KI-Kompetenz in Unternehmen: Der Schlüssel zu digitaler Transformation

Autor: Provimedia GmbH

Veröffentlicht:

Aktualisiert:

Kategorie: Agentur-Strategie & Management

Zusammenfassung: Der AI Act verpflichtet Unternehmen seit dem 2. Februar 2025 zu rollen- und risikogerechter KI-Kompetenz, einschließlich Schulungen, Ergebniskontrolle und klarer Verantwortlichkeiten.

KI-Kompetenz als Pflicht und Grundlage der digitalen Transformation

Seit dem 2. Februar 2025 gilt Artikel 4 der europäischen KI-Verordnung. Unternehmen müssen angemessene Maßnahmen treffen, damit Personen, die KI-Systeme im Auftrag des Unternehmens betreiben oder nutzen, über ausreichende KI-Kompetenz verfügen. Die Pflicht betrifft nicht nur Entwickler. Auch Beschäftigte, die generative KI für Texte, Analysen oder Kundenkommunikation einsetzen, fallen darunter.

Entscheidend ist kein einheitliches Zertifikat. Der AI Act verlangt weder eine bestimmte Prüfung noch eine festgelegte Unterrichtsstundenzahl. Maßgeblich sind vielmehr Kenntnisse, Erfahrungen und Nutzungskontext der jeweiligen Person. Eine Beschäftigte im Marketing braucht andere Fähigkeiten als ein Entwickler eines sicherheitskritischen Systems.

KI-Kompetenz ist mehr als technisches Bedienwissen. Sie verbindet Grundverständnis, Urteilskraft und klare Verantwortlichkeit. Beschäftigte sollten erkennen, wann ein Ergebnis plausibel wirkt, aber dennoch falsch sein kann. Sie müssen Systemgrenzen einschätzen und wissen, wann ein Vorgang nicht automatisiert werden darf. Genau hier entscheidet sich, ob digitale Transformation im Alltag trägt oder nur neue Fehler schneller produziert.

Für Unternehmen macht die Vorschrift Weiterbildung zu einem Bestandteil der KI-Governance. Wer neue Anwendungen einführt, sollte zugleich festlegen, welche Rollen welche Entscheidungen treffen dürfen. So wird aus einer abstrakten Rechtspflicht ein praktischer Rahmen für bessere Abläufe, kürzere Lernkurven und einen kontrollierten Einsatz von KI.

Die Verantwortung liegt beim Unternehmen. Eine kurze Einweisung kann für einfache Anwendungen genügen, reicht bei komplexen oder folgenreichen Systemen aber nicht aus. Auch kleine Betriebe sind nicht automatisch ausgenommen. Der sinnvolle Maßstab lautet: Je größer die möglichen Auswirkungen einer KI-Anwendung, desto tiefer muss die Kompetenz der beteiligten Personen sein.

Welche Unternehmen und Beschäftigten vom AI Act betroffen sind

Die Pflicht zur KI-Kompetenz richtet sich nach der Rolle eines Unternehmens im KI-Ökosystem, nicht nach seiner Größe. Erfasst sind insbesondere Anbieter, die KI-Systeme entwickeln oder in Verkehr bringen, sowie Betreiber, die solche Systeme für eigene geschäftliche Zwecke einsetzen. Auch Importeure und Händler können betroffen sein, wenn sie KI-Systeme auf dem europäischen Markt bereitstellen.

Ein Unternehmen wird bereits dann zum Betreiber, wenn es ein extern entwickeltes System in seine Arbeitsabläufe einbindet. Das kann eine Software zur Bewerberauswahl, ein Analysewerkzeug im Vertrieb oder ein generatives Sprachmodell für interne Texte sein. Entscheidend ist die tatsächliche Nutzung im beruflichen Kontext; eine eigene Entwicklung ist dafür nicht erforderlich.

Bei Beschäftigten zählt die konkrete Beteiligung. Einbezogen werden Personen, die KI-Systeme entwickeln, technisch implementieren, konfigurieren, überwachen oder regelmäßig anwenden. Dazu gehören neben IT-Fachkräften etwa Mitarbeitende aus Personalwesen, Kundenservice, Marketing, Einkauf und Controlling. Auch Führungskräfte brauchen ausreichende Kenntnisse, wenn sie KI-Ergebnisse für Entscheidungen heranziehen oder deren Einsatz freigeben.

