Das Wichtigste in Kürze
- Seit dem 2. Februar 2025 müssen Unternehmen KI-Kompetenz fördern.
- Seit dem 27. Juli 2026 geht es dabei um geeignete Maßnahmen – nicht um garantiertes Wissen jeder einzelnen Person.
- Ab dem 2. August 2026 können Marktüberwachungsbehörden die Umsetzung kontrollieren. Verstöße gegen Transparenzpflichten kosten bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes.
- Das größte Praxisrisiko ist Schatten-KI: nicht freigegebene Tools, in die vertrauliche Daten wandern. Die Verantwortung bleibt beim Unternehmen.
- Wirksame KI-Kompetenz ist rollenbezogen, dokumentiert und aktuell. Eine einmalige Basisschulung reicht nicht aus.
→ Direkt zur Checkliste: In 6 Schritten zur nachweisbaren KI-Kompetenz
Seit dem 27. Juli 2026 ist diese Vorgabe neu formuliert: Unternehmen müssen geeignete Maßnahmen zum Kompetenzaufbau ergreifen, aber nicht für jede einzelne Person ein bestimmtes Wissensniveau garantieren. Die Pflicht bleibt also bestehen, richtet den Blick jedoch stärker auf passende Lernangebote.
Ab dem 2. August 2026 können die nationalen Marktüberwachungsbehörden die Umsetzung kontrollieren. Fehlende KI-Schulungen lösen zwar nicht automatisch ein eigenes Bußgeld aus. Handlungsdruck entsteht dennoch – etwa durch Transparenzpflichten, Datenschutzrisiken oder mögliche Haftungsfragen.
In der Praxis fehlt vielen Unternehmen noch der Überblick: Mitarbeitende nutzen KI-Assistenten, Office-Erweiterungen, Bildgeneratoren und andere Anwendungen, ohne dass immer einheitliche Regeln gelten. So entsteht ein schwer steuerbares KI-Ökosystem.
Der EU AI Act setzt nicht allein bei der Technologie an. Er macht die Kompetenz der Menschen, die KI einsetzen, zu einem zentralen Bestandteil verantwortungsvoller Nutzung.
Was der EU AI Act für Unternehmen bedeutet
Der EU AI Act ist der weltweit erste umfassende Rechtsrahmen für Künstliche Intelligenz. Er folgt einem risikobasierten Ansatz: Je größer das mögliche Risiko einer Anwendung für Sicherheit, Gesundheit oder Grundrechte ist, desto strenger sind die Anforderungen.
| Datum | Was gilt |
|---|---|
| 1. August 2024 | EU AI Act tritt in Kraft |
| 2. Februar 2025 | Verbotene Praktiken untersagt, Pflicht zur Förderung von KI-Kompetenz |
| 27. Juli 2026 | Neufassung: geeignete Maßnahmen statt garantiertem Kompetenzniveau |
| 2. August 2026 | Transparenzpflichten gelten, Marktüberwachung startet |
| 2. Dezember 2026 | Weitere Verbote; Nachrüstfrist für maschinenlesbare Kennzeichnung |
| 2. Dezember 2027 | Anforderungen an eigenständige Hochrisiko-Systeme |
| 2. August 2028 | Anforderungen an KI in bereits regulierten Produkten |
Welche Risikoklasse für welche Anwendung gilt
Der Großteil der alltäglichen KI-Nutzung in Unternehmen fällt in die Kategorie des minimalen Risikos. Wer ChatGPT, Copilot oder ähnliche Tools für erste Textentwürfe, Übersetzungen oder Zusammenfassungen nutzt, setzt in der Regel kein Hochrisiko-System ein.
Anders ist es beispielsweise bei KI, die Bewerbungen vorsortiert, Mitarbeitende beurteilt, Kreditentscheidungen vorbereitet oder als Sicherheitskomponente in einem regulierten Produkt eingesetzt wird. Für solche Hochrisiko-Anwendungen hat der Digital Omnibus die Fristen verlängert. Die Anforderungen gelten für eigenständige Systeme ab dem 2. Dezember 2027 und für KI in bereits regulierten Produkten ab dem 2. August 2028. Die Pflichten selbst bleiben unverändert und treten zu diesen festen Terminen in Kraft – unabhängig davon, ob bis dahin harmonisierte Normen vorliegen.
