Suche
Suche Warenkorb 0

Veröffentlicht von Markus Wals

KI-Kompetenz im Team: Schulung, Richtlinie und was gegen Schatten-KI hilft

AI Act KI-Kompetenz KI-Richtlinie KI-Verordnung Schatten-KI Schulung

KI-generierte Illustration: Ein Blatt KI-Richtlinie mit sechs abgehakten Zeilen, daneben ein ausgegrauter Stapel privater Zugänge. Überschrift: KI-Kompetenz im Team

Kurz gesagt: Jedes Unternehmen, das KI beruflich einsetzt, muss seit Februar 2025 die KI-Kompetenz seines Teams fördern; ein Zertifikat oder einen KI-Beauftragten verlangt die KI-Verordnung nicht. Gegen Schatten-KI helfen keine Verbote, sondern ein freigegebenes Werkzeug, eine Richtlinie auf einer Seite und eine kurze Schulung je Rolle.

Dieser Artikel ist für Geschäftsführung und IT-Leitung in kleinen und mittleren Unternehmen, die wissen wollen, was die KI-Verordnung beim Thema KI-Kompetenz wirklich verlangt. Private Abos, ein geteilter Zugang und Kundendaten im Chatfenster sind Zeichen dafür, dass KI im Haus genutzt wird, ohne dass eine Regel sie abdeckt. Du bekommst die Rechtslage nach der Änderung von 2026, einen Mustertext für eure KI-Richtlinie und eine Checkliste für die Einführung.

Das Wichtigste in Kürze

  • Artikel 4 gilt für dich, sobald dein Team KI beruflich nutzt. Auch wer nur ChatGPT, Claude oder Copilot einsetzt, ist im Sinn der KI-Verordnung Betreiber.
  • Verlangt sind Maßnahmen, kein Zertifikat. Seit der Änderung durch den Digital Omnibus musst du die KI-Kompetenz fördern, aber kein bestimmtes Niveau garantieren.
  • Einen KI-Beauftragten schreibt die Verordnung nicht vor. Eine benannte Ansprechperson ist trotzdem sinnvoll.
  • Schatten-KI wird seltener, wenn es ein erlaubtes Werkzeug gibt. Ein reines Verbot kann die Nutzung ins Private verlagern.
  • Dokumentieren geht mit internen Aufzeichnungen. Ein formales Prüfverfahren schreibt Artikel 4 nicht vor; wer wann was gelernt hat und welche Regeln gelten, gehört in eine einfache Liste.

Was verlangt Artikel 4 der KI-Verordnung?

Du musst Maßnahmen ergreifen, die die KI-Kompetenz deines Teams fördern; ein bestimmtes Niveau musst du nicht garantieren. Artikel 4 gilt für Anbieter und Betreiber von KI-Systemen und umfasst das eigene Personal und alle Personen, die in ihrem Auftrag mit KI arbeiten. So steht es in der konsolidierten Fassung beim AI Act Service Desk der EU-Kommission.

Zu berücksichtigen sind Vorkenntnisse, Erfahrung, Ausbildung, der Einsatzkontext und die Personen, die von den Ergebnissen betroffen sind.

Betreiber ist nach Artikel 3 Nr. 4 jede Person oder Organisation, die ein KI-System in eigener Verantwortung verwendet, außer bei einer persönlichen, nicht beruflichen Tätigkeit. Ein Unternehmen, dessen Vertrieb Angebote mit ChatGPT entwirft, ist damit Betreiber. Die Pflicht greift laut EU-Kommission seit dem 2. Februar 2025; die Regeln zu Aufsicht und Durchsetzung gelten seit dem 2. August 2026.

Ursprünglich verlangte Artikel 4, ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen. Die Verordnung (EU) 2026/1744 (Digital Omnibus zur KI, vom 8. Juli 2026) hat das umgestellt: Anbieter und Betreiber ergreifen jetzt Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen.

Die geänderte Fassung sagt ausdrücklich, dass du für keine Person ein bestimmtes Kompetenzniveau garantieren musst. Die Pflicht selbst ist geblieben. Welche weiteren Pflichten die Verordnung für Unternehmen setzt, fasst der Beitrag zur KI-Verordnung für KMU zusammen.

Fazit: Du musst etwas tun und solltest es belegen können, aber niemand verlangt eine Prüfung oder eine bestimmte Stundenzahl.