Eine besondere Rolle spielt die Abgrenzung zwischen gelegentlichem Kontakt und verantwortlicher Nutzung. Wer einmal eine öffentliche KI-Anwendung ausprobiert, übernimmt nicht automatisch dieselben Pflichten wie ein Team, das täglich automatisierte Bewertungen erstellt. Dennoch darf die Unternehmensleitung auch seltene Anwendungen nicht übersehen. Ein kurzer Einsatz kann bereits sensible Daten, Rechte Dritter oder geschäftskritische Entscheidungen berühren.

Für die Zuordnung hilft eine einfache Rollenprüfung:

Die Grenzen können sich überschneiden. Ein Betrieb kann etwa zugleich Anbieter eines eigenen Prognosemodells und Betreiber eines fremden Textsystems sein. Für die Praxis bedeutet das: Nicht die Berufsbezeichnung entscheidet, sondern Aufgabe, Zugriff und mögliche Wirkung des Systems. So lässt sich der betroffene Personenkreis bestimmen, ohne Mitarbeitende pauschal oder zu knapp einzubeziehen.

Kompetenzstufen und Maßnahmen für den sicheren KI-Einsatz

Kompetenzstufe Zielgruppe Erforderliche Kenntnisse Geeignete Maßnahmen
Grundstufe Alle Beschäftigten mit KI-Kontakt Funktionsweise, Grenzen, Datenschutz und typische Fehler von KI-Systemen verstehen Einführungsschulung, Leitfaden zur Datennutzung und kurze Praxisübungen
Anwendungsstufe Regelmäßige Nutzer in Marketing, Kundenservice, Personalwesen oder Verwaltung Präzise Eingaben formulieren, Ergebnisse prüfen und Einsatzgrenzen erkennen Rollenbezogene Workshops, Fallbeispiele und praktische Leistungsnachweise
Fachstufe Fachverantwortliche, Datenanalysten und Prozessverantwortliche Datenqualität, Verzerrungen, Modellverhalten und Auswirkungen auf Betroffene beurteilen Vertiefungsschulungen, Risikoanalysen und regelmäßige Qualitätskontrollen
Steuerungsstufe Führungskräfte, KI-Beauftragte und Kompetenzteams KI-Anwendungen auswählen, freigeben, überwachen und Verantwortlichkeiten festlegen Governance-Workshops, Freigabeprozesse, Kompetenzregister und Berichtswesen
Hochrisiko-Kompetenz Personen, die an folgenreichen oder hochriskanten Systemen beteiligt sind Menschliche Aufsicht, Protokollierung, Eskalationswege und mögliche Schäden bewerten Intensive Fachschulung, kontrollierte Tests und dokumentierte Freigaben

Diese Kenntnisse müssen Mitarbeitende im Umgang mit KI erwerben

KI-Kompetenz beginnt mit einem verständlichen Bild davon, wie ein System arbeitet. Mitarbeitende müssen wissen, dass ein Sprachmodell keine Faktenbank ist. Es berechnet wahrscheinliche Ausgaben aus Trainings- und Eingabedaten. Deshalb kann eine Antwort überzeugend klingen und trotzdem sachlich falsch sein.

Zum notwendigen Grundwissen gehört der Umgang mit Eingaben. Gute Ergebnisse entstehen nicht allein durch lange Befehle, sondern durch klare Ziele, Kontext und überprüfbare Vorgaben. Beschäftigte sollten Aufgaben in einzelne Schritte zerlegen, gewünschte Formate nennen und fehlende Informationen nicht durch Vermutungen ersetzen lassen. Ebenso wichtig ist die Erkenntnis, wann eine Anfrage zu ungenau ist und eine Rückfrage braucht.

Im Arbeitsalltag sollten Mitarbeitende mindestens folgende Fähigkeiten beherrschen:

Auch Verzerrungen müssen Thema einer Schulung sein. KI kann Muster aus historischen Daten übernehmen und dadurch bestimmte Gruppen benachteiligen. Bei Bewerbungen, Kreditprüfungen oder Kundenbewertungen ist daher zu fragen: Welche Merkmale fließen ein? Gibt es systematische Ausreißer? Würde eine andere Person mit vergleichbaren Daten ähnlich bewertet?

