KI-Kompetenz und Art. 4 der KI-Verordnung: Die Schulungs-Pflicht, bei der die meisten Unternehmen 2026 hinterherhinken

Art. 4 der KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, ein ausreichendes Maß an KI-Kompetenz bei ihren Mitarbeitenden sicherzustellen — unter Berücksichtigung ihrer technischen Kenntnisse, Erfahrung, Ausbildung und Schulung sowie des Kontextes, in dem die KI-Systeme eingesetzt werden sollen. Diese Pflicht greift seit dem 2. Februar 2025, der zweiten Stufe der KI-Verordnung nach dem Verbot bestimmter Praktiken. Im Lauf von 2026 wächst der Audit-Druck, weil nationale KI-Aufsichtsbehörden (in Deutschland: BNetzA als Koordinierungsstelle, gemeinsam mit dem BfDI und der Bundesnetzagentur) die formale Aufsicht aufnehmen — und weil Prüferinnen jetzt aktiv Teilnahme-Nachweise einsehen wollen.

Der Grund, warum die meisten Unternehmen hinterherhinken, ist immer derselbe: Sie haben angenommen, ihre bestehende Cybersicherheits- oder Compliance-Schulung decke das Thema mit ab. Tut sie nicht. Cybersicherheits-Schulung erklärt, wie du Phishing-Mails erkennst. KI-Kompetenz-Schulung erklärt, wie ein KI-System Entscheidungen trifft, wann du dem Output trauen darfst, wann du eine menschliche Prüfung verlangen musst, und welche Rechte die Betroffenen nach Art. 22 DSGVO und Art. 86 KI-Verordnung haben. Die Zielgruppen überschneiden sich — die Inhalte unterscheiden sich grundlegend.

Der zweite Grund: Es gibt kein vorgeschriebenes Curriculum. Jede Organisation muss ihres selbst entwerfen. Bitkom, IAPP und BSI haben Rahmenwerke veröffentlicht, aber keines ist verbindlich. Das Ergebnis ist eine breite Streuung dessen, was als ausreichendes Maß durchgeht — und Auditoren weisen Schulungen zunehmend zurück, wenn sie zu dünn oder zu generisch sind.

Dieser Leitfaden erklärt dir, was KI-Kompetenz nach Art. 4 konkret bedeutet, welche vier Mitarbeiter-Stufen unterschiedlich tiefe Schulung brauchen (allgemeine Nutzer, Entscheider, technische Teams, Datenschutzbeauftragte und Compliance), wie du jede Stufe gestaltest, wie du die Teilnahme so dokumentierst, dass Auditoren sie akzeptieren — und welche fünf Compliance-Lücken am häufigsten auffallen. Geschrieben für HR Business Partner, Learning-and-Development-Verantwortliche und Compliance-Verantwortliche, die KI-Kompetenz in der gesamten Organisation aufbauen müssen.

Für den breiteren Rahmen der KI-Compliance in der EU siehe unseren Pillar zu KI-Governance und Compliance in der EU. Für das Hochrisiko-Regime nach Anhang III, das die Anforderungen an HR-KI-Schulung deutlich erhöht, siehe Anhang III der KI-Verordnung für HR.

Der Wortlaut von Art. 4 ist kurz: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz ihres Personals und sonstiger Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei die technischen Kenntnisse, die Erfahrung, die Ausbildung und Schulung dieser Personen sowie der Kontext, in dem die KI-Systeme eingesetzt werden sollen, und die Personen oder Personengruppen, bei denen die KI-Systeme zum Einsatz kommen sollen, zu berücksichtigen sind.

Vier Formulierungen tragen den Paragrafen: ausreichendes Maß (der Maßstab ist kontextabhängig, nicht absolut), KI-Kompetenz (an anderer Stelle der Verordnung definiert als das Verständnis dafür, was KI ist, wie sie funktioniert, welche Fähigkeiten und Grenzen sie hat und welche Auswirkungen sie hat), Personal und sonstige Personen, die mit Betrieb und Nutzung befasst sind (Mitarbeitende, externe Dienstleister, Integrationspartner) und Kontext, in dem die KI-Systeme eingesetzt werden sollen (eine KI-Kompetenz-Schulung für HR-Recruiting sieht anders aus als eine für den Kundenservice).

In der Praxis heißt das: Es gibt kein Standard-Curriculum für alle, und ob die Schulung ausreicht, beurteilt die Auditorin anhand der tatsächlichen Interaktion der Mitarbeitenden mit dem KI-System und der Risikoklasse des Systems. Eine Sachbearbeiterin, die gelegentlich einen Copilot-Assistenten nutzt, braucht weniger Tiefe als eine Recruiterin, die ein HR-Screening-Werkzeug einsetzt (Hochrisiko nach Anhang III), oder eine Entwicklerin, die KI in kundenseitige Systeme integriert. Die Auditfrage lautet nicht: Haben alle dieselbe Schulung erhalten? Sondern: Hat jede Rolle eine Schulung erhalten, die zur Tiefe ihrer Interaktion mit dem KI-System passt?