Regeln
Was die europäische Regel zur KI-Kompetenz von Arbeitgebern verlangt, was sich im Sommer 2026 geändert hat und wie Sie Ihre Maßnahmen nachweisen.
Ja. Artikel 4 des AI Act (KI-Verordnung) verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz ihres Personals und anderer in ihrem Auftrag mit KI arbeitender Personen zu ergreifen. Die Regel gilt seit dem 2. Februar 2025. Einen Kurs, eine Prüfung oder ein festes Wissensniveau schreibt das Gesetz nicht vor.
Die KI-Verordnung ist die Verordnung (EU) 2024/1689, allgemein AI Act genannt. Artikel 4 steht in Kapitel I. Nach Artikel 113 gelten die Kapitel I und II seit dem 2. Februar 2025, lange vor dem Rest der Verordnung.
Die Verordnung definiert den Begriff in Artikel 3 Nummer 56. Kurz zusammengefasst: Fähigkeiten, Kenntnisse und Verständnis, mit denen Anbieter, Betreiber und betroffene Personen KI-Systeme sachkundig einsetzen und sich der Chancen, Risiken und möglichen Schäden bewusster werden können. Es geht also um mehr als die Bedienung. Jemand muss einschätzen können, wann ein Ergebnis falsch ist und welche Folgen es für die betroffenen Menschen hat.
Der ursprüngliche Text verlangte Maßnahmen, um „nach besten Kräften“ ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen. Diese Formulierung wurde durch den digitalen Omnibus zu KI, Verordnung (EU) 2026/1744 vom 8. Juli 2026, ersetzt. Sie wurde am 24. Juli 2026 veröffentlicht und trat am dritten Tag danach in Kraft, also am 27. Juli 2026.
Artikel 4 hat nun drei Absätze.
Die Begründung der Änderung besagt, dass strenge Pflichten zur Sicherstellung eines ausreichenden Niveaus nicht für alle Organisationsarten geeignet waren und zusätzliche regulatorische Belastungen verursachten, besonders für kleinere Unternehmen.
Die Pflicht bleibt bestehen. Das Wort „ausreichend“ ist entfallen und damit die Frage, ob jeder Mitarbeitende ein bestimmtes Niveau erreicht. Es bleibt die Pflicht, etwas zu tun, das zu Ihren Mitarbeitenden und Ihrer Nutzung passt. Nichts zu tun ist also weiterhin keine Option. Die anderen Omnibus-Änderungen, etwa spätere Daten für Hochrisikosysteme, stehen in Der AI Act im Herbst 2026.
Lesen Sie ältere Erklärungen mit dieser Änderung im Hinterkopf. Viele Artikel und Schulungsangebote vor dem Sommer 2026 zitieren noch den alten Text.
Für Anbieter und Betreiber von KI-Systemen. Ein Anbieter entwickelt ein KI-System oder bringt es auf den Markt. Die meisten Arbeitgeber fallen in die zweite Gruppe.
Nach Artikel 3 Nummer 4 ist das eine natürliche oder juristische Person, Behörde oder andere Einrichtung, die ein KI-System in eigener Verantwortung nutzt, außer bei einer persönlichen nicht beruflichen Tätigkeit. Lassen Sie Mitarbeitende einen Chatbot für die Arbeit nutzen, nutzt Ihre Organisation ein KI-System. Ihre Größe spielt keine Rolle: Die Regel kennt keine Untergrenze.
Die Fragen und Antworten der Europäischen Kommission zur KI-Kompetenz erläutern, dass es um Personen geht, die keine Beschäftigten sind, aber zur Organisation gehören, etwa Auftragnehmer oder Dienstleister. Arbeitet ein Selbstständiger oder eine Zeitarbeitskraft bei Ihnen mit denselben KI-Tools, beziehen Sie diese Person ein.
