AI Literacy Pflicht: Seit Februar 2025 in Kraft, vom Digital Omnibus neu gefasst

Korrekturhinweis (Stand: August 2026): Artikel 4 der KI-Verordnung (KI-Kompetenzpflicht) gilt seit dem 2. Februar 2025, nicht erst ab August 2026. Seit dem 27. Juli 2026 gilt er in der Fassung des Digital Omnibus (Verordnung (EU) 2026/1744): Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren, eine Nachweis- oder Dokumentationspflicht enthält der Verordnungstext nicht, ein eigenes Bußgeld hat Artikel 4 nicht. Frühere Fassungen dieses Artikels hatten die Geltung fälschlich mit einer behördlichen Durchsetzung gleichgesetzt. Der Inhalt wurde entsprechend korrigiert.

Die AI Literacy Pflicht nach Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025. Der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) hat sie neu gefasst, nicht verschoben: Unternehmen müssen die Entwicklung der KI-Kompetenz ihres Personals unterstützen, ein garantiertes Niveau und eine Nachweispflicht verlangt der Verordnungstext nicht. Was oft durcheinandergeht: Die Verschiebung der Hochrisiko-Pflichten auf 2027/2028 hat mit Artikel 4 nichts zu tun. Wer glaubt, die KI-Kompetenzpflicht sei mit verschoben, geht ein Risiko ein, das sich im Schadensfall unangenehm auswirkt. Dieser Artikel erklärt die Rechtslage nach der Neufassung, die Anforderungen und den realistischen Weg zu einem funktionierenden Schulungskonzept.

Warum die AI Literacy Pflicht nicht verschoben wurde

Die Verschiebung der Hochrisiko-Pflichten war eine Reaktion auf strukturelle Probleme. Harmonisierte Normen fehlten, notifizierte Stellen waren nicht aufgestellt, Konformitätsbewertungen konnten in der geplanten Zeit nicht durchgeführt werden. Der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) hat dem Rechnung getragen und die Hochrisiko-Pflichten um 16 Monate (Anhang III, neu: 2. Dezember 2027) beziehungsweise 12 Monate (Anhang I, neu: 2. August 2028) nach hinten geschoben.

Für die KI-Kompetenzpflicht gibt es diese Probleme nicht. Schulung ist keine Frage von Normen oder notifizierten Stellen. Jedes Unternehmen kann sie selbst organisieren. Der Gesetzgeber hatte deshalb keinen Grund, hier zu verschieben. Neu gefasst hat der Omnibus die Pflicht trotzdem: Der Maßstab heißt seit dem 27. Juli 2026 unterstützen, nicht garantieren.

Artikel 4 ist das Fundament. Wer Hochrisiko-Systeme betreibt, aber keine geschulten Mitarbeiter hat, erfüllt die Anforderungen an menschliche Aufsicht, Risikomanagement und Dokumentation ohnehin nicht. Wer jetzt auf die Verschiebung schielt, um sich die Schulungen zu sparen, tauscht einen überschaubaren Aufwand gegen ein deutlich größeres Compliance-Risiko.

Wer genau verpflichtet ist

Artikel 4 richtet sich an Anbieter und Betreiber. Beide Begriffe sind in der Verordnung definiert, und beide sind weiter gefasst, als man zunächst denkt.

Anbieter sind Unternehmen, die KI-Systeme entwickeln oder entwickeln lassen und unter eigenem Namen in Verkehr bringen. Klassisch Softwarehäuser und Technologieunternehmen. Aber auch ein Mittelständler, der auf Basis von Claude, ChatGPT oder Gemma eine eigene Lösung baut und sie in einem Produkt einsetzt, kann zum Anbieter werden.

Betreiber sind Unternehmen, die ein KI-System in eigener Verantwortung einsetzen. Nicht nur im Produkt, auch intern. Der Steuerberater, der ChatGPT für Mandantenkorrespondenz nutzt, ist Betreiber. Der Handwerksbetrieb, der Copilot für Angebote einsetzt, ist Betreiber. Der Personalchef, der eine KI-gestützte Bewerber-Vorauswahl fährt, ist Betreiber. Genau hier greift die KI-Kompetenzpflicht.

Rein private Nutzer bleiben außen vor. Wer zu Hause aus Neugier mit ChatGPT spielt, fällt nicht unter die Verordnung. Sobald die Nutzung einen beruflichen Bezug hat, greifen die Pflichten.

Ein Punkt, den viele unterschätzen: Auch Personen, die im Auftrag des Unternehmens handeln, sind mitgemeint. Wer externe Dienstleister oder Freelancer mit KI-gestützter Arbeit beauftragt, muss auch deren KI-Kompetenzentwicklung unterstützen. Ein förmlicher Nachweis ist nicht vorgeschrieben, eine dokumentierte Bestätigung der Kompetenz ist aber der einfachste Weg, die Unterstützung im Ernstfall zu belegen. In der Praxis ist das oft der größere Block als die eigenen Mitarbeiter, wird aber regelmäßig übersehen.

