KI-Kompetenz nach dem EU AI Act: Was Unternehmen nach den Änderungen 2026 tun sollten

Ob Textassistent, Auswertung von Kundendaten oder KI-gestützte Bewerbungsvorauswahl: Künstliche Intelligenz hält in immer mehr Unternehmensbereiche Einzug. Damit wächst die Frage, was Beschäftigte über die verwendeten Systeme wissen müssen. Der EU AI Act verlangt Maßnahmen zur Förderung von KI-Kompetenz – doch was bedeutet das nach den Änderungen von 2026 konkret? Ein praxisnaher Leitfaden für Unternehmen.

Was sich bei der KI-Kompetenz 2026 geändert hat

Artikel 4 der europäischen KI-Verordnung gilt seit dem 2. Februar 2025. Er richtet sich an Anbieter und Betreiber von KI-Systemen und betrifft die Menschen, die für sie mit Betrieb oder Nutzung dieser Systeme befasst sind. Im Juli 2026 wurde die Vorschrift durch den sogenannten AI Omnibus geändert. Der entscheidende Punkt: Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz dieser Personen zu unterstützen. Sie müssen jedoch nicht für jede einzelne Person ein bestimmtes Kompetenzniveau garantieren.

Für die Auswahl geeigneter Maßnahmen sind unter anderem technische Kenntnisse, Erfahrung, Aus- und Fortbildung sowie der Einsatzkontext relevant. Ebenso ist zu berücksichtigen, welche Menschen oder Gruppen von einem KI-Einsatz betroffen sind. Der veröffentlichte Änderungstext der EU-Verordnung bildet dafür die rechtliche Grundlage. Die Europäische Kommission erläutert die Vorschrift zusätzlich in ihren Fragen und Antworten zur KI-Kompetenz.

Wer die rechtlichen Anforderungen vertiefen möchte, findet beim Forum für Datenschutz ein Seminar zum EU AI Act und seiner praktischen Umsetzung. Das kostenpflichtige Weiterbildungsangebot ist eine mögliche Ergänzung zu internen Maßnahmen; ein bestimmtes Seminar oder Zertifikat schreibt Artikel 4 nicht vor.

Die Änderungen beseitigen den Handlungsbedarf also nicht. Sie verschieben den Schwerpunkt auf Maßnahmen, die zur jeweiligen Organisation und ihren tatsächlichen KI-Anwendungen passen. Ein Standardkurs kann dabei helfen, ersetzt aber keine Auseinandersetzung mit konkreten Arbeitsabläufen und Risiken.

Welche Unternehmen und Beschäftigten betroffen sind

Der AI Act unterscheidet zwischen Anbietern, die KI-Systeme unter eigenem Namen auf den Markt bringen oder in Betrieb nehmen, und Betreibern, die solche Systeme in eigener Verantwortung verwenden. Ein Unternehmen kann je nach Produkt und Prozess unterschiedliche Rollen einnehmen. Wer einen externen Textassistenten für die tägliche Arbeit einsetzt, sollte deshalb seine Rolle ebenso prüfen wie ein Softwarehaus, das eine KI-Funktion in ein eigenes Produkt integriert.

Bei der KI-Kompetenz geht es nicht ausschließlich um Entwicklerinnen und Entwickler. Relevant sind beispielsweise Beschäftigte im Marketing, die Texte erzeugen, Mitarbeitende im Support, die Antwortvorschläge prüfen, und Führungskräfte, die KI-gestützte Entscheidungen verantworten. Auch Personen außerhalb des Unternehmens können betroffen sein, wenn sie im Auftrag der Organisation mit Betrieb oder Nutzung der Systeme befasst sind.

Ein und dieselbe Einführung für alle Beschäftigten wäre allerdings häufig zu grob. Eine Person, die gelegentlich Formulierungshilfen nutzt, braucht andere Kenntnisse als ein Team, das ein System in interne Datenquellen integriert oder dessen Ergebnisse in Personalentscheidungen einfließen lässt. Die EU-Kommission empfiehlt, Kompetenzen anhand von Rollen, Anwendungen und Risiken zu betrachten.

Eine Bestandsaufnahme schafft die Grundlage

Bevor ein Unternehmen Schulungen einkauft, sollte es wissen, wo KI überhaupt eingesetzt wird. Das klingt selbstverständlich, ist im Alltag aber oft schwierig: Neben offiziell freigegebenen Anwendungen existieren möglicherweise Browser-Erweiterungen, Testkonten und in bestehende Software integrierte KI-Funktionen. Auch Pilotprojekte aus einzelnen Abteilungen können leicht übersehen werden.

