Wie du dein Team in 5 Schritten zur KI-Kompetenz nach Art. 4 AI Act schulst

Seit dem 2. Februar 2025 verlangt Art. 4 der EU-KI-Verordnung (AI Act) von jedem Unternehmen, das KI-Systeme einsetzt, dass Mitarbeitende über ausreichende KI-Kompetenz verfügen – abgestimmt auf ihre Rolle, ihr Vorwissen und den Einsatzkontext. Diese Anleitung zeigt dir in fünf Schritten, wie du eine nachweisbare Schulung mit einer praxistauglichen Nachweis-Vorlage aufsetzt. Hinweis: Dieser Artikel ersetzt keine Rechtsberatung und keine individuelle Datenschutzberatung; der Einsatz von KI-Tools mit personenbezogenen Daten erfordert zusätzlich vertragliche Absicherung. Stand: 09/2026.

Was du brauchst

• Überblick über alle im Unternehmen genutzten KI-Tools (z. B. ChatGPT, Copilot, Bildgeneratoren)
• Ansprechperson für Datenschutz oder IT-Sicherheit
• Zugriff auf eine Schulungsplattform oder ein Meeting-Tool
• Personalverantwortung zur Terminplanung
• Ein bis zwei Tage Vorbereitungszeit

Zeitaufwand: ca. 8–10 Stunden Vorbereitung, 2 Stunden Schulung pro Gruppe Schwierigkeitsgrad: Mittel Benötigte Rechte: Zugriff auf die Tool-Übersicht des Unternehmens, ggf. Admin-Rechte in einzelnen KI-Tools

Schritt 1: Tool-Inventar und Risiko erfassen

Liste zuerst alle KI-Tools auf, die in deinem Unternehmen tatsächlich genutzt werden – auch die, die Teams ohne offizielle Freigabe einsetzen (Schatten-KI). Erfasse pro Tool mindestens vier Angaben: Einsatzzweck, verarbeitete Datenkategorien, Anzahl der Nutzer:innen und ob ein Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter vorliegt. Prüfe außerdem, ob dabei personenbezogene Daten verarbeitet werden – etwa Namen, Kundendaten oder Bewerbungsunterlagen in Prompts.

Ordne jedem Tool anschließend eine Risikostufe zu: niedrig (z. B. reine Texterstellung ohne Kundendaten), mittel (interne Dokumente mit Personenbezug) oder hoch (Kundendaten, Gesundheitsdaten oder Vertragsinhalte). Diese Einstufung entscheidet später, wie intensiv eine Zielgruppe geschult werden muss.

Häufiger Fehler: Schatten-KI läuft der Bestandsaufnahme oft am Radar vorbei, weil sie eigenständig im Browser statt über die IT-Beschaffung genutzt wird.

Danach hast du eine vollständige Liste aller genutzten KI-Tools mit Risikoeinstufung und AVV-Status als Grundlage für die Schulungsplanung.

Schritt 2: Zielgruppen segmentieren

Nicht jede Person braucht dieselbe Schulungstiefe – Art. 4 AI Act verlangt ausdrücklich eine Abstimmung auf Rolle, Vorwissen und Einsatzkontext. Unterscheide mindestens drei Gruppen: reguläre Nutzer:innen (z. B. Textentwürfe oder Recherche-Unterstützung), technische Rollen mit Zugriff auf Entwickler-Tools wie Code-Assistenten (hier zusätzlich Risiken wie Prompt Injection thematisieren – also manipulierte Eingaben, die ein KI-System zu unbeabsichtigten Aktionen verleiten) sowie Führungskräfte, die über Tool-Einführungen und Budgets entscheiden.

Lege pro Gruppe fest, welche Inhalte in welcher Tiefe relevant sind, und verknüpfe die Gruppen mit der Risikostufe aus Schritt 1: Wer mit intern als hoch eingestuften Tools arbeitet, braucht erfahrungsgemäß eine ausführlichere Schulung als jemand, der nur intern niedrig eingestufte Anwendungen nutzt.

