Seit dem 2. Februar 2025 gilt in der Europäischen Union eine Anforderung, die in vielen Betrieben noch unbemerkt geblieben ist: Wer KI-Systeme einsetzt, muss dafür sorgen, dass die Menschen, die damit arbeiten, ausreichend Kompetenz im Umgang damit haben. Das steht in Artikel 4 der KI-Verordnung und betrifft nicht nur Hersteller, sondern ausdrücklich auch Anwender.
Vorweg, weil es hier besonders wichtig ist: Das Folgende ist eine praktische Einordnung aus der Projektarbeit und keine Rechtsberatung. Wie die Anforderung in deinem Fall auszulegen ist, gehört mit einer Anwältin oder einem Anwalt geklärt.
Wen es betrifft
Die Formulierung ist weit gefasst. Betroffen sind Organisationen, die KI-Systeme in eigener Verantwortung einsetzen. Das schließt den Fall ein, dass Mitarbeitende im Arbeitsalltag ein Sprachmodell nutzen, um Texte zu erstellen, Mails zu formulieren oder Unterlagen zusammenzufassen. Also praktisch jeden Betrieb, in dem jemand solche Werkzeuge geöffnet hat.
Anders als bei vielen anderen Teilen der Verordnung gibt es hier keine Beschränkung auf Hochrisiko-Anwendungen. Das ist der Grund, warum die Anforderung so breit greift und warum sie in kleineren Unternehmen bisher oft übersehen wurde.
Was "ausreichende Kompetenz" heißen kann
Ein festes Programm ist nicht vorgeschrieben. Erwartet wird, dass Umfang und Tiefe zum tatsächlichen Einsatz passen. Wer nur Texte entwerfen lässt, braucht etwas anderes als ein Betrieb, der Bewerbungen vorsortiert.
In der Praxis hat sich bei uns ein überschaubarer Kanon bewährt. Erstens ein Grundverständnis davon, wie solche Systeme arbeiten und warum sie Dinge erfinden können, die plausibel klingen. Zweitens Klarheit darüber, welche Daten hineingegeben werden dürfen und welche nicht, insbesondere bei Kunden- und Beschäftigtendaten. Drittens ein Bewusstsein für Verzerrungen und für Fälle, in denen eine Ausgabe systematisch schieflaufen kann. Viertens die Regel, dass Ergebnisse geprüft werden, bevor sie nach außen gehen, und wer diese Prüfung verantwortet.
Der praktische Teil: Dokumentation
Das eigentliche Problem ist selten das Wissen, sondern der Nachweis. Wenn in zwei Jahren jemand fragt, wie ihr die Anforderung erfüllt habt, hilft die Erinnerung an einen guten Vormittag nicht weiter. Sinnvoll ist eine schlanke Dokumentation: Welche Werkzeuge sind im Einsatz und für welchen Zweck. Welche internen Regeln gelten. Wer wurde wann geschult, mit welchen Inhalten, belegt durch eine Teilnehmerliste. Was passiert, wenn jemand neu dazukommt.
Das ist ein Dokument von zwei bis vier Seiten und keine Zertifizierung. Wichtiger als der Umfang ist, dass es existiert, aktuell gehalten wird und mit der Realität im Betrieb übereinstimmt. Eine Richtlinie, die verbietet was alle täglich tun, ist schlechter als gar keine.
Die interne Regel ist der eigentliche Gewinn
Unabhängig von der rechtlichen Seite lohnt sich der Vorgang. In den meisten Betrieben, in denen wir gefragt haben, nutzen Mitarbeitende längst Sprachmodelle, häufig über private Zugänge und ohne dass jemand davon weiß. Genau da entsteht das reale Risiko: Kundendaten in einem kostenlosen Dienst, dessen Nutzungsbedingungen niemand gelesen hat.
Eine klare Regel mit einem freigegebenen Werkzeug löst dieses Problem besser als ein Verbot. Verbote führen dazu, dass die Nutzung nicht verschwindet, sondern unsichtbar wird. Ein bereitgestellter Geschäftszugang mit vertraglicher Grundlage kostet überschaubar und bringt die Nutzung zurück ins Sichtbare.
Was für die Dokumentation reicht
Häufig kommt die Frage, ob ein Zertifikat nötig ist. Vorgeschrieben ist keines. Anbieter verkaufen gerne Abschlüsse mit offiziell klingenden Namen, und die schaden nicht, aber sie sind auch kein Nachweis, den irgendjemand verlangt hätte.
Was zählt, ist Nachvollziehbarkeit: dass es eine Regel gibt, dass sie den Leuten bekannt ist und dass die Vermittlung stattgefunden hat. Eine unterschriebene Teilnehmerliste mit Datum und Inhaltsübersicht erfüllt das. Wer zusätzlich ein Zertifikat möchte, kann eines machen, sollte es aber nicht mit einer Pflicht verwechseln.
Ein realistischer Ablauf
Zuerst eine Bestandsaufnahme: Wer nutzt bei euch was, und wofür. Diese Frage ehrlich zu stellen, ohne dass sich jemand ertappt fühlt, ist der schwierigste Teil. Dann eine kurze Richtlinie mit erlaubten Werkzeugen, verbotenen Dateninhalten und Prüfpflichten. Danach eine Schulung, die sich an den Werkzeugen orientiert, die bei euch tatsächlich laufen. Und schließlich ein fester Termin, meist jährlich, um beides zu aktualisieren.
Der gesamte Aufwand liegt für einen mittelständischen Betrieb bei ein bis zwei Tagen. Das ist überschaubar im Vergleich zu dem Ärger, den ein Datenabfluss oder eine nicht erfüllte Anforderung machen kann. Wir übernehmen davon die technische Seite und die Einweisung, die rechtliche Bewertung gehört zu deiner Rechtsberatung.
Mehr dazu, wie wir das in Projekten umsetzen, steht bei Beratung zu künstlicher Intelligenz.
Oliver Misch
Geschäftsführer der medienplus GmbH
Arbeitet seit über 15 Jahren an Websites, Technik und Sichtbarkeit und schreibt hier über das, was ihm im Alltag mit Kunden begegnet. Bei digital unit in Köln ist er der erste Kontakt für neue Projekte.