Aktualisiert am 20. August 2026: Die Verordnung (EU) 2026/1744 (KI-Omnibus) ist am 27. Juli 2026 in Kraft getreten und hat Artikel 4 EU AI Act neu gefasst. Verlangt sind seither Maßnahmen, die die Entwicklung der KI-Kompetenz unterstützen; ein bestimmtes Kompetenzniveau einzelner Personen muss niemand garantieren. Die Formulierung „ausreichendes Maß an KI-Kompetenz" aus der alten Fassung ist nicht mehr geltendes Recht. Unverändert bleibt: Die Pflicht gilt seit dem 2. Februar 2025 für alle Anbieter und Betreiber, ohne KMU-Ausnahme, und sie hat keinen eigenen Bußgeldtatbestand.
KI-Kompetenz nachweisen: Warum dieser Begriff seit Februar 2025 rechtlich bindend ist
KI-Kompetenz nachweisen ist seit dem 2. Februar 2025 keine freiwillige Empfehlung mehr, sondern die Kehrseite einer gesetzlichen Pflicht. Artikel 4 der Verordnung (EU) 2024/1689, bekannt als EU AI Act, verpflichtet alle Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, die die Entwicklung der KI-Kompetenz ihres Personals und aller Personen unterstützen, die in ihrem Auftrag KI nutzen. Belegen müssen Sie im Zweifel diese Maßnahmen.
Für deutsche KMU bedeutet das: Wer heute Microsoft 365 Copilot, eine KI-gestützte HR-Software, einen ChatBot oder eine Bedarfsprognosefunktion im ERP einsetzt, ist ein Betreiber im Sinne von Art. 3(4) EU AI Act — und fällt direkt unter diese Pflicht. Dabei spielt die Unternehmensgröße keine Rolle. Ob 20 oder 2.000 Mitarbeiter: die Pflicht gilt. Was sich unterscheidet, ist der Maßstab.
Dieser Leitfaden beantwortet die Fragen, die wir häufig von Geschäftsführern, IT-Leitern und HR-Verantwortlichen hören: Was genau muss nachgewiesen werden? Was zählt als Nachweis? Wie dokumentiert man das effizient — und wie schützt ein guter Nachweis Ihr Unternehmen und Sie persönlich?
Was bedeutet „KI-Kompetenz" nach Artikel 3(56) EU AI Act?
KI-Kompetenz ist nach Art. 3(56) EU AI Act definiert als die Fähigkeiten, das Wissen und das Verständnis, das Anbietern, Betreibern und betroffenen Personen ermöglicht, KI-Systeme kompetent einzusetzen und gleichzeitig die Chancen und Risiken von KI zu erkennen.
Diese Definition klingt weit, ist aber bewusst so formuliert: Der Gesetzgeber wollte keine starre Mindestcheckliste, sondern einen proportionalen, kontextsensitiven Ansatz. Das hat Vor- und Nachteile.
Vorteil: KMU müssen keine komplexen Konformitätsnachweise wie bei der CE-Kennzeichnung erbringen.
Nachteil: Es gibt keine abschließende Checkliste, mit der man sicher sein kann, „fertig" zu sein. Compliance ist ein fortlaufender Prozess.
Vier Maßstäbe, die Artikel 4 ausdrücklich nennt
Der Artikel nennt vier Faktoren, an denen sich die Maßnahmen ausrichten müssen:
- Technisches Vorwissen der Person — jemand mit IT-Hintergrund braucht andere Inhalte als ein Sachbearbeiter ohne technische Ausbildung
- Ausbildung, Erfahrung und Kontext — bisherige Kenntnisse zählen, müssen aber auf KI-spezifische Aspekte erweitert werden
- Das eingesetzte KI-System — wer ein Hochrisiko-KI-System (z. B. KI-gestützte Bewerberauswahl) einsetzt, braucht tieferes Wissen als jemand, der einen Textgenerator mit minimalem Risiko nutzt
- Die betroffenen Personengruppen — KI, die Entscheidungen über Menschen trifft, erfordert höhere Kompetenz bei den Nutzenden
Das bedeutet: Ein einheitlicher Basis-Kurs für alle Mitarbeiter passt selten auf alle Rollen. Das Schulungskonzept sollte rollenspezifisch differenziert sein, und diese Differenzierung sollte dokumentiert werden.
