AI Literacy Pflicht: Seit Februar 2025 in Kraft, Durchsetzung ab August 2026

Korrekturhinweis (April 2026): Artikel 4 der KI-Verordnung (KI-Kompetenzpflicht) gilt seit dem 2. Februar 2025, nicht erst ab August 2026. Der 2. August 2026 ist der Stichtag für die Bußgeldrahmen der KI-Verordnung. Die ursprüngliche Fassung dieses Artikels hat die Geltung fälschlich mit der Durchsetzung gleichgesetzt. Der Inhalt wurde entsprechend korrigiert.

Die AI Literacy Pflicht nach Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025. Ab dem 2. August 2026 greifen die Bußgeldrahmen. Was in den letzten Wochen durcheinandergeht: die vom EU-Parlament beschlossene Verschiebung der Hochrisiko-Pflichten im Digital Omnibus hat mit Artikel 4 nichts zu tun. Wer glaubt, die Schulungspflicht sei mit verschoben, geht ein Risiko ein, das sich im Schadensfall unangenehm auswirkt. Dieser Artikel erklärt die Rechtslage, die Anforderungen und den realistischen Weg zu einem funktionierenden Schulungskonzept vor August 2026.

Warum die AI Literacy Pflicht nicht verschoben wurde

Die Verschiebung der Hochrisiko-Pflichten war eine Reaktion auf strukturelle Probleme. Harmonisierte Normen fehlten, notifizierte Stellen waren nicht aufgestellt, Konformitätsbewertungen konnten in der geplanten Zeit nicht durchgeführt werden. Das Parlament hat dem Rechnung getragen und die Hochrisiko-Pflichten um 16 Monate (Anhang III) beziehungsweise 12 Monate (Anhang I) nach hinten geschoben.

Für die Schulungspflicht gibt es diese Probleme nicht. Schulung ist keine Frage von Normen oder notifizierten Stellen. Jedes Unternehmen kann sie selbst organisieren. Das Parlament hatte deshalb keinen Grund, hier zu verschieben.

Artikel 4 ist das Fundament. Wer Hochrisiko-Systeme betreibt, aber keine geschulten Mitarbeiter hat, erfüllt die Anforderungen an menschliche Aufsicht, Risikomanagement und Dokumentation ohnehin nicht. Wer jetzt auf die Verschiebung schielt, um sich die Schulungen zu sparen, tauscht einen überschaubaren Aufwand gegen ein deutlich größeres Compliance-Risiko.

Wer genau verpflichtet ist

Artikel 4 richtet sich an Anbieter und Betreiber. Beide Begriffe sind in der Verordnung definiert, und beide sind weiter gefasst, als man zunächst denkt.

Anbieter sind Unternehmen, die KI-Systeme entwickeln oder entwickeln lassen und unter eigenem Namen in Verkehr bringen. Klassisch Softwarehäuser und Technologieunternehmen. Aber auch ein Mittelständler, der auf Basis von Claude, ChatGPT oder Gemma eine eigene Lösung baut und sie in einem Produkt einsetzt, kann zum Anbieter werden.

Betreiber sind Unternehmen, die ein KI-System in eigener Verantwortung einsetzen. Nicht nur im Produkt, auch intern. Der Steuerberater, der ChatGPT für Mandantenkorrespondenz nutzt, ist Betreiber. Der Handwerksbetrieb, der Copilot für Angebote einsetzt, ist Betreiber. Der Personalchef, der eine KI-gestützte Bewerber-Vorauswahl fährt, ist Betreiber. Genau hier greift die Schulungspflicht.

Rein private Nutzer bleiben außen vor. Wer zu Hause aus Neugier mit ChatGPT spielt, fällt nicht unter die Verordnung. Sobald die Nutzung einen beruflichen Bezug hat, greifen die Pflichten.

Ein Punkt, den viele unterschätzen: Auch Personen, die im Auftrag des Unternehmens handeln, sind mitgemeint. Wer externe Dienstleister oder Freelancer mit KI-gestützter Arbeit beauftragt, muss sich darüber vergewissern, dass auch diese Personen über ausreichende KI-Kompetenz verfügen, und das nachweisen können. In der Praxis ist das oft der größere Block als die eigenen Mitarbeiter, wird aber regelmäßig übersehen.

Was "ausreichende KI-Kompetenz" bedeutet

Die Verordnung ist bewusst nicht präzise. Artikel 4 spricht von "ausreichender KI-Kompetenz" ohne konkrete Stundenzahl. Juristisch dehnbar, aber mit klarem Kern. Die Schulung muss angemessen sein, bezogen auf drei Faktoren.

