KI-Schulung Pflicht: Was der AI Act von KMU verlangt

Ist eine KI-Schulung Pflicht? Einen Pflichtkurs mit Zertifikat schreibt das Gesetz nicht vor. Artikel 4 der KI-Verordnung (EU AI Act) verlangt aber von jedem Unternehmen, das KI beruflich einsetzt, Maßnahmen, die die KI-Kompetenz der Mitarbeitenden fördern. Das gilt seit Februar 2025, auch für ChatGPT im Büro. Der Digital Omnibus hat die Pflicht im Juli 2026 entschärft, aber nicht gestrichen.

Aktualisiert: Oktober 2026. Rechtsstand: KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744 und deutsches KI-MIG, geprüft am 16. Oktober 2026.

Ich bin Linh Phung Hoang, Full-Stack-Entwickler aus Berlin mit acht Jahren Berufserfahrung. Zuletzt habe ich RAG- und Agenten-Produkte gebaut, heute automatisiere ich Büroprozesse kleiner und mittlerer Unternehmen mit KI. Bevor ich einen KI-Ablauf baue, kläre ich mit dem Team, wer welche KI nutzt und was dabei schiefgehen kann. Genau das verlangt Artikel 4 im Kern. Hier lesen Sie, wie Sie das mit wenig Aufwand erledigen und belegen.

Wenn Sie KI nicht nur regelkonform nutzen, sondern damit Abläufe automatisieren wollen: Im kostenlosen Prozess-Check schauen wir gemeinsam auf einen konkreten Prozess.

Ist eine KI-Schulung Pflicht? Die kurze Antwort#

Frage	Antwort
Gilt das für meinen Betrieb?	Ja, sobald jemand in Ihrem Auftrag KI beruflich nutzt, egal wie groß der Betrieb ist. ChatGPT, Copilot oder ein KI-Übersetzer reichen.
Seit wann?	Seit dem 2. Februar 2025. Die Aufsicht durch die Behörden läuft seit August 2026.
Muss es eine Schulung sein?	Nein. Gefordert sind „Maßnahmen“: Einweisung, Online-Kurs, Nutzungsregel mit Beispielen oder eine Kombination.
Brauche ich ein Zertifikat?	Nein.
Muss jede Person ein bestimmtes Niveau erreichen?	Nein, seit der Änderung 2026 ausdrücklich nicht.
Gibt es ein Bußgeld?	In Deutschland derzeit keinen eigenen Bußgeldtatbestand für Artikel 4. Das Risiko liegt bei Haftung und Aufsicht.
Muss ich dokumentieren?	Nicht ausdrücklich, aber ohne Dokumentation können Sie nichts belegen.

Was steht in Artikel 4 der KI-Verordnung?#

Die KI-Verordnung (EU) 2024/1689 verpflichtete Anbieter und Betreiber ursprünglich, „nach besten Kräften sicherzustellen“, dass ihr Personal über ein „ausreichendes Maß an KI-Kompetenz“ verfügt. Was „ausreichend“ heißt, blieb offen. Viele Seiten zum Thema zitieren bis heute diese alte Fassung.

Mit der Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, lautet Absatz 1 jetzt so:

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind (…). Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“

Punkt	Fassung 2024	Fassung seit 27. Juli 2026
Kern der Pflicht	Ausreichende KI-Kompetenz „nach besten Kräften sicherstellen“	Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz unterstützen
Ziel-Niveau	„ausreichend“, nicht definiert	ausdrücklich kein garantiertes Niveau pro Person
Wer, für wen, Maßstab	Anbieter und Betreiber, für Personal und andere Personen in ihrem Auftrag, gemessen an Kenntnissen, Erfahrung und Einsatzkontext	unverändert
Rolle des Staates	in Artikel 4 nicht geregelt	Kommission und Mitgliedstaaten unterstützen, besonders KMU

Für Sie heißt das dreierlei. Erstens: Nichtstun bleibt ein Verstoß. Zweitens: Der Maßstab ist Ihr Kontext, also welche Tools Ihre Leute wofür nutzen und wen das Ergebnis betrifft. Drittens: Niemand prüft das Wissen Ihrer Leute wie bei einer Führerscheinprüfung. Prüfbar ist, ob Sie sich nachvollziehbar gekümmert haben.

