KI-Kompetenzpflicht ab 2. August 2026: Was KMU jetzt nachweisen müssen (Art. 4 EU AI Act)
Die KI-Kompetenzpflicht aus dem EU AI Act trifft jedes Unternehmen, das KI einsetzt – auch das kleine. Sie gilt schon seit Februar 2025, aber ab dem 2. August 2026 wird sie in Deutschland durchsetzbar. Die gute Nachricht: Es braucht keinen KI-Beauftragten und kein Zertifikat. Die schlechte: Die meisten Mittelständler haben noch keinen einzigen Nachweis in der Akte. Dieser Leitfaden zeigt, was wirklich verlangt wird – und einen pragmatischen Fahrplan in vier Schritten.
Worum es geht: die KI-Kompetenzpflicht in einem Absatz
Artikel 4 der EU-KI-Verordnung („AI Act") verpflichtet Anbieter und Betreiber von KI-Systemen, ein ausreichendes Maß an „KI-Kompetenz" (englisch: AI literacy) ihrer Beschäftigten und der in ihrem Auftrag handelnden Personen sicherzustellen. Übersetzt: Wer in der Firma mit KI arbeitet, muss verstehen, was das Werkzeug kann, wo seine Grenzen liegen und welche Risiken es birgt. Diese Pflicht gilt seit dem 2. Februar 2025 – und zwar unabhängig von der Unternehmensgröße. Einen Schwellenwert „erst ab X Mitarbeitenden" gibt es nicht.
Der Stichtag 2. August 2026: Was wirklich passiert
Wichtig zur Einordnung, weil es oft falsch berichtet wird: Am 2. August 2026 tritt keine neue Schulungsfrist „in Kraft". Die Kompetenzpflicht selbst läuft schon seit Februar 2025. Was sich ändert, ist die Durchsetzung: Ab diesem Datum beginnt die nationale Marktüberwachung der Behörden. Ab dann müssen Unternehmen darlegen können, dass sie ihre Beschäftigten nach dem Maßstab „best efforts" – also mit angemessenem Aufwand – auf den Umgang mit KI vorbereitet haben.
Der 2. August 2026 ist ohnehin der Tag, an dem der umfassendste Teil der KI-Verordnung anwendbar wird – darunter die Pflichten für Hochrisiko-KI-Systeme (Anhang III) und die aktive Durchsetzung der Vorgaben für allgemeine KI-Modelle (GPAI) durch das EU AI Office.
Deutschland-Kontext: Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) wird die Bundesnetzagentur zur zentralen Koordinierungsstelle für die KI-Aufsicht. Der Bundestag hat das Gesetz am 11. Juni 2026 beschlossen. Für KMU heißt das: Es gibt künftig eine klar zuständige Behörde – und damit auch einen Adressaten für Nachweise.
Wen die Pflicht trifft
Art. 4 adressiert Anbieter (wer KI-Systeme entwickelt oder unter eigenem Namen anbietet) und Betreiber (wer KI in eigener Verantwortung einsetzt). Der zweite Fall trifft praktisch jedes Unternehmen: Sobald jemand im Team ChatGPT für Texte nutzt, ein KI-Feature im CRM verwendet oder einen KI-Agenten einsetzt, ist die Firma „Betreiber". Auch der Drei-Personen-Betrieb. Es gibt keinen Mitarbeiter-Schwellenwert und keine Ausnahme für „kleine" Unternehmen.
Was „KI-Kompetenz" heißt – und was die EU nicht verlangt
Hier entsteht die meiste unnötige Panik. Das EU AI Office hat ausdrücklich klargestellt, was Art. 4 nicht fordert:
- Keine Zertifizierungspflicht – Sie brauchen kein offizielles KI-Zertifikat für Ihr Team.
- Kein verpflichtender Wissenstest – niemand muss eine Prüfung bestehen.
- Keine eigene Position „KI-Beauftragter" – anders als beim Datenschutzbeauftragten schreibt das Gesetz keine benannte Rolle vor.
Stattdessen gilt ein Best-Efforts-Maßstab: Sie müssen mit angemessenem Aufwand dafür sorgen, dass die Menschen, die KI nutzen, das nötige Verständnis haben – passend zu ihrer Rolle, ihrem technischen Vorwissen und dem Kontext, in dem die KI eingesetzt wird. „Ausreichend" ist relativ: Eine Mitarbeiterin, die ChatGPT für interne Notizen nutzt, braucht weniger Tiefe als jemand, der ein KI-System für Bewerber-Screening betreibt.
