EU AI Act & Regulierung
Artikel 4 der KI-Verordnung wurde am 27. Juli 2026 neu gefasst: Aus „sicherstellen" wird „unterstützen". Was die KI-Kompetenzpflicht jetzt verlangt, wen sie betrifft — und warum die kursierenden Bußgeld-Warnungen in die Irre führen.
Stand: 27. Juli 2026
Seit heute ist fast alles überholt, was Sie zur KI-Schulungspflicht im Netz finden.
Am 24. Juli 2026 wurde die Änderungsverordnung (EU) 2026/1744 im Amtsblatt der EU veröffentlicht — der sogenannte Digital Omnibus. Sie tritt heute, am 27. Juli, in Kraft. Und sie schreibt Artikel 4 der KI-Verordnung komplett neu.
Aus „sicherstellen" wird „unterstützen". Das klingt nach Wortklauberei. Ist es aber nicht.
Ich habe in den letzten Monaten mit vielen Geschäftsführerinnen, Personalleitern und Verwaltungsvorständen über diese Pflicht gesprochen. Fast immer kam die Frage in derselben Form: „Müssen wir jetzt alle schulen, und was kostet uns das, wenn wir es nicht tun?" Meistens hatte jemand vorher eine Mail bekommen, in der 35 Millionen Euro Bußgeld standen.
Diese Zahl war schon immer irreführend. Warum, steht weiter unten — und zwar deutlicher, als es Ihnen die meisten Schulungsanbieter sagen werden.
Die ursprüngliche Fassung, gültig seit dem 2. Februar 2025, lautete sinngemäß: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ein ausreichendes Maß an KI-Kompetenz verfügen.
Dabei sind zu berücksichtigen: technische Kenntnisse, Erfahrung, Ausbildung und Schulung der Betroffenen, der Kontext, in dem die Systeme eingesetzt werden, und die Personen oder Gruppen, bei denen sie zum Einsatz kommen.
Seit dem 27. Juli 2026 steht dort etwas anderes. Anbieter und Betreiber müssen jetzt Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz zu unterstützen. Und die Verordnung ergänzt einen Satz, der keinen Interpretationsspielraum lässt: Die Pflicht verlangt von Anbietern und Betreibern nicht, ein bestimmtes Maß an KI-Kompetenz bei irgendeiner einzelnen Person zu garantieren.
Zwei weitere Absätze kommen dazu. Kommission und Mitgliedstaaten sollen die Bemühungen der Unternehmen unterstützen — insbesondere die von KMU — und praktische Umsetzungsbeispiele veröffentlichen. Und das Europäische KI-Gremium soll Empfehlungen mit gemeinsamen Zielen erarbeiten, unter Rückgriff auf bestehende europäische Kompetenzrahmen wie DigComp.
Im Klartext: Aus einer Ergebnispflicht ist eine Bemühenspflicht geworden. Sie müssen nicht mehr beweisen, dass Ihre Leute etwas können. Sie müssen zeigen, dass Sie etwas dafür getan haben.
Nebenbei ein kurioses Stück Rechtsgeschichte: Zwischen dem 2. Februar 2025 und dem 27. Juli 2026 galt achtzehn Monate lang die strengere Fassung. Wer in dieser Zeit nichts getan hat, war formal nicht konform — nach einer Vorschrift, die es in dieser Form heute nicht mehr gibt.
Hier sitzt das häufigste Missverständnis. Viele halten Artikel 4 für ein Thema von KI-Entwicklern oder von Betreibern kritischer Hochrisiko-Anwendungen.
Falsch. Die Vorschrift nennt ausdrücklich Anbieter und Betreiber. Betreiber ist jede Organisation, die ein KI-System unter eigener Verantwortung einsetzt.
Konkret heißt das: Wenn in Ihrem Haus jemand ChatGPT für Textentwürfe nutzt, Microsoft Copilot in Word laufen hat, Gemini für Recherche verwendet oder ein KI-Feature im CRM anklickt — dann sind Sie Betreiber. Es gibt keinen Schwellenwert. Drei Mitarbeitende reichen. Eine Person reicht.