Dafür gilt zusätzlich eine eigene Regel. Artikel 26 Absatz 2 verlangt, dass Betreiber von Hochrisiko-KI-Systemen die menschliche Aufsicht Personen mit der nötigen Kompetenz, Ausbildung und Befugnis übertragen. Die Kommission betont in ihren Fragen und Antworten, dass diese Pflicht unverändert bleibt. Eine Dokumentensuche oder ein Chatbot zum Schreiben fällt nicht automatisch in diese Kategorie. KI, die über Bewerber, Mitarbeitende oder Kredite mitentscheidet, kann darunterfallen. Das verlangt eine eigene Beurteilung.
Das Gesetz sagt nicht, welche Maßnahmen Sie ergreifen. Die Kommission und die Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzaufsichtsbehörde, haben aber erläutert, wie Sie vorgehen können.
Die Fragen und Antworten der Kommission wurden nach dem Omnibus aktualisiert. Sie nennen vier Punkte, die eine Organisation mindestens berücksichtigen sollte.
Die Kommission schreibt außerdem, dass Artikel 4 keine Pflicht zur Messung des Wissens der Mitarbeitenden enthält und kein Zeugnis nötig ist. Organisationen können eine interne Übersicht von Schulungen und anderen Initiativen führen.
Die AP hat eine Seite zur KI-Kompetenz und zwei Handreichungen: Einstieg in KI-Kompetenz vom 30. Januar 2025 und KI-Kompetenz weiter ausbauen vom 23. Oktober 2025. Die erste beschreibt vier Schritte: identifizieren, Ziel bestimmen, umsetzen und evaluieren. Die zweite erläutert einen mehrjährigen Aktionsplan mit Praxisbeispielen.
Die AP schreibt, dass die erforderlichen Kenntnisse je nach Situation, Kontext und Risiken variieren und das Gesetz keine genauen Maßnahmen vorgibt. Sie empfiehlt, KI-Kompetenz zur Priorität zu machen und strategisch vorzugehen. Beachten Sie, dass diese Unterlagen aus 2025 und damit vor der Änderung von Artikel 4 stammen. Das schrittweise Vorgehen bleibt nützlich. Die Pflichtformulierung lesen Sie im aktuellen Gesetzestext.
Nicht alle benötigen dieselben Kenntnisse. Die folgende Tabelle ist ein Beispiel für eine Einteilung nach Rollen, keine gesetzliche Vorgabe. Passen Sie sie an Ihre Tools und Risiken an.
| Rolle in der Organisation | Was jemand wissen muss | Wie Sie es dokumentieren |
|---|---|---|
| Geschäftsführung oder Vorstand | Welche KI die Organisation nutzt, welche Risiken entstehen und was die Regeln verlangen | Beschluss zur KI-Richtlinie und jährliche protokollierte Besprechung |
| Führungskräfte | Welche Nutzung im Team zulässig ist und wie Fehler oder Vorfälle behandelt werden | Teilnahme an Grundschulung und ergänzende Anleitung |
| Mitarbeitende mit Chatbot-Nutzung | Was mit Eingaben geschieht, welche Daten verboten sind und wie Antworten geprüft werden | Schulungsdatum pro Person mit Materialversion |
| Mitarbeitende mit Aktenarbeit | Fragen ohne Namen stellen, Möglichkeiten und Grenzen der Pseudonymisierung, wann die Quelle nachzulesen ist | Schulung zum konkreten Tool und Wiederholungsdatum |
| IT und Anwendungsverwaltung | Einstellungen, Zugriffsrechte, Protokollierung und Anbietervereinbarungen | Verwaltungsdokumentation und Konfigurationsänderungen |
| Datenschutzverantwortlicher oder Datenschutzbeauftragter | Verbindung zur DSGVO: Verzeichnis, DSFA und Datenpannen | Beratungen und die Beurteilungen selbst |
| Externe Mitarbeitende und Auftragnehmer | Dieselben Regeln wie für die Mitarbeitenden, mit denen sie arbeiten | Vereinbarung im Auftrag und Schulungsteilnahme |
Hier ist Vorsicht angebracht. Das ist der Stand am 13. Oktober 2026.