Diese KI-Praktiken sind verboten
Einige KI-Anwendungen sind vollständig verboten. Dazu gehören Social Scoring und – mit wenigen Ausnahmen – die automatisierte Emotionserkennung am Arbeitsplatz. Ab dem 2. Dezember 2026 kommen weitere Verbote hinzu.
Welche Verbote ab Dezember 2026 hinzukommen
Untersagt sind dann KI-Systeme, die ohne ausdrückliche Zustimmung intime Darstellungen erkennbarer Personen erzeugen oder verändern, sowie Systeme zur Erzeugung von Missbrauchsdarstellungen von Kindern. Das betrifft vor allem Unternehmen, die generative Bild- oder Videowerkzeuge anbieten oder eigene Modelle betreiben.
Unternehmen müssen also nicht jede KI-Nutzung durch aufwendige Konformitätsverfahren prüfen. Sie sollten aber wissen, welche Systeme sie einsetzen, wofür diese genutzt werden und welche Rolle die eigene Organisation dabei übernimmt. Wer ein eingekauftes System nur für den vorgesehenen Zweck verwendet, ist in der Regel Betreiber. Verändert ein Unternehmen das System wesentlich, setzt es für einen neuen Zweck ein oder bietet es unter der eigenen Marke an, kann es selbst zum Anbieter werden. Damit steigen die rechtlichen Anforderungen deutlich.
Transparenzpflichten ab 2. August 2026
Bei Chatbots und Voicebots muss spätestens beim ersten Kontakt klar sein, dass Nutzer mit einer KI sprechen. Anbieter von Systemen, die Bilder, Ton, Videos oder Texte erzeugen, müssen die Ergebnisse maschinenlesbar als künstlich erzeugt kennzeichnen. Auch Deepfakes und KI-generierte Texte zu Themen von öffentlichem Interesse müssen als solche erkennbar sein.
Auf eine Schonfrist sollte sich dabei niemand verlassen: Die Übergangsfrist gilt nur für die maschinenlesbare Kennzeichnung von Systemen, die bereits vor dem 2. August 2026 auf den Markt gekommen sind. Sie muss bis zum 2. Dezember 2026 nachgerüstet werden. Für die Kennzeichnung von Chatbots und die Offenlegung von Deepfakes gibt es keinen Aufschub.
15 Mio. €
oder 3 % des weltweiten Jahresumsatzes bei Verstößen gegen Transparenzpflichten
02.08.26
ab hier kontrollieren die Marktüberwachungsbehörden die Umsetzung
6
Schritte bis zur nachweisbaren KI-Kompetenz im Unternehmen
Verstöße gegen diese Transparenzpflichten können – anders als fehlende Maßnahmen nach Artikel 4 – mit bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden. Damit wird deutlich, warum KI-Kompetenz kein Nebenthema ist: Nur wer die Vorgaben kennt, kann erkennen, wann sie im Arbeitsalltag greifen.
Schatten-KI: Risiken unkontrollierter KI-Nutzung
Eine der größten praktischen Herausforderungen ist nicht das offiziell eingeführte KI-System, sondern die unkontrollierte Nutzung einzelner Tools. Mitarbeitende testen neue Anwendungen, installieren Erweiterungen oder übertragen Texte und Dokumente in frei zugängliche KI-Assistenten. Nicht immer ist dabei klar, welche Daten verarbeitet werden, wo sie gespeichert sind oder ob sie für das Training eines Modells verwendet werden.
Schon kleine Unachtsamkeiten können Folgen haben. Werden personenbezogene Daten, vertrauliche Kundeninformationen oder Geschäftsgeheimnisse in ein nicht freigegebenes System eingegeben, betrifft das neben dem EU AI Act auch die DSGVO und interne Sicherheitsvorgaben.
Die Verantwortung bleibt beim Unternehmen – unabhängig davon, ob die KI-Lösung zentral beschafft oder spontan im Browser geöffnet wurde.
Erster Schritt: Überblick über die eingesetzten Tools
Ein Überblick über die tatsächliche KI-Nutzung bildet die Grundlage für alle weiteren Maßnahmen. Unternehmen sollten erfassen, welche Tools für welche Zwecke genutzt werden, welche Daten dabei verarbeitet werden und welche Risiken bestehen. Auch externe Personen, die im Auftrag des Unternehmens mit KI-Systemen arbeiten – etwa Dienstleister oder Freelancer –, sollten berücksichtigt werden.
