Mitarbeiter formulieren E-Mails mit ChatGPT, Marketing erstellt Inhalte mit generativer KI, der Vertrieb lässt Informationen zusammenfassen und im Kundenservice entstehen erste automatisierte Assistenten. Damit stellt sich für viele Unternehmen eine neue Frage: Müssen wir unsere Mitarbeiter wegen des AI Act jetzt offiziell schulen? Artikel 4 des europäischen AI Act verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur Entwicklung von KI-Kompetenz zu ergreifen. Das bedeutet aber weder einen vorgeschriebenen Standardkurs für alle noch automatisch ein Zertifikat für jeden Mitarbeiter.
1. Was verlangt Artikel 4 des AI Act?
Artikel 4 des AI Act betrifft die sogenannte AI Literacy beziehungsweise KI-Kompetenz.
Nach der aktuellen Fassung müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihrer Mitarbeiter und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb oder der Nutzung von KI-Systemen befasst sind.
Dabei sollen insbesondere berücksichtigt werden:
- technische Kenntnisse der betreffenden Personen
- berufliche Erfahrung
- Ausbildung und bisherige Schulung
- der konkrete Kontext, in dem die KI verwendet wird
- die Personen oder Personengruppen, auf die das KI-System angewendet wird
Die aktuelle Fassung stellt außerdem ausdrücklich klar, dass ein Unternehmen kein bestimmtes individuelles Kompetenzniveau garantieren muss.
2. Wer ist von Artikel 4 betroffen?
Artikel 4 richtet sich an Provider und Deployer von KI-Systemen.
Für viele normale Unternehmen ist vor allem die Rolle des Deployers relevant: Das Unternehmen entwickelt das zugrunde liegende KI-Modell nicht selbst, sondern setzt ein vorhandenes KI-System unter eigener Verantwortung ein.
Das kann beispielsweise betreffen:
- ChatGPT im Marketing oder in der Verwaltung
- Microsoft Copilot im Büroalltag
- Gemini für Recherche oder Textarbeit
- KI-Funktionen in CRM- oder Supportsystemen
- KI-gestützte Übersetzungswerkzeuge
- automatisierte Kundenassistenten
- KI-basierte Analyse- oder Dokumentenprozesse
Entscheidend ist nicht, ob im Unternehmen eine eigene KI-Abteilung existiert.
Schon die betriebliche Nutzung vorhandener KI-Systeme kann dazu führen, dass Artikel 4 berücksichtigt werden muss.
Geht es nur um fest angestellte Mitarbeiter?
Nein.
Artikel 4 spricht zusätzlich von anderen Personen, die im Auftrag des Unternehmens mit dem Betrieb und der Nutzung der betreffenden KI-Systeme befasst sind.
Je nach konkreter Zusammenarbeit können deshalb beispielsweise auch externe Personen relevant werden, die im Auftrag des Unternehmens mit seinen KI-Prozessen arbeiten.
Die Europäische Kommission beschreibt den Anwendungsbereich entsprechend breit und stellt auf Personen ab, die innerhalb beziehungsweise für die Organisation tatsächlich mit den betreffenden KI-Systemen umgehen.
3. Ist eine klassische KI-Schulung verpflichtend?
Nicht zwingend in Form eines bestimmten Standardkurses.
Die Europäische Kommission erklärt ausdrücklich, dass die geeignete Maßnahme vom konkreten Unternehmen und den verwendeten KI-Systemen abhängt.
Ein formelles Training kann sinnvoll oder erforderlich sein, ist aber nicht die einzig denkbare Maßnahme.
Je nach Situation können zur KI-Kompetenz beispielsweise beitragen:
- Einführungsschulungen
- rollenbezogene Workshops
- interne KI-Richtlinien
- praktische Anwendungsleitfäden
- regelmäßige Kurzschulungen zu neuen Funktionen
- Freigabeprozesse für bestimmte KI-Einsätze
- konkrete Regeln zum Umgang mit vertraulichen Daten
- Checklisten für Human Review
Die Kommission weist allerdings auch darauf hin, dass es in vielen Fällen nicht ausreichen dürfte, Mitarbeitern lediglich die Bedienungsanleitung eines KI-Systems zur Verfügung zu stellen und davon auszugehen, dass damit die Aufgabe erledigt ist.
