KI-Kompetenz nach AI Act: Rollen, Schulung und Nachweis.

Was seit der Änderung im Juli 2026 gilt

Artikel 4 der europäischen KI-Verordnung gilt seit dem 2. Februar 2025. Die Aufsichts- und Durchsetzungsregeln sind seit Anfang August 2026 anwendbar. Damit ist KI-Kompetenz keine bloße Vorbereitung auf spätere Pflichten, sondern eine laufende organisatorische Aufgabe für Anbieter und Betreiber von KI-Systemen.

Die im Juli 2026 in Kraft getretene Änderung hat die Formulierung präzisiert: Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz zu unterstützen. Sie müssen kein bestimmtes Kompetenzniveau jeder einzelnen Person garantieren. Die Pflicht ist dadurch flexibler geworden, aber nicht entfallen. Stand dieser Einordnung ist der 4. September 2026.

Betroffen sind nicht nur Entwickler und IT-Teams

Der Anwendungsbereich umfasst Personal und weitere Personen, die im Auftrag einer Organisation mit Betrieb oder Nutzung eines KI-Systems befasst sind. Dazu können abhängig vom tatsächlichen Einsatz auch externe Dienstleister und Auftragnehmer gehören. Unternehmensgröße und Branche allein führen nicht aus der Pflicht heraus.

Auch die Nutzung allgemein verfügbarer KI-Werkzeuge kann relevant sein. Die Europäische Kommission nennt ausdrücklich Beschäftigte, die beispielsweise Werbetexte erstellen oder Übersetzungen anfertigen. Sie sollten die konkreten Risiken ihres Werkzeugs kennen, etwa erfundene Tatsachen, ungeeignete Eingabedaten oder eine unbemerkte Veränderung des Aussagegehalts.

Mit dem tatsächlichen KI-Einsatz beginnen, nicht mit dem Seminarkatalog

Ein belastbares Kompetenzprogramm beginnt mit einer Bestandsaufnahme. Für jedes KI-System werden Zweck, Rolle des Unternehmens, Nutzergruppen, betroffene Personen, verwendete Daten, mögliche Fehlerfolgen und menschliche Kontrollschritte beschrieben. Erst daraus lässt sich ableiten, wer welche Kenntnisse benötigt.

Eine allgemeine Einführung kann eine gemeinsame Grundlage schaffen. Sie beantwortet jedoch nicht automatisch, wie ein Serviceteam eine unsichere Klassifikation erkennt, wann ein Dokumentenprozess gestoppt werden muss oder welche Person eine automatisierte Systemaktion freigeben darf. Diese Fragen entstehen erst aus dem konkreten Prozess.

• eingesetztes KI-System und konkreter Geschäftszweck
• Rolle als Anbieter oder Betreiber sowie beteiligte Dienstleister
• Personen, die entwickeln, konfigurieren, bedienen, prüfen oder freigeben
• Datenarten, mögliche Fehlentscheidungen und betroffene Personengruppen
• bestehende Vorkenntnisse, Richtlinien und Kontrollmöglichkeiten

Vier Rollen benötigen unterschiedliche Tiefe

Die Kommission erlaubt ausdrücklich unterschiedliche Lernniveaus. Für den Mittelstand ist deshalb eine schlanke Rollenmatrix meist hilfreicher als ein identisches Pflichtmodul für alle. Eine Person kann mehreren Rollen angehören; maßgeblich ist ihre tatsächliche Aufgabe im jeweiligen KI-Prozess.

Die folgende Einteilung ist ein betriebliches Ordnungsmodell der DAG und keine gesetzlich vorgegebene Klassifikation. Sie übersetzt die offiziellen Kriterien Vorkenntnis, Rolle, Kontext und Risiko in konkrete Verantwortungsbereiche.

• Nutzende: zulässige Zwecke, geeignete Eingaben, typische Fehlermuster, Prüfung von Ausgaben und sichere Eskalation
• Prüfende und Freigabeverantwortliche: Quellenkontrolle, Entscheidungsspielraum, Ablehnung, Korrektur und Folgen einer falschen Freigabe
• Prozessverantwortliche und Führungskräfte: Zweckgrenzen, Rollen, betroffene Personen, Kennzahlen, Änderungsfreigaben und Reaktion auf Vorfälle
• Technischer Betrieb und Entwicklung: Modellgrenzen, Tests, Berechtigungen, Protokollierung, Monitoring, Versionen und sichere Systemübergänge

Lernziele an Entscheidungen und Systemübergängen festmachen

Kompetenz zeigt sich nicht daran, ob Fachbegriffe wiedergegeben werden können, sondern ob Menschen im Arbeitsablauf richtig handeln. Für jeden kritischen Schritt sollte deshalb ein beobachtbares Lernziel formuliert werden: Welche Eingabe ist zulässig, woran ist Unsicherheit erkennbar, welche Ausgabe darf übernommen werden und wann muss der Vorgang an eine zuständige Person gehen?