Die AI Policy als verbindlicher Rahmen
Ergänzend empfiehlt sich in vielen Unternehmen eine AI Policy. Sie kann festlegen, welche Anwendungen zulässig sind, welche Daten eingegeben werden dürfen, wie die Qualität der Ergebnisse überprüft wird und wer die Verantwortung trägt. Erst auf dieser Grundlage lässt sich der konkrete Schulungsbedarf zuverlässig bestimmen.
Mitbestimmung: Wann der Betriebsrat beteiligt werden muss
In Deutschland spielt außerdem die Mitbestimmung eine wichtige Rolle. Kann ein KI-System das Verhalten oder die Leistung von Beschäftigten überwachen, muss der Betriebsrat beteiligt werden. Das gilt unabhängig von den Fristen des EU AI Act und kann daher schon früher relevant werden. Wer AI Policy und Betriebsvereinbarung gemeinsam entwickelt, vermeidet doppelte Abstimmungen.
Checkliste: In 6 Schritten zur nachweisbaren KI-Kompetenz
Die Schritte im Überblick – von der Bedarfsanalyse bis zur Dokumentation gegenüber Aufsichtsbehörden.
AI Literacy: Die KI-Kompetenz, die jedes Unternehmen braucht
Die deutsche Fassung des EU AI Act verwendet dafür den Begriff KI-Kompetenz, international ist von AI Literacy die Rede. Gemeint ist die Fähigkeit, die grundlegende Funktionsweise von KI zu verstehen, Chancen und Grenzen realistisch einzuschätzen und Systeme verantwortungsvoll einzusetzen. Der EU AI Act schreibt dafür weder eine bestimmte Schulung noch ein festgelegtes Zertifikat vor. Die Qualifizierung muss jedoch zu den eingesetzten Systemen, den konkreten Aufgaben und den Vorkenntnissen der Anwender passen.
Entscheidend ist nicht das Zertifikat, sondern der Nachweis, dass geeignete Maßnahmen ergriffen wurden – rollenbezogen, dokumentiert und aktuell gehalten.
Warum eine allgemeine Basisschulung nicht ausreicht: Eine allgemeine Einführung in Künstliche Intelligenz kann ein gemeinsames Grundlagenverständnis schaffen. Sie reicht jedoch nicht für alle Rollen und Aufgaben aus. Wer KI zur Formulierung erster Textentwürfe nutzt, benötigt andere Kenntnisse als eine Führungskraft, die KI-gestützte Analysen in Entscheidungen einbezieht. Mitarbeitende in HR, IT, Kommunikation oder Einkauf sind wiederum mit jeweils eigenen Risiken und Pflichten konfrontiert.
Wirksame AI Literacy umfasst mehrere Bereiche
01
Grundverständnis von KI
Mitarbeitende sollten wissen, wie KI-Systeme grundsätzlich funktionieren, warum Halluzinationen entstehen und weshalb überzeugend formulierte Ergebnisse trotzdem falsch, unvollständig oder verzerrt sein können.
02
Risikoeinschätzung
Entscheidend ist die Fähigkeit zu beurteilen, wie verlässlich ein Ergebnis ist, welche Daten verarbeitet werden und wann eine menschliche Prüfung erforderlich bleibt.
03
Rechtliche und ethische Orientierung
Beschäftigte müssen verstehen, welche Informationen sie eingeben dürfen, welche Anwendungen freigegeben sind und wie KI im Einklang mit Datenschutz, Unternehmenswerten und internen Richtlinien eingesetzt wird.
04
Praktische Anwendung
KI-Kompetenz entsteht nicht allein durch Theorie. Mitarbeitende sollten an realistischen Arbeitssituationen trainieren, Ergebnisse kritisch prüfen und den sicheren Umgang mit typischen Fehlerquellen üben.
Die schnelle Entwicklung der Technologie macht AI Literacy zu einem kontinuierlichen Prozess. Neue Systeme, Funktionen und Einsatzzwecke verändern auch den Schulungsbedarf. Eine einmalige Basisschulung kann deshalb nur der Anfang sein.
