Aktualisierte Fassung, Stand: November 2026. Unseren Beitrag vom 28. Januar 2025 haben wir an den KI-Omnibus, das deutsche Durchführungsgesetz und die aktuellen Hinweise von Bundesnetzagentur und KI-Büro der EU angepasst.
Seit dem 2. Februar 2025 müssen Unternehmen, die KI-Systeme beruflich einsetzen, sich um die KI-Kompetenz ihrer Mitarbeitenden kümmern. Das betrifft fast jedes Unternehmen, denn schon der Einsatz von ChatGPT, Copilot oder einem anderen Chatbot im Arbeitsalltag genügt. Mit dem KI-Omnibus (Verordnung (EU) 2026/1744) hat der EU-Gesetzgeber Art. 4 KI-VO im Sommer 2026 entschärft: Unternehmen müssen die Entwicklung der KI-Kompetenz unterstützen, ein bestimmtes Kompetenzniveau garantieren müssen sie nicht mehr. Zugleich hat sich die Aufsicht sortiert: Seit dem 2. August 2026 überwachen die nationalen Marktüberwachungsbehörden die Einhaltung, in Deutschland die Bundesnetzagentur. Wir ordnen ein, was jetzt gilt und wie Sie die Pflicht schlank und nachweisbar umsetzen.
Das Wichtigste im Überblick
- Pflicht bleibt, Maßstab sinkt: Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen. Ein garantiertes Niveau verlangt Art. 4 Abs. 1 KI-VO n. F. ausdrücklich nicht mehr.
- Fast alle Unternehmen sind betroffen: Betreiber ist jedes Unternehmen, das KI-Systeme in eigener Verantwortung beruflich nutzt, unabhängig von Branche und Größe.
- Keine Formvorgaben: Weder Zertifikate noch standardisierte Schulungen noch ein KI-Beauftragter sind vorgeschrieben. Entscheidend ist ein plausibles, am eigenen Bedarf ausgerichtetes Vorgehen.
- Dokumentation ist der Schlüssel: Bundesnetzagentur und EU-Kommission empfehlen, die Maßnahmen zu dokumentieren. Fehlende KI-Kompetenz kann im Schadensfall als Sorgfaltspflichtverletzung gelten.
- Kostenlose Hilfe: Der KI-Service Desk der Bundesnetzagentur und das KI-Büro der EU stellen Hinweise, FAQ und Praxisbeispiele bereit.
Was verlangt Art. 4 KI-VO seit dem KI-Omnibus?
Die ursprüngliche Fassung verpflichtete Anbieter und Betreiber, „nach besten Kräften sicherzustellen“, dass ihr Personal über „ein ausreichendes Maß an KI-Kompetenz“ verfügt. Was „ausreichend“ heißt, blieb offen und hat in der Praxis viel Unsicherheit erzeugt. Der KI-Omnibus hat Art. 4 KI-VO neu gefasst. Danach ergreifen Anbieter und Betreiber „Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“ (Art. 4 Abs. 1 S. 1 KI-VO). Zu berücksichtigen sind die technischen Kenntnisse, die Erfahrung, die Aus- und Fortbildung der Personen, der Einsatzkontext und die Personen, bei denen die KI-Systeme eingesetzt werden. Neu ist der klarstellende Satz: Die Pflicht verlangt nicht, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“ (Art. 4 Abs. 1 S. 2 KI-VO).
Hinzugekommen sind zwei Unterstützungsaufträge: Kommission und Mitgliedstaaten fördern die Unternehmen, insbesondere KMU, bei der Umsetzung, und die Kommission veröffentlicht dazu praktische Beispiele (Art. 4 Abs. 2 KI-VO). Das KI-Gremium soll Empfehlungen mit gemeinsamen Zielen annehmen (Art. 4 Abs. 3 KI-VO).
Was KI-Kompetenz ist, definiert die Verordnung unverändert: die Fähigkeiten, Kenntnisse und das Verständnis, um KI-Systeme sachkundig einzusetzen und sich der Chancen und Risiken von KI und möglicher Schäden bewusst zu werden (Art. 3 Nr. 56 KI-VO). Kurz: Mitarbeitende sollen fundierte Entscheidungen über den Einsatz von KI treffen können.
Für die Praxis ist das eine Entwarnung, aber kein Freibrief. Die Pflicht besteht weiter. Sie verlangt nun ein Bemühen mit nachvollziehbaren Maßnahmen statt eines messbaren Ergebnisses.
Wer muss KI-Kompetenz fördern?
Verpflichtet sind Anbieter und Betreiber von KI-Systemen, einschließlich Systemen mit allgemeinem Verwendungszweck wie Chatbots.
- Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3 KI-VO).
- Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, außer im Rahmen einer persönlichen, nicht beruflichen Tätigkeit (Art. 3 Nr. 4 KI-VO). Das ist jedes Unternehmen, das KI-Systeme für berufliche Zwecke einsetzt oder deren Einsatz duldet.
Die Pflicht gilt unabhängig von der Unternehmensgröße. Sie umfasst neben dem eigenen Personal auch Personen, die im Auftrag des Unternehmens KI-Systeme betreiben oder nutzen, etwa Auftragnehmer und Dienstleister. Das sollten Sie in Ihren Dienstleisterverträgen mitdenken.
Wer überwacht die KI-Kompetenz, und drohen Bußgelder?
Für die Aufsicht ist nicht das KI-Büro der EU zuständig, sondern die nationale Marktüberwachungsbehörde. Sie überwacht Art. 4 KI-VO seit dem 2. August 2026. In Deutschland ist das nach dem seit dem 29. Juli 2026 geltenden KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) grundsätzlich die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG).
Ein Bußgeld knüpft an Art. 4 KI-VO nicht an: Weder die Bußgeldtatbestände der KI-VO (Art. 99 KI-VO) noch die deutschen Bußgeldvorschriften (§ 15 KI-MIG) erfassen die Pflicht. Ignorieren sollten Unternehmen sie trotzdem nicht. Die Behörde kann Verstöße beanstanden und Maßnahmen anordnen. Vor allem aber kann fehlende KI-Kompetenz nach Einschätzung der Bundesnetzagentur als Verletzung der Sorgfaltspflicht angesehen werden, insbesondere wenn ein Schaden entsteht. Das hat Gewicht für die Haftung des Unternehmens und seiner Geschäftsleitung.
Wie bauen Unternehmen KI-Kompetenz auf? Die drei Grundsteine der Bundesnetzagentur
Die KI-VO schreibt bewusst kein Format vor. Der KI-Service Desk der Bundesnetzagentur empfiehlt zur Orientierung drei Grundsteine:
- Bedarf ermitteln: Wer entwickelt, betreibt oder nutzt welche KI-Systeme, zu welchem Zweck, und welche Chancen und Risiken sind damit verbunden?
- Maßnahmen gestalten: die Rolle des Unternehmens in der KI-Wertschöpfungskette einordnen, Ausbildung, Erfahrung und Tätigkeit der Personen beachten, Kontext und Risiko der Systeme berücksichtigen, Ziele und Verantwortlichkeiten festlegen.
- Dokumentieren, Evaluieren, Auffrischen: Art, inhaltlichen und zeitlichen Umfang der Maßnahmen und die Teilnehmenden festhalten, regelmäßig prüfen, ob die Ziele erreicht werden, und bei neuen Systemen oder Einsatzfeldern nachschulen.
Inhaltlich empfiehlt die Bundesnetzagentur einen interdisziplinären, stufenweisen Aufbau: zuerst ein Grundverständnis von Daten und KI für alle (Stufe 1), dann fortgeschrittene Kenntnisse zu den konkret eingesetzten Systemen, ihren Risiken und ihrer rechtlichen Einordnung (Stufe 2) und schließlich rollenspezifische Trainings mit Schwerpunkten in Technik, Recht oder Ethik (Stufe 3). Das Format ist frei: vom Selbstlernprogramm über Workshops bis zu mehrstufigen Fortbildungen, intern oder extern.
Aus unserer Beratung bewährt sich, die Kompetenzmaßnahmen mit einer schlanken KI-Governance zu verbinden: einem Überblick über die eingesetzten KI-Systeme, einer KI-Richtlinie mit klaren Handlungsvorgaben und benannten Ansprechpartnern. Einen KI-Beauftragten verlangt die KI-VO nicht. Je nach Größe und Umfang der KI-Nutzung kann eine solche Rolle aber sinnvoll sein. Warum sich eine KI-Richtlinie in jedem Fall lohnt, lesen Sie in unserem Beitrag Braucht mein Unternehmen eine KI-Richtlinie?.
Welche Unterstützung bieten BNetzA und KI-Büro der EU?
Unternehmen müssen das Rad nicht neu erfinden. Kostenlos verfügbar sind insbesondere:
- KI-Service Desk der Bundesnetzagentur: Die Anlaufstelle unter bundesnetzagentur.de/ki bietet eine eigene Themenseite zur KI-Kompetenz, den KI-Compliance-Kompass, Factsheets für KMU und Start-ups sowie ein Kontaktformular für Fragen.
- KI-Büro der EU (AI Office): Die Kommission hat Fragen und Antworten zur KI-Kompetenz veröffentlicht, die bereits die Omnibus-Fassung berücksichtigen, und führt ein „lebendes Archiv“ mit Praxisbeispielen aus Unternehmen und Verwaltung.