Bei einer E-Mail-Automatisierung kann das bedeuten, vertrauliche Inhalte vor der Weitergabe zu erkennen, eine fehlerhafte Zuordnung zu korrigieren und die Systemaktion zu stoppen. Bei einem Telefonassistenten stehen Gesprächsgrenzen, korrekte Übergabe und der Umgang mit sensiblen Anliegen im Vordergrund. So verbindet sich die Qualifizierung direkt mit Prozessdesign und Betrieb.

Dokumentieren, ohne einen Zertifikatszwang zu erfinden

Weder Artikel 4 noch die aktuellen Hinweise der Kommission schreiben ein bestimmtes Zertifikat vor. Die Kommission hält interne Aufzeichnungen zu Schulungen oder anderen Leitmaßnahmen für möglich; die Bundesnetzagentur empfiehlt eine nachvollziehbare Dokumentation. Diese sollte zeigen, wie der Bedarf ermittelt und warum die gewählte Maßnahme für die jeweilige Rolle als passend angesehen wurde.

Ein Anwesenheitsnachweis allein beschreibt weder Inhalt noch Bezug zum eingesetzten System. Aussagekräftiger ist eine kompakte Verbindung aus Systeminventar, Rollenmatrix, Lernzielen, durchgeführter Maßnahme und festgelegtem Aktualisierungsereignis. Das schafft keine automatische Vermutung der Rechtskonformität, macht die betriebliche Entscheidung aber prüfbar.

• betroffenes System, Zweck und Rolle der Organisation
• Zielgruppe, vorhandene Erfahrung und erwartete Aufgaben
• Lernziele, Inhalte, Format, Datum und verantwortliche Stelle
• Teilnehmende einschließlich relevanter externer Personen
• Art der Wirksamkeitsprüfung und festgelegte Auffrischungsauslöser

Kompetenzaufbau mit Freigabe und Betrieb verbinden

Die Qualifizierung sollte Teil des technischen Änderungsprozesses sein. Wird ein Modell ausgetauscht, ein neuer Datenbestand angebunden oder darf das System erstmals in ERP, CRM oder DMS schreiben, verändert sich nicht nur die Technik. Auch Kontrollaufgaben, mögliche Schäden und notwendige Kenntnisse können sich verschieben.

Vor einer produktiven Freigabe wird deshalb geprüft, ob Rollen, Arbeitsanweisung und Lerninhalte noch zum aktuellen Systemstand passen. Im Monitoring sollten nicht nur technische Fehler, sondern auch häufige Korrekturen, übersehene Unsicherheiten und wiederkehrende Eskalationen betrachtet werden. Sie zeigen, wo Prozess oder Kompetenz nachgeschärft werden müssen.

• neues Modell, Werkzeug oder wesentliche Versionsänderung
• neuer Anwendungszweck, Kanal oder betroffene Personengruppe
• veränderte Datenklassen, Berechtigungen oder Systemaktionen
• auffällige Fehlerbilder, Beinahe-Vorfälle oder tatsächliche Schäden
• neue verbindliche Vorgaben oder maßgebliche Behördenhinweise

Artikel 4 ersetzt keine Datenschutz- oder Systemprüfung

Ein Kompetenzprogramm löst nicht automatisch andere Pflichten. Datenschutzrechtliche Grundlagen, Transparenzhinweise nach Artikel 50, technische Sicherheit, arbeitsrechtliche Fragen und mögliche Anforderungen an Hochrisiko-Systeme müssen getrennt geprüft und anschließend im Prozess zusammengeführt werden.

Für Betreiber bestimmter Hochrisiko-Systeme bestehen zusätzliche Anforderungen an die Schulung der Personen, die menschliche Aufsicht ausüben. Unternehmen sollten Artikel 4 deshalb als Basisschicht verstehen: Er sorgt dafür, dass beteiligte Menschen Chancen, Grenzen und Risiken ihres tatsächlichen KI-Einsatzes verstehen. Welche weiteren Kontrollen erforderlich sind, entscheidet der konkrete Anwendungsfall. Dieser Beitrag dient der fachlichen Orientierung und ersetzt keine rechtliche Einzelfallberatung.