Was "ausreichende KI-Kompetenz" bedeutet

Die Verordnung ist bewusst nicht präzise. Die ursprüngliche Fassung von Artikel 4 sprach von "ausreichender KI-Kompetenz", die Neufassung durch den Omnibus verlangt, die Entwicklung der KI-Kompetenz zu unterstützen. Eine konkrete Stundenzahl steht in keiner der beiden Fassungen. Juristisch dehnbar, aber mit klarem Kern. Die Schulung muss zum Einsatz passen, bezogen auf drei Faktoren.

Da ist die Art des eingesetzten Systems. Ein Mitarbeiter, der ChatGPT für Entwurfsmails nutzt, braucht weniger Kompetenz als jemand, der eine KI-gestützte Personalauswahl verantwortet. Ein Entwickler, der ein eigenes System baut, braucht deutlich mehr Wissen als ein reiner Anwender.

Dazu kommt der Einsatzkontext. Ein Unternehmen, das KI in kritischen Bereichen einsetzt (Medizin, Finanzen, Personal, Bildung), steht unter höherer Anforderung als ein Betrieb, der nur interne Marketing-Texte generieren lässt. Der Kontext bestimmt das Risiko und damit die notwendige Kompetenztiefe.

Und der dritte Punkt: die betroffenen Personen. Wenn die Entscheidungen des KI-Systems andere Menschen treffen (Bewerber, Kunden, Patienten, Bürger), müssen die Nutzer erkennen können, wo Grenzen, Fehler und Bias liegen. Geht es nur um interne Effizienz, reicht eine einfachere Schulung.

In der Praxis hat sich eine dreistufige Struktur bewährt:

Das ist keine rechtsverbindliche Vorgabe, sondern eine Orientierung aus der bisherigen Praxis. Die konkrete Einstufung müssen Sie für Ihr Unternehmen selbst treffen.

Was die Schulung inhaltlich abdecken muss

Ein vollständiges Schulungskonzept deckt vier Bereiche ab.

Funktionsweise und Grenzen von KI-Systemen. Was ist ein Sprachmodell? Wie entstehen Antworten? Was ist eine Halluzination? Mitarbeiter müssen verstehen, dass KI-Systeme keine Wahrheiten produzieren, sondern probabilistische Schätzungen, die falsch sein können.

Risiken und Haftung. Was passiert, wenn ein Mitarbeiter einer falschen KI-Antwort folgt? Wer haftet? Welche Datenschutzprobleme entstehen bei der Eingabe von Mandanten- oder Kundendaten? Welche Urheberrechtsfragen tauchen bei KI-generierten Inhalten auf?

Praxis. Welche Aufgaben dürfen Mitarbeiter mit KI erledigen, welche nicht? Wie wird mit sensiblen Daten umgegangen? Wann muss zwingend ein Mensch einschreiten? Wie werden KI-generierte Inhalte vor der Weitergabe geprüft?

Rechtlicher Rahmen. KI-Verordnung, DSGVO, branchenspezifische Regelungen (Berufsrecht für Anwälte, Ärzte, Steuerberater). Welche konkreten Pflichten ergeben sich für den einzelnen Mitarbeiter aus seiner Rolle?

Das ist das Minimum. Je nach Branche kommen weitere Themen hinzu: Ethik, menschliche Aufsicht, Testen, Qualitätssicherung, Auditierbarkeit.

Dokumentation: freiwillig, aber wertvoll

Eine Nachweis- oder Dokumentationspflicht enthält der Verordnungstext seit der Neufassung durch die Verordnung (EU) 2026/1744 nicht. Trotzdem lohnt die Dokumentation: Im Schadensfall belegt sie, dass Sie die geforderten Maßnahmen ergriffen haben. In der Praxis heißt das: eine Schulungsdokumentation mit Liste der geschulten Personen (Datum, Umfang, Inhalte), Beschreibung der Schulungsinhalte (Curricula, Materialien, Tests), Bewertung warum die gewählte Tiefe angemessen ist, Regelung zur Auffrischung, eine verantwortliche Ansprechperson im Unternehmen.

Für viele Unternehmen reicht eine Schulungsmatrix in Excel. Wer größere Teams oder regulierte Branchen hat, nutzt besser ein digitales Lernmanagement-System, in dem Teilnahme und Abschlüsse automatisch dokumentiert werden. Mehr zum Thema steht im Artikel KI-Schulungsnachweis richtig dokumentieren: Vorlage für Unternehmen.

Zeitplan: vier Monate für ein tragfähiges Konzept

Wer strukturiert plant, braucht rund vier Monate vom Start bis zum fertigen Konzept.

Im ersten Monat steht die Bestandsaufnahme an. Welche KI-Werkzeuge werden eingesetzt? Welche Mitarbeiter nutzen sie? Welche Risiken sind damit verbunden? Ergebnis: ein einfaches KI-Register und eine Rollen-Matrix.