Eine einfache Übersicht kann folgende Fragen beantworten:

• Welches System wird zu welchem Zweck verwendet und wer ist dafür verantwortlich?
• Welche Daten werden eingegeben, abgerufen oder weitergegeben?
• Welche Ergebnisse beeinflussen Kundenkommunikation, Entscheidungen oder Geschäftsprozesse?
• Wer prüft die Ergebnisse und wer kann einen Prozess unterbrechen?
• Welche Vorkenntnisse und Unterstützungsbedarfe haben die beteiligten Personen?

Diese Liste muss keine komplizierte Datenbank sein. Für einen ersten Überblick genügt oft eine gepflegte Tabelle, sofern Zuständigkeiten und Aktualisierung geklärt sind. Wichtig ist, den vorgesehenen Einsatz von der tatsächlichen Nutzung zu unterscheiden. Gespräche mit Teams helfen dabei, Abweichungen zu erkennen, ohne Beschäftigte für das Offenlegen experimenteller Nutzung zu bestrafen.

KI-Kompetenz entlang konkreter Aufgaben aufbauen

Grundlagenwissen ist ein guter Anfang: Was kann das System leisten? Warum kann es überzeugende, aber falsche Aussagen erzeugen? Welche Informationen dürfen eingegeben werden? Ebenso wichtig ist das Wissen über Grenzen des konkreten Werkzeugs. Ein Modell, das Texte formuliert, prüft Fakten nicht automatisch zuverlässig. Eine Suche über interne Dokumente kann veraltete Quellen liefern, wenn die Wissensbasis nicht gepflegt wird.

Ein Marketingteam könnte beispielsweise üben, eine KI-generierte Produktbeschreibung anhand freigegebener Produktinformationen zu überprüfen. Im Kundenservice wäre ein plausibler Testfall, einen Antwortvorschlag mit dem aktuellen Regelwerk abzugleichen und bei unklarer Quellenlage an einen Menschen zu übergeben. Für die Personalabteilung wiederum wären Datenschutz, mögliche Verzerrungen und die Grenzen automatisierter Bewertungen zentrale Themen.

Bei jedem Beispiel sollte erkennbar sein, welche Entscheidung Menschen selbst treffen, wann zusätzliche Fachkenntnis nötig ist und wie Fehler gemeldet werden. Gute KI-Kompetenz bedeutet nicht, dass Beschäftigte jedes Modell technisch erklären können. Sie sollen vielmehr ihre Werkzeuge angemessen nutzen, Ergebnisse kritisch einordnen und mit Risiken in ihrem Arbeitsbereich umgehen können.

Dieses Bild wurde mit KI generiertProviderHiggsfieldModellOpenAI GPT Image 2.5 FlarePromptEditorial photograph illustrating AI literacy training in practice: a small team of colleagues evaluates an AI-generated document together on a screen, verifying information and discussing potential errors, modern office, realistic natural lighting, muted blue and teal palette, no legible text, no logos, widescreen 16:9.

Schulungen, Leitlinien und Übungen kombinieren

Artikel 4 schreibt kein einheitliches Schulungsformat und keine allgemeine Zertifizierung für alle Beschäftigten vor. In den FAQ der EU-Kommission wird aber deutlich, dass Maßnahmen zum jeweiligen Kontext passen müssen. Eine Bedienungsanleitung lediglich bereitzulegen, kann in vielen Fällen zu wenig sein. Denkbar sind etwa kurze Einführungen, moderierte Übungen, schriftliche Arbeitsanweisungen und begleitende Sprechstunden.

Für ein mittelständisches Unternehmen könnte ein Programm in drei Stufen sinnvoll sein: Zunächst erhalten alle unmittelbar betroffenen Beschäftigten eine Einführung in Chancen, typische Fehler und interne Regeln. Danach folgen bereichsspezifische Übungen mit echten, datenschutzgerecht aufbereiteten Szenarien. Verantwortliche für Auswahl, Integration und Kontrolle von KI-Systemen vertiefen schließlich rechtliche, technische und organisatorische Fragen.

Schulungen sollten nicht nur die Bedienung zeigen. Sinnvoll sind auch Gegenbeispiele: Was passiert, wenn ein System eine Quelle erfindet? Wie erkennen Beschäftigte, dass eine Antwort unvollständig ist? Wann dürfen personenbezogene Daten nicht in ein externes Werkzeug eingegeben werden? Und wer ist bei einem Vorfall anzusprechen? Solche Fragen verbinden Regulierung mit dem tatsächlichen Arbeitsalltag.

Verantwortlichkeiten und Dokumentation festlegen

Auch ein gutes Lernangebot verliert an Wirkung, wenn niemand weiß, wer es pflegt. Eine verantwortliche Stelle sollte daher die Bestandsaufnahme koordinieren, Fachbereiche einbeziehen und festlegen, wann Inhalte überprüft werden. Datenschutz, Informationssicherheit, Personalvertretung und Rechtsabteilung können je nach Organisation und Einsatz eine wichtige Rolle spielen.