„Andere Personen“ sind Menschen, die nicht bei Ihnen angestellt sind, aber in Ihrem Auftrag mit KI arbeiten. Die EU-Kommission nennt in ihrem FAQ zur KI-Kompetenz (Stand 27. Juli 2026) Auftragnehmer, Dienstleister und sogar Kunden. Im KMU-Alltag sind das vor allem Freelancer, Leiharbeitskräfte und die externe Agentur, die Ihre Social-Media-Texte mit KI schreibt.

Für wen gilt die KI-Kompetenz-Pflicht: Anbieter oder Betreiber?#

Die KI-Verordnung kennt zwei Rollen, die hier zählen:

• Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet (Art. 3 Nr. 4). Rein private Nutzung ist ausgenommen.
• Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3).

Fast alle kleinen Betriebe sind Betreiber. Interessant wird es, wenn Sie sich einen eigenen Chatbot oder Telefonassistenten bauen lassen und ihn unter Ihrem Namen einsetzen. Dann können Sie selbst als Anbieter gelten. Wenn ich so etwas für einen Betrieb baue, klären wir diese Rollenfrage vor dem Start und halten sie schriftlich fest.

Situation	Rolle	Artikel 4 relevant?
Team nutzt ChatGPT, Copilot oder DeepL für Texte und Übersetzungen	Betreiber	Ja. Die EU-Kommission bestätigt das für ChatGPT ausdrücklich.
Fertiger KI-Telefonassistent eines Anbieters	Betreiber	Ja
KI-Belegerkennung in der Buchhaltungssoftware	Betreiber	Ja, für die Personen, die damit arbeiten
Eigener Chatbot, gebaut im Auftrag, läuft unter Ihrem Namen	möglicherweise Anbieter	Ja, dazu kommen Anbieterpflichten wie Art. 50 Abs. 1
Mitarbeiterin nutzt KI am Wochenende privat	keine	Nein
Mitarbeiter schreibt Kundenmails mit privatem KI-Account	rechtlich nicht abschließend geklärt	Praktisch ja: regeln statt ignorieren

Die letzte Zeile ist eine typische Lücke. Ein häufiges Szenario: Offiziell nutzt niemand KI, tatsächlich formuliert jemand im Büro Angebotstexte längst mit einem privaten Account. Das ist kein Vorwurf an die Leute. Es zeigt nur, dass Ihr Verzeichnis bei der Frage beginnt, was tatsächlich genutzt wird, nicht bei dem, was offiziell eingeführt wurde.

Was bedeutet ausreichende KI-Kompetenz für einen Betrieb mit 10 Leuten?#

KI-Kompetenz definiert die Verordnung als die Fähigkeiten, Kenntnisse und das Verständnis, um KI sachkundig einzusetzen und sich ihrer Chancen, Risiken und möglichen Schäden bewusst zu sein (Art. 3 Nr. 56). Wie Sie dahin kommen, legt das Gesetz nicht fest. Die Bundesnetzagentur schlägt auf ihrer Seite zur KI-Kompetenz ein Stufenmodell vor. Übersetzt auf einen kleinen Betrieb sieht das so aus:

Stufe	Für wen	Inhalte	Format (Vorschlag)	Zeit pro Person (Annahme)
1 Grundlagen	alle, die KI nutzen	Was ein Sprachmodell kann und nicht kann, erfundene Fakten, welche Daten tabu sind, Ergebnis prüfen	interne Runde oder kostenloser Online-Kurs	1 bis 2 Stunden
2 Tool und Ablauf	wer ein bestimmtes Tool nutzt	freigegebene Tools, was hinein darf, Prüfschritt, Kennzeichnung, Fehler melden	Einweisung am echten Beispiel	etwa 1 Stunde pro Tool
3 Verantwortung	Geschäftsführung, wer Tools einführt oder Abläufe automatisiert	Anbieter oder Betreiber, Datenschutz und AVV, Transparenzpflichten, Risiken automatisierter Abläufe	vertiefender Kurs, extern oder online	3 bis 8 Stunden