Warum ein dokumentierter Nachweis entscheidend ist — und nicht nur die Schulung selbst
Viele Unternehmen denken: „Wir haben einen Kurs gekauft, das reicht." Das ist ein gefährlicher Irrtum.
Artikel 4 EU AI Act verlangt Maßnahmen, nicht ein garantiertes Kompetenzniveau. Genau deshalb kommt es auf die Dokumentation an: Wenn niemand ein bestimmtes Ergebnis schuldet, ist der Beleg der ergriffenen Maßnahmen das, was im Streitfall, bei einer Prüfung oder im Schadensfall zählt. Wer zeigen kann, dass er strukturiert geschult, dokumentiert und aktualisiert hat, steht erheblich besser da.
Was passiert ohne Nachweis?
Stellen Sie sich folgendes Szenario vor: Ein Mitarbeiter trifft mithilfe einer KI-gestützten Personalentscheidung eine diskriminierende Auswahl. Der Betrieb wird von der Bundesnetzagentur geprüft. Die Behörde fragt nach der KI-Schulung der Mitarbeiter. Wenn Sie jetzt nur auf einen kollektiven E-Learning-Kauf verweisen können, ohne zu dokumentieren, wer wann was gelernt hat und welche Rolle diese Person im KI-Einsatz übernimmt — ist Ihr Nachweis lückenhaft.
Dieser Nachweis hat auch eine persönliche Dimension: Die Sorgfaltspflichten der Geschäftsführung nach § 43 GmbHG und § 93 AktG erfassen den Umgang mit Compliance-Risiken, auch mit denen aus dem KI-Einsatz. KI-spezifische Rechtsprechung dazu gibt es bislang nicht. Wer belegen kann, dass er systematisch gehandelt hat, ist in der Diskussion trotzdem deutlich besser aufgestellt.
Was gilt als belastbarer KI-Kompetenz-Nachweis?
Die gute Nachricht: Das Gesetz schreibt keine spezifische Form vor. Die EU-Kommission formuliert es in ihren FAQ zur KI-Kompetenz unmissverständlich: Ein Zertifikat ist nicht erforderlich, Organisationen können ein internes Register ihrer Schulungen und sonstigen Maßnahmen führen. Auch die Bundesnetzagentur nennt kein vorgeschriebenes Format, keine Mindeststundenzahl und keine externe Zertifizierung.
Was zählt, ist die substantielle Dokumentation des Schulungsprozesses. Folgende Elemente bilden einen belastbaren Nachweis:
1. Rollenkatalog und Schulungsbedarfsanalyse
Welche Mitarbeiter nutzen welche KI-Systeme in welcher Funktion? Ein einfaches Dokument, das Rollen mit den eingesetzten KI-Systemen und deren Risikoklasse verbindet, ist die Grundlage. Ohne diese Analyse können Sie nicht darlegen, warum wer welche Schulung erhalten hat.
2. Schulungsnachweise mit Personenbezug
Für jeden Mitarbeiter: Wann wurde die Schulung absolviert? Welche Inhalte wurden vermittelt? Gibt es einen Leistungsnachweis (z. B. bestandenes Quiz, Abschlusstest)? Diese Daten müssen mindestens so lange aufbewahrt werden, wie die Person die KI-Systeme nutzt — und im Idealfall darüber hinaus.
3. Verifizierbares Zertifikat als freiwilliger Beleg
Ein Zertifikat mit QR-Code, das einer bestimmten Person, einem definierten Kursinhalt und einem Datum zugeordnet ist, ist vorgeschrieben nicht, praktisch aber deutlich stärker als eine anonyme Kursabschlussbestätigung. Eine Behörde, ein Auftraggeber oder ein Auditor kann die Echtheit sofort prüfen, ohne Telefonanruf und ohne Excel-Tabelle. Es ersetzt das interne Register nicht, es füllt es.
4. Regelmäßige Aktualisierung
KI-Technologie und Rechtslage entwickeln sich schnell. Der KI-Omnibus vom Juli 2026 hat gezeigt, wie schnell sich Wortlaut und Fristen ändern können. Ein Schulungsnachweis von 2025 kann 2027 überholt sein, wenn das Unternehmen inzwischen andere KI-Systeme einsetzt oder sich die Rechtslage bewegt hat. Das Schulungskonzept sollte festlegen, wann Wiederholungen oder Aktualisierungen erfolgen.
5. Interne Richtlinie zur KI-Nutzung
Eine schriftliche KI-Nutzungsrichtlinie, die regelt, welche Systeme wofür eingesetzt werden dürfen, wer sie nutzen darf und wie Ergebnisse geprüft werden müssen, ist kein Luxus — sie ist der Rahmen, in dem KI-Kompetenz erst operativ wird. Zur Governance-Struktur finden Sie mehr im Artikel KI-Governance aufbauen: Ein 30/60/90-Tage-Fahrplan.
Schritt für Schritt: So bauen KMU ihren KI-Kompetenz-Nachweis auf
Hier ist ein pragmatischer Fahrplan, der auch mit begrenzten Ressourcen umsetzbar ist:
Schritt 1: KI-Inventar anlegen (Woche 1–2)
Erfassen Sie alle KI-Systeme im Unternehmen — inklusive sogenannter „Schatten-KI" (Tools, die Mitarbeiter eigenständig ohne offizielle Genehmigung verwenden). Pflichtfelder pro System: Systemname, Anbieter, Verwendungszweck, Risikoklasse, verantwortliche Person, Datum der letzten Prüfung.
Schritt 2: Risikoklasse ermitteln (Woche 2–3)
Für jedes KI-System im Inventar: Ist es ein Hochrisiko-System nach Anhang III (z. B. HR-KI, Kreditscoring) oder fällt es in eine niedrigere Risikostufe? Das bestimmt den sinnvollen Schulungsumfang. Beachten Sie die Termine: Die Hochrisiko-Pflichten für Anhang-III-Systeme gelten seit dem KI-Omnibus erst ab dem 2. Dezember 2027, für Anhang-I-Systeme ab dem 2. August 2028. Mehr zur Risikoklassifizierung von KI-Systemen finden Sie in unserem eigenen Erklärungsartikel.
Schritt 3: Rollenbasiertes Schulungskonzept erstellen (Woche 3–4)
Definieren Sie Schulungsstufen: Grundlagenwissen für alle KI-Nutzenden, vertiefendes Wissen für operative KI-Entscheider, spezialisiertes Wissen für KI-Administratoren und Compliance-Verantwortliche. Dokumentieren Sie, welche Rolle welche Stufe benötigt.
Schritt 4: Schulungsmaßnahme durchführen und dokumentieren (Woche 4–8)
Führen Sie die Schulungen durch — sei es ein strukturierter Online-Kurs, ein Präsenzworkshop oder eine Kombination. Entscheidend: Jeder Teilnehmer erhält einen personalisierten, datierten Nachweis. Idealerweise mit einem verifizierbaren Zertifikat.
Schritt 5: Nachweise zentral archivieren
Legen Sie Schulungsnachweise zentral ab — in einem HR-System, einem Compliance-Tool oder als gesichertes digitales Ablagesystem. Die Nachweise müssen auf Anfrage der Bundesnetzagentur vorlegbar sein.
Schritt 6: Aktualisierungszyklus festlegen
Definieren Sie, wann Schulungen aktualisiert werden: bei Einführung neuer KI-Systeme, bei wesentlichen Gesetzesänderungen, oder als jährlichen Standardprozess. Dokumentieren Sie diesen Zyklus ebenfalls.
Welche Schulungsinhalte müssen abgedeckt werden?
Das Gesetz gibt keine Inhaltsvorschrift, und die Bundesnetzagentur nennt ausdrücklich keine Kompetenzstufen. In der Praxis hat sich eine dreistufige Struktur bewährt:
| Stufe | Zielgruppe | Inhalte |
|---|---|---|
| Grundstufe | Alle KI-Nutzenden | Was ist ein KI-System? Wie funktioniert KI? Wo liegen Chancen und Risiken? Verbotene Praktiken nach Art. 5 |
| Mittelstufe | Operative KI-Entscheider, HR, IT | Risikoklassifizierung, Betreiberpflichten, Bias-Risiken, menschliche Aufsicht, Dokumentationspflichten |
| Vertiefungsstufe | Compliance, Geschäftsführung, KI-Admins | Hochrisiko-Pflichten, Artikel 26, Governance, Haftungsfragen, Fristen (eine Grundrechte-Folgenabschätzung nach Art. 27 schulden private KMU in der Regel nicht) |
Wichtig: Alle drei Stufen sollten konkrete, anwendbare Szenarien aus der Unternehmenspraxis enthalten. Rein theoretisches Wissen, das im Arbeitsalltag nicht angewendet werden kann, verfehlt den Zweck von Artikel 4, nämlich Kompetenz für die tatsächliche Nutzungssituation aufzubauen. Die EU-Kommission warnt in ihren FAQ ausdrücklich davor, sich allein auf die Bedienungsanleitung des Systems zu verlassen.
Der häufigste Fehler: Schulung ohne Differenzierung
In unserer Beratungspraxis sehen wir immer wieder das gleiche Muster: Ein Unternehmen kauft einen generischen KI-Kurs, alle klicken ihn durch, niemand besteht einen Abschlusstest, es gibt kein Zertifikat mit Personenbezug. Das Unternehmen glaubt, compliant zu sein.
Das ist kein belastbarer Nachweis. Es fehlt die Differenzierung nach Rolle und Risikoklasse. Es fehlt die Dokumentation mit Personenbezug. Und oft fehlt jeder Beleg, dass die Inhalte auch verstanden und nicht nur aufgerufen wurden.
Die Unterschied zwischen einem Click-Through-Kurs und einem evidenzbasierten, szenariogestützten Kurs mit verifizierbarem Zertifikat ist in einem Audit entscheidend. Was genau ein hochwertiges Schulungsformat ausmacht, erläutern wir detailliert im Artikel Die beste EU AI Act Schulung: Worauf Unternehmen achten müssen.
KI-Kompetenz nachweisen und Betreiberpflichten: Das Gesamtbild
Artikel 4 steht nicht isoliert. Er ist eingebettet in ein Gesamtgefüge von Pflichten für Betreiber, insbesondere für solche, die Hochrisiko-KI-Systeme einsetzen. Wer HR-KI oder Kreditscoring-Tools betreibt, hat nach Artikel 26 EU AI Act deutlich umfangreichere Pflichten: Dokumentation, menschliche Aufsicht, Log-Aufbewahrung von mindestens sechs Monaten, Vorfallsmeldung. Diese Pflichten gelten für Anhang-III-Systeme seit dem KI-Omnibus ab dem 2. Dezember 2027. Anders als Artikel 4 stehen sie in der Bußgeldstufe des Art. 99(4).
Der KI-Kompetenz-Nachweis ist dabei die Voraussetzung für all das: Ohne geschultes Personal ist keine der anderen Betreiberpflichten sinnvoll erfüllbar. Vor allem die menschliche Aufsicht nach Art. 26(2) verlangt ausdrücklich Personen mit Kompetenz, Schulung und Befugnis. KI-Kompetenz ist die Basis, auf der die gesamte Compliance-Struktur aufbaut.
Jetzt handeln: Nachweise aufbauen, bevor jemand danach fragt
Die Pflicht nach Artikel 4 gilt seit dem 2. Februar 2025, und seit dem 2. August 2026 beaufsichtigt die Bundesnetzagentur ihre Einhaltung. Jeder Monat ohne dokumentierte Maßnahmen ist ein Monat, in dem Sie im Zweifel nichts vorzeigen können. Die gute Nachricht: Der Aufbau eines belastbaren KI-Kompetenz-Nachweises ist kein monatelanges Mammutprojekt, wenn man den richtigen Rahmen nutzt.
Forefront AI bietet deutschen KMU genau das: einen 5-Modul-Online-Zertifizierungskurs, der auf evidenzbasierter Didaktik aufbaut, rollenspezifische Szenarien aus dem KMU-Alltag integriert und jedem Teilnehmer ein verifizierbares Zertifikat mit QR-Code ausstellt. Alle Kursabschlüsse werden zentral dokumentiert — prüfbereit, ohne zusätzlichen Verwaltungsaufwand für Ihr Unternehmen.
Erfahren Sie auf unserer Leistungsseite, wie der Kurs aufgebaut ist, oder nehmen Sie direkt Kontakt auf, wenn Sie wissen möchten, wie viele Ihrer Mitarbeiter welche Schulungsstufe benötigen. Wir helfen Ihnen, ein Schulungsregister aufzubauen, das einer Nachfrage standhält.