, wissen, was diese Systeme tun dürfen und wann sie selbst eingreifen müssen. Das kannst du im Arbeitsalltag regeln und aufschreiben, und genau diese Aufzeichnung ist später dein Nachweis.

Was Artikel 4 heute verlangt

Die KI-Verordnung, international als EU AI Act bekannt, ist seit August 2024 in Kraft, und ihre Pflichten gelten schrittweise. Artikel 4 zur KI-Kompetenz gilt seit dem 2. Februar 2025. Im Juli 2026 hat die EU ihn mit dem sogenannten KI-Omnibus geändert, der Verordnung (EU) 2026/1744. Sie steht seit dem 24. Juli 2026 im Amtsblatt und ist seit dem 27. Juli in Kraft.

Nach der geänderten Fassung von Artikel 4 „ergreifen [Anbieter und Betreiber] Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen“, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei sollen sie berücksichtigen, was diese Leute schon wissen, in welchem Kontext die Systeme eingesetzt werden und bei welchen Personen. Neu und für dich am wichtigsten ist der letzte Satz des Absatzes. Die Pflicht verpflichtet nicht dazu, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“.

Vorher mussten Unternehmen nach besten Kräften für ein „ausreichendes Maß“ an KI-Kompetenz sorgen. Gemessen wurde die Pflicht also am Ergebnis, und niemand konnte sagen, ab wann dieses Maß erreicht ist. Die Kanzlei Mishcon de Reya beschreibt in ihrer Analyse der Omnibus-Einigung, wie aus dieser ergebnisbezogenen Pflicht eine Pflicht wurde, Maßnahmen zu ergreifen. Durchgesetzt haben das laut Mishcon vor allem kleinere Unternehmen. Sie hatten argumentiert, dass ein einheitlicher und durchsetzbarer Standard für sie unverhältnismäßig sei, weil Unternehmen KI sehr unterschiedlich nutzen.

Betreiber ist im Gesetz jedes Unternehmen, das ein KI-System in eigener Verantwortung nutzt. Betroffen bist du also auch dann, wenn du selbst nichts entwickelst.

Warum viele Ratgeber noch von einer harten Schulungspflicht sprechen

Die meisten Texte zu dem Thema stammen aus 2025, als noch die alte Fassung galt. Das Wort „Schulungspflicht“ steht nicht im Gesetz. Es hat sich eingebürgert, weil eine Schulung der naheliegende Weg schien, das „ausreichende Maß“ zu belegen. Wer Kurse verkauft, hatte außerdem wenig Grund, die Unschärfe aufzulösen.

Es gibt auch den umgekehrten Irrtum. Die EU-Kommission hatte im November 2025 vorgeschlagen, die Pflicht ganz von den Unternehmen auf die Kommission und die Mitgliedstaaten zu übertragen. Wer nur diesen Vorschlag kennt, hält Artikel 4 für Unternehmen deshalb manchmal für abgeschafft. Parlament und Rat haben sich aber anders entschieden. In ihren Fragen und Antworten zur KI-Kompetenz schreibt die Kommission, dass KI-Kompetenz eine Pflicht für Anbieter und Betreiber bleibt, nur ohne ein vorgeschriebenes oder „ausreichendes“ Niveau.

Die Wahrheit liegt also dazwischen. Du musst etwas tun, aber du entscheidest selbst, was, und niemand misst das Ergebnis an einem festen Maßstab.

Was die Kommission dazu konkret sagt

Für die Praxis ist die Seite mit Fragen und Antworten der Kommission die beste Quelle, weil sie die Fragen beantwortet, die sich Unternehmen tatsächlich stellen. Die Antworten sind eindeutiger, als viele Ratgeber vermuten lassen:

• Ein Zertifikat brauchst du nicht. Eine interne Aufzeichnung über Schulungen oder andere Anleitungen genügt.
• Du musst nicht messen oder prüfen, was deine Mitarbeiter über KI wissen.
• Du brauchst keinen KI-Beauftragten und kein eigenes Gremium.
• Unterschiedlich tiefe Schulungen für unterschiedliche Gruppen sind ausdrücklich erlaubt.
• Wenn Mitarbeiter ChatGPT für Werbetexte oder Übersetzungen nutzen, fällt das unter Artikel 4. Sie sollten zum Beispiel wissen, dass solche Systeme Fakten erfinden können.