Danach liegt eine Zielgruppen-Matrix vor, die festlegt, wer welche Inhalte in welcher Tiefe benötigt.

Schritt 3: Schulungsinhalte in drei Säulen festlegen

Säule 1 – Grundlagen: Was ist ein KI-System, wie funktioniert KI-Training grob (die Modelle lernen aus großen Datenmengen statistische Muster, statt Fakten wie eine Datenbank abzuspeichern), und wo liegen die Grenzen der Tools im Alltag.

Säule 2 – Risiken: Halluzinationen, Bias in Trainingsdaten sowie der Umgang mit personenbezogenen Daten in Prompts – etwa Namen mit Gesundheitsdaten oder Vertragsentwürfe mit Kundennamen als Tabu-Beispiele.

Säule 3 – Praxis: Tool-spezifische Regeln, direkt an den Tools aus Schritt 1 festgemacht. Beispiel: Microsoft 365 Copilot (DSGVO-Score laut unserer Bewertung 8,0/10, ab 18 €/Monat) darf für interne Dokumente genutzt werden, ChatGPT Plus (DSGVO-Score laut unserer Bewertung 5,0/10, kostenloser Plan vorhanden, Preise für Plus beim Anbieter prüfen) nur ohne Kundendaten, und GitHub Copilot (DSGVO-Score laut unserer Bewertung 7,5/10, Preis beim Anbieter prüfen) nur mit geprüften Code-Repositories ohne Geheimnisse oder Zugangsdaten im Klartext.

Danach hast du ein Schulungskonzept mit drei klar abgegrenzten Modulen, das du direkt in Foliensätze oder ein Schulungsskript überführen kannst.

Schritt 4: Rollout durchführen und Nachweis-Dokumentation erstellen

Terminiere die Schulungen pro Zielgruppe und führe sie live oder als Aufzeichnung mit anschließendem Kurztest durch. Eine reine Anwesenheitsliste dokumentiert die Durchführung nur unvollständig – empfehlenswert ist, pro Teilnahme mindestens sechs Angaben in einer festen Vorlage festzuhalten, auch wenn Art. 4 AI Act kein bestimmtes Nachweisformat vorschreibt:

Lege diese Tabelle als wiederverwendbare Vorlage an und fülle sie pro Person und Durchführung aus. Sammle Schulungsunterlagen, ausgefüllte Nachweis-Tabellen und das Datum der nächsten Auffrischung zusätzlich in einem zentralen Ordner – verteilte Nachweise in einzelnen E-Mail-Postfächern gelten im Audit üblicherweise als unzureichend, weil sie sich nicht lückenlos vorlegen lassen.

Danach hast du durchgeführte Schulungen mit einer einheitlichen, archivierten Nachweis-Vorlage pro Person, die du im Audit direkt vorlegen kannst.

Schritt 5: Feedback-Mechanismen und jährliche Auffrischung einrichten

Eine einmalige Schulung erfüllt die Kompetenzpflicht nur für den Moment der Durchführung – Art. 4 AI Act verlangt, dass die KI-Kompetenz mit neuen Tools und veränderten Einsatzkontexten mitwächst. Baue deshalb einen kurzen Feedback-Bogen ein (typischerweise 3–5 Fragen zu Verständlichkeit, Praxisnähe und offenen Fragen), den Teilnehmende direkt nach der Schulung ausfüllen. Werte die Rückmeldungen aus und passe die Säulen aus Schritt 3 bei wiederkehrender Kritik an.

Definiere zusätzlich klare Auslöser für eine außerplanmäßige Auffrischung, statt dich allein auf den Jahresrhythmus zu verlassen: die Einführung eines neuen KI-Tools, ein sicherheitsrelevanter Vorfall (z. B. versehentlich eingegebene Kundendaten) oder eine wesentliche Änderung an einem bereits genutzten Tool. Trage den nächsten regulären Auffrischungstermin – typischerweise nach 12 Monaten – direkt in den Kalender der jeweiligen Zielgruppe ein und verknüpfe ihn mit der Nachweis-Vorlage aus Schritt 4.