Beispiel zur Veranschaulichung, kein Kundenfall: ein Elektrobetrieb mit zehn Leuten. Zwei Personen im Büro nutzen ChatGPT für Angebotstexte und die KI-Belegerkennung der Buchhaltungssoftware. Die Chefin testet einen Telefonassistenten. Die sechs Monteure nutzen keine KI. Angemessen wäre Stufe 1 für die drei Nutzenden, Stufe 2 für das Büro (Angebote, Belege) und für die Chefin (Telefon) sowie Stufe 3 für die Chefin. Die Monteure brauchen keine Schulung, aber einen Satz in der Nutzungsregel: keine Kundendaten in private KI-Apps.

Was in fast jede Grundschulung gehört#

• Erfundene Fakten: Sprachmodelle formulieren falsche Preise, Normen oder Paragrafen sehr überzeugend. Alles mit Außenwirkung liest ein Mensch gegen.
• Datenregeln: Welche Daten in welches Tool dürfen. Kunden-, Gesundheits- oder Mandantendaten nur in freigegebene Tools mit Auftragsverarbeitungsvertrag (AVV). Details in der Checkliste für DSGVO-konforme KI.
• Versteckte Anweisungen: Liest eine KI E-Mails oder PDFs, können darin Befehle an die KI stecken (Prompt-Injection). Deshalb löst KI keine Zahlungen, Löschungen oder Versandaktionen ohne Freigabe aus.
• Kennzeichnung: Wann KI-Inhalte offengelegt werden müssen (siehe Abschnitt zu Artikel 50).
• Verbote: KI zur Emotionserkennung am Arbeitsplatz ist seit Februar 2025 verboten (Art. 5 Abs. 1 Buchst. f).
• Ansprechperson: Wen man fragt und wo man Fehler meldet.

Wer ohnehin jährlich zum Datenschutz unterweist, hängt die KI-Einheit am besten dort an. Die Themen überschneiden sich stark.

Was Sie nicht brauchen#

Die Bundesnetzagentur schreibt ausdrücklich, dass die Verordnung keine standardisierten Trainings, keine (externen) Zertifizierungen und keinen KI-Beauftragten verlangt. Die EU-Kommission ergänzt, dass Sie das KI-Wissen Ihrer Leute nicht messen müssen. Sie hält aber den bloßen Verweis auf Bedienungsanleitungen für nicht ausreichend.

Wo Schulung allein nicht reicht#

Aus meiner Arbeit an Automatisierungen: Die wirksamste Schutzmaßnahme ist der Ablauf, nicht das Seminar. Wenn KI ein Angebot vorformuliert, gibt ein Mensch es frei. Wenn die KI bei einer Belegzuordnung unsicher ist, also unter einer vorher festgelegten Sicherheitsschwelle liegt, landet der Fall bei einer Person statt im System. Nicht automatisieren würde ich verbindliche Zusagen an Kunden, Zahlungsfreigaben, Kündigungen, seltene Sonderfälle und alles mit sensiblen Daten ohne geklärte Rechtsgrundlage. Wie man solche Abläufe aufbaut, steht im Leitfaden Prozessautomatisierung mit KI für KMU.

KI-Kompetenz-Nachweis: Vorlage für kleine Betriebe#

Ein Nachweis ist gesetzlich nicht vorgeschrieben. Die Bundesnetzagentur empfiehlt aber, Maßnahmen so zu dokumentieren, dass Sie die Einhaltung jederzeit zeigen können: Art, Inhalt, Umfang und Teilnehmende, dazu regelmäßige Überprüfung und Auffrischung. Die EU-Kommission nennt ein internes Verzeichnis der Schulungen ausdrücklich als Möglichkeit. Für einen kleinen Betrieb schlage ich drei Dokumente vor. Kopieren Sie die Tabellen in Ihre Tabellenkalkulation.