Hinzu kommt die Fähigkeit, menschliche Kontrolle sinnvoll auszuüben. Eine bloße Sichtprüfung reicht bei hoher Fehlerwirkung nicht. Mitarbeitende brauchen passende Prüfkriterien, Eskalationswege und die Befugnis, ein Ergebnis zurückzuweisen.

Zur KI-Kompetenz gehört außerdem ein klares Verständnis für Transparenz. Werden Inhalte mit generativer KI erstellt oder wesentlich verändert, müssen Beschäftigte die jeweils geltenden Kennzeichnungsregeln kennen. Der AI Act sieht unter anderem Transparenzpflichten für bestimmte KI-generierte Inhalte vor. Welche Regel greift, hängt vom System und vom konkreten Einsatz ab.

Eine gute Schulung endet deshalb nicht beim Prompt. Sie vermittelt ein belastbares Arbeitsmuster: Aufgabe klären, Eingabe begrenzen, Ergebnis prüfen, Entscheidung begründen und den Vorgang bei Bedarf eskalieren. Erst dann wird aus KI-Nutzung eine verantwortbare berufliche Kompetenz.

Risikoklassen und Einsatzbereiche richtig bewerten

Die Risikoklasse eines KI-Systems lässt sich nicht allein am verwendeten Modell ablesen. Entscheidend ist, wofür es eingesetzt wird, welche Personen betroffen sind und welche Folgen ein Fehler haben kann. Dasselbe Basismodell kann im Unternehmen eine harmlose Schreibassistenz sein oder Teil eines folgenreichen Bewertungsverfahrens werden.

Der AI Act unterscheidet vor allem zwischen verbotenen Anwendungen, Hochrisiko-Systemen, bestimmten Systemen mit Transparenzpflichten und Anwendungen mit geringem Risiko. Die Einstufung folgt dem konkreten Zweck. Ein System zur automatischen Bewerberauswahl ist daher anders zu bewerten als ein Werkzeug, das lediglich Stellenanzeigen sprachlich überarbeitet.

Für die interne Prüfung helfen vier Leitfragen:

Besondere Vorsicht ist bei Personalprozessen, Bildung, kritischer Infrastruktur, Strafverfolgung, Migration, Justiz und dem Zugang zu wichtigen Leistungen nötig. In diesen Bereichen können Systeme als Hochrisiko-Anwendungen gelten. Dann steigen die Anforderungen an Kontrolle, Datenqualität, Protokollierung, Genauigkeit und menschliche Aufsicht deutlich.

Nicht jede problematische Nutzung ist automatisch ein Hochrisiko-System. Eine Anwendung kann auch deshalb relevant sein, weil Menschen über ihren KI-Einsatz informiert werden müssen. Bei Chatbots, synthetischen Bildern, Sprachklonen oder automatisch erzeugten Texten können Transparenzregeln greifen. Unternehmen sollten deshalb nicht nur nach dem Etikett des Anbieters fragen, sondern den gesamten Prozess betrachten.

Eine praxistaugliche Bewertung beschreibt den Einsatz in einem Satz: „Das System verarbeitet X, erzeugt Y und beeinflusst dadurch Z.“ Bleibt Z eine interne Arbeitshilfe, fällt die Prüfung meist anders aus als bei einer automatisierten Entscheidung über eine Person. Diese kleine Übung legt versteckte Risiken frei.

Für jede Anwendung sollte anschließend eine Risikonotiz entstehen. Sie enthält Zweck, betroffene Gruppen, mögliche Schäden, zulässige Nutzung und die zuständige Entscheidungsrolle. Bei Änderungen am Modell, an den Daten oder am Prozess wird die Bewertung erneut vorgenommen.

Kompetenzbedarf im Unternehmen systematisch analysieren

Eine belastbare Kompetenzanalyse beginnt nicht bei der Frage „Wer braucht eine Schulung?“, sondern bei den konkreten Arbeitsaufgaben. Unternehmen sollten zunächst erfassen, an welchen Stellen KI bereits genutzt wird oder künftig genutzt werden soll. Dazu gehören auch informelle Anwendungen, etwa private Zugänge, Browser-Erweiterungen oder Funktionen in Bürosoftware.

