KI-Verordnung und KI-Kompetenz im Unternehmen

Was ist die KI-Verordnung, und seit wann gilt sie?

Die Verordnung (EU) 2024/1689, kurz KI-Verordnung und international häufig als „EU AI Act“ bezeichnet, ist der europäische Rechtsrahmen für Künstliche Intelligenz. Sie ist am 1. August 2024 in Kraft getreten und gilt als EU-Verordnung unmittelbar in den Mitgliedstaaten. Ihre Vorschriften werden schrittweise anwendbar. Die Verbote bestimmter KI-Praktiken und Art. 4 zur KI-Kompetenz gelten seit dem 2. Februar 2025. Die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck gelten grundsätzlich seit dem 2. August 2025. Zahlreiche weitere Vorschriften gelten seit dem 2. August 2026. Bestimmte Vorschriften für Hochrisiko-KI-Systeme gelten ab Dezember 2027 oder ab 2028.

Was verlangt Art. 4 KI-Verordnung genau?

Art. 4 KI-Verordnung verlangt von Anbietern und Betreibern, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Art. 4 ist seit 2025 geltendes EU-Recht. Dabei sind insbesondere technische Kenntnisse, Erfahrung, Aus- und Fortbildung, der Einsatzkontext der KI-Systeme sowie die Personen oder Personengruppen zu berücksichtigen, bei denen die Systeme eingesetzt werden.

Seit der Änderung durch die am 27. Juli 2026 in Kraft getretene Digital-Omnibus-Verordnung stellt Art. 4 ausdrücklich klar, dass Anbieter und Betreiber kein bestimmtes Niveau der KI-Kompetenz einer einzelnen Person garantieren müssen. Entscheidend ist, dass geeignete Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz ergriffen werden.

Wie hilft Sachstand KI-Kompetenz bei der Umsetzung von Art. 4?

Sachstand KI-Kompetenz ist ein Prüf- und Nachweissystem, mit dem Unternehmen ihre Maßnahmen zur KI-Kompetenz strukturiert umsetzen und dokumentieren können.

Jede Person gibt zunächst an, wie sie KI bei der Arbeit einsetzt. Daraus folgt eine Kompetenzstufe, die zum jeweiligen Einsatzkontext passt. Anschließend durchläuft sie eine Lernstrecke mit Fällen aus dem Arbeitsalltag und legt eine Prüfung ab, deren Fragen auf die jeweilige Stufe abgestimmt sind.

Nach erfolgreicher Prüfung stellt Sachstand KI-Kompetenz ein Zertifikat als privatwirtschaftlichen Kompetenznachweis mit Prüfprotokoll, Prüfsumme und öffentlicher Prüfseite aus. Das Unternehmensregister zeigt, wer einen gültigen Nachweis hält und wann dieser abläuft.

Ein Zertifikat von Sachstand KI-Kompetenz ist ein privatwirtschaftlicher Nachweis über eine durchgeführte Maßnahme und bestandene Prüfung, keine behördliche oder amtliche Zertifizierung.

Was erhebt Sachstand KI-Kompetenz nicht?

Sachstand KI-Kompetenz erhebt keine Zeitmessung, keine Ranglisten, keine Vergleiche zwischen Personen oder Abteilungen, keinen Lernverlauf und keine Bewertung durch ein Sprachmodell. Von der Lernstrecke wird ausschließlich gespeichert, dass sie abgeschlossen wurde.

Eine nicht bestandene Prüfung wird als Schulungsbedarf behandelt und kann wiederholt werden. Personenbezogene Daten werden verschlüsselt gespeichert. Für die unterschiedlichen Datenarten gelten festgelegte Löschfristen.

Für wen gilt die KI-Verordnung: nur für Entwickler oder auch für Anwender?

