Seit dem 2. Februar 2025 gilt die Pflicht zur KI-Kompetenz, oft KI-Schulungspflicht genannt. Sie steht in Artikel 4 des EU AI Act. Seit dem Digital-Omnibus (Verordnung (EU) 2026/1744) verlangt sie Maßnahmen, die die KI-Kompetenz der Beschäftigten fördern, aber kein bestimmtes Kompetenzniveau. Sie trifft jedes Unternehmen, das KI-Systeme einsetzt. Also auch das kleine Büro mit einem ChatGPT-Abo. Zudem gibt es keine Untergrenze bei der Größe. Deshalb betrifft die Regel gerade viele österreichische KMU, die sich bisher sicher fühlten.
Dieser Beitrag erklärt die neue Pflicht ohne Juristendeutsch. Zunächst zeigen wir, wer betroffen ist. Danach klären wir, welche KI-Kompetenz gefragt ist. Zum Schluss geht es um Umsetzung, Nachweis und mögliche Folgen. Somit erhalten Sie einen klaren Fahrplan. Also eine Anleitung, mit der Sie die Vorgabe rasch erfüllen.
Was die KI-Schulungspflicht verlangt
Die KI-Schulungspflicht verlangt eine einfache Sache. Nämlich: Wer KI im Betrieb nutzt, muss etwas für die KI-Kompetenz der eigenen Leute tun. Der genaue Wortlaut steht in Artikel 4 des EU AI Act. In der Fassung des Digital-Omnibus ergreifen Anbieter und Betreiber Maßnahmen, um die KI-Kompetenz ihres Personals und aller, die die Systeme in ihrem Auftrag nutzen, zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren. Eine ausdrückliche Schulungs- oder Nachweispflicht steht nicht im Text. Den offiziellen Text finden Sie in der Verordnung (EU) 2024/1689.
Wichtig ist das Datum. Die Pflicht gilt seit dem 2. Februar 2025. Sie ist also längst in Kraft. Dennoch wissen viele Betriebe davon noch nichts. Seit August 2026 gilt der AI Act weitgehend, die Hochrisiko-Pflichten folgen ab Dezember 2027. Die Pflicht zur KI-Kompetenz gilt schon seit Februar 2025. Deshalb besteht bereits Handlungsbedarf.
Keine feste Vorschrift, aber eine echte Pflicht
Artikel 4 schreibt kein festes Curriculum vor. Es gibt keine Pflichtstunden und kein Zertifikat, das der Staat verlangt. Vielmehr fordert die Regel eine organisatorische Verantwortung. Sie müssen also selbst festlegen, welche Kompetenz Ihre Leute brauchen. Danach ergreifen Sie Maßnahmen, um diese Kompetenz aufzubauen. Zudem sollten Sie das Ganze belegen können. Genau diese Freiheit verunsichert viele. Denn ohne Checkliste weiß niemand, wann genug getan ist.
Der Rahmen ist trotzdem klar umrissen. Die Kompetenz soll passen. Also zum konkreten System und zur Aufgabe der Person. Wer nur einen Chatbot für E-Mails nutzt, braucht weniger als ein Data-Analyst. Deshalb ist die KI-Schulungspflicht abgestuft. Somit verlangt sie kein Informatikstudium für alle. Vielmehr fordert sie das richtige Maß für jede Rolle. Diesen risikobasierten Gedanken kennen Sie aus der Informationssicherheit bereits.
Ein Blick auf die Zahlen zeigt die Reichweite. Laut aktuellen Erhebungen nutzt bereits die Mehrheit der österreichischen Betriebe irgendeine Form von KI. Oft geschieht das ohne klare Regeln. Zudem tippen Mitarbeitende Firmendaten in kostenlose Tools. Genau hier setzt die Pflicht an. Denn sie soll aus unkontrolliertem Ausprobieren einen bewussten Umgang machen. Deshalb ist sie kein Bürokratie-Selbstzweck, sondern eine Antwort auf ein reales Risiko.
