KI-Schulungspflicht: Was Art. 4 KI-VO wirklich verlangt (und was nicht)

Was Art. 4 KI-VO fordert

Art. 4 KI-VO verpflichtet Anbieter und Betreiber von KI-Systemen, dafür zu sorgen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Der Gesetzgeber hat bewusst kein starres Format vorgegeben: kein Pflichtzertifikat, kein bestimmtes Schulungsformat, kein formell benannter KI-Beauftragter.

Stattdessen ist die Pflicht kontextbezogen ausgestaltet. Was "ausreichend" bedeutet, hängt ab von:

• der Rolle des Unternehmens (Anbieter oder Betreiber),
• den eingesetzten KI-Systemen und ihrem Risikoniveau,
• den Vorkenntnissen und dem Ausbildungsstand der Beschäftigten,
• dem Kontext, in dem die Systeme eingesetzt werden, und
• den Personen oder Personengruppen, gegenüber denen die KI-Systeme eingesetzt werden.

Ein Unternehmen, das Bildererkennung in der Qualitätskontrolle einsetzt, braucht andere Schulungsinhalte als ein Unternehmen, dessen Vertriebsteam ChatGPT für Angebotstexte nutzt. Genau diese Kontextabhängigkeit macht die Pflicht in der Praxis anspruchsvoll – ein einmaliges Standardvideo für alle Rollen wird ihr in den seltensten Fällen gerecht.

Wer betroffen ist

Ein verbreitetes Missverständnis: Art. 4 KI-VO gilt angeblich nur für Unternehmen, die selbst KI-Systeme entwickeln. Das Gegenteil ist der Fall. Die Pflicht trifft sowohl Anbieter (wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt) als auch Betreiber (wer ein KI-System in eigener Verantwortung nutzt) – unabhängig von der Unternehmensgröße.

Wer als Mittelständler ausschließlich zugekaufte Tools wie ChatGPT, Microsoft Copilot oder Gemini einsetzt, ist damit in aller Regel Betreiber im Sinne der KI-VO und genauso von Art. 4 erfasst wie ein Softwareunternehmen, das ein eigenes KI-Produkt entwickelt. Die Größe des Unternehmens spielt für die grundsätzliche Anwendbarkeit keine Rolle – sie fließt höchstens in die Frage ein, was im konkreten Fall als "ausreichend" gilt.

Was "ausreichende KI-Kompetenz" laut EU-Kommission bedeutet

Die EU-Kommission hat am 12. Mai 2025 einen offiziellen FAQ-Katalog zur KI-Kompetenz veröffentlicht, der bis heute die wichtigste Auslegungshilfe ist. Die zentrale Aussage: Symbolische oder rein formale Maßnahmen genügen nicht. Gefordert ist ein belastbares, risikoangemessenes Vorgehen, das nachvollziehbar umgesetzt und dokumentiert wird.

Die Bundesnetzagentur hat diese Vorgaben in einem eigenen Hinweispapier für die deutsche Praxis konkretisiert. Der Kern beider Dokumente lässt sich auf drei Anforderungen verdichten:

1. Risikoangemessenheit – die Schulungstiefe muss zum tatsächlichen Einsatzrisiko passen, nicht zu einem pauschalen Mindeststandard.

2. Nachvollziehbarkeit – es muss erkennbar sein, wer wann zu welchen Inhalten geschult wurde.

3. Dokumentation – die Umsetzung muss belegbar sein, nicht nur behauptet.

Wichtig: Aus dem FAQ der Kommission ergibt sich zusätzlich eine praktische Konsequenz für die Sanktionsfrage – dazu gleich mehr. Warum "kein eigenes Bußgeld" nicht "kein Risiko" heißt Hier liegt der Punkt, der in vielen Unternehmen zur trügerischen Entwarnung führt: Nach aktuellem Stand ist ein Verstoß gegen Art. 4 KI-VO in Deutschland nicht mit einem eigenständigen Bußgeldtatbestand bewehrt. Das deutsche KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) listet in seinem Bußgeldkatalog (§ 15 KI-MIG) nur einzelne, ausdrücklich benannte Verstöße auf – etwa gegen Informationspflichten oder die Grundrechte-Folgenabschätzung. Art. 4 taucht dort nicht auf. Nach dem strafrechtlichen Bestimmtheitsgrundsatz (§ 3 OWiG) darf eine Handlung aber nur dann als Ordnungswidrigkeit geahndet werden, wenn die Ahndungsmöglichkeit vorher gesetzlich klar geregelt war. Es entsteht also tatsächlich eine Sanktionslücke – ein Verstoß gegen Art. 4 allein löst derzeit kein eigenes Bußgeld aus.

