KI-Schulung für Mitarbeiter ist Pflicht: Was der EU AI Act von Unternehmen verlangt

Der Wortlaut von Artikel 4 klingt zunächst unspektakulär: Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Das klingt nach einer Absichtserklärung, ist aber eine Verpflichtung – und zwar eine, die sich an jedes Unternehmen richtet, das KI-Systeme einsetzt. Nicht nur an die, die KI entwickeln. Nicht nur an die, die Hochrisiko-KI betreiben. An alle.

Was der Gesetzgeber bewusst offenlässt, ist das Wie. Es gibt kein vorgeschriebenes Curriculum, kein zertifiziertes Schulungsformat, keine Mindestdauer. Ob ein Unternehmen seine Pflicht durch Präsenztrainings, E-Learning-Module, interne Leitlinien oder ein Multiplikatoren-Programm erfüllt, bleibt ihm überlassen. Was nicht offenbleibt, ist die Nachweispflicht: Unternehmen müssen belegen können, dass sie Maßnahmen ergriffen haben. Bei einem Audit oder einer Behördenanfrage reicht „Wir haben das mündlich besprochen" nicht.

Ein Detail, das in der Praxis viel Verwirrung stiftet: Die geforderte KI-Kompetenz ist keine rein technische. Der EU AI Act definiert sie als Fähigkeit, KI-Systeme sachkundig einzusetzen und sich der Chancen und Risiken bewusst zu sein. Das schließt technisches Grundverständnis ein, aber eben auch Risikobewusstsein, ethische Urteilsfähigkeit und das Wissen darum, was ein KI-System kann und was nicht. Die gute Nachricht: Wer seine Mitarbeiter bereits in einem seriösen Copilot- oder ChatGPT-Training geschult hat, deckt einen erheblichen Teil dieser Anforderungen ab – denn jedes vernünftige KI-Training vermittelt Grundverständnis, Grenzen und Risikobewusstsein. Was häufig fehlt, ist die explizite Dokumentation dieser Schulung als Compliance-Nachweis und die formale Einordnung in den regulatorischen Rahmen des EU AI Act. Wer nur ein reines Compliance-Webinar ohne praktische Anwendung abspielt, hat das umgekehrte Problem: Die theoretische Box ist abgehakt, aber die tatsächliche Anwendungskompetenz fehlt.

Die häufigste Fehleinschätzung, die mir begegnet: „Wir entwickeln ja keine KI, also betrifft uns der AI Act nicht." Das ist falsch. Artikel 4 richtet sich explizit auch an Betreiber – also an jedes Unternehmen, das KI-Systeme einsetzt. Und der Begriff KI-System ist im AI Act bewusst weit gefasst. Er umfasst nicht nur selbstentwickelte Modelle oder spezialisierte Branchensoftware, sondern auch generative KI-Tools wie Microsoft Copilot, ChatGPT, Google Gemini oder KI-Funktionen in CRM- und ERP-Systemen.

In der Praxis heißt das: Wenn Ihre Vertriebsmitarbeiter Copilot in Outlook nutzen, um E-Mails zu formulieren, fallen sie unter Artikel 4. Wenn Ihre Personalabteilung mit einem KI-Tool Bewerbungen vorsortiert, erst recht. Wenn Ihre Marketingabteilung Texte mit ChatGPT entwirft, genauso. Die Frage ist nicht, ob Ihr Unternehmen betroffen ist – sondern wie viele Ihrer Mitarbeiter betroffen sind. Und diese Zahl ist in den meisten Organisationen höher, als die IT-Abteilung vermutet, weil viele KI-Tools ohne zentrale Freigabe genutzt werden.

Ein Blick auf die Lizenzkosten macht die Dimension greifbar: ChatGPT Business kostet 25 USD pro Nutzer und Monat bei jährlicher Abrechnung, ChatGPT Enterprise liegt bei rund 60 USD pro Nutzer und Monat – bei einer Mindestabnahme von 150 Lizenzen und zwölfmonatiger Vertragsbindung. Wer also ChatGPT Enterprise ausrollt, investiert mindestens rund 108.000 USD pro Jahr allein in die Lizenz. Für Microsoft 365 Copilot zahlen Unternehmen 30 USD pro Nutzer und Monat. Die Summen, die Unternehmen für KI-Lizenzen ausgeben, sind also erheblich – umso erstaunlicher, dass viele davon ausgehen, die gesetzlich geforderte Schulung lasse sich mit einem Bruchteil dieses Budgets nebenbei erledigen.

Wobei eine wichtige Einschränkung gilt: Nicht jeder einzelne Mitarbeiter im Unternehmen muss geschult werden. Die Pflicht bezieht sich auf Personen, die mit KI-Systemen arbeiten oder deren Ergebnisse überwachen. Die Reinigungskraft und der Pförtner sind nicht gemeint – es sei denn, auch sie nutzen KI-gestützte Tools im Arbeitsalltag. Entscheidend ist die tatsächliche Nutzung, nicht die Hierarchieebene.