Teil 1: KI-Verzeichnis

Tool	Zweck	Wer nutzt es	Was darf hinein	Prüfschritt	Rolle	AVV
Chat-Assistent (z. B. ChatGPT, Copilot)	Angebotstexte, E-Mail-Entwürfe	Büro, 2 Personen	keine Gesundheitsdaten, keine Bankdaten	Mensch liest vor Versand	Betreiber	ja / nein
KI-Belegerkennung	Belege vorkontieren	Buchhaltung	Eingangsrechnungen	Stichprobe, unsichere Fälle manuell	Betreiber	ja / nein

Teil 2: Nachweis der Maßnahmen

Datum	Maßnahme	Inhalt	Dauer	Teilnehmende	Durchgeführt von	Nächste Auffrischung
20.10.2026	Interne Runde, Stufe 1	erfundene Fakten, Datenregeln, Prüfpflicht	90 Min.	A. B., C. D., E. F.	Geschäftsführung	bei neuem Tool, spätestens 10/2027

Teil 3: Nutzungsregel (eine Seite). Sie enthält die freigegebenen Tools, die verbotenen Daten, die Pflicht zum Gegenlesen, die Kennzeichnungsregel und eine Ansprechperson. Jede Person bestätigt mit Datum, dass sie die Regel kennt.

So setzen Sie das in einem Monat um:

• KI-Verzeichnis anlegen, auch KI-Funktionen in vorhandener Software (30 bis 60 Minuten)
• Rolle je Tool klären: Betreiber oder Anbieter
• Nutzungsregel schreiben und freigeben
• Stufe 1 für alle Nutzenden, Stufe 2 je Tool
• Maßnahmen dokumentieren und einen Termin für die Auffrischung setzen

Haben Sie einen Betriebsrat, binden Sie ihn früh ein. Über die Planung von Arbeitsabläufen „einschließlich des Einsatzes von Künstlicher Intelligenz“ ist er zu unterrichten (§ 90 BetrVG), bei betrieblichen Bildungsmaßnahmen bestimmt er mit (§ 98 BetrVG).

Welche Strafen drohen? Sanktionen, Haftung und aktuelle Fristen#

Aufsicht: Zuständig ist seit dem 29. Juli 2026 die Bundesnetzagentur. Das regelt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), BGBl. 2026 I Nr. 223. Laut EU-Kommission beaufsichtigen die nationalen Behörden Artikel 4 ab August 2026.

Bußgeld: Das KI-MIG listet in § 15 die Verstöße, die mit bis zu 50.000 Euro geahndet werden können, und verweist in § 16 auf die Bußgelder der KI-Verordnung (Art. 99 Abs. 3 bis 5). Artikel 4 steht in keiner der beiden Listen. Stand heute gibt es in Deutschland also kein Bußgeld speziell für fehlende KI-Kompetenz. Die Bundesnetzagentur hat trotzdem Aufsichtsbefugnisse (§ 11 KI-MIG) und kann bei Verstößen tätig werden.

Haftung: Das größere Risiko liegt im Schadensfall. Die Bundesnetzagentur schreibt: „Ein Mangel an KI-Kompetenz kann als Verletzung der Sorgfaltspflicht angesehen werden.“ Schickt Ihr Büro ein Angebot mit einer von der KI erfundenen Gewährleistungszusage raus, wird die Frage gestellt, ob Sie Ihre Leute angemessen eingewiesen haben.

Transparenz: Anders als Artikel 4 sind Verstöße gegen die Transparenzpflichten nach Artikel 50 bußgeldbewehrt: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, für KMU gilt jeweils der niedrigere Betrag (Art. 99 Abs. 4 Buchst. g und Abs. 6). Zudem müssen die Mitgliedstaaten bei Sanktionen die Interessen und das wirtschaftliche Überleben von KMU berücksichtigen (Art. 99 Abs. 1 in der neuen Fassung).