Die Realität im Mittelstand
Wie weit sind deutsche Unternehmen? Die Bitkom-KI-Studie 2026 zeichnet ein ernüchterndes Bild beim Thema Schulung:
| KI-Schulungen im Unternehmen | Anteil der Unternehmen |
|---|---|
| Schulungen für alle Beschäftigten | 8 % |
| Schulungen für einen Großteil | 21 % |
| Schulungen für ausgewählte Mitarbeitende | 25 % |
| Gar kein Schulungsangebot | 43 % |
Und passend dazu: Fehlende Kompetenz der Mitarbeitenden steht laut derselben Studie mit 53 % an erster Stelle der Hürden für den KI-Einsatz. Anders gesagt: Das größte Hindernis für KI ist genau das, was Art. 4 adressiert. Die Pflicht ist also kein bürokratischer Selbstzweck – sie zwingt zu etwas, das ohnehin der wichtigste Hebel für erfolgreiche KI-Projekte ist.
Ihr 4-Schritte-Fahrplan zur Nachweisbarkeit
Best efforts heißt: Sie müssen nicht perfekt sein, aber Sie müssen handeln und es dokumentieren können. Diese vier Schritte bringen eine Kanzlei, eine Agentur oder einen Handwerksbetrieb gleichermaßen auf einen verteidigbaren Stand.
Schritt 1: KI-Inventar erstellen – inklusive Schatten-KI
Sie können nur schulen, was Sie kennen. Listen Sie alle KI-Systeme auf, die im Unternehmen tatsächlich genutzt werden: ChatGPT, Microsoft Copilot, KI-Funktionen im CRM oder Buchhaltungstool, ein eigener Chatbot, KI-Agenten in n8n. Entscheidend ist die Schatten-KI – also die Tools, die Mitarbeitende ohne Freigabe nutzen. Genau hier liegt das größte Risiko, weil niemand weiß, welche Daten dort landen. Ein ehrliches Inventar ist die Grundlage für alles Weitere.
Schritt 2: Rollen und Kompetenzstufen festlegen
Nicht jede:r braucht dasselbe Wissen. Bewährt hat sich eine einfache Staffelung: Basiswissen für alle, die KI gelegentlich nutzen (was darf rein, was nicht, wie erkenne ich Halluzinationen?), vertieftes Wissen für Power-User und Prozessverantwortliche, und strategische Verantwortung für die Leitung, die über Einsatz und Freigaben entscheidet. So wird der Aufwand „angemessen" – statt alle durch dieselbe Schulung zu schicken.
Schritt 3: Schulungen ausrollen und dokumentieren
Der Nachweis ist der Kern der Pflicht. Eine Schulung ohne Dokumentation existiert für die Aufsicht nicht. Halten Sie fest: Wer wurde wann zu welchem Inhalt geschult? Das kann ein Onboarding-Modul, ein Web-Seminar oder ein interner Workshop sein – wichtig ist die Teilnehmerliste mit Datum und Thema. Tipp: Neue Mitarbeitende über das Onboarding automatisch in die Basis-Schulung einsteuern, damit kein Eintrag fehlt.
Schritt 4: Governance – verantwortliche Person, KI-Richtlinie und Review
Auch wenn kein „KI-Beauftragter" vorgeschrieben ist: Benennen Sie eine verantwortliche Person, die das Thema koordiniert. Schreiben Sie eine kurze, verständliche KI-Richtlinie (welche Tools sind freigegeben, welche Daten dürfen nie in öffentliche KI, wie wird mit Ergebnissen umgegangen). Und legen Sie einen jährlichen Review fest – Tools und Risiken ändern sich schnell. Mehr dazu im Kontext: unser EU-AI-Act-Überblick für KMU.
Nachweis-Checkliste für die Akte
- check KI-Inventar (inkl. Schatten-KI), datiert und aktualisiert
- check Rollen- und Kompetenzstufen-Konzept
- check Schulungsnachweise: wer, wann, welcher Inhalt
- check Schriftliche KI-Richtlinie, an alle kommuniziert
- check Benannte verantwortliche Person + jährlicher Review-Termin
Sanktionen: Was droht – und was offen ist
Hier ist Ehrlichkeit wichtiger als Drama. Die KI-Verordnung listet Art. 4 nicht ausdrücklich in ihrem Bußgeldkatalog (Art. 99) auf. Für Verstöße gegen Betreiberpflichten sieht der allgemeine Rahmen Bußgelder von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes vor – wie genau Verstöße gegen die Kompetenzpflicht in Deutschland sanktioniert werden, wird erst über das KI-MIG ausgestaltet.