Artikel 4 gilt seit dem 2. Februar 2025. Das ist kein Stichtag in der Zukunft – er liegt bereits über ein Jahr zurück. Unternehmen, die bis heute keine Maßnahmen ergriffen haben, befinden sich seit über einem Jahr im Verzug. Und obwohl der Gesetzentwurf keine direkte Bußgeldvorschrift für einen isolierten Verstoß gegen Artikel 4 vorsieht, wäre es ein Fehler, daraus zu schließen, dass nichts passieren kann.

Das Risiko liegt in der Kausalitätskette. Stellen Sie sich folgendes Szenario vor: Ein Mitarbeiter nutzt Microsoft Copilot, um eine Datenschutzerklärung zu erstellen. Copilot liefert einen Text, der formal korrekt aussieht, aber eine ungültige Rechtsgrundlage nach DSGVO anführt. Der Mitarbeiter – nicht geschult in den Grenzen von KI-generiertem Content – übernimmt den Text ungeprüft. Ein Betroffener beschwert sich bei der Datenschutzbehörde. Jetzt wird es unbequem: Das Unternehmen hat keine KI-Schulung dokumentiert, der Mitarbeiter kannte die Risiken nicht, der Schaden ist eingetreten. Die Argumentation, man habe seiner Sorgfaltspflicht genügt, wird dünn, wenn der Schulungsnachweis fehlt.

Ab August 2026 wird das Bild nochmals schärfer. Dann treten die vollständigen Pflichten für Hochrisiko-KI-Systeme in Kraft – mit einem Bußgeldrahmen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Fehlende KI-Kompetenz im Unternehmen wird dann zum Argument, das Aufsichtsbehörden gegen Sie verwenden können, wenn etwas schiefgeht. Der Schulungsnachweis ist dann nicht mehr nur eine schöne Dokumentation, sondern ein Schutzschild.

Der Gesetzgeber gibt kein Curriculum vor, aber aus dem Verordnungstext und den begleitenden Erwägungsgründen lässt sich ableiten, was gemeint ist. KI-Kompetenz im Sinne des EU AI Act umfasst vier Dimensionen: technisches Grundverständnis, Risikobewusstsein, ethische Urteilsfähigkeit und praktische Anwendungskompetenz. Eine Schulung, die nur eine dieser Dimensionen abdeckt, ist unvollständig.

Technisches Grundverständnis meint nicht, dass jeder Mitarbeiter wissen muss, wie ein Transformer-Modell funktioniert. Es meint, dass er versteht, was ein KI-System tut und was nicht. Dass er weiß, warum ein Sprachmodell manchmal plausibel klingende Falschinformationen generiert. Dass er den Unterschied zwischen einer Internetrecherche und einer KI-generierten Antwort kennt. Klingt trivial, ist es aber nicht – in meinen Trainings erlebe ich regelmäßig, dass auch erfahrene Fachleute überrascht sind, wenn sie zum ersten Mal hören, dass Copilot keine Datenbank abfragt, sondern Text statistisch vorhersagt.

Risikobewusstsein geht einen Schritt weiter. Mitarbeiter müssen einschätzen können, in welchen Situationen sie dem KI-Output vertrauen können und in welchen nicht. Ein Brainstorming-Entwurf hat ein anderes Risikoprofil als eine Vertragsklausel. Ein interner E-Mail-Vorschlag ein anderes als eine Kundenberatung. Diese Unterscheidung setzt voraus, dass Mitarbeiter wissen, wo die typischen Fehlerquellen liegen – und das variiert je nach Tool und Einsatzbereich.

Die praktische Anwendungskompetenz ist das, was die meisten Unternehmen mit Copilot-Trainings bereits adressieren: Wie prompte ich richtig? Wie nutze ich Copilot in Word, Excel, Teams? Wie erkenne ich eine schlechte Antwort? Das ist wichtig, aber es ist eben nur ein Teil des Puzzles. Wer nur Prompting schult, ohne den regulatorischen Rahmen zu erklären, hat eine produktivere Belegschaft – aber keine compliantere.

Fehler Nummer eins: Die Pflicht an die IT-Abteilung delegieren. Die IT kann beantworten, welche KI-Systeme im Unternehmen im Einsatz sind und welche Daten sie verarbeiten. Aber die Schulung der Mitarbeiter ist eine Aufgabe der Personalentwicklung oder der Compliance-Abteilung. In der Praxis passiert es häufig, dass die IT ein Tool ausrollt, niemand sich zuständig fühlt für die Schulung, und ein Jahr später stellt jemand die Frage, die eigentlich am Anfang hätte stehen müssen. Das ist nicht böswillig – es spiegelt wider, dass der EU AI Act für viele Organisationen Neuland ist und in keine der bestehenden Zuständigkeiten sauber passt.