Für jeden Anwendungsfall entsteht ein kurzes Kompetenzprofil. Es beschreibt Aufgabe, verwendete Daten, Grad der Automatisierung und Folgen eines Fehlers. Zusätzlich sollte feststehen, ob das System nur Vorschläge erzeugt oder direkt in einen Geschäftsprozess eingreift. So wird sichtbar, welche Kenntnisse tatsächlich fehlen.

Eine einfache Matrix erleichtert die Zuordnung:

Danach wird das vorhandene Wissen erhoben. Ein kurzer Praxistest liefert meist bessere Hinweise als eine Selbsteinschätzung. Geeignet sind etwa Fallbeispiele mit fehlerhaften Antworten, unklaren Daten oder widersprüchlichen Empfehlungen. Wer einen Fehler erkennt und die richtige Reaktion begründet, zeigt echte Handlungskompetenz.

Die Analyse sollte Unterschiede zwischen Rollen sichtbar machen. Ein Fachanwender benötigt vor allem sichere Routinen. Ein Administrator muss Berechtigungen, Schnittstellen und Protokolle verstehen. Eine Führungskraft braucht Kriterien für Freigaben, Wirkungskontrolle und Verantwortungszuweisung. Ein pauschaler Kurs für alle bleibt dagegen oft an der Oberfläche.

Bewährt hat sich ein Kompetenzregister mit fünf Angaben:

Priorisiert werden sollten Lücken, die den Geschäftsbetrieb, die Sicherheit oder die Rechte von Menschen berühren. Für einfache Aufgaben genügt oft eine kurze digitale Lerneinheit mit Übung. Bei anspruchsvollen Anwendungen braucht es dagegen Fallarbeit, fachliche Begleitung und eine Prüfung unter realen Bedingungen. Der Aufwand muss also zum Risiko passen, nicht zur Größe des Budgets.

Die Analyse endet erst, wenn sich zeigt, ob die Maßnahme wirkt. Nach einer Schulung sollte die betreffende Person eine typische Aufgabe selbstständig und nachvollziehbar lösen können. Neue Systeme, geänderte Funktionen oder veränderte Prozesse lösen eine erneute Prüfung aus.

Schulungen für sichere und produktive KI-Anwendungen planen

Ein gutes Schulungskonzept verbindet rechtliche Anforderungen mit konkreten Arbeitssituationen. Reine Vorträge über KI bleiben oft blass. Wirksamer sind Übungen, in denen Beschäftigte typische Aufgaben des eigenen Bereichs bearbeiten und die Folgen ihrer Entscheidungen sehen.

Der Einstieg sollte kurz und einheitlich sein. In einer Basiseinheit lernen alle Teilnehmenden die wichtigsten Begriffe, typische Fehlermuster und grundlegende Verhaltensregeln. Danach folgen rollenbezogene Module. So erhält ein Serviceteam andere Beispiele als die Personalabteilung oder die technische Entwicklung.

Für die Planung hat sich ein modularer Aufbau bewährt:

Das Format sollte zur Tätigkeit passen. Für Büroarbeitsplätze eignen sich kurze Lerneinheiten von 30 bis 60 Minuten, ergänzt durch praktische Aufgaben. Teams mit Entwicklungs-, Prüf- oder Überwachungsaufgaben benötigen längere Workshops. Bei Schichtarbeit oder kleinen Betrieben können mehrere kurze Termine besser funktionieren als ein ganzer Seminartag.

Besonders nützlich sind kontrollierte Fehlerszenarien. Ein Trainingssystem kann etwa eine erfundene Quelle, eine falsche Rechnung oder eine widersprüchliche Zusammenfassung ausgeben. Die Teilnehmenden markieren die Warnsignale und erklären, welche Prüfung folgen muss. Dadurch wird aus abstrakter Vorsicht eine eingeübte Reaktion.

Auch die Führungsebene braucht ein eigenes Format. Dort stehen weniger Eingabetechniken im Mittelpunkt. Wichtiger sind Fragen nach Zuständigkeiten, Ressourcen, Freigaben und dem Umgang mit Zielkonflikten. Wer KI einführt, muss zudem verstehen, dass Produktivitätsziele nicht auf Kosten von Qualität oder fairen Arbeitsbedingungen gehen dürfen.