Und der Maßstab ist verhältnismäßig. Die Verordnung verlangt kein Informatikstudium. Eine Sachbearbeiterin, die KI für Serienbriefe nutzt, braucht etwas anderes als eine Personalreferentin, die Bewerbungsunterlagen vorsortieren lässt. Der zweite Fall ist übrigens der heiklere — dazu gleich mehr.
Jetzt mal ganz ehrlich, weil das in kaum einem Beitrag zu diesem Thema sauber steht.
Die KI-Verordnung sieht für fehlende KI-Kompetenz kein Bußgeld vor. Der Sanktionsrahmen steht in Artikel 99. Dort sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken vorgesehen, bis zu 15 Millionen Euro oder 3 Prozent für Verstöße gegen bestimmte Anbieter- und Betreiberpflichten und bis zu 7,5 Millionen Euro oder 1 Prozent für falsche Angaben gegenüber Behörden. Der Katalog in Artikel 99 Absatz 4 zählt die betroffenen Vorschriften einzeln auf — Artikel 16, 22, 23, 24, 26, 31, 33, 34 und 50. Artikel 4 steht nicht darunter. Er war auch vor dem Omnibus keine Bußgeldnorm.
Wenn Ihnen jemand eine Schulung mit dem Hinweis auf 35 Millionen Euro verkaufen will, sollten Sie an dieser Stelle skeptisch werden.
Eine Einschränkung gehört dazu: Artikel 99 Absatz 1 verpflichtet die Mitgliedstaaten, für Verstöße gegen die Verordnung Sanktionen und andere Durchsetzungsmaßnahmen vorzusehen — ausdrücklich auch Verwarnungen und nicht-monetäre Maßnahmen. Wie der deutsche Gesetzgeber diesen Spielraum im Bußgeldteil des KI-MIG ausfüllt, ist der Punkt, den man im Auge behalten sollte. Ein bezifferter Bußgeldtatbestand für Artikel 4 existiert bis heute nicht.
Für kleine und mittlere Unternehmen kommt eine Erleichterung dazu, die fast überall untergeht: Nach Artikel 99 Absatz 6 gilt bei KMU und Start-ups jeweils der niedrigere der beiden Werte — nicht wie bei großen Unternehmen der höhere. Aus „35 Millionen oder 7 Prozent, je nachdem, was höher ist" wird für einen Betrieb mit zwei Millionen Umsatz eben nicht 35 Millionen.
Was das alles nicht heißt: dass es folgenlos ist.
Erstens ist KI-Kompetenz die stille Voraussetzung für alle anderen Pflichten, die sehr wohl sanktionsbewehrt sind. Ab dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50: Chatbots müssen als solche erkennbar sein, KI-generierte Inhalte gekennzeichnet werden. Wer das verletzt, tut es fast immer, weil jemand im Haus nicht wusste, dass es diese Pflicht gibt. Das Bußgeld hängt dann an Artikel 50 — die Ursache lag bei Artikel 4. Was die Kennzeichnungspflicht konkret verlangt, haben wir hier aufgeschrieben.
Zweitens bleiben die Pflichten außerhalb der KI-Verordnung unberührt. Die DSGVO, die Sorgfaltspflicht der Geschäftsführung, arbeitsrechtliche Fürsorgepflichten, das Urheberrecht. Wenn eine Mitarbeiterin Gesundheitsdaten in einen Prompt kopiert, ist das ein Datenschutzvorfall — völlig unabhängig davon, wie Artikel 4 gerade formuliert ist.
Drittens ist die Beweislage im Schadensfall eine ganz praktische Größe. Ein Unternehmen, das dokumentierte Maßnahmen vorweisen kann, steht anders da als eines, das gar nichts hat.
Und viertens — der Grund, den ich für den ehrlichsten halte: Teams, die verstehen, was diese Werkzeuge können und wo sie zuverlässig danebenliegen, arbeiten damit besser. Das ist kein Compliance-Argument. Es ist einfach das, was ich in den Schulungen sehe.