Zertifikat, KI-Führerschein, KI-Beauftragter: Was ist Pflicht?

Grafik: Was die KI-Verordnung nicht verlangt. Zertifikat, KI-Führerschein und KI-Beauftragter sind nicht Pflicht. Pflicht sind Maßnahmen, die die KI-Kompetenz des Teams fördern und zu Wissen und Einsatz passen. Eine Ansprechperson ist nicht vorgeschrieben, aber im Alltag sinnvoll.

Nichts davon ist Pflicht. Die Fragen und Antworten der EU-Kommission zur KI-Kompetenz sagen: Ein Zertifikat ist nicht nötig, und für Artikel 4 ist keine bestimmte Governance-Struktur vorgeschrieben, also auch kein KI-Beauftragter und kein KI-Gremium.

Ein „KI-Führerschein“ ist deshalb ein Kursformat, kein gesetzlicher Nachweis. Er kann sinnvoll sein, wenn sein Inhalt zu euren Werkzeugen und Aufgaben passt. Eine allgemeine Online-Schulung über „Was ist KI?“ erfüllt die Pflicht nicht automatisch besser als eine kurze Einheit am eigenen Anwendungsfall.

Die Kommission nennt vier Bausteine, an denen du dich orientieren kannst: ein allgemeines Verständnis von KI im Unternehmen, die eigene Rolle (Anbieter oder Betreiber), die Risiken der eingesetzten Systeme und Maßnahmen, die zu Wissen und Aufgaben der Mitarbeitenden passen. Wer ChatGPT nutzt, soll laut Kommission zum Beispiel wissen, dass die Antworten falsch sein können (Halluzination).

Fazit: Keines der drei ist Pflicht; eine benannte Ansprechperson für KI hilft im Alltag trotzdem.

Schatten-KI: Woran du sie erkennst

Grafik: Vier Anzeichen für Schatten-KI. Private Abos ohne Firmenkonto, ein geteilter Zugang für mehrere Kolleg:innen, Chatbot-Texte in Angeboten und Mails sowie ERP-Exporte, die als Datei im Browser hochgeladen werden. Ein erlaubtes, besseres Werkzeug macht Schatten-KI seltener.

Schatten-KI ist jede KI-Nutzung im Unternehmen, von der die Verantwortlichen nichts wissen oder die keine Regel abdeckt. Dahinter steckt selten böse Absicht, sondern der Wunsch, ein Problem schneller zu lösen, mit dem Werkzeug, das jemand privat kennt.

Anzeichen dafür sind:

  • KI-Abos auf private Kreditkarten oder in Spesenabrechnungen,
  • ein gemeinsamer Zugang, den mehrere Kolleg:innen mit demselben Passwort nutzen,
  • Texte in Angeboten oder Mails, die erkennbar aus einem Chatbot stammen, ohne dass jemand von KI gesprochen hat,
  • Exporte aus dem ERP, etwa Kundenlisten oder offene Posten, die als Datei im Browser hochgeladen werden.

Aus der Praxis: In Einführungsprojekten hat sich bewährt, dem Team einen Zugang mit Anbindung an die eigenen Daten zu geben statt eines Verbots. Ohne ihn fragt das Team zwischendurch einen Gratis-Chatbot und überträgt die Antworten von Hand ins System, ohne Bezug zu den eigenen Daten. Dazu gehört eine einfache Datenregel: Zahlen ohne Personenbezug dürfen in den Dienst, Namen und Adressen nicht.

Eine häufige Frage von Geschäftsführungen lautet: Lässt sich die Nutzung so beschränken, dass die KI keinen Zugriff auf Kundendaten hat? Ein Verbot allein erreicht das nicht. Dazu gehören drei Dinge: eine Regel, welche Daten in welchen Dienst dürfen, ein Firmenkonto mit Vertrag zur Auftragsverarbeitung und, wo die KI ans ERP angebunden ist, Rechte, die nur zeigen, was die jeweilige Rolle sehen darf.

Eine weitere Frage ist, ob dein Unternehmen Betreiber ist, wenn Mitarbeitende für Arbeitsaufgaben private Konten nutzen. Eine ausdrückliche Regel dazu haben wir nicht gefunden. Die Definition in Artikel 3 Nr. 4 der KI-Verordnung spricht von der Verwendung in eigener Verantwortung, Erwägungsgrund 13 von der Verwendung unter der Befugnis der Stelle. Das ist ein Hinweis, keine Bewertung: Kläre die Frage mit deiner Rechtsberatung, und vermeide sie im Alltag mit einem Firmenkonto.

Fazit: Schatten-KI wird seltener, wenn es ein erlaubtes Werkzeug gibt, das besser ist als das private.

Eine KI-Richtlinie auf einer Seite

Eine KI-Richtlinie im Unternehmen legt fest, welche Werkzeuge erlaubt sind, welche Daten tabu sind und wer was freigibt. Eine Seite, die jede und jeder liest, wirkt mehr als zwanzig Seiten, die niemand kennt. Der folgende Mustertext ist eine unverbindliche Anregung, keine Rechtsberatung: Pass ihn an dein Unternehmen an, ersetze die Platzhalter in eckigen Klammern, kürze, was bei euch nicht zutrifft, und lass ihn im Zweifel rechtlich prüfen.

KI-Richtlinie [Firmenname], Stand [Datum], Version [1.0]

  1. Erlaubte Werkzeuge. Bei [Firmenname] nutzen wir KI für Arbeitsaufgaben nur über [freigegebener Dienst] mit Firmenkonto, für den ein Vertrag zur Auftragsverarbeitung besteht. Private Konten und nicht freigegebene Dienste verwenden wir dafür nicht.
  2. Daten. Zahlen ohne Personenbezug, etwa Mengen, Umsätze oder Artikelnummern, dürfen in [freigegebener Dienst]. Namen, Adressen und Kontaktdaten von Personen, Personaldaten, Zugangsdaten und vertrauliche Verträge geben wir nur mit Freigabe von [Ansprechperson] ein.
  3. Freigaben. KI liefert Entwürfe und Vorschläge, kein fertiges Ergebnis. Bevor ein Text an Kund:innen geht oder etwas in [ERP-System] geändert wird, prüft und bestätigt das ein Mensch.
  4. KI im ERP. Eine KI mit Zugriff auf [ERP-System] arbeitet mit einem eigenen Zugang und nur mit den Rechten der Rolle [Rolle]. Wir starten lesend und geben Schreibrechte nur für einzelne, abgegrenzte Abläufe frei.
  5. Kennzeichnung. Mit KI erzeugte Texte kennzeichnen wir nach außen, wenn [Regel, zum Beispiel: bei Veröffentlichungen und Kundenmails ohne Prüfung durch einen Menschen]. Echt wirkende Bilder, Audio- und Videoinhalte, die mit KI erzeugt oder verändert wurden, legen wir offen, soweit Artikel 50 der KI-Verordnung das verlangt.
  6. Ansprechperson. [Name, Funktion] beantwortet Fragen, prüft neue Werkzeuge und nimmt Vorfälle auf. Wer unsicher ist, fragt vor der Nutzung.
  7. Schulung. Wer KI beruflich nutzt, bekommt vor dem Start eine Einführung in [freigegebener Dienst] und diese Richtlinie, danach alle [12] Monate und bei neuen Werkzeugen eine Auffrischung. Die Teilnahme halten wir fest.

Zur Kennzeichnung: Für Deepfakes verlangt Artikel 50 der KI-Verordnung eine Offenlegung durch den Betreiber, mit Ausnahmen etwa für künstlerische Werke. Wie du Rollen und Rechte für die KI im ERP schneidest, steht im Beitrag zur KI-Governance im ERP. Bei wals.pro AI for weclapp zum Beispiel starten eingeladene Mitglieder mit reinem Lesezugriff, Änderungen laufen über Vorschau und Freigabe.

Gibt es in deinem Betrieb einen Betriebsrat, stimm dich früh ab: Die Einführung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen, ist nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Ob ein bestimmtes KI-Werkzeug darunter fällt, klärst du im Einzelfall.

Fazit: Sieben kurze Regeln mit Platzhaltern reichen, wenn jede eine klare Entscheidung enthält.

KI-Kompetenz schulen: Wer braucht was?

Grafik: Schulung nach Rolle. Die Geschäftsführung kennt ihre Betreiberrolle und gibt einen Dienst mit Firmenkonto frei. Der Vertrieb erkennt Halluzinationen und prüft Entwürfe. Die Buchhaltung prüft Zahlen, der Mensch bucht, die KI fasst nur zusammen.

Die Maßnahmen betreffen alle, die im Unternehmen direkt mit KI arbeiten. Laut EU-Kommission zählen dazu auch Personen, die nicht angestellt sind, aber in deinem Auftrag handeln, etwa Freelancer:innen oder Dienstleister. Die Schulung richtet sich nach der Rolle, nicht nach einem Einheitskurs.

Rolle Was sie wissen muss Beispiel aus dem Alltag
Geschäftsführung Rolle als Betreiber, Verantwortung für Ergebnisse, Inhalt der Richtlinie Entscheiden, welcher KI-Dienst einen Vertrag mit Firmenkonto bekommt
Vertrieb Halluzinationen erkennen, keine Kundendaten in freie Tools, Texte prüfen Angebotsentwurf mit KI schreiben und Preise gegen weclapp prüfen
Buchhaltung Zahlen nie ungeprüft übernehmen, Belege bleiben im ERP KI fasst offene Posten zusammen, die Buchung macht ein Mensch
IT Zugänge, Rechte, Protokolle, Prüfung neuer Werkzeuge Firmenkonten anlegen, geteilte Zugänge ablösen, Rollen im ERP setzen

Eine feste Dauer schreibt die Verordnung nicht vor. Wichtiger ist, dass die Schulung an euren echten Aufgaben ansetzt und bei einem neuen Werkzeug aufgefrischt wird. Wenn du das nicht selbst aufbauen willst: Unsere KI-Workshops für Teams arbeiten mit euren eigenen Abläufen.

In Einführungsprojekten hat sich bewährt, nach der Schulung ein kleines erstes Projekt mit sichtbarem Nutzen zu starten. Such dafür eine Aufgabe, die häufig vorkommt, viel Zeit kostet und nervt. Ohne ein solches Projekt bleibt von einer Schulung eher eine Präsentation.

Fazit: Eine kurze Schulung am eigenen Anwendungsfall bringt mehr als ein allgemeiner Grundlagenkurs.

KI-Kompetenz nachweisen ohne Bürokratie

Die EU-Kommission nennt interne Aufzeichnungen über Schulungen und andere Maßnahmen als Weg der Dokumentation; ein formales Prüfverfahren schreibt Artikel 4 nicht vor. Eine Tabelle mit Name, Rolle, Datum, Thema und genutzten Werkzeugen reicht als Grundlage. Dazu kommen die aktuelle Richtlinie mit Datum und eine Liste der freigegebenen KI-Dienste.

Halte auch fest, was ihr nach Vorfällen geändert habt, etwa wenn ein falscher KI-Text an eine Kundin ging. Bei KI im ERP liefert ein Protokoll, wer welche Änderung freigegeben hat, einen Teil des Nachweises gleich mit. Warum der Mensch in der Schleife dabei der Kern ist, erklärt der Beitrag Human in the Loop im ERP.

Fazit: Führe eine Liste ab dem ersten Schulungstermin, nicht erst, wenn jemand fragt.

Der erste Schritt in unter einer Stunde

Grafik: Der erste Schritt in einer Stunde. Erst das Team fragen, wer welche KI-Dienste nutzt. Dann einen Dienst mit Firmenkonto als erlaubtes Werkzeug festlegen. Zuletzt die angepasste Richtlinie mit Datum und Version ans Team schicken.

Du musst nicht mit allen zwölf Punkten gleichzeitig anfangen. Diese drei Schritte schaffst du in einer Stunde:

  1. Frag das Team offen, wer welche KI-Dienste nutzt, und schreib die Antworten auf.
  2. Entscheide einen Dienst mit Firmenkonto als erlaubtes Werkzeug.
  3. Nimm den Mustertext oben als Anregung, pass ihn an dein Unternehmen an und schick die Seite ans Team.

Fazit: Schon eine Seite mit Datum, die alle kennen, ist ein belegbarer erster Schritt.

Checkliste für die Geschäftsführung

Diese zwölf Punkte führen dich bei der Einführung von KI im Unternehmen von der ersten Regel bis zum Nachweis:

  1. Ansprechperson benennen. Eine Person, die Zeit dafür hat.
  2. Bestandsaufnahme machen. Frag offen, wer welche KI schon nutzt, ohne Konsequenzen für ehrliche Antworten.
  3. Erlaubte Werkzeuge festlegen. Mindestens ein Dienst mit Firmenkonto, der die häufigsten Aufgaben abdeckt.
  4. Datenklassen definieren. Was ist frei, was intern, was nie ohne Freigabe in einer KI.
  5. Anbieterverträge prüfen. Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, Nutzung der Eingaben zum Training, Ort der Verarbeitung. Worauf es bei den Verträgen ankommt, steht im Beitrag KI und Datenschutz im Unternehmen.
  6. Richtlinie auf einer Seite schreiben. Der Mustertext von oben, angepasst an dein Unternehmen, mit Datum und Version.
  7. Geteilte Zugänge ablösen. Jede Person bekommt einen eigenen Zugang, damit Rechte und Protokolle stimmen.
  8. Schulung je Rolle durchführen. Anwendungsfall, Risiken, Regeln, und die Teilnahme festhalten.
  9. KI im ERP nur mit Vorschau und Freigabe. Lesender Start, Schreibrechte erst nach Bedarf und Rolle.
  10. Mit einem Team pilotieren. Eine Abteilung, ein Anwendungsfall, eine feste Probezeit, danach die Richtlinie nachschärfen.
  11. Nachweise sammeln. Schulungsliste, Richtlinie, Werkzeugliste und Änderungen an einem Ort.
  12. Lokale KI prüfen, wenn Daten das Haus nicht verlassen dürfen. Dann läuft das Modell auf eigener Hardware statt beim Anbieter. Der Eignungs-Check auf der Seite Lokale KI im Unternehmen hilft bei der ersten Einschätzung.

Fazit: Die meisten Punkte sind Organisation und brauchen keine neue Software.

Quellen und Grenzen

Stand: 07.11.2026. Der Artikel behandelt die KI-Kompetenz nach Artikel 4 und die Organisation im Unternehmen. Er deckt keine Pflichten für Anbieter von KI-Systemen, keine Hochrisiko-Anwendungen (dazu der Beitrag zur KI-Verordnung für KMU; dort gelten zusätzliche Schulungspflichten für die menschliche Aufsicht) und keine nationalen Durchführungsgesetze ab. Ob Unternehmen auch bei privaten Konten ihrer Mitarbeitenden Betreiber sind, ist eine offene Rechtsfrage. Die Rechtslage bewegt sich noch; prüfe die verlinkten Quellen vor wichtigen Entscheidungen. Das ersetzt keine Rechtsberatung.

Häufige Fragen

Ist ein KI-Beauftragter für Unternehmen verpflichtend?

Nein. Laut EU-Kommission schreibt Artikel 4 der KI-Verordnung keine bestimmte Governance-Struktur vor, also auch keinen KI-Beauftragten. Eine benannte Ansprechperson ist trotzdem sinnvoll.

Brauche ich einen KI-Führerschein oder ein Zertifikat?

Nein. Die EU-Kommission sagt ausdrücklich, dass kein Zertifikat nötig ist. Ein KI-Führerschein ist ein Kursformat und kann helfen, wenn der Inhalt zu euren Aufgaben passt.

Wer muss laut KI-Verordnung geschult werden?

Artikel 4 verlangt Maßnahmen für dein Personal und alle, die in deinem Auftrag mit KI arbeiten, auch Freelancer:innen und Dienstleister. Wie tief die Schulung geht, richtet sich nach Rolle und Einsatz.

Wie viel kostet eine KI-Schulung?

Das hängt von Format, Teamgröße und Tiefe ab; die KI-Verordnung schreibt weder Dauer noch Format vor. Sinnvoll ist eine Schulung, die an euren eigenen Abläufen ansetzt statt an allgemeinen Grundlagen.

Reicht es, ChatGPT im Unternehmen zu verbieten?

Nein. Ein Verbot kann die Nutzung auf private Geräte und Abos verlagern, und die Pflicht zur KI-Kompetenz gilt trotzdem, sobald jemand KI beruflich nutzt. Wirksamer ist ein freigegebenes Werkzeug mit klaren Regeln.

Wie weise ich KI-Kompetenz nach?

Die EU-Kommission nennt interne Aufzeichnungen: wer wann zu welchem Thema geschult wurde, dazu die aktuelle KI-Richtlinie und die Liste der freigegebenen Werkzeuge. Ein formales Prüfverfahren schreibt Artikel 4 nicht vor.