Eine Schulung gilt erst dann als gelungen, wenn sie beobachtbares Verhalten verändert. Geeignete Nachweise sind kurze Fallaufgaben, eine praktische Demonstration oder ein Quiz mit Begründungspflicht. Teilnahme allein sagt wenig aus. Rückmeldungen aus dem Arbeitsalltag zeigen, wo Unsicherheiten entstehen und Vorgaben nachgeschärft werden müssen.

Für die Aktualisierung genügt meist kein starrer Jahresrhythmus. Ein Auffrischungsimpuls sollte an neue Funktionen, veränderte Prozesse oder festgestellte Fehler anknüpfen. Bei einem Modellwechsel oder einer neuen Anwendung ist eine anlassbezogene Einweisung sinnvoll.

Interne KI-Leitlinien für Datenschutz, Sicherheit und Freigaben

Interne KI-Leitlinien übersetzen gesetzliche Anforderungen in klare Arbeitsregeln. Sie sollten nicht als allgemeines Verbot formuliert sein, sondern konkrete Fälle beantworten: Welche Anwendungen sind freigegeben? Welche Daten dürfen verarbeitet werden? Wer prüft Ergebnisse und wer erteilt die Veröffentlichung?

Am Anfang steht eine verständliche Nutzungsampel:

Die Datenschutzregeln müssen genauer sein als der Satz „Keine sensiblen Daten verwenden“. Eine Leitlinie sollte festlegen, welche Datenklassen existieren, ob eine Eingabe anonymisiert werden muss und wann eine Datenschutz-Folgenabschätzung nötig ist. Ebenso gehört hinein, wie lange Eingaben und Ausgaben gespeichert werden und wer auf Protokolle zugreifen darf.

Für die Informationssicherheit sind technische Mindestanforderungen sinnvoll. Dazu zählen zentrale Konten statt privater Zugänge, Mehr-Faktor-Anmeldung, rollenbasierte Berechtigungen und eine Prüfung von Schnittstellen. Bei automatisierten Aktionen sollte das System zunächst in einer begrenzten Umgebung laufen. Ein kleiner Testbereich verhindert, dass ein fehlerhafter Prozess gleich das ganze Unternehmen erfasst.

Freigaben brauchen eine eindeutige Kette. Die Richtlinie benennt den fachlich Verantwortlichen, die prüfende Stelle und die Person, die eine Ausgabe nach außen geben darf. Bei Inhalten für Kunden, Behörden oder Bewerber sollte zusätzlich feststehen, welche Nachweise vor der Veröffentlichung vorliegen müssen.

Auch der Einkauf gehört in das Regelwerk. Vor der Einführung eines neuen Dienstes sollten Anbieterangaben, Vertragsbedingungen, Speicherorte, Unterauftragsverarbeiter, Trainingsnutzung und Löschmöglichkeiten geprüft werden. Ein kostenloses Konto ist kein Freifahrtschein für Unternehmensdaten.

Die Leitlinie muss zugänglich und auffindbar sein. Eine kurze Fassung für den Alltag kann durch Anhänge mit technischen Vorgaben ergänzt werden. Neue Anwendungen werden erst nach einer dokumentierten Prüfung freigeschaltet. Verstöße sollten abgestufte Reaktionen auslösen: Beratung, Nachschulung, Einschränkung des Zugangs und bei schweren Fällen eine formelle Untersuchung.

Mindestens einmal jährlich sowie bei neuen Systemen, Sicherheitsvorfällen oder geänderten Rechtsvorgaben gehört das Regelwerk auf den Prüfstand.

KI-Beauftragte und Kompetenzteams wirksam einsetzen

Ein KI-Beauftragter schafft keine neue Führungsebene. Seine Aufgabe ist, Zuständigkeiten zu bündeln und Entscheidungen nachvollziehbar zu machen. Dafür braucht die Person ein klares Mandat, ausreichend Zeit und direkten Zugang zur Geschäftsleitung. Ohne diese drei Punkte bleibt die Rolle schnell ein Etikett.

Die Funktion sollte schriftlich festgelegt werden. Dazu gehören Befugnisse, Berichtslinien und Grenzen. Der KI-Beauftragte darf Informationen aus Fachabteilungen einfordern, Risiken eskalieren und die Einführung einer Anwendung vorläufig stoppen. Die Verantwortung für einzelne Geschäftsentscheidungen bleibt jedoch bei den zuständigen Führungskräften.