Da ist die Art des eingesetzten Systems. Ein Mitarbeiter, der ChatGPT für Entwurfsmails nutzt, braucht weniger Kompetenz als jemand, der eine KI-gestützte Personalauswahl verantwortet. Ein Entwickler, der ein eigenes System baut, braucht deutlich mehr Wissen als ein reiner Anwender.

Dazu kommt der Einsatzkontext. Ein Unternehmen, das KI in kritischen Bereichen einsetzt (Medizin, Finanzen, Personal, Bildung), steht unter höherer Anforderung als ein Betrieb, der nur interne Marketing-Texte generieren lässt. Der Kontext bestimmt das Risiko und damit die notwendige Kompetenztiefe.

Und der dritte Punkt: die betroffenen Personen. Wenn die Entscheidungen des KI-Systems andere Menschen treffen (Bewerber, Kunden, Patienten, Bürger), müssen die Nutzer erkennen können, wo Grenzen, Fehler und Bias liegen. Geht es nur um interne Effizienz, reicht eine einfachere Schulung.

In der Praxis hat sich eine dreistufige Struktur bewährt:

Das ist keine rechtsverbindliche Vorgabe, sondern eine Orientierung aus der bisherigen Praxis. Die konkrete Einstufung müssen Sie für Ihr Unternehmen selbst treffen.

Was die Schulung inhaltlich abdecken muss

Ein vollständiges Schulungskonzept deckt vier Bereiche ab.

Funktionsweise und Grenzen von KI-Systemen. Was ist ein Sprachmodell? Wie entstehen Antworten? Was ist eine Halluzination? Mitarbeiter müssen verstehen, dass KI-Systeme keine Wahrheiten produzieren, sondern probabilistische Schätzungen, die falsch sein können.

Risiken und Haftung. Was passiert, wenn ein Mitarbeiter einer falschen KI-Antwort folgt? Wer haftet? Welche Datenschutzprobleme entstehen bei der Eingabe von Mandanten- oder Kundendaten? Welche Urheberrechtsfragen tauchen bei KI-generierten Inhalten auf?

Praxis. Welche Aufgaben dürfen Mitarbeiter mit KI erledigen, welche nicht? Wie wird mit sensiblen Daten umgegangen? Wann muss zwingend ein Mensch einschreiten? Wie werden KI-generierte Inhalte vor der Weitergabe geprüft?

Rechtlicher Rahmen. KI-Verordnung, DSGVO, branchenspezifische Regelungen (Berufsrecht für Anwälte, Ärzte, Steuerberater). Welche konkreten Pflichten ergeben sich für den einzelnen Mitarbeiter aus seiner Rolle?

Das ist das Minimum. Je nach Branche kommen weitere Themen hinzu: Ethik, menschliche Aufsicht, Testen, Qualitätssicherung, Auditierbarkeit.

Dokumentationspflicht

Die Verordnung schreibt keine exakte Form vor, aber sie erwartet, dass Sie im Bedarfsfall nachweisen können, Ihrer Pflicht nachgekommen zu sein. In der Praxis heißt das: eine Schulungsdokumentation mit Liste der geschulten Personen (Datum, Umfang, Inhalte), Beschreibung der Schulungsinhalte (Curricula, Materialien, Tests), Bewertung warum die gewählte Tiefe angemessen ist, Regelung zur Auffrischung, eine verantwortliche Ansprechperson im Unternehmen.

Für viele Unternehmen reicht eine Schulungsmatrix in Excel. Wer größere Teams oder regulierte Branchen hat, nutzt besser ein digitales Lernmanagement-System, in dem Teilnahme und Abschlüsse automatisch dokumentiert werden. Mehr zum Thema steht im Artikel [KI-Schulungsnachweis richtig dokumentieren: Vorlage für Unternehmen](PH0.

Zeitplan bis August 2026

Wer jetzt, im April 2026, mit der Planung anfängt, schafft den 2. August komfortabel.

Im April steht die Bestandsaufnahme an. Welche KI-Werkzeuge werden eingesetzt? Welche Mitarbeiter nutzen sie? Welche Risiken sind damit verbunden? Ergebnis: ein einfaches KI-Register und eine Rollen-Matrix.

Im Mai das Konzept. Wer bekommt welche Schulungstiefe? Welche Inhalte passen zu welchem Einsatzbereich? Intern, extern, Kombination? Ergebnis: Schulungskonzept mit Zeitplan und Budget.