Nach den Fragen und Antworten der Kommission liegt die Aufsicht über Artikel 4 bei nationalen Marktüberwachungsbehörden und nicht beim europäischen KI-Büro. Die Regeln zur Aufsicht und Durchsetzung gelten ab Anfang August 2026. Die Kommission nennt an einer Stelle den 2. August und an einer anderen den 3. August 2026. Artikel 113 nennt den 2. August 2026 als allgemeines Anwendungsdatum.
Artikel 99 beauftragt die Mitgliedstaaten, Vorschriften für Sanktionen und andere Durchsetzungsmaßnahmen festzulegen, darunter Verwarnungen und nicht finanzielle Maßnahmen. Sie müssen wirksam, verhältnismäßig und abschreckend sein. Was ein Verstoß gegen Artikel 4 praktisch kostet, hängt daher von der nationalen Gesetzgebung ab. Die Kommission schreibt, die Durchsetzung müsse verhältnismäßig sein; eine Sanktion sei wahrscheinlicher nach einem Vorfall aufgrund unzureichender Schulung oder Anleitung. Sie weist auch darauf hin, dass Geschädigte nach nationaler Gesetzgebung Ansprüche geltend machen können.
Auf ihrer Seite zur KI-Verordnung schreibt die AP, dass die Regierung an einem Aufsichtsvorschlag arbeitet, voraussichtlich mehrere Aufsichtsbehörden zuständig werden und der Umfang der AP-Aufsicht noch nicht feststeht. Die Aufgabenverteilung wird in niederländischer Gesetzgebung festgehalten. Auf den AP-Seiten ist am 13. Oktober 2026 nicht zu lesen, dass diese bereits gilt. Gehen Sie deshalb weder davon aus, dass nichts geschehen kann, noch dass morgen ein Bußgeld folgt. Die Pflicht selbst gilt seit Februar 2025. Verfolgen Sie die Mitteilungen der AP und der niederländischen Zentralregierung für den aktuellen Stand.
Eine vorgeschriebene Form gibt es nicht. Eine interne Übersicht genügt laut Kommission. Sie sollte die Fragen beantworten, die eine Aufsichtsbehörde, ein Kunde oder ein Wirtschaftsprüfer stellen könnte.
Eine einmalige Präsentation ohne Anwesenheitsliste lässt sich nachträglich nicht nachweisen. Eine Unterschrift unter „Ich habe die Richtlinie gelesen“ sagt wenig über Verständnis. Und eine Schulung ohne Bezug zu den tatsächlich genutzten Tools verfehlt die gesetzliche Anforderung, den Nutzungskontext zu berücksichtigen.
KI-Kompetenz betrifft KI, nicht nur Datenschutz. Praktisch überschneiden sich die Themen stark. Wer versteht, was mit seinen Eingaben geschieht, gibt seltener eine Mandantenakte in einen Chatbot ein. Welche Daten dort hineingehören und welche nicht, steht in den Regeln nach Datenart.
PrivaSearch pseudonymisiert personenbezogene Daten in Dokumenten, lässt einen Kollegen das Ergebnis freigeben und macht den freigegebenen Text danach durchsuchbar, auch für einen verbundenen KI-Assistenten. Diese Verbindung funktioniert mit Claude, ChatGPT Business und Mistral Vibe. Wer damit arbeitet, muss wissen, was er vor sich hat. Deshalb enthält das Produkt eine Schulung.
Auf der Seite zur Funktionsweise steht es so: Mitarbeitende absolvieren eine kurze Schulung zur KI-Kompetenz im Einklang mit Artikel 4 des AI Act und mit regelmäßiger Wiederholung. Ohne gültige Schulung öffnet sich der Arbeitsbereich nicht und auch die MCP-Verbindung verweigert den Zugriff. Die Schulung ist somit Zugangsvoraussetzung und kein überspringbarer Zusatz.
Auf der Seite zur DSGVO und zum AI Act nennen wir das eine integrierte Schulung mit regelmäßiger Wiederholung statt eines umgangenen Verbots. Dort steht auch, dass Handlungen protokolliert werden und Sie eine Vorlage für eine KI-Richtlinie erhalten. Das ist ein Ausgangsdokument und keine Rechtsberatung.