Datum	Was gilt
2. Februar 2025	Artikel 4 (KI-Kompetenz) und die Verbote nach Artikel 5
27. Juli 2026	Digital Omnibus in Kraft, Artikel 4 neu gefasst
29. Juli 2026	KI-MIG in Kraft, Bundesnetzagentur zentrale Aufsicht
2. August 2026	Allgemeiner Geltungsbeginn, darunter die Transparenzpflichten nach Artikel 50
2. Dezember 2026	Frist für Anbieter generativer KI, die schon vor dem 2. August 2026 am Markt war, für die maschinenlesbare Markierung (Art. 50 Abs. 2). Zudem gelten neue Verbote in Artikel 5, etwa für sexualisierte Deepfakes ohne Einwilligung.
2. Dezember 2027	Pflichten für Hochrisiko-KI nach Anhang III, etwa bei Bewerberauswahl oder Kreditwürdigkeitsprüfung (verschoben vom 2. August 2026)
2. August 2028	Hochrisiko-KI nach Anhang I, also KI in regulierten Produkten

Für die meisten kleinen Betriebe zählen davon Artikel 4 und Artikel 50. Hochrisiko-Pflichten betreffen Sie erst, wenn Sie KI etwa zur Vorauswahl von Bewerbungen einsetzen. Prüfen Sie die Fristen am Tag Ihrer Umsetzung erneut, die EU hat sie bereits einmal verschoben.

Welche Transparenzpflichten gelten seit August 2026?#

Seit dem 2. August 2026 gilt Artikel 50. Die Bundesnetzagentur fasst die Transparenzpflichten nach Rollen zusammen. Für einen kleinen Betrieb sind vier Fälle relevant:

• Chatbot oder Telefonassistent: Menschen müssen erfahren, dass sie mit einer KI sprechen, außer es ist offensichtlich (Art. 50 Abs. 1). Formal ist das eine Anbieterpflicht. Prüfen Sie trotzdem, ob die Begrüßung Ihres Systems das sagt, zum Beispiel: „Guten Tag, Sie sprechen mit dem digitalen Assistenten der Firma Muster. Ich bin eine KI und nehme Ihr Anliegen auf.“ Mehr dazu im Beitrag zum KI-Telefonassistenten mit Anbietern, Kosten und Rechtslage.
• Deepfakes: KI-Bilder, -Videos oder -Audios, die real existierenden Personen, Orten oder Ereignissen ähneln und fälschlich echt wirken, müssen Sie als Betreiber offenlegen (Art. 50 Abs. 4). Bei erkennbar künstlerischen oder satirischen Werken reicht ein Hinweis in angemessener Form, der das Werk nicht stört.
• KI-Texte zu Themen von öffentlichem Interesse: Kennzeichnungspflichtig, außer ein Mensch hat sie geprüft und jemand trägt die redaktionelle Verantwortung. Wer Texte vor der Veröffentlichung prüft und als Unternehmen dafür einsteht, fällt in der Regel unter diese Ausnahme.
• Emotionserkennung oder biometrische Kategorisierung: Betroffene müssen informiert werden (Art. 50 Abs. 3). Am Arbeitsplatz ist Emotionserkennung ohnehin verboten.

Der Hinweis muss klar erkennbar sein und spätestens bei der ersten Interaktion kommen (Art. 50 Abs. 5). Nehmen Sie diese Fälle in Stufe 2 der Schulung auf. Dort entscheidet sich, ob jemand im Alltag daran denkt.

KI-Schulung intern oder extern: Optionen und Kosten#

Option	Kosten	Passt, wenn
Interne Runde, geleitet von Geschäftsführung oder einer KI-erfahrenen Person	nur Arbeitszeit	wenige Tools, klare Abläufe
KI-Campus oder Elements of AI auf Deutsch	kostenlose Kurse (Stand Oktober 2026, bitte prüfen)	Stufe 1 im Selbststudium
Mittelstand-Digital Zentren	kostenfreie Angebote für KMU, laut Bundesnetzagentur rund 100 KI-Trainer	Workshops und neutrale Beratung
Kommerzielle Kurzschulung	Beispiel: eRecht24 bewirbt eine 2-Stunden-Schulung für 99 Euro zzgl. USt. pro Person (Stand Oktober 2026, bitte prüfen)	rechtlicher Überblick für Stufe 1 und 3
Workshop zu Ihren eigenen Abläufen	Angebot einholen	wenn KI in konkrete Prozesse eingebaut wird

Kein allgemeiner Kurs kennt Ihre Tools, Ihre Daten und Ihre Kunden. Stufe 2 bleibt deshalb fast immer intern.

Beispielrechnung, Annahmen: 10 Mitarbeitende, davon 6 mit KI-Nutzung. Interne Kosten 45 Euro pro Arbeitsstunde inklusive Lohnnebenkosten (bitte durch Ihren eigenen Satz ersetzen). Stufe 1 dauert intern 1,5 Stunden, extern 2 Stunden. Stufe 3 nur für die Geschäftsführung.

Posten	Variante intern	Variante mit externem Kurs
Stufe 1, 6 Personen	9 Stunden	12 Stunden plus 6 × 99 Euro
Stufe 2, Tool-Einweisung	6 Stunden	6 Stunden
Stufe 3, Geschäftsführung	4 Stunden	4 Stunden
Vorbereitung und Dokumentation	4 Stunden	2 Stunden
Summe Arbeitszeit	23 Stunden, ca. 1.035 Euro	24 Stunden, ca. 1.080 Euro
Kursgebühren netto	0 Euro	594 Euro
Gesamt im ersten Jahr	ca. 1.035 Euro	ca. 1.674 Euro

Der größte Kostenblock ist die Arbeitszeit, nicht die Kursgebühr. Wählen Sie das Format danach, wer Ihrem Team die eigenen Tools am besten erklären kann. Wie andere Mittelständler KI organisatorisch einführen, beschreibt der Praxisleitfaden KI im Mittelstand.

Mythen-Check: Was über die KI-Kompetenz-Pflicht falsch kursiert#

Behauptung	Stimmt das?
„Ohne Zertifikat drohen Bußgelder.“	Nein. Ein Zertifikat ist nicht vorgeschrieben, und für Artikel 4 gibt es in Deutschland derzeit keinen eigenen Bußgeldtatbestand.
„Der Omnibus hat die Pflicht abgeschafft.“	Nein. Er hat sie abgeschwächt. Maßnahmen bleiben Pflicht.
„Das betrifft nur Firmen, die KI entwickeln.“	Nein. Reine Nutzer sind als Betreiber erfasst.
„Wir nutzen gar keine KI.“	Prüfen Sie Ihre Software und fragen Sie Ihr Team. KI steckt oft in Funktionen, die niemand als KI wahrnimmt.

Fazit: Kleiner als befürchtet, aber nicht optional#

Die KI-Schulungspflicht ist kleiner, als viele Seminarangebote nahelegen, und größer, als die Schlagzeilen zum Omnibus vermuten lassen. Für einen kleinen Betrieb heißt sie: wissen, wer welche KI nutzt, Regeln aufschreiben, kurz einweisen, dokumentieren und bei neuen Tools auffrischen. In der Beispielrechnung sind das gut 20 Arbeitsstunden im ersten Jahr für zehn Leute.

Ihr nächster Schritt: Legen Sie diese Woche das KI-Verzeichnis aus der Vorlage an. Wenn Sie dabei merken, dass ein Ablauf eigentlich automatisiert gehört, schauen wir ihn uns gemeinsam an. Auf der Seite zur KI-Prozessautomatisierung können Sie den kostenlosen Prozess-Check anfragen: Konditionen besprechen wir im Gespräch.