- Mittelstand-Digital Zentren und European Digital Innovation Hubs: KI-Trainer und Workshops speziell für KMU, anbieterneutral.
Die Q&A der Kommission bestätigen dabei die Linie der Bundesnetzagentur: Ein Zertifikat ist nicht erforderlich, interne Aufzeichnungen über Schulungen und andere Maßnahmen genügen, und eine bestimmte Governance-Struktur ist für Art. 4 KI-VO nicht vorgeschrieben.
Was gilt beim Einsatz von Hochrisiko-KI?
Art. 4 KI-VO ist die Grundpflicht für alle. Wer Hochrisiko-KI-Systeme betreibt, etwa im Personalbereich, trifft eine weitergehende Pflicht: Die menschliche Aufsicht muss Personen übertragen werden, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen (Art. 26 Abs. 2 KI-VO). Diese Pflichten gelten nach dem KI-Omnibus für Systeme nach Anhang III erst ab dem 2. Dezember 2027. Wer heute Grundlagen schafft, ist dann deutlich schneller startklar.
Was Unternehmen jetzt tun sollten
Für Unternehmen bedeutet das: Panik ist nicht geboten, Nichtstun aber auch keine Option. Der sinnvolle erste Schritt ist eine kurze Bestandsaufnahme, welche KI-Systeme wer wofür nutzt. Darauf baut ein gestuftes Schulungskonzept auf, das Grundlagen für alle und Vertiefung für Schlüsselrollen vorsieht. Halten Sie jede Maßnahme mit Datum, Inhalt, Dauer und Teilnehmenden fest, und planen Sie Auffrischungen ein, sobald neue Tools oder Einsatzfelder hinzukommen. Wer 2025 bereits geschult hat, sollte prüfen, ob die Inhalte noch zu den heute genutzten Systemen passen.
KI-Kompetenz ist dabei kein Selbstzweck. Sie sichert den rechtskonformen und zugleich gewinnbringenden Einsatz von KI im Unternehmen.
FAQ: KI-Kompetenz nach Art. 4 KI-VO
Gilt die Pflicht zur KI-Kompetenz auch, wenn wir nur ChatGPT oder Copilot nutzen?
Ja. Wer ein KI-System in eigener Verantwortung beruflich verwendet, ist Betreiber (Art. 3 Nr. 4 KI-VO) und damit nach Art. 4 KI-VO verpflichtet, auch bei Standardanwendungen.
Müssen Mitarbeitende eine KI-Schulung mit Zertifikat absolvieren?
Nein. Die KI-VO verlangt weder Zertifikate noch standardisierte Schulungen. Unternehmen wählen Format und Inhalt nach ihrem Bedarf; die Maßnahmen sollten dokumentiert werden.
Brauchen wir einen KI-Beauftragten?
Nein, vorgeschrieben ist er nicht. Je nach Unternehmensgröße und Umfang der KI-Nutzung kann eine zentrale Ansprechperson die Umsetzung aber erleichtern.
Was hat sich durch den KI-Omnibus an Art. 4 KI-VO geändert?
Statt ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen, müssen Anbieter und Betreiber nun Maßnahmen zur Unterstützung der KI-Kompetenz ergreifen. Ein bestimmtes Niveau müssen sie nicht garantieren (Art. 4 Abs. 1 KI-VO n. F.).
Wer ist in Deutschland für die Aufsicht zuständig?
Die Bundesnetzagentur als Marktüberwachungsbehörde nach § 2 Abs. 1 KI-MIG. Die nationalen Behörden überwachen Art. 4 KI-VO seit dem 2. August 2026.
Drohen Bußgelder bei fehlender KI-Kompetenz?
Nein, Art. 4 KI-VO ist weder in Art. 99 KI-VO noch in § 15 KI-MIG bußgeldbewehrt. Fehlende KI-Kompetenz kann aber haftungsrechtlich als Sorgfaltspflichtverletzung gewertet werden.
Wir unterstützen Unternehmen bei der Umsetzung der KI-Verordnung, von der Bestandsaufnahme über KI-Richtlinien bis zu Schulungen für Mitarbeitende und Geschäftsleitung. Sprechen Sie uns an!
Ihre Ansprechpartnerin: Dr. Kristina Schreiber
Dr. Kristina Schreiber ist Fachanwältin für Verwaltungsrecht und CIPP/E und Partnerin bei Loschelder Rechtsanwälte in Köln. Sie ist spezialisiert auf rechtliche Begleitung von Digitalisierungsprojekten und die Beratung und Vertretung in allen Fragen des Datenschutzes, der Datennutzung und der Cyber-Sicherheit. Sie publiziert regelmäßig in Fachzeitschriften zu diesen Themen, ist Lehrbeauftragte an der Universität Köln und an der FernUniversität Hagen sowie Referentin auf diversen Fachveranstaltungen.