KI-Kompetenz aufbauen: Interne und externe Schulungen kombinieren
Wie Unternehmen den Kompetenzaufbau organisieren, hängt von ihren Systemen, Zielgruppen und vorhandenen Ressourcen ab. Interne Schulungen lassen sich besonders gut auf konkrete Prozesse, Werkzeuge und Regeln abstimmen. Mitarbeitende erkennen unmittelbar, was die Inhalte für ihren eigenen Arbeitsalltag bedeuten. Gleichzeitig ist es anspruchsvoll, rechtliche, ethische, technische und didaktische Expertise vollständig intern abzudecken.
Externe Lernangebote bringen spezialisiertes Wissen und professionell aufbereitete Inhalte ein. Sie können ein gemeinsames Grundlagenverständnis schaffen und sicherstellen, dass relevante Aspekte des EU AI Act berücksichtigt werden. Damit das Wissen im Alltag wirksam wird, sollte es jedoch mit den konkreten Regeln und Anwendungsfällen des Unternehmens verbunden werden.
| Interne Schulung | Externes Lernangebot | |
|---|---|---|
| Passung zum Alltag | Sehr hoch – eigene Prozesse, Tools und Regeln | Allgemein, muss mit eigenen Anwendungsfällen verknüpft werden |
| Fachliche Tiefe | Recht, Ethik und Didaktik intern schwer vollständig abzudecken | Spezialisiertes Wissen, professionell aufbereitet |
| Skalierbarkeit | Aufwand steigt mit jeder Zielgruppe | Standardisiert, gut wiederholbar |
| Nachweisbarkeit | Dokumentation muss selbst aufgebaut werden | Teilnahme meist systemseitig dokumentiert |
Das hybride Modell in der Praxis
In vielen Fällen bietet sich ein hybrides Modell an. Grundlagenwissen, Sensibilisierung und regelmäßige Auffrischungen können durch standardisierte Lernangebote vermittelt werden. Ergänzend behandeln interne Verantwortliche die eingesetzten Systeme, freigegebenen Tools und unternehmensspezifischen Prozesse. Externe Fachleute können bei juristischen Fragestellungen oder besonders risikoreichen Anwendungen unterstützen.
Entscheidend ist eine klare Struktur. Unternehmen sollten Zielgruppen und Schulungsbedarf bestimmen, ein gemeinsames Grundlagenverständnis schaffen, interne Regeln vermitteln und rollenbezogen vertiefen. Ebenso wichtig sind praktische Übungen sowie die Dokumentation, wer zu welchen Inhalten geschult wurde.
Lernangebote von PINKTUM
PINKTUM unterstützt Unternehmen beim systematischen Aufbau von KI-Kompetenz mit kombinierbaren Lernangeboten: der Pflichtschulung „EU AI Act: Do’s & Don’ts im Umgang mit KI“, Macro-Trainings zum souveränen Umgang mit KI im Arbeitsalltag und Micro-Trainings zu Grundlagen, Datenschutz und AI Literacy im Team.
Fazit: EU-AI-Act-Compliance beginnt bei den Menschen
Der EU AI Act ist mehr als eine neue Compliance-Aufgabe. Er ist ein Anlass, den Umgang mit Künstlicher Intelligenz im Unternehmen bewusst zu gestalten. Ein Überblick über die KI-Nutzung, klare Verantwortlichkeiten und verbindliche Richtlinien bilden dafür den organisatorischen Rahmen. Wirksam werden diese Maßnahmen jedoch erst, wenn Mitarbeitende verstehen, was verantwortungsvolle KI-Nutzung in ihrer konkreten Arbeit bedeutet.
Unternehmen, die jetzt in AI Literacy investieren, reduzieren nicht nur rechtliche, datenschutzbezogene und wirtschaftliche Risiken. Sie schaffen zugleich eine Arbeitskultur, in der Mitarbeitende KI selbstbewusst einsetzen, Ergebnisse kritisch hinterfragen und neue Möglichkeiten produktiv nutzen können.
Die entscheidende Frage lautet deshalb nicht mehr, ob Unternehmen ihre Mitarbeitenden auf die KI-Zukunft vorbereiten müssen, sondern wie sie den Kompetenzaufbau dauerhaft in den Arbeitsalltag integrieren.