Im zweiten Monat das Konzept. Wer bekommt welche Schulungstiefe? Welche Inhalte passen zu welchem Einsatzbereich? Intern, extern, Kombination? Ergebnis: Schulungskonzept mit Zeitplan und Budget.

Im dritten Monat die Basis-Schulungen. Alle Mitarbeiter mit KI-Kontakt absolvieren zwei bis vier Stunden. Einheitliche Inhalte, einheitliche Dokumentation.

Im vierten Monat die Vertiefung. Mitarbeiter mit besonderer Verantwortung (Personal, Führung, Compliance) absolvieren 8 bis 16 Stunden.

Danach die Dokumentation zusammenführen. Sie haben dann einen Compliance-Ordner, den Sie im Ernstfall vorlegen können. Vorgeschrieben ist er nicht, im Schadensfall ist er viel wert.

Wer die vier Monate zusammenpresst, bekommt Druck bei der Dokumentation und muss Schulungen in weniger Zeit unterbringen. Ein früher Start ist der bessere Weg.

Externer oder interner Schulungsweg?

Drei Optionen, die sich in Aufwand, Kosten und Qualität unterscheiden.

Interne Schulung durch eigene Experten. Wenn Sie einen Mitarbeiter mit fundiertem KI-Wissen haben (Data Scientist, IT-Leiter, Compliance-Beauftragter), kann der die Basis-Schulung intern durchführen. Günstig, direkt am eigenen Anwendungsfall. Oft fehlt aber didaktische Erfahrung, und der Experte hat selten Zeit, ein vollständiges Konzept zu entwickeln.

Externe Inhouse-Schulung. Anbieter schneidet ein Schulungskonzept auf Ihre Bedürfnisse zu und führt es bei Ihnen vor Ort oder per Zoom durch. Professionell, rechtlich sauber. Kostet zwischen 2.000 und 8.000 Euro pro Tag je nach Anbieter und Gruppengröße.

Externe strukturierte Weiterbildung. Sie schicken ausgewählte Mitarbeiter in eine längere Weiterbildung wie den Digitalisierungsmanager von SkillSprinters. Tiefe Kompetenz, Zertifikat, oft über Qualifizierungschancengesetz finanziert. Dauert mehrere Monate, nicht für alle Mitarbeiter sinnvoll.

In der Praxis kombinieren die meisten Unternehmen diese Optionen. Strukturierte Weiterbildung für die ein bis drei Schlüsselpersonen, Inhouse-Schulung für das breite Team, Selbstlernmaterial zur Auffrischung. Wer das unterschätzt und hofft, mit einem 1-Stunden-Webinar durchzukommen, hat im Schadensfall wenig in der Hand.

Häufige Fragen

Muss jeder Mitarbeiter eine mehrstündige Schulung durchlaufen?

Nein. Wer keinen Kontakt mit KI-Systemen hat, muss nicht geschult werden. Wer nur gelegentlich ein Werkzeug wie ChatGPT nutzt, braucht eine Basis-Schulung im Umfang von zwei bis vier Stunden. Nur Mitarbeiter mit Verantwortung für KI-Entscheidungen oder technischem Bezug brauchen tiefere Schulungen.

Gilt die KI-Kompetenzpflicht auch für selbstständige Dienstleister?

Ja, Artikel 4 bezieht Personen ein, die im Auftrag des Unternehmens mit KI-Systemen arbeiten. Verlangt sind Maßnahmen, die deren KI-Kompetenzentwicklung unterstützen, ein förmlicher Nachweis ist nicht vorgeschrieben. In der Praxis reicht es, sich die Kompetenz bestätigen zu lassen und die Bestätigung freiwillig zu dokumentieren.

Was passiert, wenn wir die KI-Kompetenzpflicht ignorieren?

Ein Bußgeld direkt aus Artikel 4 gibt es nicht, er steht nicht im Bußgeldkatalog nach Artikel 99 der KI-Verordnung. Bei Schäden durch KI-Fehlentscheidungen wirkt fehlende Schulung aber über die Haftung: Sie können sich nicht darauf berufen, dass niemand den Unterschied kannte, und eine dokumentierte Schulung wirkt im Schadensfall mildernd.

Reicht eine einmalige Schulung oder muss sie wiederholt werden?

Die Verordnung verlangt keine Wiederholung ausdrücklich. Praktisch ist eine jährliche Auffrischung sinnvoll, weil sich die Technologie schnell ändert und neue Mitarbeiter ohnehin geschult werden müssen. Rechnen Sie mit einem Zyklus von 12 bis 18 Monaten.

Ist unser Datenschutzbeauftragter auch für die AI Literacy Pflicht zuständig?

Nicht automatisch, aber eine sinnvolle Zusammenarbeit. Datenschutz und KI-Compliance überschneiden sich stark. Viele Unternehmen hängen die Verantwortung beim Datenschutz- oder Compliance-Beauftragten auf. Wichtig ist, dass eine Person konkret benannt wird.