Wen die Pflicht trifft: Anbieter und Betreiber
Die KI-Schulungspflicht trifft zwei Gruppen. Nämlich Anbieter und Betreiber von KI-Systemen. Für KMU zählt fast immer die zweite Rolle. Betreiber ist, wer ein KI-System im eigenen Namen einsetzt. Also jedes Unternehmen, das ein Tool wie ChatGPT, Copilot oder eine KI-Funktion in der Software beruflich nutzt. Somit ist der Kreis riesig.
Warum fast jedes KMU betroffen ist
Es gibt keine Ausnahme für kleine Firmen. Der AI Act kennt keine Größenschwelle bei Artikel 4. Auch die Einzelunternehmerin mit einem KI-Abo fällt darunter. Ebenso der Handwerksbetrieb, der Angebote per KI schreiben lässt. Sobald jemand im Betrieb ein KI-System dienstlich verwendet, greift die Pflicht. Deshalb ist die verbreitete Annahme falsch, das Thema betreffe nur Tech-Konzerne. Die WKO-Übersicht zum AI Act bestätigt diese breite Reichweite.
Auch der Umfang der Nutzung spielt keine Rolle für das Ob. Ein einziges Tool genügt, damit die Pflicht greift. Der Umfang bestimmt nur das Wie. Wer viel und riskant nutzt, sollte tiefer schulen. Hingegen kommt mit einer Grundschulung aus, wer selten und harmlos nutzt. Etwas tun muss aber jeder Betrieb, der KI dienstlich einsetzt. Eine dokumentierte Basisschulung ist dafür der einfachste Weg.
Der Unterschied zwischen Anbieter und Betreiber
Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt. Deshalb gelten für sie strengere Pflichten aus dem AI Act. Betreiber hingegen nutzen ein fertiges System. Für die KI-Schulungspflicht macht das jedoch kaum einen Unterschied. Beide müssen Maßnahmen für die KI-Kompetenz ihrer Leute ergreifen. Der Unterschied liegt in den weiteren Pflichten, etwa bei Hochrisiko-Systemen. Welche Systeme als Hochrisiko gelten, ordnen die EU-AI-Act-Risikoklassen ein.
Ein häufiger Sonderfall ist die Schatten-KI. Damit sind Tools gemeint, die Mitarbeitende ohne Freigabe nutzen. Auch für diese Nutzung haftet der Betrieb. Denn die Person handelt in Ihrem Namen. Deshalb reicht ein Verbot auf dem Papier nicht. Vielmehr müssen Sie die reale Nutzung kennen und steuern. Wie groß dieses Problem ist, zeigt der Beitrag zu Schatten-KI und ihren Risiken. Die KI-Schulungspflicht hilft dabei, dieses Grauzonen-Thema aus dem Dunkel zu holen.
Was KI-Kompetenz bedeutet
KI-Kompetenz ist mehr als Tool-Bedienung. Der AI Act meint das Wissen, um KI sinnvoll und sicher zu nutzen. Dazu gehören Chancen und Risiken gleichermaßen. Also auch die Grenzen der Technik. Die Person soll verstehen, was das System kann und was nicht. Zudem soll sie typische Gefahren erkennen. Genau das ist der Kern dieser Pflicht.
Die vier Faktoren aus Artikel 4
Der AI Act nennt vier Faktoren für das richtige Maß. Zunächst das technische Vorwissen der Person. Danach ihre Ausbildung und Erfahrung. Zudem der konkrete Kontext, in dem das System läuft. Und schließlich die Gruppe der Menschen, die von der KI betroffen sind. Aus diesen vier Punkten leiten Sie ab, wie tief Ihre Maßnahmen gehen. Deshalb sieht die Schulung für die Buchhaltung anders aus als für die Entwicklung.
Konkret heißt das ein Bündel an Themen. Mitarbeitende sollten wissen, was ein Large Language Model grob tut. Sie sollten Halluzinationen kennen. Also erfundene, aber überzeugend klingende Antworten. Ebenso wichtig sind Datenschutz und Vertraulichkeit. Denn Firmendaten gehören nicht ungeprüft in ein öffentliches Tool. Auch Themen wie Bias und Urheberrecht gehören dazu. Diese Punkte deckt eine gute Security-Awareness-Schulung ohnehin schon teilweise ab.
