Seit dem 1. August 2024 ist der EU AI Act in Kraft. Die Umsetzungsfristen laufen gestaffelt: Während die Verbote für inakzeptable Risiken bereits ab Februar 2025 gelten, greifen die Pflichten für Hochrisiko-KI-Systeme schrittweise bis 2027. Für viele Unternehmen bedeutet das: Die Zeit zur Vorbereitung ist kürzer als gedacht.
Besonders ein Punkt wird in der Praxis noch unterschätzt. Artikel 4 des EU AI Acts verpflichtet Unternehmen ausdrücklich dazu, sicherzustellen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Das klingt abstrakt, hat aber sehr konkrete Auswirkungen auf Personalentwicklung, Compliance und interne Prozesse.
Was der EU AI Act von Unternehmen wirklich verlangt
Der Verordnungstext unterscheidet vier Risikoklassen: inakzeptables Risiko, hohes Risiko, begrenztes Risiko und minimales Risiko. Die meisten KI-Anwendungen, die Unternehmen heute im Alltag nutzen, also Chatbots im Kundenservice, automatisierte Bewerbungsvorauswahl oder KI-gestützte Kreditbewertung, fallen in die Kategorien mit mittlerem bis hohem Regulierungsbedarf.
Für Hochrisiko-KI-Systeme schreibt die Verordnung unter anderem vor: technische Dokumentation, Protokollierung des Betriebs, Transparenz gegenüber Nutzern sowie menschliche Aufsicht. Unternehmen, die solche Systeme einsetzen oder entwickeln, müssen zudem ein Qualitätsmanagementsystem vorhalten. Verstöße können mit Bußgeldern von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes geahndet werden.
Die Kompetenzpflicht trifft nicht nur IT-Abteilungen
Artikel 4 richtet sich nicht nur an Entwicklerinnen und Entwickler. Er betrifft alle Mitarbeitenden, die KI-Systeme einsetzen, überwachen oder über deren Einsatz entscheiden. Das schließt Führungskräfte aus Vertrieb, HR oder Einkauf genauso ein wie Sachbearbeiterinnen, die täglich mit KI-unterstützten Tools arbeiten.
Konkret geht es darum, dass Beschäftigte verstehen, wie ein KI-System funktioniert, welche Grenzen es hat und wo menschliches Urteilsvermögen zwingend erforderlich bleibt. Wer ein automatisiertes Bewerbungsranking einfach übernimmt, ohne die zugrundeliegenden Kriterien zu hinterfragen, erfüllt diese Anforderung nicht.
Für Unternehmen entsteht daraus eine doppelte Herausforderung: Sie müssen nicht nur Schulungen durchführen, sondern diese auch dokumentieren und nachweisen können. Wer im Fall einer Prüfung durch eine Aufsichtsbehörde keine Belege vorlegen kann, steht schnell vor einem Problem.
Zertifikate als Nachweis: Was taugt der Markt?
Der Markt für KI-Schulungen ist binnen weniger Monate explodiert. Angebote reichen von einstündigen Online-Kursen bis zu mehrtägigen Präsenztrainings. Die Qualität schwankt erheblich. Entscheidend für Unternehmen ist nicht die Stundenanzahl, sondern ob ein Nachweis den konkreten Anforderungen des EU AI Acts standhält.
Wer gezielt nach einem anerkannten Nachweis sucht, sollte prüfen, ob das Angebot explizit auf die Anforderungen des EU AI Acts ausgerichtet ist. Ein strukturierter Nachweis wie ein KI-Kompetenz nach EU AI Act kann Unternehmen helfen, die Anforderungen aus Artikel 4 dokumentiert zu erfüllen und im Prüfungsfall belastbare Unterlagen vorzulegen.
Wichtig ist dabei: Ein Zertifikat ersetzt kein unternehmensinternes KI-Governance-Konzept. Es ist ein Baustein, kein Allheilmittel. Die eigentliche Arbeit liegt in der strukturierten Auseinandersetzung mit den genutzten Systemen, den damit verbundenen Risiken und den internen Zuständigkeiten.
Risikoklassifizierung im eigenen Betrieb: So gehen Unternehmen vor
Bevor Schulungen geplant werden, sollte ein Unternehmen wissen, welche KI-Systeme es überhaupt einsetzt und in welche Risikoklasse diese fallen. Eine einfache Bestandsaufnahme kann dabei helfen:
- Schritt 1: Alle genutzten KI-Anwendungen erfassen, einschließlich solcher, die als Teil von Software-as-a-Service-Lösungen eingebettet sind.
- Schritt 2: Jedes System anhand der EU-AI-Act-Kriterien einordnen. Der Anhang III der Verordnung listet Hochrisiko-Bereiche konkret auf, etwa Bildung, Beschäftigung, kritische Infrastruktur und Strafverfolgung.
- Schritt 3: Für jedes Hochrisiko-System klären, wer im Unternehmen dafür verantwortlich ist und welche Dokumentation bereits existiert.
- Schritt 4: Schulungsbedarf je Rolle und Systemtyp ableiten und Nachweise planen.
Mittelständische Unternehmen mit 50 bis 250 Mitarbeitenden unterschätzen diesen Prozess oft, weil sie sich nicht als “KI-Unternehmen” sehen. Dabei nutzen viele längst KI-gestützte Buchhaltungssoftware, automatisierte Bonitätsprüfungen oder intelligente Lagerverwaltung ohne es bewusst zu registrieren.
Praxisbeispiel: Handel und automatisierte Personalentscheidungen
Ein mittelständisches Einzelhandelsunternehmen mit 180 Mitarbeitenden setzt seit 2022 ein Tool zur Schichtplanung ein, das auf Basis historischer Umsatzdaten und individueller Verfügbarkeiten automatisiert Dienstpläne erstellt. Klingt harmlos, aber das System trifft faktisch Entscheidungen mit Auswirkungen auf Beschäftigung und Arbeitsbedingungen.
Laut Anhang III des EU AI Acts fällt genau das in die Kategorie Hochrisiko. Das bedeutet: Das Unternehmen braucht eine technische Dokumentation des Systems, muss sicherstellen, dass Mitarbeitende die Ausgaben des Systems verstehen und anfechten können, und muss nachweisen, dass die zuständigen Personen ausreichend geschult sind.
In der Praxis hatten die Teamleiterinnen und Teamleiter, die mit dem Tool arbeiteten, keinerlei Schulung erhalten. Die Einführung lief über die IT-Abteilung, ohne dass HR oder Compliance eingebunden waren. Genau dieses Szenario ist es, das Aufsichtsbehörden im Blick haben werden.
Was Unternehmen jetzt konkret tun sollten
Die wichtigsten Maßnahmen lassen sich auf drei Ebenen zusammenfassen:
- Governance: Eine interne Zuständigkeit für KI-Compliance benennen. Das muss keine Vollzeitstelle sein, aber es braucht eine klare Verantwortung.
- Dokumentation: Alle genutzten KI-Systeme erfassen und klassifizieren. Vorhandene Verträge mit Anbietern auf AI-Act-Konformität prüfen.
- Kompetenz: Rollenspezifische Schulungen durchführen und dokumentieren. Nicht jeder braucht dasselbe Wissen, aber alle, die mit KI-Systemen arbeiten, müssen grundlegende Kompetenz nachweisen können.
Der EU AI Act ist kein Papiertiger. Die Europäische KI-Behörde (AI Office) nimmt ihre Arbeit auf, nationale Aufsichtsbehörden werden folgen. Wer jetzt strukturiert vorgeht, spart sich teure Nacharbeit unter Druck. Und wer Kompetenz nachweisen kann, hat nicht nur weniger regulatorisches Risiko, sondern auch einen konkreten Wettbewerbsvorteil gegenüber Mitbewerbern, die das Thema noch aussitzen.