Die KI-Verordnung gilt nicht nur für Entwickler. Sie unterscheidet insbesondere zwischen Anbietern und Betreibern. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr oder nehmen es entsprechend in Betrieb. Betreiber sind natürliche oder juristische Personen, Behörden oder andere Stellen, die ein KI-System in eigener Verantwortung verwenden – ausgenommen ist die persönliche, nicht berufliche Nutzung.

Unternehmen können deshalb Betreiber sein, wenn sie KI-Systeme im betrieblichen Zusammenhang einsetzen. Welche konkreten Pflichten gelten, hängt insbesondere vom eingesetzten System und dessen Verwendungszweck ab. Dazu können Art. 4 zur KI-Kompetenz, die Verbote nach Art. 5, Transparenzpflichten nach Art. 50 und – bei Hochrisiko-KI-Systemen – besondere Betreiberpflichten nach Art. 26 gehören. Hinweis: Die Betreiberpflichten nach Art. 26 sind für Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 in Verbindung mit Anhang III erst ab dem 2. Dezember 2027 anwendbar, für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 in Verbindung mit Anhang I erst ab dem 2. August 2028.

Ist ein Unternehmen schon Betreiber, wenn Beschäftigte ChatGPT oder andere KI-Werkzeuge nutzen?

Ein Unternehmen ist Betreiber im Sinne der KI-Verordnung, wenn es ein KI-System in eigener Verantwortung verwendet. Die Verordnung nimmt lediglich die persönliche, nicht berufliche Tätigkeit ausdrücklich aus. Werden KI-Systeme daher im Verantwortungsbereich des Unternehmens für berufliche Zwecke eingesetzt, kann das Unternehmen Betreiber sein.

Für Art. 4 kommt es darauf an, ob Personal oder andere Personen im Auftrag des Unternehmens mit dem Betrieb oder der Nutzung von KI-Systemen befasst sind. Das Unternehmen muss dann Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz dieser Personen zu unterstützen.

Was bedeutet KI-Kompetenz im Sinne der KI-Verordnung?

KI-Kompetenz umfasst nach Art. 3 Nr. 56 KI-Verordnung Fähigkeiten, Kenntnisse und Verständnis, die einen sachkundigen Einsatz von KI-Systemen ermöglichen und ein Bewusstsein für Chancen, Risiken und mögliche Schäden schaffen.

Welche Kenntnisse erforderlich sind, hängt vom Einsatzkontext ab. Relevant kann beispielsweise sein, wie ein KI-System sinnvoll eingesetzt wird, wie seine Ergebnisse zu interpretieren sind, welche Risiken bei seiner Nutzung bestehen und welche rechtlichen Vorgaben beachtet werden müssen. Eine Person, die einen KI-Assistenten zur Textbearbeitung nutzt, kann deshalb andere Kenntnisse benötigen als eine Führungskraft, die über den Einsatz eines KI-Systems entscheidet, oder eine Person, die ein Hochrisiko-KI-System beaufsichtigt.

Welche Beschäftigten sind betroffen?

Art. 4 erfasst das Personal und andere Personen, die im Auftrag eines Anbieters oder Betreibers mit dem Betrieb oder der Nutzung von KI-Systemen befasst sind. Entscheidend ist daher nicht allein die Stellenbezeichnung, sondern die tatsächliche Tätigkeit mit KI-Systemen.

Die erforderlichen Maßnahmen sollen zum jeweiligen Einsatz passen. Wer einen allgemeinen KI-Assistenten zur Textbearbeitung verwendet, benötigt typischerweise andere Kenntnisse als jemand, der ein KI-System zur Bewertung von Personen einsetzt oder ein Hochrisiko-KI-System menschlich beaufsichtigt.

Muss jedes Unternehmen seine Beschäftigten schulen oder prüfen lassen?