Danach hast du einen Feedback-Kreislauf und einen terminierten Auffrischungsrhythmus, der die Schulung dauerhaft aktuell hält statt sie einmalig abzuhaken.

Ergebnis

Nach Abschluss der fünf Schritte hat dein Unternehmen ein dokumentiertes Tool-Inventar, eine Zielgruppen-Matrix, ein modulares Schulungskonzept, eine ausgefüllte Nachweis-Vorlage pro Teilnahme sowie einen terminierten Feedback- und Auffrischungsrhythmus – die zentrale Grundlage für die Erfüllung der KI-Kompetenzpflicht aus Art. 4 AI Act.

Beispiel: Ein 25-köpfiges Marketing- und Vertriebsunternehmen nutzt ChatGPT Plus für Textentwürfe und Microsoft 365 Copilot für interne Dokumente. Nach den fünf Schritten liegen eine Tool-Liste mit Risikostufen, drei Zielgruppen-Module und ein Ordner mit 25 ausgefüllten Nachweis-Tabellen samt Kalendereintrag für die Auffrischung vor – im Audit in wenigen Minuten abrufbar.

Häufige Fehler

• Schatten-KI wird beim Tool-Inventar übersehen
• Schulung findet nur einmalig statt statt regelmäßig
• Keine einheitliche Nachweis-Vorlage genutzt, Nachweise verteilen sich auf einzelne Postfächer
• Alle Mitarbeitenden bekommen dieselben Inhalte statt zielgruppengerechte Module
• Begriffe wie Halluzination, Bias oder Prompt Injection bleiben unerklärt
• Feedback der Teilnehmenden wird eingeholt, aber nicht ausgewertet oder umgesetzt

Kontroll-Checkliste: Art. 4 Schulungspflicht

• Tool-Inventar erstellt
• Risikoeinstufung pro Tool dokumentiert
• AVV-Status pro Tool geprüft
• Zielgruppen definiert
• Schulungsinhalte in drei Säulen dokumentiert
• Rollout-Termine im Kalender
• Schulung durchgeführt
• Nachweis-Vorlage pro Teilnahme ausgefüllt und archiviert
• Feedback-Bogen ausgewertet
• Auffrischungstermin (z. B. in 12 Monaten) terminiert

Häufige Fragen

Wer ist von Art. 4 AI Act betroffen? Jedes Unternehmen, das KI-Systeme einsetzt oder betreibt – unabhängig von der Größe. Die Pflicht betrifft Mitarbeitende, die mit KI-Tools arbeiten, nicht nur IT- oder Führungspersonal.

Muss die Schulung zertifiziert sein? Nein, der AI Act schreibt kein bestimmtes Format vor. Wichtig ist, dass Inhalt und Tiefe zur Rolle passen und die Durchführung nachweisbar dokumentiert ist.

Wie dokumentiere ich Schulungen so, dass sie im Audit standhält? Halte pro Teilnahme diese Angaben in der Nachweis-Vorlage aus Schritt 4 fest:

• Name / Rolle und geschulte Zielgruppe
• Datum und Dauer der Schulung
• Behandelte Tools
• Bestätigung der Teilnahme (Unterschrift oder E-Mail)
• Termin der nächsten Auffrischung
• Zentrale Archivierung in einem Ordner statt verteilt über einzelne Postfächer

Wie oft muss ich die Schulung wiederholen? Eine feste gesetzliche Frist gibt es nicht, empfohlen ist aber eine Auffrischung alle 12 Monate oder immer dann, wenn neue KI-Tools eingeführt werden.

Brauche ich einen AVV mit dem Anbieter, wenn ich die Schulung extern durchführen lasse? Nur, wenn der Anbieter personenbezogene Daten deiner Mitarbeitenden im Auftrag verarbeitet – etwa eine Lernplattform, die Teilnahmedaten oder Videoaufzeichnungen speichert. Bei einer reinen Präsenzschulung ohne Datenverarbeitung durch den Anbieter entfällt die Pflicht; im Zweifel hilft die Prüfung, was ein AVV genau regelt.