Was müssen Unternehmen von Mitarbeitenden nach Art. 4 AI Act verlangen?

Kurze Antwort

Art. 4 der EU-KI-Verordnung verpflichtet seit dem 2. Februar 2025 alle Anbieter und Betreiber von KI-Systemen, eine “ausreichende KI-Kompetenz” ihrer Mitarbeitenden sicherzustellen — unabhängig von der Risikoklasse des eingesetzten Systems. Das bedeutet konkret: Wer in deinem Unternehmen mit ChatGPT, Notion KI oder ähnlichen Tools arbeitet, muss die Funktionsweise, Grenzen und Risiken dieser Systeme verstehen, bevor er sie produktiv nutzt. Ein EU-weit einheitliches Schulungscurriculum gibt es nach unserer Recherche (Stand: 2026-08) nicht — Unternehmen müssen Umfang und Form der Schulung selbst festlegen und dokumentieren.

Wichtig: Ein hoher DSGVO-Score bedeutet nicht automatisch einen aufsichtsbehördlich vertretbaren Einsatz im Einzelfall. Entscheidend sind auch die konkrete Nutzung, ein AVV und interne Datenschutzprozesse.

Praxisregel: KI-Kompetenzpflicht im Alltag

• ✅ Mitarbeitende dürfen KI-Tools für allgemeine Textarbeit nutzen, wenn sie zuvor über Grenzen und Risiken informiert wurden.
• ✅ Eine interne Kurzschulung (auch als Video oder Leitfaden) reicht als Nachweis, sofern sie dokumentiert und aktuell gehalten wird.
• ⚠️ Werden bei der Schulung personenbezogene Daten von Mitarbeitenden erfasst (z. B. Testergebnisse), braucht es eine Rechtsgrundlage und ggf. Rücksprache mit dem Datenschutzbeauftragten.
• ⚠️ Werden externe KI-Tools zur Schulungserstellung genutzt und dabei reale Firmen- oder Kundendaten eingegeben, ist vorab ein AVV mit dem Anbieter zu prüfen.
• ⚠️ Fehlt eine dokumentierte Schulung komplett, drohen im Aufsichtsfall Nachweisprobleme — unabhängig vom eigentlichen KI-Einsatz.

Die folgenden DSGVO-Scores sind Risikoeinschätzungen, keine rechtlichen Bewertungen.

Erfahrungswerte — individuelle Zeiten variieren je nach Teamgröße und Vorwissen.

Muss ich als Unternehmen alle Mitarbeitenden schulen?

Betroffen sind alle Personen, die KI-Systeme im Auftrag des Unternehmens bedienen oder deren Ergebnisse nutzen — nicht nur die IT-Abteilung. Der AI Act unterscheidet dabei zwischen Anbietern (die KI-Systeme entwickeln oder in Verkehr bringen) und Betreibern (die KI-Systeme im eigenen Betrieb einsetzen); die meisten KMU und Freelancer sind als Betreiber betroffen. Der Umfang der Schulung darf sich am tatsächlichen Nutzungskontext orientieren: Wer nur gelegentlich einen Chatbot für Textentwürfe nutzt, braucht eine andere Schulungstiefe als jemand, der KI-Systeme zur automatisierten Bewerberauswahl konfiguriert. Werden dabei personenbezogene Daten verarbeitet, sollte die Schulung zusätzlich auf die einschlägigen technischen und organisatorischen Maßnahmen im Unternehmen eingehen.

Kurz gesagt: Wenn Mitarbeitende KI-Systeme im Job nutzen, brauchst du fast immer: (1) eine dokumentierte Kurzschulung zu Funktionsweise und Grenzen des jeweiligen Tools, (2) einen schriftlichen Nachweis über Teilnahme und Inhalt, (3) eine Aktualisierung, sobald neue Tools eingeführt werden, und (4) bei Verarbeitung von Personendaten eine kurze Abstimmung mit eurem Datenschutzbeauftragten.

Was sollte eine Schulung inhaltlich abdecken?

Art. 4 AI Act schreibt kein festes Curriculum vor, benennt aber den Maßstab: Mitarbeitende müssen die Funktionsweise, Grenzen und Risiken der von ihnen genutzten KI-Systeme verstehen. Genau diese Offenheit ist für viele Unternehmen die eigentliche Schwierigkeit — ohne Vorgabe eines EU-weiten Formats bleibt unklar, wie detailliert eine Schulung sein muss, um im Zweifel als ausreichend zu gelten. Nach unserer Recherche (Stand: 2026-08) deckt eine praxistaugliche Kurzschulung typischerweise diese Punkte ab:

• Wie KI-Systeme grundsätzlich funktionieren — genug Verständnis, um Ergebnisse einzuordnen statt sie blind zu übernehmen. Dazu gehört auch, in groben Zügen zu wissen, wie ein Sprachmodell zu einer Antwort kommt, um dessen Grenzen realistisch einschätzen zu können.
• Halluzinationen erkennen — KI-Systeme erfinden plausibel klingende, aber falsche Fakten, Quellenangaben oder Zahlen. Ergebnisse mit Sachbezug (Rechtsfragen, Kundendaten, Finanzzahlen) sind vor der Weitergabe gegenzuprüfen, nicht nur bei offensichtlich unplausiblen Antworten.
• Datenschutz-Grundlagen — welche Daten in ein KI-Tool eingegeben werden dürfen und welche nicht, insbesondere bei personenbezogenen Daten von Kunden oder Kolleg:innen.
• Sicheres Prompting — wie Anfragen formuliert werden, ohne unnötig sensible Informationen preiszugeben, etwa durch Anonymisieren oder Kürzen von Kontextinformationen vor der Eingabe.
• Shadow AI vermeiden — der Unterschied zwischen freigegebenen und eigenmächtig genutzten KI-Tools und warum unkontrollierte Nutzung die Nachweispflicht nach Art. 4 AI Act unterläuft.
• Umgang mit Personendaten in KI-Workflows — wann eine Rechtsgrundlage oder Rücksprache mit dem Datenschutzbeauftragten nötig ist, bevor ein KI-Tool produktiv mit solchen Daten arbeitet.
• Kontrolle von KI-Ergebnissen — die Verantwortung für das Endergebnis bleibt bei der Person, die es verwendet und weitergibt, nicht beim Tool oder dessen Anbieter.