KI-Kompetenz und Security Awareness gehören zusammen
Die neue Pflicht ist eng mit dem Faktor Mensch verwandt. Denn beide zielen auf sicheres Verhalten im Alltag. Ein Mitarbeiter, der Phishing erkennt, erkennt auch manipulierte KI-Ausgaben leichter. Deshalb lohnt es sich, beide Themen zusammen zu denken. Wie stark der Mensch über die Sicherheit entscheidet, zeigt der Beitrag zum Faktor Mensch in der IT-Sicherheit. Eine gemeinsame Schulung spart zudem Zeit und Budget.
Ein weiterer Baustein ist der Datenschutz. KI-Tools verarbeiten oft personenbezogene Daten. Damit berühren sie die DSGVO. Folglich braucht eine Rechtsgrundlage, wer Kundendaten in ein KI-System gibt. Deshalb greift die KI-Schulungspflicht in den Datenschutz hinein. Beide Pflichten überschneiden sich. Wer das früh zusammenführt, vermeidet doppelte Arbeit und widersprüchliche Regeln.
Schulungsinhalte nach Rolle im Überblick
Nicht jede Rolle braucht die gleiche Schulung. Die KI-Schulungspflicht ist bewusst abgestuft. Somit hilft eine Einteilung nach Rollen. So investieren Sie Zeit dort, wo das Risiko hoch ist. Zudem überfordern Sie niemanden mit Stoff, den er nie braucht. Die folgende Tabelle zeigt eine praxistaugliche Staffelung für ein KMU.
| Rolle | Schulungsinhalt | Tiefe |
|---|---|---|
| Alle Mitarbeitenden | KI-Grundlagen, Halluzinationen, Datenschutz, interne Nutzungsregeln, keine Firmendaten in öffentliche Tools | Basis, ca. 45-60 Minuten |
| Vielnutzer (Marketing, Vertrieb, Support) | Prompting, Quellenprüfung, Urheberrecht, Bias, sichere Tool-Auswahl | Erweitert, halbtägig |
| Power-User (Data, Entwicklung) | Modellgrenzen, API-Sicherheit, Prompt Injection, Datenqualität, Logging | Vertieft, mit Praxisteil |
| Führung und Geschäftsleitung | Pflichten aus dem AI Act, Haftung, Governance, Freigabeprozesse | Kompakt, entscheidungsorientiert |
Basis für alle, Tiefe für wenige
Die Basisschulung ist der Kern. Sie erreicht jeden im Betrieb. Oft genügen dafür 45 bis 60 Minuten plus eine interne Nutzungsrichtlinie. Damit erfüllen Sie die Pflicht für die Breite der Belegschaft. Danach folgt die Tiefe für die wenigen, die viel mit KI arbeiten. Diese Gruppe braucht mehr, weil ihr Risiko höher ist.
Technische Rollen brauchen mehr
Power-User verdienen besondere Aufmerksamkeit. Denn sie bauen KI in Prozesse ein oder greifen über Schnittstellen zu. Damit entstehen neue Angriffsflächen. Ein Beispiel ist die Prompt Injection, bei der ein Angreifer über manipulierte Eingaben die KI kapert. Was dahinter steckt, erklärt der Beitrag zum Schutz vor Prompt Injection. Diese Rollen sollten Sie separat schulen und den Nachweis getrennt festhalten. Denn hier zählt jede Lücke doppelt.
KI-Schulungspflicht Schritt für Schritt umsetzen
Die Umsetzung der KI-Schulungspflicht folgt einer klaren Reihenfolge. Zudem brauchen Sie dafür kein großes Projektbudget. Vielmehr reichen ein paar strukturierte Schritte. Danach steht ein System, das die Pflicht dauerhaft erfüllt. Wir empfehlen fünf Etappen.
Schritt eins: Bestand aufnehmen
Klären Sie zuerst, welche KI im Betrieb läuft. Fragen Sie aktiv nach. Denn viele Tools tauchen nicht in der IT-Liste auf. Notieren Sie jedes System und seinen Zweck. Danach ordnen Sie die Nutzer den Rollen zu. Somit sehen Sie, wer welche Tiefe braucht. Diese Bestandsaufnahme ist die Basis für alles Weitere.