Ein Punkt spricht allerdings gegen die bequemste Lösung. Die Kommission schreibt, dass es in vielen Fällen nichts bringt, nur auf die Gebrauchsanweisung des Systems zu verweisen oder die Mitarbeiter zu bitten, sie zu lesen. Eine Rundmail mit PDF im Anhang reicht also wahrscheinlich nicht. Einen externen Kurs schreibt die Kommission aber genauso wenig vor. Es gebe keine Lösung, die für alle passt, und auch keine verpflichtenden Schulungen.

Als Mindestinhalt nennt die Kommission vier Überlegungen. Deine Leute sollen verstehen, was KI grundsätzlich ist und welche KI ihr einsetzt. Du klärst, ob ihr KI nur nutzt oder selbst entwickelt. Du prüfst, welche Risiken die eingesetzten Systeme haben. Und du richtest die Maßnahmen danach aus, was die Leute schon wissen und wofür sie das System nutzen.

Kompetenz bezieht sich auf die Systeme, die ihr nutzt

An dieser Stelle gehen viele Kursangebote am Thema vorbei. Ein allgemeiner Kurs erklärt, wie Sprachmodelle funktionieren, warum sie halluzinieren und wie man gute Prompts schreibt. Das ist nützlich. Für dein Risiko entscheidend ist aber eine andere Frage: Was kann bei euch schiefgehen, wenn jemand ein bestimmtes System falsch einschätzt?

Diesen Bezug stellt das Gesetz selbst her, weil Artikel 4 verlangt, den Einsatzkontext und die betroffenen Personen zu berücksichtigen. Ein Mitarbeiter im Marketing, der sich Textentwürfe schreiben lässt, muss vor allem wissen, dass er Fakten prüfen muss und welche Kundendaten nicht in ein externes Tool gehören. Ein Kollege im Kundenservice, dessen KI-Agent selbstständig Antworten verschickt, muss etwas ganz anderes wissen.

Bei KI-Agenten zeigt sich das am deutlichsten. Ein KI-Agent erzeugt Text und führt außerdem Aktionen aus: Er verschickt E-Mails, ändert Einträge im CRM, legt Termine an oder legt Dokumente ab. Bei einem Chat-Tool trägt der Mensch die Verantwortung, der die Antwort kopiert und verwendet. Bei einem Agenten übernimmt das System einen Teil der Handlung. Deshalb müssen die Menschen, die mit ihm arbeiten, genau wissen, wo sein Rahmen endet.

Drei Fragen, die jeder beantworten können sollte

Wenn ihr KI-Agenten einsetzt, besteht die wirksamste Maßnahme darin, dass jeder, der mit einem Agenten arbeitet, drei Fragen beantworten kann.

Was darf der Agent selbst tun? Ein Agent im Kundenservice beantwortet zum Beispiel Fragen zum Lieferstatus, fragt fehlende Bestellnummern nach und trägt den Vorgang im Ticketsystem ein, ohne dass jemand jede Antwort absegnet. Eine Kulanzgutschrift ist dagegen eine Zahlung, und die gibt ein Mensch frei. Wer diese Grenze kennt, muss nicht jede Routineantwort kontrollieren und übersieht trotzdem keine Gutschrift.

Was protokolliert der Agent? Wenn sich ein Kunde beschwert, muss jemand nachvollziehen können, was der Agent geschrieben hat, wann und auf welcher Grundlage. Wer weiß, wo dieses Protokoll liegt, kann einen Fehler schnell eingrenzen und muss nicht raten.

Wo greife ich ein? Dazu gehört die Freigabe riskanter Aktionen und der Fall, dass ein Agent etwas falsch macht. Jeder sollte wissen, wer den Agenten stoppen darf, wer seine Regeln anpasst und wo man einen Fehler meldet.

Mit diesen drei Fragen deckst du ziemlich genau ab, was die Kommission mit Risiken, Einsatzkontext und dem Umgang mit Ergebnissen meint. Du beantwortest sie aber an euren echten Systemen statt an einem Lehrbuchbeispiel. Menschen legen dabei Ziele, Rechte und Grenzen fest, und der Agent erledigt, was innerhalb dieser Grenzen liegt. Wer mit ihm arbeitet, versteht dadurch seine eigene Rolle.

