KI-Schulungspflicht nach Artikel 4: was Unternehmen wirklich nachweisen müssen

Im Postfach eines Hamburger Maschinenbauers lag im August eine Mail mit einer runden Zahl: 15 Millionen Euro Bußgeld, falls das Team nicht bis zum Jahresende nach Artikel 4 der KI-Verordnung geschult sei. Angehängt war ein Angebot über 6.800 Euro für zwei Tage. Der Geschäftsführer rief an und fragte, ob er das buchen müsse. Die Antwort ist kürzer als das Angebot: Die Pflicht gibt es. Die Zahl gibt es nicht.

Die Pflicht kommt aus Brüssel, erfüllt wird sie im eigenen Besprechungsraum. Foto: Anna Shvets auf Pexels

Der Satz, der seit dem 27. Juli 2026 anders lautet

Wer nach „KI-Schulungspflicht” sucht, landet fast immer bei derselben Formulierung. Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um „nach besten Kräften sicherzustellen”, dass ihr Personal „über ein ausreichendes Maß an KI-Kompetenz verfügt”. Dieser Satz stand in Artikel 4 der KI-Verordnung, als sie am 2. Februar 2025 anwendbar wurde, und er ist die Grundlage für so ziemlich jedes Schulungsangebot im deutschen Markt.

Er steht dort nicht mehr. Die Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744 vom 8. Juli 2026, verkündet im Amtsblatt am 24. Juli, hat Artikel 4 mit Wirkung zum 27. Juli 2026 vollständig ersetzt. Die geltende Fassung von Absatz 1 verlangt von Anbietern und Betreibern, Maßnahmen zu ergreifen, „um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, berücksichtigt werden”.

Der Unterschied klingt nach Wortklauberei und ist keine. Vorher schuldetest du ein Ergebnis, nämlich ein ausreichendes Kompetenzniveau bei den Leuten, die mit deinen Systemen arbeiten. Jetzt schuldest du eine Organisationsleistung, nämlich Maßnahmen, die diese Kompetenz fördern. Die Verordnung sagt dazu ausdrücklich, dass niemand für irgendeine Person ein bestimmtes Niveau garantieren muss. Wenn eine Kollegin nach der Schulung immer noch Kundendaten in ein privates Chatfenster tippt, hast du dadurch allein Artikel 4 nicht verletzt. Du hast dann ein anderes Problem, und das sitzt in der DSGVO und in deiner internen KI-Richtlinie.

Zwei weitere Absätze werden selten erwähnt, obwohl sie praktisch nützlich sind. Absatz 2 verpflichtet Kommission und Mitgliedstaaten, die Bemühungen von Anbietern und Betreibern zu unterstützen, und die Kommission veröffentlicht dazu praktische Beispiele auf ihrer zentralen Informationsplattform. Absatz 3 beauftragt das KI-Gremium mit Empfehlungen unter Berücksichtigung der europäischen Kompetenzrahmen. Beides sind Hilfsangebote, die du bei der Frage „was reicht denn nun?” tatsächlich zitieren kannst.

Betreiber wird man schneller, als die meisten Geschäftsführer denken

Die zweite Standardfrage in unseren Erstgesprächen: Betrifft uns das überhaupt, wir entwickeln ja keine KI. Die Antwort steckt in Artikel 3 Nummer 4. Betreiber ist „eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet”.

In diesem Halbsatz steckt die ganze Reichweite. Keine Mitarbeiterzahl, keine Umsatzschwelle, keine Branchenliste. Es zählt nur, ob im Betrieb dienstlich ein KI-System verwendet wird. Das ist der Fall, sobald der Vertrieb Angebotstexte in ChatGPT vorschreiben lässt, sobald Microsoft 365 mit aktivem Copilot ausgerollt ist, sobald ein Bewerbungstool Lebensläufe vorsortiert oder sobald die Buchhaltung Rechnungen per Texterkennung mit Lernanteil verarbeitet. Vier Beschäftigte reichen genauso wie vierhundert.

Der zweite Teil der Pflicht wird noch häufiger übersehen. Artikel 4 erfasst das eigene Personal „und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind”. Damit sind Freelancer, Werkstudentinnen und die Agentur gemeint, die für dich Content produziert. Wer seine Texterstellung ausgelagert hat und dort einen KI-Einsatz duldet, kann die Kompetenzfrage vertraglich regeln, aus der Welt ist sie nicht.