Ein Kompetenzteam arbeitet am wirksamsten, wenn mehrere Perspektiven vertreten sind:

Das Team braucht einen festen Arbeitsrhythmus. Ein monatliches Entscheidungsfenster reicht für viele mittelständische Unternehmen aus. Dringende Fälle benötigen zusätzlich einen klaren Eskalationsweg. Jede Sitzung sollte mit einer Entscheidung enden: freigeben, nachbessern, begrenzen oder ablehnen.

Hilfreich ist ein internes Service-Modell. Beschäftigte erhalten eine zentrale Anlaufstelle für Fragen, melden ungewöhnliche Ausgaben und schlagen neue Einsatzideen vor. Das Kompetenzteam sortiert diese Anliegen nach Dringlichkeit. Ein kleines Anfrageformular mit Zweck, Datenart, betroffenen Personen und gewünschtem Ergebnis beschleunigt die erste Prüfung.

Für die Überwachung braucht es messbare Signale. Dazu zählen etwa Fehlerraten, Beschwerden, abgebrochene Vorgänge, ungewöhnliche Zugriffe und häufige manuelle Korrekturen. Solche Hinweise zeigen, ob eine Anwendung im Alltag anders genutzt wird als ursprünglich geplant.

Die Rolle sollte außerdem unabhängig genug sein, um Zielkonflikte anzusprechen. Eine getrennte Freigabe bei besonders sensiblen Anwendungen schafft mehr Glaubwürdigkeit.

Für kleinere Unternehmen genügt zunächst eine Person mit einem festen Stellvertreter und einem externen Fachkontakt. Wichtig ist nicht die Größe des Gremiums, sondern seine Erreichbarkeit, Entscheidungsbefugnis und Nähe zum tatsächlichen Arbeitsprozess.

Schulungen, Richtlinien und Lernergebnisse dokumentieren

Eine gute Dokumentation macht sichtbar, wie ein Unternehmen KI-Kompetenz tatsächlich vermittelt. Sie ist kein Ersatz für wirksame Lernangebote, schafft aber eine belastbare Spur: Was wurde geplant, wer hat teilgenommen und welche Fähigkeiten wurden praktisch erreicht?

Für jede Maßnahme sollte ein einheitlicher Datensatz angelegt werden. Er muss nicht umfangreich sein. Wichtig ist, dass die Angaben später verständlich bleiben und sich einer bestimmten Rolle oder Funktion zuordnen lassen.

Besonders aussagekräftig sind Lernergebnisse statt bloßer Teilnahmebestätigungen. Ein Eintrag wie „zweistündiger Workshop besucht“ belegt nur Anwesenheit. Aussagekräftiger ist: „Kann drei typische Fehlerarten erkennen, eine Ausgabe anhand definierter Kriterien prüfen und einen unsicheren Fall an die zuständige Stelle weiterleiten.“

Die Auswertung sollte mehrere Perspektiven verbinden. Ein kurzer Wissenstest misst Begriffe und Regeln. Eine praktische Aufgabe zeigt die Anwendung. Eine Rückmeldung der Führungskraft macht sichtbar, ob sich das Verhalten im Prozess verändert. Bei komplexen Tätigkeiten kann zusätzlich eine Beobachtung durch eine fachkundige Person sinnvoll sein.

Für personenbezogene Nachweise gilt ein zurückhaltender Grundsatz: Nur speichern, was für Schulungssteuerung, Nachweis und Verbesserung erforderlich ist. Zugriffe werden rollenbezogen vergeben. Aufbewahrungsfristen sowie Löschregeln sollten in der Personal- oder Bildungsverwaltung festgelegt werden. Testergebnisse gehören nicht automatisch in die allgemeine Personalakte.

Auch interne Leitlinien brauchen eine Versionshistorie. Zu jeder Fassung gehören Freigabedatum, Änderungsgrund, zuständige Stelle und betroffene Anwendungen. Beschäftigte sollten erkennen können, welche Regeln aktuell sind.