Wie umfangreich die Schulung zu jedem Punkt ausfallen muss, richtet sich nach dem tatsächlichen Einsatzkontext — ein Team, das nur Textentwürfe erstellt, braucht weniger Tiefe als eines, das KI-Systeme zur Bewerberauswahl konfiguriert oder mit sensiblen Kundendaten arbeitet.

Checkliste: KI-Kompetenzpflicht erfüllen

1. Schulungsunterlagen erstellen (Video, Leitfaden oder beides).
2. Mitarbeitende schulen, bevor sie KI-Tools produktiv nutzen.
3. Teilnahme und Inhalt schriftlich dokumentieren.
4. Schulung aktualisieren, sobald neue Tools eingeführt werden oder sich der Funktionsumfang wesentlich ändert.
5. Nachweise archivieren, damit sie im Aufsichtsfall auffindbar sind.

Diese fünf Punkte lassen sich mit überschaubarem Aufwand in bestehende Onboarding- oder Weiterbildungsprozesse integrieren — entscheidend ist weniger die Form der Schulung als die lückenlose Dokumentation, wer wann zu welchem Tool geschult wurde. Fehlt einer der Punkte komplett, lässt sich die Kompetenzpflicht im Zweifel nicht nachweisen, selbst wenn intern tatsächlich geschult wurde.

Ab wann gilt die KI-Kompetenzpflicht?

Art. 4 AI Act ist seit dem 2. Februar 2025 verbindlich anwendbar, zusammen mit den Verboten nach Art. 5. Eine Übergangsfrist wie bei anderen Teilen der Verordnung gibt es für diese Pflicht nach unserer Recherche nicht — sie gilt unabhängig davon, wann ein konkretes KI-System erstmals eingesetzt wurde.

Welche Strafen drohen bei Verstößen gegen Art. 4 AI Act?

Für Verstöße gegen die “sonstigen Pflichten” der Verordnung, zu denen Art. 4 zählt, sieht Art. 99 AI Act Bußgelder bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ausfällt. Das ist deutlich niedriger als bei verbotenen KI-Praktiken nach Art. 5, aber weiterhin ein spürbares Risiko für Unternehmen ohne dokumentierte Schulungsnachweise.

Welche Tools können bei Schulung und Dokumentation helfen?

Statt Schulungsunterlagen komplett manuell zu erstellen, setzen viele Unternehmen auf KI-gestützte Werkzeuge — Auswahl und DSGVO-Einordnung ersetzen aber keine Einzelfallbewertung durch euren Datenschutzbeauftragten. Ausführliche Bewertungen (AVV, KI-Training, DSGVO-Score) findest du in unseren Tooltests. Bei Tools außerhalb unserer Datenbank lohnt sich vorab ein Blick auf zwei Punkte: eine öffentlich dokumentierte Angabe zum Serverstandort und zur Nutzung von Eingaben für das KI-Training des Anbieters — ohne diese Angaben lässt sich weder ein AVV sauber abschließen noch die Datenschutzfolgenabschätzung sinnvoll ausfüllen. Ebenfalls wichtig für die Dokumentationspflicht: eine exportierbare Teilnahmebestätigung, falls das Tool selbst Teil des Schulungsnachweises werden soll.

Hinweis: Die folgenden Angaben stammen aus unserer Tool-Datenbank, Preise für Bezahltarife bitte beim jeweiligen Anbieter aktuell prüfen.

Methodik

Die genannten DSGVO-Scores stammen aus unserer laufenden Tooltest-Methodik und werden bei jeder Überarbeitung neu gegen Datenschutzerklärung und AVV der Anbieter geprüft. Details zur Bewertungslogik findest du unter /methodik.

Fazit & Empfehlung

Die KI-Kompetenzpflicht nach Art. 4 AI Act ist kein Bürokratie-Projekt für die Rechtsabteilung, sondern eine praktische Aufgabe: Mitarbeitende müssen verstehen, was die von ihnen genutzten KI-Tools können und wo die Grenzen liegen — und das muss nachweisbar sein. Am Ende zählen vor allem drei Dinge: eine Schulung mit echtem Inhalt statt Alibi-Folie, eine schriftliche Dokumentation von Teilnahme und Umfang, und eine Aktualisierung, sobald sich der Tool-Einsatz im Unternehmen ändert. KI-Tools wie Synthesia oder Notion KI können die Erstellung der Unterlagen beschleunigen, ersetzen aber nicht die inhaltliche Prüfung im Einzelfall.

Diese Informationen stellen keine Rechtsberatung dar (Stand: 2026-08).

Du willst nicht jeden Vertrag selbst prüfen? Unsere Tooltests zeigen pro KI-Tool: AVV, DPA, KI-Training, Cloud-Act-Risiko, DSGVO-Score.