Von der Ergebnispflicht zur Bemühenspflicht
Art. 4 KI-VO gilt bereits seit dem 2. Februar 2025. Die ursprüngliche Fassung verlangte, „nach besten Kräften" ein ausreichendes Maß an KI-Kompetenz der mit Betrieb und Nutzung befassten Personen sicherzustellen – der Sache nach eine Ergebnispflicht. Durch die Verordnung (EU) 2026/1744 wurde dies mit Wirkung zum 27. Juli 2026 geändert: Anbieter und Betreiber müssen nun Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz zu unterstützen. Das Gesetz stellt ausdrücklich klar, dass kein bestimmtes individuelles Kompetenzniveau garantiert werden muss.
Damit ist eine verbreitete ältere Aussage zu korrigieren: Es besteht keine starre Pflicht, jedem KI-Nutzer ein Zertifikat oder eine standardisierte Schulung zu verschaffen. Art. 4 verlangt auch keinen KI-Beauftragten und kein KI-Board. Maßgeblicher Nachweis bleibt die Dokumentation der ergriffenen Fördermaßnahmen.
Warum „nichts tun" trotzdem keine Option ist
Die flexiblere Formulierung ist gerade für KMU hilfreich – aber kein Grund, untätig zu bleiben. Wer Beschäftigten erlaubt, KI für Kundenkommunikation, Vertragsentwürfe, Code, Personalentscheidungen oder sensible Daten einzusetzen, muss damit rechnen, dass fehlendes Wissen unmittelbar zu Rechtsverletzungen führt. Die Kompetenzpflicht ist zudem mit allgemeinen Organisationspflichten verknüpft, die von der Abschwächung des Art. 4 KI-VO völlig unberührt bleiben: die Verkehrssicherungs- und Organisationspflichten nach § 823 Abs. 1 BGB, die Leitungsverantwortung nach § 43 Abs. 2 GmbHG bzw. § 93 Abs. 2 AktG und die Aufsichtspflicht nach § 130 OWiG.
Ein Steuerberatungsbüro erlaubt die Nutzung eines allgemeinen Sprachmodells zur Recherche, ohne auf die Halluzinationsproblematik hinzuweisen. Eine Mitarbeiterin übernimmt eine vom Modell erfundene Verwaltungsanweisung in ein Mandantenschreiben, der Mandant handelt danach und erleidet einen Schaden. Für die Haftung ist unerheblich, dass Art. 4 nur noch eine Bemühenspflicht enthält – maßgeblich ist, ob die Organisation so eingerichtet war, dass ein solch vorhersehbares Fehlerbild beherrscht wird.
Was KI-Kompetenz konkret bedeutet – rollenabhängig
KI-Kompetenz besteht nicht nur darin, gute Prompts zu schreiben. Beschäftigte müssen im für ihre Aufgabe erforderlichen Umfang verstehen, wie das System arbeitet, welche Grenzen es hat, welche Daten eingegeben werden dürfen, welche Fehlerbilder auftreten und wann ein Ergebnis kontrolliert oder eskaliert werden muss. Bei generativer KI zentral: sprachliche Plausibilität garantiert keine Tatsachenrichtigkeit. Der Bedarf ist rollenabhängig:
- Marketing/Vertrieb: Urheberrecht, Persönlichkeitsrechte, Kennzeichnung, Wettbewerbsrecht.
- Personalwesen: Beschäftigtendatenschutz, AGG, automatisierte Entscheidungen, Hochrisikoregeln.
- IT/Entwicklung: Datenqualität, API-Berechtigungen, Prompt Injection, Logging, sichere Integration.
- Führungskräfte: Risikostruktur verstehen, Freigaben treffen, Governance-Qualität beurteilen.
Präsenztraining, Live-Webinar, E-Learning oder dokumentierte Einweisung sind rechtlich nicht hierarchisch geordnet – entscheidend ist die Wirksamkeit im konkreten Kontext. Ein gestuftes Konzept (Basiseinweisung für alle, Vertiefung für sensible Bereiche) ist auch für ein KMU mit wenigen Personentagen im Jahr darstellbar.
Auffrischung und Dokumentation
KI-Systeme verändern sich schnell: neue Modelle, neue Funktionen, neue Connectors. Kompetenzvermittlung ist deshalb ein fortlaufender Prozess. Eine starre gesetzliche Schulungsfrist gibt es nicht; Unternehmen sollten aber feste Überprüfungspunkte vorsehen und zusätzlich bei wesentlichen Systemänderungen, neuen Einsatzfeldern oder neuen Mitarbeitern reagieren.
Praxishinweis: Ein einfaches Schulungsregister genügt für die meisten KMU. Es sollte je Maßnahme Datum, Zielgruppe, Inhalte, betroffene Systeme, Format, Dauer, Teilnehmer und das Datum der geplanten Auffrischung enthalten. Ein Zertifikat ist nicht erforderlich – wichtiger ist der nachvollziehbare Nachweis, dass die Maßnahmen zum tatsächlichen Risiko des Einsatzes passen.