Die Geschäftsleitung sollte regelmäßig einen kompakten Statusbericht erhalten. Sinnvolle Kennzahlen sind etwa der Anteil geschulter Rollen, offene Kompetenzlücken, überfällige Nachweise und häufige Fehlerbilder. Die Zahlen zeigen, wo Maßnahmen angepasst oder Ressourcen neu verteilt werden müssen.

Der AI Act schreibt für die KI-Kompetenzpflicht kein bestimmtes Zertifikat und kein einheitliches Dokumentationsformat vor. Eine nachvollziehbare, verhältnismäßige Aufzeichnung stärkt dennoch die interne Steuerung und erleichtert die Antwort auf eine zentrale Frage: Woran erkennt das Unternehmen, dass seine Beschäftigten KI nicht nur verwenden, sondern kompetent damit arbeiten?

Sanktionen und rechtliche Bedeutung der Kompetenzpflicht

Die KI-Kompetenzpflicht nach Artikel 4 des AI Act gilt seit dem 2. Februar 2025. Ein eigener Bußgeldtatbestand für einen Verstoß gegen diese Pflicht ist derzeit nicht vorgesehen. Das bedeutet jedoch nicht, dass die Vorgabe rechtlich bedeutungslos wäre. Unternehmen müssen sie bei der Organisation ihres KI-Einsatzes berücksichtigen und angemessene Maßnahmen treffen.

Die fehlende unmittelbare Geldbuße ist kein Freibrief. Bei einem Schaden können andere Rechtsbereiche relevant werden, etwa Datenschutzrecht, Arbeitsrecht, Produkthaftung, Vertragsrecht oder allgemeine Sorgfaltspflichten. Fehlt eine nachvollziehbare Kompetenzvermittlung, kann das die Bewertung eines Vorfalls verschärfen. Besonders kritisch wird es, wenn ein Unternehmen Risiken kannte, aber keine geeigneten Vorkehrungen getroffen hat.

Auch die Verantwortung lässt sich nicht einfach auf einen Softwareanbieter abwälzen. Ein Anbieter kann technische Informationen und Schulungsmaterial bereitstellen. Für die sichere Nutzung im eigenen Betrieb bleibt jedoch die Unternehmensleitung verantwortlich. Sie muss dafür sorgen, dass Aufgaben nur von Personen übernommen werden, die über passende Kenntnisse verfügen.

Die rechtliche Bedeutung zeigt sich vor allem in drei Bereichen:

Für die Beurteilung zählt nicht allein, ob jemand an einer Veranstaltung teilgenommen hat. Entscheidend ist, ob die Person die Anwendung im konkreten Arbeitsumfeld sachgerecht einsetzen kann. Ein Teilnahmezertifikat ohne Praxisbezug besitzt deshalb nur begrenzte Aussagekraft.

Die Durchsetzung des AI Act erfolgt schrittweise. Zuständige Behörden können je nach System, Rolle und möglichem Verstoß unterschiedliche Befugnisse haben. Zudem greifen weitere Pflichten des AI Act unabhängig von Artikel 4, etwa bei verbotenen Praktiken, Hochrisiko-Systemen oder bestimmten Transparenzanforderungen. Unternehmen sollten die Kompetenzpflicht deshalb im Gesamtkontext betrachten.

Rechtssicher handelt, wer Maßnahmen angemessen, nachvollziehbar und regelmäßig anpasst. Dazu gehören eine begründete Auswahl der Lerninhalte, klare Zuständigkeiten und ein belastbarer Umsetzungsnachweis. Die Haltung „Es gibt doch noch kein Bußgeld“ ist dagegen eine riskante Abkürzung.

Beispiel: ChatGPT sicher im Arbeitsalltag einsetzen

Ein sicherer Einsatz von ChatGPT beginnt mit einer klar begrenzten Aufgabe. Geeignet sind zum Beispiel erste Textentwürfe, Gliederungen, Übersetzungen oder die Zusammenfassung öffentlich zugänglicher Inhalte. Nicht geeignet ist die ungeprüfte Übertragung vertraulicher Vorgänge in einen privaten oder nicht freigegebenen Zugang.

Vor der Nutzung sollte die Eingabe in drei Schritten vorbereitet werden: Zweck festlegen, Daten minimieren und gewünschtes Ergebnis beschreiben. Statt einer vollständigen Kundenmail mit Namen und Vertragsdaten genügt etwa eine anonymisierte Fallbeschreibung. Je weniger unnötige Informationen im Prompt stehen, desto kleiner ist die Angriffs- und Fehlerfläche.