Die Kommission nennt interne Aufzeichnungen über Schulungen oder andere Maßnahmen als Möglichkeit. Aus Artikel 4 folgt dabei weder ein allgemein vorgeschriebenes Zertifikat noch ein einheitliches Dokumentationsformular. Praktisch können Datum, Zielgruppe, Inhalte, eingesetzte Formate und nächste Überprüfung festgehalten werden. So lässt sich nachvollziehen, welche Überlegungen hinter einem Programm standen und wo noch Lücken bestehen.

Ein kurzer Wissenstest oder eine praktische Übung kann zur Qualitätssicherung nützlich sein. Die Kommission stellt zugleich klar, dass Artikel 4 keine allgemeine Pflicht vorsieht, das Wissen jeder Person zu messen. Unternehmen sollten Tests deshalb als Lerninstrument gestalten und nicht mit einem gesetzlich vorgeschriebenen Kompetenznachweis verwechseln.

Hochrisiko-Systeme verlangen eine gesonderte Betrachtung

Nicht jede KI-Anwendung ist automatisch ein Hochrisiko-System. Entscheidend sind der vorgesehene Zweck und die rechtliche Einordnung nach der Verordnung. Einige Einsatzbereiche im Zusammenhang mit Beschäftigung, Bildung oder kritischer Infrastruktur können unter die Hochrisiko-Regeln fallen; die Bewertung sollte anhand des konkreten Falls erfolgen. Ein Begriff wie „KI im Personalwesen“ allein ersetzt diese Prüfung nicht.

Für Betreiber bestimmter Hochrisiko-Systeme bestehen zusätzliche Anforderungen, etwa an die menschliche Aufsicht. Die beauftragten Personen müssen dafür über geeignete Kompetenz, Schulung und Unterstützung verfügen, soweit die einschlägigen Vorschriften auf das jeweilige System anwendbar sind. Eine allgemeine Basisschulung für Textassistenten dürfte dafür regelmäßig nicht ausreichen.

Die Anwendungsfristen wurden 2026 angepasst: Nach Angaben der EU-Kommission gelten die Hochrisiko-Regeln für die in Anhang III genannten Einsatzbereiche grundsätzlich ab dem 2. Dezember 2027. Für Hochrisiko-KI als Bestandteil bestimmter regulierter Produkte nennt sie den 2. August 2028. Welche Frist und welche Pflichten im Einzelfall greifen, hängt von der konkreten Einordnung ab. Ein Aufschub für bestimmte Hochrisiko-Regeln bedeutet nicht, dass bereits geltende Pflichten zur KI-Kompetenz entfallen.

Die Übersicht der EU-Kommission zum AI Act und der veröffentlichte Verordnungstext bieten einen Ausgangspunkt für die Einordnung. Bei komplexen Fällen sollte eine rechtliche und technische Prüfung hinzukommen.

Ein praktikabler Fahrplan für die nächsten Wochen

1. KI-Nutzung erfassen: Systeme, Zwecke, Daten und verantwortliche Teams zusammentragen.
2. Rollen und Risiken bewerten: Zwischen gelegentlicher Nutzung, Integration und besonders folgenreichen Anwendungen unterscheiden.
3. Maßnahmen auswählen: Grundlagenwissen mit aufgabenspezifischen Übungen und klaren Arbeitsanweisungen verbinden.
4. Verantwortung verteilen: Ansprechpersonen für Freigabe, Support, Datenschutz und Fehlerberichte benennen.
5. Wirksamkeit überprüfen: Rückmeldungen sammeln, praktische Probleme auswerten und Inhalte bei neuen Anwendungen aktualisieren.

Ein solcher Fahrplan kann schlank beginnen und mit dem Einsatz wachsen. Wer nur wenige freigegebene Werkzeuge nutzt, braucht nicht dieselbe Organisationsstruktur wie ein Anbieter mit mehreren KI-Produkten. Entscheidend ist, dass die gewählten Maßnahmen zu den tatsächlichen Aufgaben passen und regelmäßig überprüft werden.

Fazit: Kompetenz ist eine laufende Aufgabe

Die Änderungen von 2026 machen deutlich, dass es bei KI-Kompetenz nicht um ein vorgeschriebenes Einheitszertifikat geht. Unternehmen sollen die Entwicklung von Wissen und Fähigkeiten ihrer Beschäftigten unterstützen und dabei Einsatzkontext und Risiken berücksichtigen. Für die Praxis bedeutet das: Anwendungen kennen, Menschen gezielt befähigen und Verantwortlichkeiten klären.

Richtig umgesetzt, kann daraus mehr entstehen als eine formale Pflicht. Teams lernen, KI-Ergebnisse besser zu prüfen, sensible Informationen bewusster zu behandeln und Automatisierung sinnvoll zu begrenzen. Damit wird KI-Kompetenz zu einer Grundlage für verlässliche Prozesse – und für einen Einsatz, der Chancen eröffnet, ohne Risiken auszublenden.