Die Maßnahmen sollten zur tatsächlichen Nutzung passen.
| KI-Nutzung | Möglicher Schwerpunkt |
|---|---|
| Interne Textentwürfe | Grundverständnis, Halluzinationen, Datenschutz, Quellenprüfung und Human Review |
| Marketinginhalte | Faktenkontrolle, Urheber- und Markenfragen, AI-Transparenz und redaktionelle Verantwortung |
| Kundenservice | Transparenz, Eskalation an Mitarbeiter, Fehlantworten und personenbezogene Daten |
| Personalentscheidungen | Deutlich strengere Prüfung von Zweck, Risiko, zulässiger Nutzung und menschlicher Kontrolle |
| Technische KI-Integration | Datenfluss, Systemgrenzen, Logging, Berechtigungen, Fehlerfälle und technische Kontrolle |
4. Brauchen Mitarbeiter ein Zertifikat oder Unternehmen einen AI Officer?
Hier kursieren besonders viele Missverständnisse.
Kein vorgeschriebenes AI-Literacy-Zertifikat
Die Europäische Kommission erklärt ausdrücklich, dass für Artikel 4 kein bestimmtes Zertifikat erforderlich ist.
Unternehmen können ihre Maßnahmen intern dokumentieren, beispielsweise über Schulungsnachweise oder andere dokumentierte Guidance-Maßnahmen.
Kein verpflichtender AI Officer allein wegen Artikel 4
Auch eine mit dem Datenschutzbeauftragten vergleichbare verpflichtende Position eines „AI Officers“ wird durch Artikel 4 nicht vorgeschrieben.
Ebenso verlangt Artikel 4 keine bestimmte Governance-Struktur oder ein eigenes AI Governance Board.
Ein Unternehmen kann solche Rollen natürlich freiwillig einrichten, wenn Umfang und Risiko der KI-Nutzung dies sinnvoll machen.
5. Wer muss im Unternehmen was über KI wissen?
Eine der sinnvollsten Konsequenzen aus Artikel 4 ist, nicht alle Mitarbeiter identisch zu behandeln.
Stattdessen können Rollen beziehungsweise Nutzungssituationen definiert werden.
| Rolle | Was sollte die Person verstehen? |
|---|---|
| Alle KI-Nutzer | Grundlagen, Grenzen von KI, mögliche Fehler, Datenschutz und interne Regeln |
| Marketing und Content | Faktenprüfung, Quellen, Kennzeichnung, Bildinhalte, Marken- und Veröffentlichungsregeln |
| Vertrieb | Umgang mit Kundeninformationen, falschen Aussagen und KI-generierten Zusammenfassungen |
| Kundenservice | Automatisierte Antworten, Transparenz, Eskalation und sichere Übergabe an Menschen |
| Führungskräfte | Freigaben, Verantwortlichkeiten, akzeptable Risiken und Auswahl geeigneter Systeme |
| IT oder Automatisierung | Datenflüsse, Schnittstellen, Berechtigungen, Logging, technische Risiken und Systemgrenzen |
Ein solcher Aufbau ist praxisnäher als ein einstündiger Standardkurs, nach dem jeder Mitarbeiter denselben Inhalt gesehen hat, aber niemand weiß, wie die Regeln auf seinen Arbeitsplatz anzuwenden sind.
6. Was sollte ein praktisches KI-Kompetenzprogramm enthalten?
Die Europäische Kommission nennt in ihren aktuellen FAQ mehrere grundlegende Fragen, mit denen Unternehmen ihre Maßnahmen strukturieren können.
Für ein typisches kleines oder mittleres Unternehmen lässt sich daraus folgender Aufbau ableiten:
1. Grundverständnis schaffen
- Was ist ein KI-System?
- Welche KI verwenden wir im Unternehmen?
- Was kann diese KI sinnvoll leisten?
- Welche typischen Fehler kann sie machen?
2. Eigene Rolle und Nutzung verstehen
- Sind wir Nutzer eines fremden KI-Systems?
- Integrieren wir KI selbst in unsere Leistungen?
- Welche Mitarbeiter arbeiten mit welchen Systemen?
3. Risiken des konkreten Einsatzes kennen
- Welche Daten dürfen eingegeben werden?
- Was darf nicht ungeprüft übernommen werden?
- Wo können falsche Antworten Kunden oder Unternehmen schaden?
- Wann muss zwingend ein Mensch entscheiden?
4. Interne Regeln anwenden können
- Welche KI-Tools sind freigegeben?