Die Verordnung definiert KI-Kompetenz als die Fähigkeiten, Kenntnisse und das Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken und möglichen Schäden bewusst zu sein.
Übersetzt in das, was Menschen tatsächlich können müssen:
Grundverständnis. Wie kommt ein KI-System zu seinem Ergebnis? Warum ist eine plausibel klingende Antwort nicht automatisch richtig? Was ist eine Halluzination und woran erkennt man sie?
Datenschutz und Vertraulichkeit. Welche Informationen dürfen in ein Prompt-Fenster, welche nicht? Was passiert mit den Eingaben? Welche Werkzeuge sind im Haus freigegeben — und welche gerade nicht?
Kritische Bewertung. Wann muss ein Mensch das Ergebnis prüfen, bevor es rausgeht? Wo liegen typische Fehlerquellen im eigenen Anwendungsfall?
Rechtlicher Rahmen. Kennzeichnung von KI-Inhalten, Urheberrecht, die eigene KI-Richtlinie.
Rollenspezifisches. Wer KI im Bewerbungsprozess einsetzt, braucht mehr: Systeme zur Personalauswahl fallen unter Anhang III der KI-Verordnung und damit in die Hochrisiko-Kategorie. Für diese Systeme wurden die Pflichten durch den Omnibus zwar auf den 2. Dezember 2027 verschoben — aber verschoben ist nicht aufgehoben.
Neun Fragen. Beantworten Sie sie ehrlich mit Ja oder Nein — die Auswertung steht darunter.
1. Wissen Sie, welche KI-Systeme in Ihrer Organisation tatsächlich genutzt werden?
Nicht: welche freigegeben sind. Welche genutzt werden. In fast jedem Haus, in das ich komme, klafft dazwischen eine Lücke.
2. Ist eine Person namentlich dafür zuständig, diese Liste aktuell zu halten?
Ohne Zuständigkeit veraltet das Inventar innerhalb eines Quartals.
3. Gibt es eine schriftliche Regel, welche Daten nie in ein Prompt-Fenster gehören?
Personenbezogene Daten, Gesundheitsdaten, Mandanten- und Patienteninformationen, unveröffentlichte Geschäftszahlen, fremdes geistiges Eigentum.
4. Wissen Ihre Mitarbeitenden, an wen sie sich wenden, wenn etwas schiefgeht?
Ein falsch eingefügter Datensatz ist ein meldepflichtiger Vorfall. Nur wenn jemand weiß, wohin damit, wird er auch gemeldet.
5. Ist geregelt, wer über die Einführung neuer KI-Werkzeuge entscheidet?
Sonst entscheidet das jede Abteilung für sich — und Sie erfahren es nicht.
6. Hat jede Person, die KI nutzt, in den letzten zwölf Monaten eine Einweisung erhalten?
Auch die Teilzeitkraft, auch die Werkstudentin, auch die Geschäftsführung.
7. Unterscheidet diese Einweisung nach Rolle und Risiko?
Wer KI im Bewerbungsverfahren oder in der Kundenkommunikation einsetzt, braucht mehr als eine Grundeinweisung.
8. Wissen Ihre Leute, dass KI-generierte Inhalte und Chatbots ab dem 2. August 2026 gekennzeichnet werden müssen?
Das ist Artikel 50 — und anders als Artikel 4 steht der sehr wohl im Bußgeldkatalog.
9. Könnten Sie morgen belegen, wer wann was gelernt hat?
Teilnehmerliste, Datum, Inhalte, Version der Richtlinie. Das ist der Teil, den fast alle vergessen — und der einzige, der im Ernstfall zählt.
8 bis 9 Mal Ja: Sie sind besser aufgestellt als die große Mehrheit. Setzen Sie sich einen jährlichen Termin für die Auffrischung und halten Sie das Inventar bei jedem neuen Werkzeug nach.
5 bis 7 Mal Ja: Die inhaltliche Arbeit ist meistens getan, es fehlt die Dokumentation. Das ist die günstigste Lücke von allen — sie kostet einen Nachmittag und ist genau die, die im Ernstfall den Unterschied macht.
Weniger als 5 Mal Ja: Fangen Sie nicht mit der Schulung an, sondern mit Frage 1. Ohne zu wissen, was tatsächlich im Einsatz ist, schulen Sie ins Blaue. Das Inventar ist eine Umfrage in fünf Abteilungen, kein Projekt.
Bei Frage 3 ein Nein: Das ist der einzige Punkt auf dieser Liste, den ich als dringend bezeichnen würde — unabhängig von Artikel 4. Hier geht es um die DSGVO, und die hat einen sehr konkreten Bußgeldrahmen.
Ich halte nichts von Compliance-Projekten, die ein halbes Jahr binden. Für die meisten mittelständischen Unternehmen und Verwaltungen sieht der ehrliche Weg so aus:
1. KI-Inventar erstellen. Schreiben Sie auf, welche KI-Systeme im Haus tatsächlich genutzt werden. Nicht, welche freigegeben sind — welche genutzt werden. Der Unterschied ist meistens der interessante Teil. Fragen Sie in den Abteilungen nach, nicht nur in der IT.
2. KI-Richtlinie schreiben. Zwei bis vier Seiten. Was ist erlaubt, was nicht, welche Daten dürfen nie in ein Prompt, wer entscheidet über neue Werkzeuge, an wen meldet man Zwischenfälle. Ein Verbot ist übrigens keine Richtlinie — Verbote schieben die Nutzung nur in private Accounts.
3. Schulen, differenziert nach Rolle. Eine Grundschulung für alle, die KI nutzen. Vertiefungen für die Bereiche mit erhöhtem Risiko: Personal, Recht, Kundenkommunikation, alles mit personenbezogenen Daten. Die Grundschulung muss keinen ganzen Tag dauern. Wie wir das aufbauen, steht hier.
4. Dokumentieren. Teilnehmerlisten, Datum, Inhalte, Version der Richtlinie. Das ist der Teil, den fast alle vergessen — und der einzige, der im Ernstfall zählt. Danach einmal jährlich auffrischen und bei neuen Werkzeugen gezielt nachschulen.
Das ist keine Raketenwissenschaft. Es ist ein Nachmittag Planung und ein halber Tag Umsetzung, wenn es jemand macht, der das schon einmal gemacht hat.
Bis vor Kurzem war das offen. Inzwischen nicht mehr.
Der Bundestag hat das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) am 11. Juni 2026 beschlossen, der Bundesrat hat am 10. Juli 2026 zugestimmt. Das Gesetz tritt am Tag nach seiner Verkündung in Kraft — rechtzeitig vor dem 2. August.
Damit wird die Bundesnetzagentur zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung, soweit nicht andere Fachbehörden zuständig sind. Die BaFin bleibt für den Finanzsektor zuständig, das BfArM für Medizinprodukte, der BfDI für Datenschutz und biometrische Systeme.
Für Unternehmen praktisch interessanter als die Aufsicht ist ein anderer Teil des Gesetzes: Bei der Bundesnetzagentur entsteht ein Koordinierungs- und Kompetenzzentrum mit einem KI-Service-Desk. Der beantwortet Compliance-Fragen kostenlos und richtet sich ausdrücklich an kleine und mittlere Unternehmen. Dazu kommen KI-Reallabore, in denen neue Anwendungen unter regulatorischer Begleitung getestet werden können.
Der deutsche Gesetzgeber war damit spät dran. Die KI-Verordnung verpflichtete jeden Mitgliedstaat, bis zum 2. August 2025 mindestens eine notifizierende Behörde und eine Marktüberwachungsbehörde zu benennen. Diese Frist hat Deutschland verstreichen lassen — der Kabinettsbeschluss kam erst im Februar 2026.
Gilt die KI-Schulungspflicht auch für kleine Unternehmen?