Das eigentliche Risiko für KMU ist deshalb seltener das maximale Bußgeld. Es ist die Beweislast im Ernstfall: Wenn ein KI-Einsatz schiefgeht (eine falsche Auskunft, ein Datenschutzvorfall, eine Diskriminierung im Bewerber-Screening) und die Frage kommt „Haben Sie Ihre Leute überhaupt geschult?", will man eine Akte mit Nachweisen vorlegen können – nicht ein Schulterzucken.
Wichtige Einordnung: der Digital Omnibus
Möglicherweise haben Sie gelesen, dass die Pflicht „wieder gekippt" wird. Das ist verkürzt. Die EU-Kommission hat am 19. November 2025 mit dem Digital Omnibus on AI vorgeschlagen, Art. 4 abzuschwächen: Anbieter und Betreiber sollen die Entwicklung von KI-Kompetenz fördern müssen, statt ein bestimmtes Niveau zu garantieren. Die Pflicht würde also modifiziert, nicht gestrichen.
Und entscheidend: Das ist Stand Mitte 2026 ein Vorschlag, der sich noch im Gesetzgebungsverfahren befindet – kein geltendes Recht. Sich darauf zu verlassen wäre riskant. Hinzu kommt: Selbst die abgeschwächte Fassung verlangt, dass Sie KI-Kompetenz aktiv fördern. Die vier Schritte oben erfüllen beide Varianten. Wer jetzt handelt, ist in jedem Fall auf der sicheren Seite – und gewinnt nebenbei den wichtigsten Erfolgsfaktor für KI-Projekte.
Wie Lyron dabei unterstützt
Wir behandeln KI-Kompetenz nicht als Pflichtübung, sondern als Teil sauberer Automatisierung. Konkret helfen wir KMU bei drei Dingen: ein ehrliches KI-Inventar aufzusetzen (inklusive der Schatten-KI), eine schlanke KI-Richtlinie zu formulieren, die Ihr Team auch wirklich liest, und Schulungsnachweise in bestehende Onboarding-Workflows einzubetten, damit die Dokumentation nicht am Alltag scheitert. Wer KI ohnehin produktiv einsetzen will, findet im 90-Tage-Plan vom Pilot zum Agenten die passende Methodik.
KI-Kompetenz nachweisbar machen – ohne Bürokratie-Overkill
Häufige Fragen
Was ist die KI-Kompetenzpflicht (Art. 4 EU AI Act)?
Artikel 4 der EU-KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, ein ausreichendes Maß an KI-Kompetenz ihrer Beschäftigten sicherzustellen. Die Pflicht gilt seit dem 2. Februar 2025 und ist größenunabhängig – es gibt keinen Mitarbeiter-Schwellenwert.
Was passiert am 2. August 2026?
Ab dem 2. August 2026 beginnt in Deutschland die nationale Marktüberwachung. Unternehmen müssen ab diesem Zeitpunkt darlegen können, dass sie ihre Beschäftigten nach dem Best-Efforts-Maßstab auf den Umgang mit KI vorbereitet haben. Die Kompetenzpflicht selbst gilt bereits seit Februar 2025.
Braucht mein Unternehmen einen KI-Beauftragten oder ein Zertifikat?
Nein. Das EU AI Office hat klargestellt, dass Artikel 4 keine Zertifizierungspflicht, keinen verpflichtenden Wissenstest und keine eigene Position eines KI-Beauftragten verlangt. Es gilt ein Best-Efforts-Maßstab: angemessene, dokumentierte Maßnahmen genügen.
Hinweis: Dieser Beitrag dient der Information und stellt keine Rechtsberatung dar. Die genannten Regelungen (insbesondere Art. 4 und Art. 99 der Verordnung (EU) 2024/1689, das KI-MIG sowie der Digital-Omnibus-Vorschlag) sind verkürzt und nach dem Stand vom 22. Juni 2026 wiedergegeben. Für die verbindliche Bewertung im Einzelfall ziehen Sie bitte rechtskundigen Rat hinzu.
Über Lyron: Lyron ist eine Automatisierungs- und KI-Beratung aus dem Raum Düsseldorf/Neuss. Wir helfen kleinen und mittleren Unternehmen, KI und Automatisierung produktiv, dokumentiert und DSGVO-konform einzusetzen.