Checkliste für den Aufbau von KI-Kompetenz in 6 Schritten
1. Zielgruppen und Schulungsbedarf bestimmen
Unternehmen sollten erfassen, welche Personen mit welchen KI-Systemen arbeiten, wofür sie diese einsetzen und welche Vorkenntnisse sie mitbringen. Dabei sollten sie auch externe Personen berücksichtigen, die im Auftrag des Unternehmens mit KI-Systemen arbeiten. Wer KI für erste Textentwürfe nutzt, benötigt beispielsweise andere Kompetenzen als eine Führungskraft, die KI-gestützte Analysen in Entscheidungen einbezieht.
2. Ein gemeinsames Grundlagenverständnis schaffen
Alle Anwender sollten grundsätzlich verstehen, wie KI-Systeme funktionieren, welche Möglichkeiten sie bieten und wo ihre Grenzen liegen. Dazu gehört das Bewusstsein, dass auch überzeugend formulierte Ergebnisse falsch, unvollständig oder verzerrt sein können.
3. Interne Regeln und Verantwortlichkeiten vermitteln
Beschäftigte müssen wissen, welche Systeme sie für welche Aufgaben nutzen dürfen, welche Daten eingegeben werden können, wer Ergebnisse prüft und freigibt. In der Praxis muss beispielsweise klar sein, welche Kundendaten oder interne Dokumente in ein KI-System eingegeben werden dürfen.
4. Rollen- und anwendungsbezogen schulen
Eine Basisschulung schafft ein gemeinsames Verständnis, reicht aber nicht für alle Tätigkeiten aus. Die Lerninhalte sollten deshalb auf die jeweiligen Aufgaben und eingesetzten Systeme sowie die damit verbundenen Risiken zugeschnitten sein.
5. Praxis und kritische Kontrolle trainieren
Schulungen sollten typische Arbeitssituationen und praktische Übungen enthalten. Beschäftigte sollten beispielsweise trainieren, KI-Ergebnisse auf sachliche Fehler, ungeeignete Quellen und mögliche Verzerrungen zu prüfen.
6. Schulungen dokumentieren und aktualisieren
Unternehmen sollten nachvollziehbar festhalten, welche Zielgruppen zu welchen Inhalten geschult wurden. Kommen neue Systeme, Funktionen oder Einsatzzwecke hinzu, sollten auch die Schulungsinhalte überprüft und angepasst werden, damit der Aufbau der erforderlichen KI-Kompetenz gegenüber Aufsichtsbehörden nachvollziehbar belegt werden kann.
Häufige Fragen zum EU AI Act
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Die Pflicht zur Förderung von KI-Kompetenz nach Artikel 4 gilt unabhängig von der Unternehmensgröße für alle, die KI-Systeme betreiben oder anbieten. Umfang und Tiefe der Maßnahmen dürfen sich aber an den eingesetzten Systemen und den Aufgaben der Mitarbeitenden orientieren.
Brauchen Mitarbeitende ein Zertifikat für KI-Kompetenz?
Nein. Der EU AI Act schreibt weder eine bestimmte Schulung noch ein festgelegtes Zertifikat vor. Entscheidend ist der Nachweis, dass geeignete Maßnahmen ergriffen wurden – rollenbezogen, dokumentiert und regelmäßig aktualisiert.
Drohen Bußgelder, wenn ein Unternehmen keine KI-Schulungen anbietet?
Fehlende Maßnahmen nach Artikel 4 lösen kein eigenes Bußgeld aus. Verstöße gegen die Transparenzpflichten können jedoch mit bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden. Hinzu kommen Datenschutzrisiken und mögliche Haftungsfragen.
Was bedeutet Schatten-KI?
Schatten-KI bezeichnet die Nutzung von KI-Tools, die nicht offiziell freigegeben sind – etwa frei zugängliche Assistenten oder Browser-Erweiterungen. Das Risiko: Vertrauliche Daten gelangen in Systeme, deren Verarbeitung das Unternehmen nicht kontrolliert. Die Verantwortung bleibt trotzdem beim Unternehmen.
Ab wann gelten die Transparenzpflichten des EU AI Act?
Ab dem 2. August 2026. Bei Chatbots muss beim ersten Kontakt erkennbar sein, dass es sich um eine KI handelt. KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet werden. Für Systeme, die vor diesem Datum auf den Markt kamen, gilt eine Nachrüstfrist bis zum 2. Dezember 2026.
Rechtlicher Hinweis
Dieser Beitrag gibt einen allgemeinen Überblick über den EU AI Act, erhebt keinen Anspruch auf Vollständigkeit und ersetzt keine rechtliche Beratung im Einzelfall.