- Welche Nutzung ist verboten oder eingeschränkt?
- Wie werden KI-Inhalte geprüft?
- Wer ist bei Unsicherheit Ansprechpartner?
- Wie werden Fehler oder problematische Ergebnisse gemeldet?
5. Veränderungen berücksichtigen
Ein einmaliger Kurs im Jahr 2025 reicht nicht automatisch für ein Unternehmen aus, dessen KI-Nutzung sich 2026 vollständig verändert hat.
Neue Systeme, neue Funktionen und neue Geschäftsprozesse können eine Aktualisierung der Guidance oder Schulung erforderlich machen.
7. Was bedeutet das bei ChatGPT, Copilot, Gemini und ähnlichen Tools?
Für viele Unternehmen beginnt KI-Kompetenz nicht bei einem komplizierten Hochrisiko-System, sondern bei alltäglichen generativen Werkzeugen.
Ein sinnvoller Basisstandard kann beispielsweise sicherstellen, dass Mitarbeiter verstehen:
- KI-Ausgaben können sachlich falsch sein.
- Quellenangaben können fehlen oder fehlerhaft sein.
- Vertrauliche oder personenbezogene Daten sollten nicht unkontrolliert eingegeben werden.
- Ein gut formulierter KI-Text ist nicht automatisch fachlich richtig.
- Rechtliche, finanzielle oder andere sensible Aussagen brauchen geeignete Kontrolle.
- KI-generierte Inhalte können zusätzliche Transparenz- oder Kennzeichnungsfragen auslösen.
- Unternehmenseigene Regeln haben Vorrang vor spontaner individueller Tool-Nutzung.
Beispiel: Marketingmitarbeiter
Ein Mitarbeiter erstellt mit generativer KI einen Blogartikel.
KI-Kompetenz bedeutet hier nicht nur zu wissen, wie man einen guten Prompt schreibt.
Der Mitarbeiter sollte zusätzlich wissen:
Quellen prüfen → Fakten kontrollieren → Aussagen mit dem tatsächlichen Unternehmensangebot abgleichen → gegebenenfalls Kennzeichnung prüfen → Human Review durchführen → erst dann veröffentlichen.
Beispiel: Vertrieb
Ein Mitarbeiter lässt eine lange Kundenanfrage durch KI zusammenfassen.
Dann sollte er beispielsweise verstehen, dass die Zusammenfassung relevante Details verlieren oder falsch gewichten kann und vor einer geschäftlichen Entscheidung mit der Originalanfrage abgeglichen werden muss.
Zu Transparenzpflichten bei KI-Inhalten und Chatbots haben wir zusätzlich einen eigenen Leitfaden veröffentlicht: AI Act: Wann müssen Unternehmen KI kennzeichnen?.
8. Wie sollten Unternehmen ihre Maßnahmen dokumentieren?
Der AI Act schreibt für Artikel 4 kein bestimmtes Zertifikat vor.
Die Kommission nennt eine interne Dokumentation von Schulungen und anderen Guidance-Maßnahmen ausdrücklich als mögliche Vorgehensweise.
Für Unternehmen ist das auch unabhängig von einer formalen Nachweispflicht sinnvoll.
Eine einfache Dokumentation kann beispielsweise enthalten:
| Information | Beispiel |
|---|---|
| KI-System | Welches Werkzeug beziehungsweise welcher Prozess wird genutzt? |
| Nutzergruppe | Welche Mitarbeiter oder externen Personen arbeiten damit? |
| Nutzungszweck | Wofür wird die KI konkret eingesetzt? |
| Risiken | Welche typischen Fehler oder Auswirkungen wurden berücksichtigt? |
| Maßnahme | Training, Workshop, Richtlinie, Checkliste oder andere Guidance |
| Datum | Wann wurde die Maßnahme durchgeführt oder aktualisiert? |
| Verantwortung | Wer organisiert beziehungsweise pflegt die Maßnahme? |
Das Ziel sollte nicht sein, möglichst viel Papier zu erzeugen.
Die Dokumentation sollte nachvollziehbar zeigen, dass das Unternehmen seine tatsächliche KI-Nutzung kennt und darauf passende Maßnahmen aufbaut.