Schritt zwei: Regeln festlegen
Danach brauchen Sie eine kurze Nutzungsrichtlinie. Sie legt fest, welche Tools erlaubt sind. Und sie regelt, welche Daten hinein dürfen. Halten Sie das Dokument knapp und verständlich. Eine Seite reicht oft. Diese Richtlinie ist ein Baustein einer breiteren KI-Governance im Unternehmen. Ohne Regeln bleibt jede Schulung folgenlos.
Schritt drei: schulen und wiederholen
Jetzt folgt die eigentliche Schulung. Setzen Sie die Rollen-Staffelung aus der Tabelle um. Eine Basisschulung für alle, vertiefte Einheiten für Vielnutzer und Power-User. Wichtig ist die Wiederholung. Denn die Technik ändert sich schnell. Deshalb gehört ein jährlicher Auffrischungstermin dazu. Eine einmalige Aktion reicht in der Praxis selten aus. Für die praktische Umsetzung nutzen viele KMU unsere KI-Security-Beratung.
Schritt vier ist die Dokumentation. Halten Sie jede Schulung fest. Mit Datum, Inhalt, Dauer und Teilnehmerliste. Schritt fünf ist die Kontrolle. Prüfen Sie einmal im Jahr, ob die Regeln noch passen. Und ob neue Tools dazugekommen sind. Somit bleibt Ihr System aktuell. Wer Unterstützung beim Aufbau braucht, kann diese Aufgaben an einen externen Fachmann übergeben. Genau das leistet ein Virtual CISO im laufenden Betrieb.
Nachweis, Aufsicht und Konsequenzen
Eine Nachweispflicht nennt Artikel 4 nicht. Trotzdem ist die Dokumentation wichtig. Denn nur so können Sie zeigen, dass Sie Maßnahmen ergriffen haben. Deshalb ist die saubere Dokumentation kein Beiwerk. Sie ist der Kern des Ganzen. Ohne Unterlagen lässt sich im Streitfall kaum belegen, was Sie getan haben.
So sieht ein guter Nachweis aus
Ein tauglicher Nachweis nennt vier Dinge. Nämlich Datum, Inhalt, Dauer und die Teilnehmenden. Zudem ergänzen Sie die Nutzungsrichtlinie und die Rollen-Zuordnung. Bei Power-Usern hängen Sie zudem das vertiefte Programm an. Bewahren Sie alles geordnet auf. Somit können Sie im Ernstfall schnell reagieren. Dieses Vorgehen kennen Sie aus einem ISMS nach ISO 27001, in dem Nachweise ohnehin Pflicht sind.
Wer in Österreich kontrolliert
In Österreich baut sich die Aufsicht schrittweise auf. Erste Anlaufstelle ist die KI-Servicestelle bei der RTR. Sie informiert, berät und begleitet die Umsetzung. Die eigentliche Durchsetzung übernehmen die zuständigen Behörden. In der Praxis wird die Pflicht oft zusammen mit anderen Prüfungen betrachtet. Also gemeinsam mit Datenschutz oder IT-Sicherheit. Den EU-Rahmen dazu erklärt die Europäische Kommission.
Bei den Konsequenzen lohnt ein nüchterner Blick. Für Artikel 4 selbst gibt es keinen eigenen fixen Bußgeldrahmen. Doch fehlende Kompetenz wird selten allein bewertet. Kommt es zu einem Schaden durch fehlerhafte KI-Nutzung, kann eine unterlassene Schulung als Sorgfaltsverletzung gelten. Damit droht Haftung. Verstöße gegen die Verbote nach Artikel 5 sind seit August 2025 bußgeldbewehrt, viele weitere Pflichten seit August 2026. Deshalb ist die Schulung günstiger als das Risiko. Orientierung zu Bedrohungen und Standards bietet auch die EU-Cybersicherheitsagentur ENISA.