Neun Ratgeberseiten geprüft: woher die Bußgeld-Zahl stammt

Für diesen Artikel habe ich am 21. September 2026 neun deutschsprachige Ratgeber-, Anbieter- und Kanzleiseiten zur KI-Schulungspflicht abgerufen und im Volltext auf drei Punkte durchsucht: ob die Änderungsverordnung genannt wird, welche Fassung von Artikel 4 als geltendes Recht zitiert wird und ob ein Bußgeldbetrag mit Artikel 4 verknüpft wird.

Die zwei Seiten mit der Bußgeld-Verknüpfung arbeiten beide mit derselben Konstruktion: Sie führen eine Tabelle mit den Sanktionsstufen aus Artikel 99 und schieben Artikel 4 in die Zeile „sonstige Pflichten” mit 15 Millionen Euro oder 3 Prozent Jahresumsatz. Eine davon schreibt wörtlich, Verstöße gegen die Schulungspflicht könnten mit bis zu 15 Millionen Euro geahndet werden. Beide Seiten nennen die Änderungsverordnung nicht und zitieren den Wortlaut von 2024. Das erklärt die Mail an den Maschinenbauer besser als jede Bosheitsunterstellung: Die Zahl wandert seit anderthalb Jahren durch Vorlagen, die niemand mehr gegen den Verordnungstext gehalten hat.

Erfreulich ist der Rest des Befunds. Sechs von neun Seiten stellen inzwischen klar, dass Artikel 4 keinen eigenen Bußgeldtatbestand kennt. Der deutschsprachige Markt korrigiert sich gerade selbst, nur eben ungleichmäßig, und die Seiten mit der falschen Zahl ranken weiterhin gut.

Kein eigener Bußgeldtatbestand, trotzdem kein Freibrief

Die Sanktionen stehen in Artikel 99 der KI-Verordnung. Absatz 3 nennt Verstöße gegen die verbotenen Praktiken aus Artikel 5 mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Absatz 4 listet die Artikel 16, 22, 23, 24, 25, 26, 31, 33, 34 und 50 mit bis zu 15 Millionen Euro oder 3 Prozent. Absatz 5 betrifft falsche oder unvollständige Angaben gegenüber Behörden mit bis zu 7,5 Millionen Euro oder 1 Prozent. Nach Absatz 6 gilt für KMU einschließlich Start-ups bei jeder dieser Geldbußen der jeweils niedrigere Betrag. Artikel 4 taucht in keiner der Aufzählungen auf.

Das deutsche Durchführungsrecht macht es genauso. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz, beschlossen am 22. Juli 2026 und in Kraft seit dem 29. Juli 2026, benennt in Paragraf 15 die bußgeldbewehrten Verstöße: Artikel 21 Absatz 1 und 2, Artikel 27 Absatz 1 bis 3, Artikel 45 Absatz 1 bis 3 sowie die fehlende Erläuterung nach Artikel 86 Absatz 1. Der Rahmen liegt bei bis zu 50.000 Euro. Artikel 4 steht auch dort nicht. Wer wissen will, wie die deutsche Aufsicht insgesamt gebaut ist, findet das in unserem Beitrag zur Bundesnetzagentur als KI-Aufsicht.

Damit ist die Frage nach dem Bußgeld beantwortet. Die Frage nach den Folgen ist es nicht, denn Artikel 99 beginnt oberhalb des Katalogs mit einem Auftrag an die Mitgliedstaaten.

Die Mitgliedstaaten erlassen Vorschriften für Sanktionen und andere Durchsetzungsmaßnahmen bei jeglichem Verstoß gegen diese Verordnung, auch zu Verwarnungen.

Artikel 99 Absatz 1, Verordnung (EU) 2024/1689, Stand 21.09.2026

Die Bundesnetzagentur führt seit dem 2. August 2026 die Marktüberwachung, nimmt Beschwerden entgegen und betreibt einen kostenlosen Service-Desk. Die EU-Kommission datiert den Beginn von Aufsicht und Durchsetzung auf den 3. August 2026 und weist darauf hin, dass jede Sanktion verhältnismäßig und am Einzelfall ausgerichtet sein muss. Realistisch heißt das: Niemand kommt vorbei und prüft deine Schulungsakte. Sie wird relevant, wenn ohnehin jemand hinsieht, etwa nach einer Beschwerde aus der Belegschaft, nach einem Datenschutzvorfall mit KI-Beteiligung oder in einem Verfahren zu einer anderen Pflicht.

Und an einer Stelle kippt die Kompetenzfrage doch in den Bußgeldkatalog. Artikel 26 Absatz 2 verpflichtet Betreiber von Hochrisiko-Systemen, die menschliche Aufsicht „natürlichen Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen”, zu übertragen. Artikel 26 steht in Absatz 4 des Sanktionskatalogs. Wer also ein Hochrisiko-System betreibt, etwa im Bewerbermanagement oder bei Personalentscheidungen, hat neben der milden Förderpflicht aus Artikel 4 eine harte, bußgeldbewehrte Kompetenzpflicht für genau die Personen, die das System beaufsichtigen. Diese Unterscheidung fehlt in allen neun geprüften Seiten.

Was die EU-Kommission als Nachweis akzeptiert

Im Mai 2025 hat die Kommission ein Frage-und-Antwort-Papier zur KI-Kompetenz veröffentlicht und dort die Fragen beantwortet, an denen sich der deutsche Markt seitdem abarbeitet. Der wichtigste Satz für jeden Geschäftsführer: „There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives.”

Es gibt kein vorgeschriebenes Curriculum, keine Mindeststundenzahl und keinen von der EU zertifizierten Kurs, der die Pflicht automatisch abhakt. Die Kommission beschreibt stattdessen einen Aufbau in vier Schritten: ein Grundverständnis davon, was KI ist und wie sie arbeitet, Klarheit über die eigene Rolle als Anbieter oder Betreiber, Kenntnis der Risiken der konkret eingesetzten Systeme und darauf zugeschnittene Schulung entlang von Vorwissen, Erfahrung und Einsatzkontext. Parallel pflegt sie ein lebendes Verzeichnis mit über 40 dokumentierten Praxisbeispielen aus Unternehmen und Behörden, ausdrücklich als Anregung und nicht als Prüfliste.

Für mittelständische Betriebe hat diese Freiheit zwei Seiten. Eine halbtägige Schulung mit Protokoll kann genügen, das spart Geld. Gleichzeitig liefert dir niemand eine fertige Antwort darauf, was „zugeschnitten” in deinem Haus heißt. Diese Zuordnung musst du selbst treffen, und sie ist der eigentliche Aufwand.

Die Schulungsakte, die eine Prüfung übersteht

In der Beratung sieht der Nachweis, den wir bauen, immer gleich aus. Er passt in einen Ordner im Firmenlaufwerk, er kostet beim ersten Mal einen halben Tag, und er beantwortet die Fragen, die eine Behörde oder ein Anwalt stellen würde.

• Systemliste: welche KI-Werkzeuge im Haus dienstlich verwendet werden, wer sie freigegeben hat, seit wann sie laufen. Ohne diese Liste lässt sich keine der folgenden Fragen beantworten.
• Rollenzuordnung: welche Funktion mit welchem Werkzeug arbeitet, und ob eines davon in den Hochrisiko-Bereich nach Anhang III fällt. Nur dann greift zusätzlich Artikel 26 Absatz 2.
• Maßnahmenprotokoll: Datum, Dauer, Themen, Teilnehmende, Referent. Eine Tabelle genügt. Sie wächst mit jeder Onboarding-Runde weiter, statt einmal im Jahr neu zu entstehen.
• Unterlagen: Foliensatz, Handout oder Aufzeichnung, damit im Zweifel belegbar ist, was tatsächlich vermittelt wurde.
• Anknüpfung an die Regeln: der Verweis auf die interne KI-Richtlinie, damit Schulung und Regelwerk sich gegenseitig stützen statt nebeneinander zu existieren.
• Wiedervorlage: ein Termin im Kalender, üblicherweise jährlich, plus die Regel, dass neue Beschäftigte und neue Werkzeuge eine eigene Runde auslösen.

Das war der Nachweis. Wer zusätzlich Teilnahmebestätigungen ausstellt, darf das gerne tun, erfüllt damit aber keine Anforderung aus der Verordnung. Wichtiger als das Papier ist, dass die Inhalte zum tatsächlichen Einsatz passen. Eine Schulung über Bildgeneratoren belegt wenig, wenn bei euch die Buchhaltung Belege durch ein Erkennungssystem schickt. Unsere KI-Workshops sind genau darauf gebaut: an den Aufgaben, die im Betrieb tatsächlich anfallen, mit einem Nachweis, der Themen, Datum und Teilnehmende dokumentiert.

Wo die Pflicht im Betrieb wirklich Arbeit macht

Die Zahlen zeigen, dass Schulung längst kein Randthema mehr ist. Bitkom Research hat für den Bitkom zwischen den Kalenderwochen 28 und 33 des Jahres 2026 telefonisch 603 Unternehmen ab 20 Beschäftigten befragt, repräsentativ für die Gesamtwirtschaft, veröffentlicht am 14. September 2026. Danach setzen 57 Prozent der Unternehmen KI bereits ein. 70 Prozent schulen ihre Beschäftigten im Umgang damit, aufgeteilt in 11 Prozent, die alle schulen, 22 Prozent, die einen Großteil schulen, und 37 Prozent, die ausgewählte Beschäftigte schulen. 25 Prozent bieten gar keine Schulung an. Unter den Unternehmen, die KI tatsächlich einsetzen, liegt der Schulungsanteil bei 91 Prozent.

Der Wert, auf den es hier ankommt, ist der von 37 Prozent. Wer nur ausgewählte Beschäftigte schult, hat nach der geltenden Fassung von Artikel 4 keinen automatischen Verstoß begangen, weil die Norm ausdrücklich auf Vorkenntnisse und Einsatzkontext abstellt. Die Auswahl muss nur begründbar sein. Geschult wird, wer mit den Systemen arbeitet, und wer nicht geschult wird, arbeitet nicht damit. Diese zweite Hälfte des Satzes steht in der Praxis selten irgendwo, und genau sie fällt in einer Prüfung auf.

Die zweite Stelle, an der es hakt, ist die Mitbestimmung. Paragraf 98 Absatz 1 BetrVG gibt dem Betriebsrat ein Mitbestimmungsrecht bei der Durchführung von Maßnahmen der betrieblichen Berufsbildung, und eine KI-Schulung ist eine solche Maßnahme. Nach Absatz 3 darf der Betriebsrat außerdem vorschlagen, welche Beschäftigten teilnehmen, sobald der Arbeitgeber die Maßnahme durchführt, dafür freistellt oder die Kosten trägt. In Betrieben mit Betriebsrat gehört die Beteiligung deshalb an den Anfang der Planung. Sie ist selten strittig, weil kaum ein Gremium gegen Weiterbildung argumentiert. Nachträglich einholen lässt sie sich trotzdem nicht.

Dazu kommt die Auswahl der Werkzeuge selbst. Eine Schulung, die Beschäftigte zu einem Dienst anleitet, den ihr datenschutzrechtlich gar nicht einsetzen dürft, erzeugt neue Probleme. Welche Anbieter sich für den deutschen Mittelstand sauber betreiben lassen, haben wir in der Übersicht zu KI-Tools und DSGVO durchgerechnet. Und wer die übrigen Fristen der KI-Verordnung im Blick behalten will, findet sie im Beitrag zu den Terminen nach dem Digital Omnibus.

Konkret als nächster Schritt: Setz dich eine Stunde hin und schreib auf, welche KI-Werkzeuge bei euch dienstlich laufen und wer damit arbeitet. Danach weißt du, ob eine Runde für das ganze Haus reicht oder ob eine Funktion zusätzlich unter Artikel 26 fällt. Wenn du die Schulung dann auslagerst, sprich uns an oder lass dir zumindest vom Anbieter zeigen, wo genau er die Bußgeldzahl in der Verordnung gefunden hat.

Learoy Eichholz

Lead KI-Automation & Digitale Businessentwicklung, Collective Brain GmbH · Hamburg

Learoy Eichholz verantwortet bei Collective Brain die KI-Automation und die digitale Businessentwicklung. In 15 Jahren E-Commerce hat er Online-Geschäfte von innen kennengelernt, vom Shopsystem über Logistik und Daten bis zur Conversion. Diese Praxis bringt er heute in KI-gestützte Automatisierung ein: Er verzahnt Tools, Daten und Abläufe so, dass Mittelständler manuelle Arbeit abbauen und schneller wachsen. Sein Anspruch ist Automatisierung mit messbarem Geschäftseffekt statt Technik um der Technik willen.

Beratung anfragen