Im Juni die Basis-Schulungen. Alle Mitarbeiter mit KI-Kontakt absolvieren zwei bis vier Stunden. Einheitliche Inhalte, einheitliche Nachweise.

Im Juli die Vertiefung. Mitarbeiter mit besonderer Verantwortung (Personal, Führung, Compliance) absolvieren 8 bis 16 Stunden.

Anfang August Dokumentation zusammenführen. Sie haben dann einen Compliance-Ordner, den Sie im Prüfungsfall vorlegen können.

Wer erst im Juni anfängt, bekommt Druck bei der Dokumentation und muss Schulungen in weniger Zeit unterbringen. Der April ist der richtige Startpunkt.

Externer oder interner Schulungsweg?

Drei Optionen, die sich in Aufwand, Kosten und Qualität unterscheiden.

Interne Schulung durch eigene Experten. Wenn Sie einen Mitarbeiter mit fundiertem KI-Wissen haben (Data Scientist, IT-Leiter, Compliance-Beauftragter), kann der die Basis-Schulung intern durchführen. Günstig, direkt am eigenen Anwendungsfall. Oft fehlt aber didaktische Erfahrung, und der Experte hat selten Zeit, ein vollständiges Konzept zu entwickeln.

Externe Inhouse-Schulung. Anbieter schneidet ein Schulungskonzept auf Ihre Bedürfnisse zu und führt es bei Ihnen vor Ort oder per Zoom durch. Professionell, rechtlich sauber. Kostet zwischen 2.000 und 8.000 Euro pro Tag je nach Anbieter und Gruppengröße.

Externe strukturierte Weiterbildung. Sie schicken ausgewählte Mitarbeiter in eine längere Weiterbildung wie den [Digitalisierungsmanager](PH1 von SkillSprinters. Tiefe Kompetenz, Zertifikat, oft über Qualifizierungschancengesetz finanziert. Dauert mehrere Monate, nicht für alle Mitarbeiter sinnvoll.

In der Praxis kombinieren die meisten Unternehmen diese Optionen. Strukturierte Weiterbildung für die ein bis drei Schlüsselpersonen, Inhouse-Schulung für das breite Team, Selbstlernmaterial zur Auffrischung. Wer das unterschätzt und hofft, mit einem 1-Stunden-Webinar durchzukommen, bekommt im Zweifel Probleme, wenn die Aufsicht ab Herbst 2026 konkret wird.

Häufige Fragen

Muss jeder Mitarbeiter eine mehrstündige Schulung durchlaufen?

Nein. Wer keinen Kontakt mit KI-Systemen hat, muss nicht geschult werden. Wer nur gelegentlich ein Werkzeug wie ChatGPT nutzt, braucht eine Basis-Schulung im Umfang von zwei bis vier Stunden. Nur Mitarbeiter mit Verantwortung für KI-Entscheidungen oder technischem Bezug brauchen tiefere Schulungen.

Gilt die Schulungspflicht auch für selbstständige Dienstleister?

Ja, wenn sie in Ihrem Auftrag KI-gestützte Arbeit erledigen. Sie müssen sich vergewissern, dass auch externe Dienstleister über ausreichende KI-Kompetenz verfügen. In der Praxis reicht es, sich das bestätigen zu lassen und die Bestätigung zu dokumentieren.

Was passiert, wenn wir die Schulungspflicht ignorieren?

Sie riskieren Bußgelder und Haftungsrisiken. Bei Schäden durch KI-Fehlentscheidungen können Sie sich nicht darauf berufen, dass "niemand den Unterschied kannte". Die Nicht-Schulung selbst ist ein Compliance-Verstoß. Die Aufsichtsbehörden werden ab Herbst 2026 beginnen zu prüfen.

Reicht eine einmalige Schulung oder muss sie wiederholt werden?

Die Verordnung verlangt keine Wiederholung ausdrücklich. Praktisch ist eine jährliche Auffrischung sinnvoll, weil sich die Technologie schnell ändert und neue Mitarbeiter ohnehin geschult werden müssen. Rechnen Sie mit einem Zyklus von 12 bis 18 Monaten.

Ist unser Datenschutzbeauftragter auch für die AI Literacy Pflicht zuständig?

Nicht automatisch, aber eine sinnvolle Zusammenarbeit. Datenschutz und KI-Compliance überschneiden sich stark. Viele Unternehmen hängen die Verantwortung beim Datenschutz- oder Compliance-Beauftragten auf. Wichtig ist, dass eine Person konkret benannt wird.