Die KI-Schulungs­pflicht: Was Artikel 4 wirklich verlangt — und was nicht

Seit dem 2. Februar 2025 gilt Artikel 4 der europäischen KI-Verordnung. Seitdem kursieren am Markt zwei Erzählungen, die beide falsch sind: Die eine droht mit Millionenstrafen, die andere verkauft amtlich klingende Pflicht-Zertifikate. Dieser Artikel räumt auf — mit dem, was tatsächlich im Gesetz steht, und mit dem, was daraus in der Praxis folgt.

Wer überhaupt betroffen ist

Artikel 4 verpflichtet Anbieter und Betreiber von KI-Systemen, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Das Wort „Betreiber" ist der Schlüssel: Betreiber ist nicht, wer KI entwickelt — Betreiber ist, wer KI im Betrieb einsetzt. Nutzt eine einzige Person in Ihrem Unternehmen ChatGPT für Angebote, Copilot in Word oder eine KI-Funktion in der Branchensoftware, sind Sie Betreiber.

Eine Mindestgröße gibt es nicht. Der Fünf-Personen-Betrieb ist genauso erfasst wie der Konzern. Was sich unterscheidet, ist der angemessene Umfang der Maßnahmen — nicht die Pflicht selbst.

Was „KI-Kompetenz" bedeutet

Das Gesetz verlangt Kompetenz passend zur Rolle: Wer KI täglich für Kundenkommunikation nutzt, braucht ein anderes Verständnis als jemand, der nie damit arbeitet. Die Geschäftsführung braucht wiederum etwas Drittes — nämlich ein Verständnis für Haftung, Risikoklassen und Governance.

In der Praxis hat sich deshalb ein dreistufiges Modell etabliert:

• Stufe 1 — Führung: Rechtsrahmen, Haftungsfragen, Verantwortlichkeiten. Wer entscheidet, welche KI eingesetzt wird, muss die Folgen einschätzen können.
• Stufe 2 — Fachkräfte: Wie funktionieren Sprachmodelle, was sind Risikoklassen, wo liegen Datenschutzgrenzen.
• Stufe 3 — Anwender: Praxis: sichere Eingaben formulieren, Halluzinationen erkennen, wissen, welche Daten niemals in ein KI-Werkzeug gehören.

Das Märchen vom Bußgeld — und das echte Risiko

Artikel 4 selbst ist mit keinem eigenen Bußgeldtatbestand verknüpft. Wer Ihnen erzählt, ohne Schulung drohten „bis zu 35 Millionen Euro Strafe", zitiert Bußgeldrahmen, die für ganz andere Verstöße gelten — etwa für verbotene KI-Praktiken. Das ist Angstverkauf.

Das reale Risiko ist leiser, aber ernst:

• Zivilrechtliche Sorgfaltspflicht: Richtet KI in Ihrem Betrieb einen Schaden an — eine falsche Auskunft an einen Kunden, ein diskriminierender Auswahlvorschlag, ein Datenleck durch unbedachte Eingaben — und Sie können keine Kompetenzmaßnahmen nachweisen, stehen Sie vor Gericht deutlich schlechter da.
• Marktüberwachung seit August 2026: Die nationalen Behörden sind inzwischen zuständig. Eine flächendeckende Routinekontrolle wie beim TÜV gibt es nicht — der Prüfmoment kommt im Anlassfall: nach einer Beschwerde, einem Vorfall, einem Schaden. Dann zählt, was Sie dokumentiert vorlegen können.
• Vertragspartner und Versicherer: Zunehmend fragen Auftraggeber und Betriebshaftpflichtversicherer nach KI-Governance. Wer nichts vorweisen kann, verliert Aufträge oder zahlt mehr.

Kein Zertifikat — aber vier Dokumente

Ein staatlich anerkanntes „Artikel-4-Zertifikat" existiert nicht. Artikel 4 ist eine Bemühungspflicht, keine Zertifizierungspflicht. Wer Ihnen ein amtliches Pflichtsiegel verkauft, verkauft etwas, das es nicht gibt.

Was stattdessen zählt, sind nachvollziehbar dokumentierte Maßnahmen. In der Praxis heißt das vier Dokumente:

• KI-Inventar: Welche Werkzeuge werden wo genutzt — einschließlich der nie offiziell freigegebenen.
• Risikoanalyse: Mit welchen Datenkategorien wird gearbeitet? Gesundheits-, Finanz- oder Bewerberdaten erhöhen die Anforderungen erheblich.
• Nutzungsrichtlinie: Verbindliche interne Regeln — was ist erlaubt, was verboten, wer ist Ansprechpartner.
• Schulungsnachweis je Person: Wer wurde wann zu welcher Stufe geschult, mit welchem Ergebnis.

Die Schulung ist einfach. Der Nachweis ist der Schmerz — und genau der entscheidet im Ernstfall.

Wie oft muss nachgeschult werden?

Eine starre Frist nennt das Gesetz nicht. Nachgeschult wird bei wesentlichen Änderungen: neues KI-Werkzeug, neue Abteilung nutzt KI, neue Mitarbeitende, geänderte Rechtslage. Als Praxisstandard hat sich eine jährliche Auffrischung etabliert — auch, weil sich die Werkzeuge selbst so schnell ändern, dass das Wissen von vor zwei Jahren schlicht veraltet ist.

Was Sie jetzt konkret tun sollten

• Fragen Sie im Team offen ab, wer welche KI-Werkzeuge nutzt — auch privat installierte. Ohne Sanktionsdrohung, sonst bekommen Sie keine ehrlichen Antworten.
• Halten Sie schriftlich fest, welche Daten in KI-Werkzeuge dürfen und welche nicht. Diese eine Seite ist der Anfang Ihrer Nutzungsrichtlinie.
• Planen Sie eine rollengerechte Schulung mit dokumentiertem Nachweis — intern oder extern.
• Legen Sie einen Ordner „KI-Compliance" an, digital oder physisch. Alles, was Sie ab jetzt tun, gehört dokumentiert hinein.

Wer das strukturiert abarbeiten möchte, ohne dass intern Arbeit hängen bleibt: Genau dieses Paket liefern wir unter unserer Marke KI-Schulungsnachweis.com — Bestandsaufnahme, Live-Schulung in drei Stufen und die prüffertige Akte. Einen Überblick gibt auch unsere Seite zur Schulungspflicht.

Dieser Artikel ist eine allgemeine Einordnung und keine Rechtsberatung. Für rechtsverbindliche Auskünfte, insbesondere bei Hochrisiko-Systemen, ziehen Sie eine spezialisierte Kanzlei hinzu.