Wie du das aufschreibst, ohne ein Handbuch zu schreiben

Die Kommission erwartet als Nachweis eine interne Aufzeichnung. Für ein Unternehmen mit 50 oder 150 Mitarbeitern reicht ein kurzes Dokument pro KI-System, das die drei Fragen beantwortet. Dazu kommt eine Liste, wer das System nutzt und wann diese Leute eingewiesen wurden.

So gehst du vor:

1. Liste alle KI-Systeme auf, die bei euch im Einsatz sind. Dazu gehören auch die Chat-Tools, die einzelne Mitarbeiter auf eigene Faust für die Arbeit nutzen. Ohne diese Liste weißt du nicht, wen die Pflicht überhaupt betrifft.
2. Schreib für jedes System auf, wofür ihr es nutzt, was es selbst tun darf, welche Aktionen eine Freigabe brauchen und wo man nachsieht, was es getan hat.
3. Erklär das den Leuten, die damit arbeiten, direkt am System. Wenn jemand an einem echten Vorgang zeigt, wo das Protokoll steht und wie eine Freigabe aussieht, lernen die Kollegen genau das, was sie im Alltag brauchen.
4. Halte fest, wer wann eingewiesen wurde. Pass das Dokument an, sobald ein Agent neue Rechte bekommt oder ein neues System dazukommt.
5. Ergänze einen allgemeinen Teil darüber, was KI kann, wo sie typischerweise Fehler macht und welche Daten nicht in externe Tools gehören. Dafür gibt es gutes kostenloses Material.

Das Dokument entsteht dabei nicht für eine Behörde. Es ist die Arbeitsbeschreibung, die ihr ohnehin braucht, sobald ein Agent selbstständig handelt, und es ist zugleich dein Nachweis. Wenn euer Agentensystem Rechte und Freigaben konfigurierbar macht und ausgeführte Aktionen protokolliert, sind viele Antworten schon im System festgelegt. Du musst sie dann nur noch verständlich zusammenfassen und den Leuten zeigen.

Kostenlose Hilfe statt teurer Pflichtkurse

Artikel 4 verpflichtet die Kommission und die Mitgliedstaaten ausdrücklich, Unternehmen und besonders KMU bei der Umsetzung zu unterstützen. Die Kommission soll dafür Praxisbeispiele auf ihrer zentralen Informationsplattform veröffentlichen. Bis dahin führt sie ein Verzeichnis mit mehr als 40 Beispielen dafür, wie Unternehmen und Behörden KI-Kompetenz aufbauen. Sie weist allerdings darauf hin, dass du die Pflicht nicht automatisch erfüllst, nur weil du eines dieser Beispiele nachmachst.

In Deutschland ist seit dem 29. Juli 2026 das KI-Marktüberwachungsgesetz in Kraft. Damit ist die Bundesnetzagentur zentrale Anlaufstelle und Beschwerdestelle für die KI-Verordnung. Ihr KI-Service-Desk gibt unter anderem Hinweise zum Aufbau von KI-Kompetenz. Außerdem gibt es die European Digital Innovation Hubs, laut Kommission mehr als 200 Anlaufstellen in Europa. Neun von zehn davon bieten Leistungen rund um KI an, darunter Schulungen und Workshops.

Ein externer Kurs lohnt sich, wenn dein Team bei null anfängt und erst die Grundlagen braucht. Den Teil über eure eigenen Systeme ersetzt er aber nicht, und den kann dir auch kein Anbieter von außen liefern, weil nur ihr wisst, was eure Agenten dürfen.

Wo die Anforderungen strenger werden

Die weiche Formulierung von Artikel 4 gilt für den Normalfall. Für Hochrisiko-KI-Systeme gibt es eine eigene und deutlich konkretere Pflicht. Nach Artikel 26 müssen Betreiber solcher Systeme die menschliche Aufsicht Personen übertragen, die die nötige Kompetenz, Ausbildung und Befugnis haben. Die Kommission betont, dass der Omnibus an dieser Pflicht nichts ändert.