Fehler Nummer zwei: Ein Compliance-Webinar buchen und abhaken. Ich verstehe die Versuchung. Die Pflicht steht im Raum, der Zeitdruck ist real, also bucht man einen Anbieter, der in 90 Minuten den AI Act erklärt, jeder Mitarbeiter klickt sich durch, am Ende gibt es ein Zertifikat. Formal sieht das gut aus. Praktisch hat der Sachbearbeiter nach der Schulung weder verstanden, warum Copilot manchmal falsche Zahlen liefert, noch weiß er, wie er eine KI-generierte E-Mail auf Risiken prüft. Die Schulung hat ein Häkchen auf einer Checkliste gesetzt, aber keine Kompetenz aufgebaut. Und wenn im Schadensfall ein Gericht fragt, ob die Schulung „ausreichend" war, wird die Antwort unangenehm.

Fehler Nummer drei: Die Schulung einmal durchführen und dann vergessen. KI-Systeme entwickeln sich rasant weiter. Was heute als Grenze gilt, kann morgen anders aussehen. Microsoft baut Copilot im Quartalsrhythmus um, neue Features kommen, alte verschwinden, die Fähigkeiten der Modelle verändern sich. Eine Schulung von Februar 2025 ist im Sommer 2026 teilweise überholt. Artikel 4 spricht von „ausreichender KI-Kompetenz" – und ausreichend ist kein statischer Zustand. Unternehmen sollten von Anfang an Auffrischungen einplanen, mindestens jährlich, idealerweise bei relevanten Änderungen der eingesetzten Systeme.

Wer bis jetzt noch nichts getan hat, muss nicht in Panik geraten, aber zügig handeln. Der pragmatischste Einstieg besteht aus drei Schritten. Erstens: Bestandsaufnahme. Welche KI-Systeme sind im Unternehmen im Einsatz – offiziell und inoffiziell? Wer nutzt sie? Das klingt trivial, ist es aber selten, weil Shadow-IT gerade bei generativer KI weit verbreitet ist. Zweitens: Priorisierung. Nicht jeder Mitarbeiter braucht dasselbe Schulungsniveau. Ein Entwickler, der GitHub Copilot nutzt, braucht andere Inhalte als eine Sachbearbeiterin, die Copilot in Outlook verwendet. Die Tiefe der Schulung sollte sich am Risikoprofil der jeweiligen KI-Nutzung orientieren. Drittens: Umsetzung mit dokumentiertem Nachweis. Die beste Schulung bringt wenig, wenn bei einem Audit niemand belegen kann, wer wann was gelernt hat.

Aus meiner Erfahrung funktioniert die Kombination am besten: ein kompakter Halbtag zu den regulatorischen Grundlagen – Was fordert der EU AI Act? Was sind unsere Pflichten? – kombiniert mit praxisnahem KI-Training für die konkreten Tools im Unternehmen. Das ist kein Zufall, sondern die Konsequenz aus der Tatsache, dass der Gesetzgeber sowohl Wissen als auch Können verlangt. Reine Theorie reicht nicht, reine Praxis auch nicht.

Was ich Geschäftsführern und HR-Verantwortlichen rate: Behandeln Sie die KI-Schulungspflicht nicht als lästige Compliance-Aufgabe, sondern als Anlass, die KI-Nutzung im Unternehmen auf ein solides Fundament zu stellen. Die Unternehmen, die ich begleite und die das am besten hinbekommen, sehen die Schulungspflicht nicht als Bürde, sondern als Katalysator für eine strukturierte KI-Einführung. Sie inventarisieren ihre KI-Tools, definieren Nutzungsrichtlinien, schulen ihre Mitarbeiter – und stellen dabei fest, dass genau diese Schritte auch ohne Gesetz sinnvoll gewesen wären.

Die KI-Schulungspflicht nach Artikel 4 EU AI Act ist keine Zukunftsmusik – sie gilt seit über einem Jahr. Und sie betrifft nicht nur Technologieunternehmen oder KI-Entwickler, sondern jedes Unternehmen, dessen Mitarbeiter mit KI-Systemen arbeiten. In einer Zeit, in der Microsoft Copilot und ChatGPT zum normalen Bürowerkzeug werden, ist das die große Mehrheit.

Was der Gesetzgeber fordert, ist weder unrealistisch noch übertrieben: Mitarbeiter sollen verstehen, was die KI-Tools tun, die sie jeden Tag nutzen. Sie sollen Risiken einschätzen können. Und Unternehmen sollen nachweisen können, dass sie sich darum gekümmert haben. Wer das als bürokratische Pflichtübung betrachtet, wird mit einem 90-Minuten-Webinar durchkommen – bis zum ersten Vorfall. Wer es als Chance begreift, baut echte KI-Kompetenz auf und ist dabei gleichzeitig compliant. Der Unterschied zwischen beiden Ansätzen wird sichtbar, wenn der Ernstfall eintritt. Und der Ernstfall ist bei KI kein hypothetisches Szenario, sondern eine Frage der Zeit.