Welche Maßnahmen geeignet sind, hängt insbesondere von den eingesetzten KI-Systemen, dem Einsatzkontext und den Vorkenntnissen der betroffenen Personen ab. Unternehmen können beispielsweise Schulungen, Leitlinien, Lernangebote, Unterweisungen, Prüfungen oder Kombinationen daraus einsetzen. Entscheidend ist, dass die gewählten Maßnahmen geeignet sind, die Entwicklung der erforderlichen KI-Kompetenz im konkreten Einsatzkontext zu unterstützen. Die Europäische Kommission stellt ausdrücklich klar, dass weder eine externe Schulung noch eine externe Zertifizierung vorgeschrieben ist.

Muss ein Unternehmen die Maßnahmen dokumentieren?

Die Vorschrift verlangt die Durchführung geeigneter Maßnahmen, schreibt aber kein bestimmtes Register, Zertifikat oder Dokumentationsformat vor.

Eine nachvollziehbare Dokumentation kann dennoch sinnvoll sein, damit ein Unternehmen später darlegen kann, welche Maßnahmen es ergriffen hat. Dokumentiert werden können beispielsweise die jeweilige Maßnahme, ihr Inhalt, der betroffene Einsatzkontext, der Zeitpunkt und die teilnehmenden Personen. Ein bestimmtes Nachweisformat schreibt die KI-Verordnung hierfür nicht vor.

Welche Rolle spielt der Datenschutz beim Einsatz von KI-Werkzeugen?

Die DSGVO gilt neben der KI-Verordnung. Werden personenbezogene Daten mit einem KI-Werkzeug verarbeitet, muss für die Verarbeitung eine datenschutzrechtliche Rechtsgrundlage bestehen.

Verarbeitet ein externer KI-Anbieter personenbezogene Daten im Auftrag des Unternehmens, ist zu prüfen, ob eine Auftragsverarbeitung vorliegt. Ist dies der Fall, verlangt das Datenschutzrecht einen Vertrag oder ein anderes verbindliches Rechtsinstrument über die Auftragsverarbeitung.

Deshalb sollten Beschäftigte insbesondere wissen, welche Daten sie in die im Unternehmen eingesetzten KI-Systeme eingeben dürfen und welche Datenschutz- und Geheimhaltungsvorgaben gelten.

Wer überwacht die Einhaltung der KI-Verordnung in Deutschland?

In Deutschland ist die Zuständigkeit inzwischen gesetzlich geregelt. Das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) ist am 29. Juli 2026 in Kraft getreten. Grundsätzlich ist die Bundesnetzagentur für die Einhaltung der KI-Verordnung zuständige Marktüberwachungsbehörde, soweit das KI-MIG keine besondere Zuständigkeit vorsieht.

Auf EU-Ebene nimmt das Europäische Amt für Künstliche Intelligenz – das AI Office – eigene Aufsichts- und Durchsetzungsaufgaben wahr, insbesondere bei KI-Modellen mit allgemeinem Verwendungszweck und bestimmten weiteren KI-Systemen.

Welche Folgen können Verstöße gegen Art. 4 haben?

Art. 99 KI-Verordnung sieht seit der Änderung durch den Digital-Omnibus vor, dass die Mitgliedstaaten Regeln für Sanktionen und andere Durchsetzungsmaßnahmen bei Verstößen gegen die KI-Verordnung schaffen. Dazu können neben Geldbußen auch Verwarnungen und nichtmonetäre Maßnahmen gehören. Die Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein.

In Deutschland regelt das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) die nationale Durchführung und enthält ergänzende Bußgeldvorschriften.

Unabhängig davon kann unzureichende KI-Kompetenz das Risiko erhöhen, dass beim Einsatz von KI gegen andere rechtliche Vorgaben verstoßen wird – beispielsweise gegen Datenschutz-, Geheimhaltungs- oder spezielle Pflichten der KI-Verordnung. Unternehmen sollten deshalb nachvollziehbar festlegen, welche Maßnahmen zur KI-Kompetenz sie für ihre jeweiligen Einsatzfälle ergreifen.