Die Europäische Kommission betreibt inzwischen außerdem ein Repository mit mehr als 40 Beispielen für AI-Literacy-Maßnahmen aus Unternehmen und öffentlichen Organisationen. Die Beispiele reichen von E-Learning und Workshops bis zu anderen internen Lernformaten. Die Übernahme eines dort dargestellten Beispiels bedeutet allerdings nicht automatisch, dass Article 4 damit im eigenen Unternehmen erfüllt ist.
9. So baut ein Unternehmen einen praktischen Article-4-Prozess auf
Eine kleine oder mittlere Organisation muss daraus kein monatelanges Compliance-Projekt machen.
Ein pragmatischer Einstieg kann so aussehen:
- KI-Inventar erstellen: Welche AI-Systeme werden heute tatsächlich genutzt?
- Nutzer bestimmen: Welche Personen arbeiten mit welchem System?
- Nutzungszwecke erfassen: Texte, Bilder, Analyse, Kundenkontakt, Personal, Automatisierung oder andere Aufgaben?
- Risiko unterscheiden: Wo geht es nur um interne Unterstützung und wo können Ergebnisse Kunden, Mitarbeiter oder andere Personen betreffen?
- Wissensbedarf definieren: Was muss die jeweilige Nutzergruppe wirklich verstehen?
- Maßnahme auswählen: Schulung, Workshop, Richtlinie, praktische Anleitung oder Kombination.
- Verantwortung festlegen: Wer hält Regeln und Inhalte aktuell?
- Durchführung dokumentieren: Welche Maßnahmen wurden wann für wen umgesetzt?
- Neue KI-Systeme prüfen: Vor Einführung klären, ob zusätzliche Guidance notwendig ist.
- Regelmäßig aktualisieren: Neue Funktionen, Prozesse und Risiken berücksichtigen.
10. Was lässt sich bei KI-Governance technisch unterstützen?
Auch ein Article-4-Prozess muss nicht vollständig über Excel-Listen und E-Mails organisiert werden.
Abhängig von Unternehmensgröße und Systemlandschaft können beispielsweise folgende Schritte technisch unterstützt oder automatisiert werden:
- freigegebene KI-Systeme zentral dokumentieren
- Nutzergruppen bestimmten Guidance-Inhalten zuordnen
- neue Mitarbeiter automatisch in passende KI-Einweisungen aufnehmen
- Bestätigungen über gelesene interne Richtlinien erfassen
- Schulungsstände dokumentieren
- bei Einführung neuer KI-Systeme einen Prüfprozess auslösen
- regelmäßige Aktualisierungen oder Wiederholungen anstoßen
- veraltete Guidance kennzeichnen
- Verantwortliche über offene Maßnahmen informieren
Das Ziel sollte dabei nicht sein, aus AI Literacy eine reine Checkbox-Aufgabe zu machen.
Ein automatischer Nachweis, dass jemand ein Dokument geöffnet hat, beweist noch nicht, dass die Person mit dem konkreten KI-System vernünftig umgehen kann.
Automatisierung sollte Organisation und Nachvollziehbarkeit verbessern – die eigentliche Kompetenzentwicklung bleibt eine inhaltliche Aufgabe.
11. Praktische Checkliste: Was Unternehmen jetzt prüfen sollten
- Welche KI-Systeme werden offiziell eingesetzt?
- Welche KI-Systeme verwenden Mitarbeiter möglicherweise zusätzlich selbstständig?
- Welche Mitarbeiter und externen Personen arbeiten mit diesen Systemen?
- Welche Daten werden dabei verarbeitet?
- Welche Folgen können falsche KI-Ausgaben haben?
- Welche Anwendungen brauchen zwingend Human Review?
- Welche internen Regeln existieren bereits?
- Verstehen Mitarbeiter diese Regeln praktisch?
- Welche Rollen brauchen zusätzliche oder spezialisierte Guidance?
- Wie werden durchgeführte Maßnahmen dokumentiert?
- Wer aktualisiert die Inhalte, wenn neue Systeme oder Funktionen eingeführt werden?
Wer diese Fragen beantworten kann, hat bereits wesentlich mehr erreicht als ein Unternehmen, das lediglich allen Mitarbeitern denselben allgemeinen KI-Kurs zusendet.
KI-Kompetenz bedeutet nicht: Jeder Mitarbeiter braucht dasselbe Zertifikat
Artikel 4 des AI Act verlangt von Unternehmen, die KI-Systeme bereitstellen oder einsetzen, Maßnahmen zur Entwicklung von KI-Kompetenz.