Am Ende steht ein einfacher Gedanke. Die KI-Schulungspflicht kostet wenig Zeit, wenn Sie planvoll vorgehen. Eine Grundschulung, klare Regeln und ein sauberer Nachweis genügen für die Breite. Wer offene Fragen hat, klärt sie in einem kurzen Gespräch. Genau dafür gibt es unseren Kontakt. Somit wird aus einer neuen Pflicht eine überschaubare Aufgabe.
Häufig gestellte Fragen
Seit wann gilt die KI-Schulungspflicht?
Die Pflicht nach Artikel 4 des EU AI Act gilt seit dem 2. Februar 2025. Sie ist also bereits in Kraft. Seit August 2026 gilt auch der Großteil der übrigen Regeln, die Hochrisiko-Pflichten folgen ab Dezember 2027.
Gilt die Pflicht auch für kleine Unternehmen?
Ja. Der AI Act kennt bei Artikel 4 keine Größenschwelle. Somit trifft die Pflicht auch Einzelunternehmen und kleine Betriebe. Sobald jemand ein KI-Tool dienstlich nutzt, muss der Betrieb Maßnahmen für die nötige Kompetenz ergreifen. Kommission und Mitgliedstaaten sollen KMU dabei unterstützen (Art. 4 Abs. 2).
Was bedeutet KI-Kompetenz konkret?
KI-Kompetenz meint das Wissen, um KI sinnvoll und sicher zu nutzen. Dazu zählen Grundlagen, typische Risiken wie Halluzinationen und der richtige Umgang mit Daten. Ein bestimmtes Niveau schreibt Artikel 4 nicht vor. Wie tief Sie schulen, richtet sich nach Vorwissen, Rolle und Einsatzkontext.
Reicht eine einmalige Schulung aus?
Nein. Eine einmalige Aktion reicht in der Praxis selten aus. Denn die Technik ändert sich schnell. Deshalb gehört eine regelmäßige Auffrischung dazu, meist einmal im Jahr. So bleibt die Kompetenz auf dem aktuellen Stand.
Wie weise ich die Schulung nach?
Halten Sie jede Schulung schriftlich fest. Ein guter Nachweis nennt Datum, Inhalt, Dauer und Teilnehmende. Ergänzen Sie die Nutzungsrichtlinie und die Rollen-Zuordnung. Somit können Sie die Erfüllung der Pflicht jederzeit belegen.
Wer kontrolliert die KI-Schulungspflicht in Österreich?
Erste Anlaufstelle ist die KI-Servicestelle bei der RTR. Sie informiert und berät zur Umsetzung. Die eigentliche Durchsetzung übernehmen die zuständigen Behörden, oft gemeinsam mit Prüfungen zu Datenschutz und IT-Sicherheit.
Welche Strafen drohen bei Verstößen?
Für Artikel 4 gibt es keinen eigenen fixen Bußgeldrahmen. Doch eine fehlende Schulung kann bei einem Schaden als Sorgfaltsverletzung gelten und Haftung auslösen. Für Verstöße gegen die Verbote nach Artikel 5 drohen seit August 2025 hohe Geldbußen, für viele weitere Pflichten seit August 2026.
Fazit: Früh schulen, sauber dokumentieren
Die KI-Schulungspflicht ist keine Zukunftsmusik. Sie gilt seit Februar 2025 und trifft fast jedes KMU, das KI nutzt. Der Weg zur Erfüllung ist überschaubar. Zunächst nehmen Sie den Bestand auf. Danach legen Sie Regeln fest. Dann schulen Sie nach Rollen und dokumentieren jeden Termin. Somit haben Sie die Pflicht erfüllt und zugleich das Risiko gesenkt.
Der beste Zeitpunkt für den Start ist jetzt. Denn die Pflicht läuft bereits, und der Aufwand verteilt sich besser über das Jahr. Eine Grundschulung, eine klare Richtlinie und ein sauberer Nachweis genügen für die Breite. Wer Vielnutzer und Power-User zusätzlich vertieft schult, ist auf der sicheren Seite. Somit wird aus der Vorgabe eine machbare Aufgabe statt einer Last.
SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren