Von allen Pflichten der KI-Verordnung betrifft die aus Artikel 4 die meisten Unternehmen, und sie ist die am wenigsten beachtete. Sie hängt nicht von der Risikostufe ab: Es genügt, dass jemand im Unternehmen bei der Arbeit ein KI-System nutzt. 2026 sind das fast alle, von der Person, die E-Mails mit ChatGPT entwirft, bis zu der, die Lebensläufe mit dem Bewerbermanagementsystem (ATS) filtert.
Die Pflicht gilt seit Februar 2025. Im Juli 2026 hat der Digital-Omnibus ihren Wortlaut geändert, und Sie sollten genau wissen, wie.
Was der Artikel sagte und was er jetzt sagt
Die ursprüngliche Fassung verpflichtete Anbieter und Betreiber, Maßnahmen zu ergreifen, um sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Das war eine Erfolgspflicht: Wusste ein Mitarbeiter nicht genug, verstieß das Unternehmen gegen die Verordnung.
Nach dem Omnibus ist es eine Bemühenspflicht: Es müssen Maßnahmen ergriffen werden, um den Aufbau dieser Kompetenz zu fördern, und der Text stellt klar, dass kein bestimmtes Niveau bei jeder einzelnen Person sichergestellt werden muss. Der Erwägungsgrund des Omnibus begründet das mit dem Aufwand, den die alte Fassung für KMU bedeutete.
Was sich nicht geändert hat:
- Die Pflicht besteht weiter. Geändert hat sich, woran sie gemessen wird, nicht ob sie gilt.
- Der Geltungsbereich. Er umfasst das eigene Personal und andere Personen, die die Systeme im Auftrag des Unternehmens nutzen: externe Mitarbeitende, Freelancer, eine Agentur, die Ihre Kampagnen mit KI betreut.
- Der Kontext. Die Maßnahmen müssen die technischen Kenntnisse jeder Person, ihre Erfahrung und den Kontext berücksichtigen, in dem das System eingesetzt wird. Eine allgemeine Schulung, die für alle gleich ist, passt dazu schlecht.
In der Praxis weist man das “Ergreifen von Maßnahmen” mit Aufzeichnungen nach. Die Fragen und Antworten der Kommission vom Mai 2025 hielten bereits fest, dass das Niveau jedes Mitarbeitenden nicht gemessen werden muss und interne Aufzeichnungen genügen.
Das Risiko, das Schulung tatsächlich senkt
Abgesehen von der Compliance gibt es einen praktischen Grund, das ernst zu nehmen. Er liegt in dem, was Menschen mit KI-Werkzeugen tun, wenn ihnen niemand etwas erklärt hat:
- Personenbezogene Daten in einen kostenlosen Chatbot kopieren. Eine Kundenliste zum Sortieren, ein Vertrag mit Namen und Ausweisnummern zum Zusammenfassen. Je nach Werkzeug und Tarif können diese Daten zum Training von Modellen verwendet oder außerhalb der EU verarbeitet werden, und das ist ein DSGVO-Problem, bevor es eines der KI-Verordnung ist.
- Einer erfundenen Zahl oder einem erfundenen Zitat vertrauen. Ein Bericht, der ein Urteil zitiert, das es nicht gibt, oder eine Marktzahl, die sich das Modell ausgedacht hat.
- Übernehmen, was das System vorschlägt, ohne hinzusehen. Ein ATS, das Bewerbende sortiert, und eine Person, die nur die ersten fünf zum Gespräch einlädt.
Alle drei lassen sich mit klaren Regeln und einer halben Stunde Erklärung anhand von Beispielen aus der Arbeit des jeweiligen Teams verringern.
Ein Plan nach Rollen für KMU
1. Bestandsaufnahme der Nutzung. Fragen Sie jedes Team, welche KI-Werkzeuge es nutzt, mit welchem Konto (privat oder Firmenkonto) und wofür. Fast immer wird die Liste länger als erwartet, mit Werkzeugen, die niemand freigegeben hat.
2. Nutzungsregeln auf einer Seite. Welche Werkzeuge mit welchem Tarif freigegeben sind, welche Daten nie hineinkopiert werden (personenbezogene Kundendaten, Gesundheitsdaten, Verträge, Code mit Zugangsdaten), was vor dem Veröffentlichen oder Versenden KI-generierter Inhalte zu prüfen ist und an wen man sich bei Fragen wendet.
3. Schulung nach Rolle. Jedes Profil muss etwas anderes wissen:
| Profil | Was es nutzt | Was es wissen muss |
|---|---|---|
| Kundenservice | Chatbot der Website, Antwortassistent | Dass der Chatbot Dinge versprechen kann, die das Unternehmen nicht anbietet, wie man das erkennt und wann das Gespräch an einen Menschen übergeht |
| Marketing | Text-, Bild- und Videogeneratoren | Welche Inhalte als KI-generiert gekennzeichnet werden müssen, Bildrechte und Lizenzen für kommerzielle Nutzung |
| Personalabteilung | ATS mit Ranking oder Filterung | Dass es ein Hochrisiko-System ist, dass die endgültige Entscheidung bei ihr liegt und wie man die vom System aussortierten Bewerbenden prüft |
| Entwicklung | Code-Assistenten, Modell-APIs | Welche Daten an den Anbieter gehen, wie man die Ausgaben eines Modells bewertet und was protokolliert wird |
| Geschäftsleitung | Alles oben Genannte | Welche Systeme es gibt, welche Risikostufe sie haben und wer für jedes verantwortlich ist |
4. Dokumentation. Eine Tabelle, wer welche Schulung wann erhalten hat, die Nutzungsregeln mit Versionsdatum und die Änderungen, sobald ein neues Werkzeug dazukommt. Das würden Sie vorlegen, wenn die zuständige nationale Marktüberwachungsbehörde (in Spanien die AESIA) oder ein Kunde danach fragt.
5. Auffrischung, wenn sich die Werkzeuge ändern. Ein jährlicher Kurs ist nicht nötig. Jedes Mal, wenn ein neues Werkzeug freigegeben wird oder sich eine wichtige Funktion ändert, genügt ein Hinweis an das betroffene Team, was sich ändert.
Wie das zum Rest der KI-Verordnung passt
KI-Kompetenz ist die Grundlage für die übrigen Pflichten. Die menschliche Aufsicht, die Hochrisiko-Systeme ab Dezember 2027 verlangen, funktioniert nicht, wenn die aufsichtführende Person nicht versteht, wo das System versagt. Die Transparenzpflichten aus Artikel 50, die seit August 2026 gelten, setzen voraus, dass das Marketing weiß, welche Inhalte gekennzeichnet werden müssen.
Den vollständigen Zeitplan finden Sie im Leitfaden zur KI-Verordnung, die ethische Seite, die über das Pflichtprogramm hinausgeht, in wie man Prinzipien in Tests übersetzt.
Wenn Sie mit der Bestandsaufnahme beginnen möchten: Sie ist der erste Schritt unseres Audits für verantwortungsvolle KI. Am Ende stehen die Liste der Systeme, die Risikostufe jedes einzelnen und das, was jedes Team wissen muss, das sie nutzt.