Die aktuelle Regelung schreibt aber weder einen einheitlichen Kurs noch ein bestimmtes individuelles Kompetenzniveau, einen speziellen AI Officer oder ein Pflichtzertifikat vor. Die Europäische Kommission bestätigt ausdrücklich, dass kein bestimmtes Zertifikat oder Governance-Modell für die Erfüllung von Artikel 4 vorgeschrieben ist.
Die sinnvollere Reihenfolge lautet:
KI-Systeme erfassen → Nutzer und Zwecke bestimmen → Risiken verstehen → Wissensbedarf nach Rollen definieren → passende Maßnahmen durchführen → dokumentieren → bei Veränderungen aktualisieren.
Damit wird KI-Kompetenz nicht zu einer einmaligen Pflichtübung, sondern zu einem Bestandteil eines kontrollierten KI-Einsatzes im Unternehmen.
Häufige Fragen zu AI Act und KI-Kompetenz
Müssen Unternehmen ihre Mitarbeiter nach dem AI Act in KI schulen?
Artikel 4 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur Entwicklung der KI-Kompetenz von Mitarbeitern und anderen Personen zu ergreifen, die in ihrem Auftrag mit diesen Systemen arbeiten. Welche konkrete Maßnahme angemessen ist, hängt von Kenntnissen, Nutzungskontext und Risiken ab. Ein bestimmter Standardkurs ist nicht pauschal vorgeschrieben.
Seit wann gilt Artikel 4 des AI Act?
Artikel 4 wird seit dem 2. Februar 2025 angewendet. Nach Angaben der Europäischen Kommission gelten die entsprechenden Überwachungs- und Durchsetzungsregeln seit August 2026.
Braucht jeder Mitarbeiter ein KI-Zertifikat?
Nein. Die Europäische Kommission erklärt ausdrücklich, dass zur Erfüllung von Artikel 4 kein bestimmtes Zertifikat erforderlich ist. Unternehmen können ihre Schulungen und andere Guidance-Maßnahmen intern dokumentieren.
Muss unser Unternehmen einen AI Officer ernennen?
Artikel 4 schreibt keine dem Datenschutzbeauftragten vergleichbare Position eines AI Officers vor. Auch eine bestimmte AI-Governance-Struktur ist allein aufgrund dieser Vorschrift nicht verpflichtend. Je nach Größe und KI-Nutzung kann eine interne Verantwortlichkeit trotzdem sinnvoll sein.
Reicht es, Mitarbeitern die Bedienungsanleitung von ChatGPT oder Copilot zu schicken?
Nicht unbedingt. Die Europäische Kommission weist darauf hin, dass alleinige Verweise auf Bedienungsanleitungen in vielen Fällen nicht ausreichen dürften. Maßnahmen sollten an Wissen, Rolle, Nutzungskontext und Risiken angepasst sein.
Müssen alle Mitarbeiter dieselbe KI-Schulung erhalten?
Nein. Gerade Artikel 4 spricht dafür, unterschiedliche Vorkenntnisse und Nutzungssituationen zu berücksichtigen. Marketing, Kundenservice, Geschäftsführung und technische Integration können deshalb unterschiedliche Schulungs- beziehungsweise Guidance-Inhalte benötigen.
Gilt die KI-Kompetenzpflicht auch bei ChatGPT und Copilot?
Wenn solche KI-Systeme im Unternehmen eingesetzt werden, sollte auch diese Nutzung im Rahmen des Article-4-Prozesses berücksichtigt werden. Umfang und Inhalte der Maßnahmen hängen davon ab, wofür die Systeme eingesetzt werden und welche Risiken daraus entstehen.
Wie dokumentieren wir die KI-Kompetenz unserer Mitarbeiter?
Ein vorgeschriebenes einheitliches Dokumentationsformat gibt es für Artikel 4 nicht. Die Europäische Kommission nennt interne Aufzeichnungen zu Trainings und anderen Guidance-Maßnahmen als mögliche Vorgehensweise. Sinnvoll können Angaben zu System, Nutzergruppe, Zweck, Maßnahme, Datum und Verantwortlichkeit sein.
Reicht eine einmalige KI-Schulung dauerhaft aus?
Nicht automatisch. Wenn neue KI-Systeme eingeführt, bestehende Funktionen wesentlich verändert oder neue risikoreichere Einsatzbereiche erschlossen werden, sollte geprüft werden, ob die vorhandene Guidance noch zum tatsächlichen Einsatz passt.