Ein praxistauglicher Arbeitsablauf sieht so aus:

ChatGPT sollte nicht als automatische Wissensquelle behandelt werden. Das System kann Quellen erfinden, Fristen verwechseln oder eine unklare Anweisung stillschweigend ergänzen. Bei fachlichen Aussagen führt der sichere Weg deshalb über verlässliche Originalquellen. Rechtliche, medizinische oder finanzielle Inhalte brauchen zudem eine Prüfung durch eine entsprechend qualifizierte Person.

Für Teams lohnt sich eine kleine Bibliothek geprüfter Eingabevorlagen. Jede Vorlage enthält Zweck, erlaubte Daten, gewünschtes Format und einen Hinweis zur Kontrolle. Das verbessert die Vergleichbarkeit der Ergebnisse, lässt aber Raum für fachliche Anpassungen.

Besondere Aufmerksamkeit verlangt die Funktion zur Verarbeitung hochgeladener Dateien. Vor dem Upload müssen Herkunft, Berechtigung, Dateiinhalte und mögliche Metadaten geklärt sein. Tabellen können fehlerhafte Formeln, Kommentare oder verborgene Spalten enthalten.

Die Nutzung sollte außerdem an einem kleinen, risikoarmen Fall getestet werden. Dabei prüft das Unternehmen nicht nur die Antwortqualität, sondern auch Zugriffsrechte, Speicherverhalten und den Umgang mit Ausfällen. Erst wenn dieser Test sauber verläuft, sollte ChatGPT in einen regelmäßig genutzten Prozess einziehen.

ChatGPT liefert Geschwindigkeit und Formulierungshilfe; die fachliche Verantwortung bleibt im Unternehmen. Diese Arbeitsteilung nutzt die Stärken des Systems, ohne seine Grenzen zu kaschieren.

Fazit: KI-Kompetenz aufbauen und regelmäßig aktualisieren

KI-Kompetenz bleibt nicht durch eine einmalige Schulung erhalten. Systeme ändern Funktionen, Arbeitsabläufe verschieben sich und neue gesetzliche Vorgaben kommen hinzu. Unternehmen sollten Weiterbildung deshalb als laufenden Entwicklungsprozess behandeln. Ein fester Auslöser für Updates ist sinnvoll: neue Software, ein Modellwechsel, ein Vorfall oder eine deutlich veränderte Aufgabe.

Für die digitale Transformation zählt am Ende nicht die Zahl besuchter Kurse. Entscheidend ist, ob Beschäftigte KI sinnvoll in ihre Arbeit einordnen und dadurch bessere Ergebnisse erzielen. Führungskräfte sollten regelmäßig prüfen, welche Anwendungen echten Nutzen bringen, wo Prozesse unnötig kompliziert werden und welche Tätigkeiten weiterhin bewusst ohne KI ausgeführt werden.

Ein tragfähiger Abschluss lässt sich auf drei Leitgedanken verdichten:

Besonders kleine und mittlere Unternehmen müssen dafür keine umfangreiche Akademie aufbauen. Ein realistischer Jahresplan, kurze Lerneinheiten und eine feste Zuständigkeit reichen als Startpunkt oft aus. Wichtig ist, dass die Geschäftsleitung Zeit und Budget bereitstellt. Ohne Rückhalt von oben versandet selbst ein gutes Konzept.

Der AI Act setzt mit Artikel 4 einen klaren Impuls: KI-Kompetenz gehört zur verantwortungsvollen Nutzung von KI-Systemen. Die Vorschrift verlangt kein bestimmtes Zertifikat. Sie verlangt aber, dass Unternehmen die Fähigkeiten der beteiligten Personen ernst nehmen und angemessene Maßnahmen treffen.

Wer diesen Anspruch mit der eigenen Transformationsstrategie verbindet, gewinnt mehr als rechtliche Orientierung. Beschäftigte arbeiten sicherer, erkennen neue Chancen früher und können Grenzen offen ansprechen. So wird KI-Kompetenz vom Pflichtpunkt zur dauerhaften Fähigkeit, die digitale Veränderung im Unternehmen wirklich voranzutreiben.