Die Grenze ist ebenso klar. Die Schulung betrifft PrivaSearch und einen verbundenen Assistenten. Sie deckt nicht sämtliche KI-Nutzung Ihrer Organisation ab und übernimmt nicht Ihre Pflicht aus Artikel 4. Welche Maßnahmen zu Ihren Mitarbeitenden und Tools passen, bestimmen Sie selbst. Was ein verbundener Assistent sehen kann und was nicht, lesen Sie auf der Seite zu KI-Chatbots und der DSGVO.
Möchten Sie den Zusammenhang von Schulung und Zugriff sehen, fragen Sie eine Demo an.
Seit dem 2. Februar 2025. An diesem Tag wurde Artikel 4 der europäischen KI-Verordnung anwendbar. Seit dem 27. Juli 2026 gilt ein angepasster Text: Organisationen ergreifen Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz und müssen kein bestimmtes Niveau pro Person sicherstellen. Die Aufsicht durch nationale Behörden gilt laut Europäischer Kommission ab Anfang August 2026.
Ja. Artikel 4 unterscheidet nicht nach Größe. Jede Organisation, die ein KI-System in eigener Verantwortung für die Arbeit nutzt, fällt darunter, auch ein Büro mit fünf Personen, die einen Chatbot nutzen. Sie dürfen die Maßnahmen Ihrer Situation anpassen. Die Kommission und Mitgliedstaaten müssen gerade kleine und mittlere Unternehmen unterstützen, unter anderem mit Praxisbeispielen.
Nein. Das Gesetz schreibt keinen Kurs, keine Prüfung und keinen Abschluss vor. Die Europäische Kommission schreibt in ihren Fragen und Antworten, dass kein Zeugnis nötig ist und Organisationen intern Schulungen und andere Initiativen erfassen können. Ein Kurs kann eine gute Maßnahme sein, ebenso eine Arbeitsanweisung, ein Teamgespräch oder eine Schulung im Tool selbst.
Das hängt von der nationalen Gesetzgebung ab. Die KI-Verordnung beauftragt Mitgliedstaaten, Sanktionen und andere Durchsetzungsmaßnahmen festzulegen. In den Niederlanden war die Aufsichtsverteilung laut Autoriteit Persoonsgegevens im Oktober 2026 noch nicht festgelegt. Die Kommission schreibt, die Durchsetzung müsse verhältnismäßig sein und eine Sanktion sei nach einem Vorfall aufgrund unzureichender Schulung wahrscheinlicher. Fragen Sie für Ihre Situation einen Juristen.
Das Gesetz schreibt keine Erfassung vor, aber ohne Übersicht können Sie Ihre Maßnahmen nicht nachweisen. Die Europäische Kommission nennt eine interne Übersicht über Schulungen und andere Initiativen als geeignete Form. Halten Sie pro Person fest, welche Schulung sie wann absolviert hat, und bewahren Sie das Material auf. Halten Sie die Übersicht so klein wie nötig: Es sind Daten über Ihre Mitarbeitenden.
Eine KI-Richtlinie enthält Vereinbarungen: welche Tools, welche Daten, wer entscheidet. KI-Kompetenz sind Kenntnisse und Fähigkeiten, um mit KI zu arbeiten und Risiken zu erkennen. Beides braucht einander. Unverstandene Regeln werden nicht befolgt, und Wissen ohne Regeln gibt keinen Halt. Praktisch beschreiben Sie die Schulung in der Richtlinie.
Der Zeitplan des AI Act nach dem digitalen Omnibus: Was bereits gilt, was auf 2027 und 2028 verschoben wurde und was Sie als KI-Nutzer jetzt regeln.
Was ein Deepfake ist, welche Regeln jetzt gelten, welches Verbot bevorsteht und was Organisationen gegen Betrug mit gefälschter Stimme oder Video tun.
Was das niederländische Algoritmeregister und das IAMA sind, was Pflicht ist und was nicht und was eine Gemeinde beim Einsatz von KI-Chatbots regelt.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →