Die europäische KI-Verordnung ist beschlossen und mit ihr eine neue Sorgfaltspflicht für Unternehmen und Behörden: Alle, die KI entwickeln, betreiben oder beaufsichtigen, müssen über „angemessene Kompetenzen“ verfügen. So steht es in Artikel 4 der Verordnung. Was bisher als weiches Ziel galt, wird damit zur rechtlich bindenden Voraussetzung für den KI-Einsatz.

Um den abstrakten Rechtsrahmen in konkrete Praxis zu übersetzen, hat die Bundesnetzagentur im Juli 2025 den KI-Service-Desk freigeschaltet. Das Angebot liefert Praxishilfen, Checklisten und ein dreistufiges Lern- und Nachweismodell, mit dem Organisationen ihr Kompetenzprogramm planen, dokumentieren und bei Bedarf gegenüber Aufsichtsbehörden belegen können. Spätestens wenn die Marktüberwachungsbehörden am 2. August 2026 mit der Durchsetzung beginnen und ab 2. August 2027 auch die letzten Hochrisiko-Pflichten greifen, ist eine solide Kompetenzstrategie somit nicht nur wettbewerbsrelevant, sondern zwingende Voraussetzung für jeden KI-Einsatz.

Die Kompetenzpflicht in der KI-Verordnung

Die europäische KI-Verordnung sieht bereits in Artikel  4 eine klare Verpflichtung vor: Organisationen, die KI-Systeme einsetzen oder entwickeln, müssen sicherstellen, dass die beteiligten Personen über die dafür erforderlichen Kenntnisse und Fähigkeiten verfügen. Dabei geht es nicht um technisches Spezialwissen einzelner Entwickler. Gefordert ist ein breit verstandenes Kompetenzprofil, das ethische, datenschutzrechtliche, organisatorische und praktische Aspekte umfasst.

Das Stufenmodell der Bundesnetzagentur

Die Umsetzung der Brüsseler Vorgabe, „angemessene KI-Kompetenz“ vorweisen zu können, bleibt offen. Genau hier setzt der neue KI-Service Desk der Bundesnetzagentur an und übersetzt den abstrakten Anspruch in ein dreistufiges Lern- und Nachweismodell.

In Stufe 1 sollen alle Mitarbeitenden ein gemeinsames Grundverständnis zu Daten, Begriffen und Funktionsweisen von KI aufbauen. Das Ziel ist, dass niemand mehr glaubt, eine generative Sprachmaschine sei ein allwissender Orakelkasten.

Stufe 2 vertieft das Wissen dort, wo Organisationen bereits konkrete KI-Lösungen einsetzen. Welche Risiken bringt das jeweilige System mit sich, wie passt es rechtlich in die Wertschöpfungskette, und welche technischen Stellschrauben sind zu kennen?

Erst in Stufe 3 wird das Lernen rollenbasiert: Entwicklerinnen vertiefen Modelle, Juristen fokussieren Governance, Ethikerinnen begleiten Impact-Analysen, während das Management den organisationsweiten Reifegrad steuert. So entsteht ein organisches Kompetenznetz, das sich an technologischen und regulatorischen Neuerungen kontinuierlich weiterentwickelt.

Die Methodik ruht auf vier Grundsteinen, die jede Organisation unabhängig von Branche und Größe berücksichtigen sollte. Erstens ermitteln Unternehmen gezielt ihren Bedarf. Wer arbeitet wann mit welchem System und trägt welches Risiko? Zweitens gestalten sie die Bildungsmaßnahmen passgenau – intern oder extern, formal oder „on-the-job“. Drittens frischen sie das Wissen regelmäßig auf, da sich Modelle, Datenströme und Haftungsfragen rasant verändern. Viertens dokumentieren sie alle Schritte lückenlos, um im Streitfall die Einhaltung der Sorgfaltspflicht aus Artikel 4 nachweisen zu können.

Europäische Leitplanken für mehr Flexibilität

Das AI Office der EU bekräftigt in seinem jüngsten Q&A, dass Artikel 4 keine starren Schulungsformate vorschreibt. Entscheidend sei vielmehr, dass jede Organisation eine „ausreichende“ Kompetenz nachweisen kann, gemessen an Rolle, Risikoklasse und technischer Komplexität des eingesetzten Systems.

Empfohlen wird ein risiko- und kontextbasierter Ansatz. Erst das Gesamtbild aus Technikniveau, Zweck, Zielgruppe und potenzieller Gefährdung bestimmt Tiefe und Umfang der Trainings. Ein einheitliches Mindestcurriculum existiert also nicht. Wer jedoch hochriskante Systeme betreibt, muss deutlich mehr investieren als ein Team, das ChatGPT nur zum Übersetzen einsetzt. Logisch, oder?

Auch zeitlich setzt Brüssel klare Marker. Seit dem 2. Februar 2025 gilt die Pflicht zum Kompetenzaufbau, während nationale Marktüberwachungsbehörden ab August 2026 mit der Durchsetzung beginnen. Die Schonfrist schrumpft, und gerade mittelständische Unternehmen tun gut daran, jetzt Lernpfade, Prüfungskriterien und Belegdokumente vorzubereiten, statt erst auf behördliche Nachfragen zu reagieren.

So erfüllen Unternehmen die neue Sorgfaltspflicht

Wer das Stufenmodell der Bundesnetzagentur nicht nur auf dem Papier abhaken will, braucht im Unternehmen eine zentrale Instanz, die Inhalte, Rollen und Fristen kontinuierlich ordnet, kurz: eine Art KI-Manager.

Die Bundesnetzagentur fordert keine solche Stelle ausdrücklich. Sie betont jedoch: Unternehmen müssen alle Maßnahmen zum Kompetenzaufbau plausibel planen, regelmäßig fortschreiben und lückenlos dokumentieren. Genau hier zahlt sich ein klar benannter Verantwortlicher aus. Er koordiniert die Bedarfsanalyse, strukturiert die Trainingspfade durch Stufe 1 bis 3, sorgt für termingerechte Refresh-Sessions und bündelt den Nachweis gegenüber Prüfern. Fehlt diese Klammer, droht spätestens ab August 2026 eine unübersichtliche Zettelwirtschaft und im Ernstfall der Vorwurf mangelnder Sorgfalt. 

Praxis zeigt, dass Unternehmen das Mandat gern mit bereits vertrauten Kompetenzen unterlegen. Viele greifen auf Mitarbeiterinnen aus IT- oder Compliance-Teams zurück und qualifizieren sie weiter. Damit verschiebt sich der Fokus von der einmaligen Schulung hin zu einem Governance-Kreislauf: Analyse, Befähigung, Kontrolle, Aktualisierung. Der KI-Manager wird dabei zum Dirigenten, der Fachbereiche vernetzt, Trainingserfolge bewertet und die Risiko-Matrix des AI Office stets im Blick behält.

Wie dokumentiert man KI-Kompetenz?

Die Bundesnetzagentur betont, dass der Aufbau von KI-Kompetenz kein einmaliges Training, sondern ein kontinuierlicher Lernprozess sein sollte. Unternehmen sind dabei frei in der Auswahl der Maßnahmen. Es gibt keine Pflicht zu standardisierten Schulungen oder Zertifikaten. Entscheidend ist, dass die Maßnahmen dem konkreten Risiko, den eingesetzten Systemen und dem Wissensstand der Mitarbeitenden angemessen sind.

Zur Dokumentation reicht es nicht, einzelne Schulungen aufzuzählen. Vielmehr sollten Unternehmen festhalten, welche Inhalte vermittelt wurden, wie lange die Maßnahme dauerte und wer daran teilgenommen hat. Besonders wichtig ist die regelmäßige Aktualisierung der Inhalte, um mit der schnellen technologischen Entwicklung Schritt zu halten.

Empfohlen wird ein stufenweises Vorgehen: Zunächst sollen grundlegende Kenntnisse über Daten, KI und mögliche Risiken vermittelt werden. In einem zweiten Schritt folgen vertiefte Informationen über den konkreten Einsatz von KI im Unternehmen. Schließlich können rollenspezifische Schulungen, etwa für Technik, Recht oder Ethik, aufgesetzt werden.

Auch wenn keine Pflicht zur Zertifizierung besteht, kann eine transparente und nachvollziehbare Dokumentation der Maßnahmen dazu beitragen, gesetzliche Vorgaben zu erfüllen und das Vertrauen in den KI-Einsatz im Unternehmen zu stärken. Wer sich nicht ausreichend mit KI-Kompetenz befasst, riskiert laut Bundesnetzagentur nicht nur einen rechtlichen Verstoß, sondern auch Wettbewerbsnachteile.

So machen es andere Unternehmen

Während nationale Behörden wie die Bundesnetzagentur mit dem KI-Service Desk erste Handreichungen liefern, zeigt ein Blick nach Brüssel: Die Pflicht zur KI-Kompetenz wird europaweit ernst genommen und längst praktisch umgesetzt. Das sogenannte Living Repository of AI Literacy Practices der EU-Kommission sammelt Beispiele von Unternehmen, die bereits heute Strukturen geschaffen haben, um KI-Wissen systematisch zu vermitteln. Wer sich fragt, wie andere Akteure Artikel 4 der KI-Verordnung konkret erfüllen, findet hier Antworten. Welche Inhalte werden vermittelt? Wer ist verantwortlich? Wie wird dokumentiert? Welche Herausforderungen bleiben bestehen?

Die EnBW Energie Baden-Württemberg AG zeigt, wie eine passgenaue Kompetenzstrategie entlang der gesamten Wertschöpfungskette aussieht. Damit dieser Anspruch greift, setzt EnBW auf ein mehrstufiges Lernmodell mit praxisnahen Inhalten. Grundlagenkurse für Einsteiger, spezialisierte Trainings für Experten und Entscheidende, gamifizierte Lernformate und eine breite E-Learning sorgen dafür, dass jeder Mitarbeitende, unabhängig vom Vorwissen, die nötigen Fähigkeiten im Umgang mit KI- und Datenanwendungen entwickelt. Regelmäßige Tests und Feedbackschleifen messen den Fortschritt, identifizieren neue Bedarfe und sichern den Transfer in den Arbeitsalltag. Besonders hervorzuheben ist der strategische Blick auf den Nutzungskontext. Ob operative Wartung oder strategische Steuerung. Jede Trainingsmaßnahme ist auf konkrete Anwendungsszenarien abgestimmt. EnBW lebt damit vor, wie ein dynamisches Kompetenzsystem entstehen kann, das nicht nur regulatorische Anforderungen erfüllt, sondern zugleich kulturellen Wandel gestaltet.

Die Telefónica S.A. verfolgt mit dem unternehmensweiten RAI (Responsible AI) Culture Plan einen strukturierten Ansatz zur Vermittlung von KI-Kompetenz in der Belegschaft. Die Schulungen sind auf unterschiedliche Zielgruppen zugeschnitten. Es gibt Angebote für die breite Mitarbeiterschaft, für Führungskräfte, für Gen-AI-Nutzer sowie für technische Fachkräfte wie Entwickler und Data Scientists. Speziell geschulte „RAI Champions“ übernehmen zusätzlich eine vermittelnde Rolle zwischen Governance und Fachbereichen. Inhaltlich reicht das Angebot von allgemeinen Awareness-Trainings über praxisorientierte Lernformate bis hin zu fachspezifischen Workshops, etwa für Rechts-, Kommunikations- oder Produktteams. Insgesamt wurden bereits über 2000 Mitarbeitende in mehr als 40 Trainingsformaten erreicht. Das Unternehmen legt Wert auf kontinuierliche Weiterentwicklung, differenzierte Zielgruppenansprache und eine enge Verbindung von KI-Kompetenz und ethischem Bewusstsein.

Es gibt nicht den einen richtigen Weg. Aber es gibt viele gute. Und sie lassen sich übertragen. Frontline-Mitarbeitende sollten in jedem Fall ein Grundlagen-Training zu ihren Rechten, Pflichten und den Auswirkungen von KI auf ihre tägliche Arbeit erhalten

Fazit

KI-Kompetenz ist längst kein Nice-to-have mehr, sondern rechtliche Eintrittskarte in den Einsatz moderner Systeme. Entscheidend ist ein klar benannter KI-Manager, der Bedarfe bündelt, Trainings rhythmisiert und den Nachweis gegenüber Aufsichtsbehörden lückenlos dokumentiert. So wird aus Regulierung eine Chance. Unternehmen, die jetzt investieren, sichern sich Compliance, minimieren Haftungsrisiken und gewinnen einen messbaren Vorsprung gegenüber jenen, die erst auf behördlichen Druck reagieren.