Ja. Artikel 4 kennt keinen Schwellenwert. Der Maßstab ist allerdings verhältnismäßig — was von einem Betrieb mit acht Beschäftigten erwartet wird, ist etwas anderes als bei einem Konzern. Der Omnibus hat die Rücksicht auf KMU an mehreren Stellen ausdrücklich verstärkt.
Reicht es, eine PDF-Richtlinie zu verteilen?
Nein. Ein Dokument ohne Schulung erzeugt weder Kompetenz noch Nachweiswert. Die Verordnung spricht von Maßnahmen zur Unterstützung der Kompetenzentwicklung — ein ungelesenes PDF ist keine.
Brauchen wir ein Zertifikat?
Nein. Die KI-Verordnung schreibt weder ein bestimmtes Format noch eine Zertifizierung vor. Was zählt, ist, dass die Maßnahmen zur tatsächlichen Nutzung passen und dokumentiert sind.
Muss ich alle Mitarbeitenden schulen?
Nur die, die mit KI-Systemen arbeiten oder von deren Einsatz betroffen sind. In der Praxis ist das in den meisten Organisationen inzwischen ein größerer Teil der Belegschaft, als die Geschäftsführung annimmt — deshalb Schritt 1.
Der Omnibus hat die Pflicht abgeschwächt. Kann ich das jetzt aussitzen?
Können Sie. Nur ändert der Omnibus nichts an DSGVO, Sorgfaltspflichten, den Transparenzpflichten ab dem 2. August 2026 oder daran, dass ein Team ohne Grundverständnis Fehler macht, die teuer werden. Der rechtliche Druck ist geringer geworden. Der praktische nicht.
Wie oft muss geschult werden?
Die Verordnung sagt dazu nichts. Sinnvoll ist eine jährliche Auffrischung plus gezielte Nachschulung bei neuen Werkzeugen — KI-Werkzeuge ändern sich schneller als die meisten Schulungspläne.
Die Frage, die mir am häufigsten gestellt wird, ist die falsche. Sie lautet: „Was ist das Minimum, mit dem wir durchkommen?"
Die interessantere Frage ist: Wissen die Menschen in Ihrer Organisation eigentlich, was sie da gerade tun? In den meisten Häusern, in denen ich stehe, wird KI seit über einem Jahr täglich genutzt — ohne Richtlinie, ohne Absprache, ohne dass irgendjemand einen Überblick hätte, welche Daten wohin fließen. Das ist kein Compliance-Problem. Das ist ein Führungsproblem, das zufällig auch ein Compliance-Problem ist.
Der Digital Omnibus hat der Kompetenzpflicht ihre schärfste Kante genommen. Gut so, ehrlich gesagt — eine Ergebnispflicht war für diese Materie nie sauber prüfbar.
Würde ich deshalb weniger schulen? Kein Stück.
Haben Sie bei Frage 9 mit Nein geantwortet? Wir schicken Ihnen unsere Vorlage für den Schulungsnachweis als Word-Datei — Teilnehmerliste, Inhaltsübersicht, Versionsstand, fertig zum Ausfüllen. Kostenlos, ohne Newsletter-Anmeldung.
→ Nutzen Sie gerne das untenstehende Kontaktformular für eine entsprechende Vorlage
Oder Sie besprechen Ihren Fall direkt mit uns: Erstgespräch vereinbaren
Dieser Beitrag gibt den Stand vom 27. Juli 2026 wieder und stellt keine Rechtsberatung dar. Für die verbindliche Bewertung Ihres Einzelfalls ziehen Sie bitte rechtskundigen Rat hinzu.
Quellen: Verordnung (EU) 2024/1689 (KI-Verordnung); Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital Omnibus on AI), ABl. L vom 24. Juli 2026; KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (BT-Drs. 21/4594, Beschlussempfehlung 21/6407).
"Ich schicke regelmäßig kostenlose Updates zum Thema KI, Sicherheit und Anwendungen."
Wählen Sie direkt einen freien Slot in meinem Kalender.
Schreiben Sie mir Ihr Anliegen — ich melde mich zeitnah.