Das bedeutet aber nicht, dass die Pflicht folgenlos ist. Drei Gründe, warum sie trotzdem ernst zu nehmen ist:

Erstens entfaltet mangelnde Schulung ihre Wirkung meist über andere, sehr wohl bußgeldbewehrte Tatbestände. Wer ungeschulte Mitarbeitende mit KI-Systemen arbeiten lässt, produziert überdurchschnittlich oft Datenschutzverstöße, fehlerhafte Entscheidungen oder Verstöße gegen Transparenzpflichten (Art. 50 KI-VO) – und diese Verstöße sind mit Bußgeldern bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes bewehrt.

Zweitens hat die EU-Kommission in ihrem FAQ vom Mai 2025 klargestellt: Sanktionen im Rahmen der KI-VO werden besonders dann wahrscheinlich, wenn ein Vorfall nachweislich auf unzureichende Schulung oder fehlende Anleitung zurückzuführen ist. Fehlende Schulung wird damit zum belastenden Umstand, sobald es zu einem Schadensfall kommt – unabhängig davon, ob Art. 4 selbst eine eigene Bußgeldnorm hat.

Drittens ist eine Sanktionslücke keine Garantie auf Dauer. Der deutsche Gesetzgeber ist nach Art. 99 Abs. 1 KI-VO ausdrücklich verpflichtet, für jeden Verstoß gegen die Verordnung wirksame, verhältnismäßige und abschreckende Sanktionen vorzusehen. Es wäre keine Überraschung, wenn diese Lücke im Zuge künftiger Novellierungen des KI-MIG geschlossen wird.

Kurz gesagt: "Kein eigenes Bußgeld" ist eine Momentaufnahme der aktuellen Rechtslage, kein Freibrief. Was das für die Praxis bedeutet Wer Art. 4 KI-VO ernst nimmt, sollte drei Dinge tun, bevor er sich mit Formaten oder Anbietern beschäftigt:

Bestandsaufnahme. Welche KI-Systeme werden im Unternehmen eingesetzt – offiziell und, soweit erkennbar, auch inoffiziell? Rollen zuordnen. Wer arbeitet mit welchem System, in welchem Risikokontext? Dokumentation von Anfang an mitdenken. Eine Schulung, die nicht nachweisbar ist, erfüllt die Pflicht in der Praxis nicht vollständig – unabhängig vom Inhalt.

Diese drei Schritte sind zugleich der Ausgangspunkt für die konkrete Umsetzung, die wir in einem eigenen Beitrag als 5-Schritte-Checkliste zusammengefasst haben.

Fazit Art. 4 KI-VO ist kein bürokratisches Nischenthema, sondern eine Pflicht, die praktisch jedes Unternehmen betrifft, das KI-Systeme einsetzt – unabhängig von Größe und davon, ob die Systeme selbst entwickelt oder zugekauft wurden. Die aktuelle Sanktionslücke auf deutscher Ebene ändert daran wenig: Das Risiko verlagert sich lediglich von einem eigenen Bußgeldtatbestand hin zur Haftung im Schadensfall – und dort wiegt eine fehlende, undokumentierte Schulung besonders schwer.

Quellen: Verordnung (EU) 2024/1689 (KI-VO), Art. 4; EU-Kommission, AI Literacy – Questions & Answers (12.05.2025); Bundesnetzagentur, Hinweispapier KI-Kompetenzen nach Art. 4 KI-VO; Verband Deutscher Anwälte e.V., "KI-Kompetenz ist eine betriebliche Organisationspflicht" (Stand August 2026); KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), § 15.