Als hochriskant gelten unter anderem KI-Systeme in den Bereichen Beschäftigung, Bildung und kritische Infrastruktur. Wenn du also KI einsetzt, um Bewerbungen vorzusortieren oder die Leistung von Mitarbeitern zu bewerten, landest du schnell in dieser Kategorie. Der Omnibus hat den Beginn dieser Pflichten für solche Systeme auf den 2. Dezember 2027 verschoben. Diese Zeit brauchst du auch, um die zuständigen Personen gezielt vorzubereiten.

Für KI-Agenten, die E-Mails beantworten, Angebote vergleichen oder Termine koordinieren, gilt dagegen Artikel 4 in seiner neuen, weicheren Form.

Was zählt, wenn etwas schiefgeht

Seit August 2026 überwachen nationale Marktüberwachungsbehörden, ob Unternehmen Artikel 4 einhalten. Welche Sanktionen drohen, regelt das nationale Recht. Laut Kommission müssen Sanktionen verhältnismäßig sein und den Einzelfall berücksichtigen. Wahrscheinlicher werden sie, wenn ein Vorfall nachweislich darauf zurückgeht, dass Mitarbeiter nicht ausreichend geschult oder angeleitet wurden.

Damit ist das realistische Risiko recht genau beschrieben. Zum Thema wird Artikel 4 vor allem dann, wenn etwas passiert ist und sich jemand beschwert. Das kann ein Agent sein, der einem Kunden falsche Konditionen nennt, oder ein Mitarbeiter, der personenbezogene Daten in ein externes Tool kopiert. Dann stellt sich die Frage, ob die Beteiligten wussten, was das System tut und wo sie hätten eingreifen müssen.

In diesem Moment ist ein dokumentierter Alltag mehr wert als ein Teilnahmezertifikat. Ein Zertifikat belegt nur, dass jemand einen Kurs über KI besucht hat. Eine Beschreibung mit Rechten, Protokollen und Freigabepunkten und eine Liste der eingewiesenen Personen belegen dagegen, dass ihr euren konkreten Einsatz verstanden und geregelt habt. Der Omnibus sagt in seinem fünften Erwägungsgrund selbst, dass KI-Kompetenz eine strategische Priorität sein soll, unabhängig von rechtlichen Pflichten und möglichen Sanktionen. Wer seine Agenten so dokumentiert, dass jeder Kollege ihre Grenzen kennt, erfüllt diesen Anspruch nebenbei, weil er ohnehin wissen will, was in seinem Unternehmen passiert.

Häufige Fragen

Muss ich meine Mitarbeiter wegen des AI Act in KI schulen?

Du musst Maßnahmen ergreifen, die ihre KI-Kompetenz unterstützen, sobald sie beruflich mit KI-Systemen arbeiten. Wie diese Maßnahmen aussehen, entscheidest du selbst. Seit dem KI-Omnibus musst du kein bestimmtes Kompetenzniveau garantieren. Eine Einweisung in die Systeme, die ihr tatsächlich nutzt, reicht in vielen Fällen, wenn du sie dokumentierst.

Brauchen meine Mitarbeiter ein Zertifikat über KI-Kompetenz?

Nein. Die EU-Kommission schreibt ausdrücklich, dass kein Zertifikat nötig ist. Eine interne Aufzeichnung über Schulungen oder andere Anleitungen genügt als Nachweis.

Gilt Artikel 4 auch, wenn wir nur ChatGPT oder ähnliche Chat-Tools nutzen?

Ja. Die Kommission nennt genau diesen Fall als Beispiel. Mitarbeiter, die mit solchen Tools Texte schreiben oder übersetzen, sollten die typischen Risiken kennen, etwa dass das Tool Fakten erfindet.

Gilt die Pflicht auch für Freelancer und Dienstleister?

Ja, soweit sie in deinem Auftrag mit KI-Systemen arbeiten. Artikel 4 spricht ausdrücklich von „anderen Personen“, und die Kommission nennt als Beispiele Auftragnehmer und Dienstleister. Sie brauchen dieselben Kenntnisse über die Systeme wie deine eigenen Mitarbeiter.

Drohen Bußgelder, wenn wir nichts tun?

Die Sanktionen legt das nationale Recht fest, und sie müssen verhältnismäßig sein. Laut Kommission werden sie wahrscheinlicher, wenn ein Vorfall auf fehlende Schulung oder Anleitung zurückgeht. Das größte Risiko ist also ein Schaden, bei dem sich zeigt, dass niemand die Grenzen des Systems kannte.