KI-Kompetenz nach EU-KI-Verordnung – Rollen, verbotene Praktiken und Nutzungskontext

Warum Unternehmen KI-Kompetenz nicht auf eine allgemeine Mitarbeiterschulung reduzieren dürfen

Künstliche Intelligenz ist längst Bestandteil des beruflichen Alltags. Beschäftigte verwenden generative KI zur Texterstellung, Analyse, Recherche, Übersetzung oder Prozessunterstützung. Unternehmen integrieren KI in Kundenservice, Personalmanagement, Weiterbildung, Qualitätskontrolle und Entscheidungsprozesse. Mit den wachsenden Einsatzmöglichkeiten steigen jedoch auch die rechtlichen und organisatorischen Anforderungen.

Die europäische KI-Verordnung – die Verordnung (EU) 2024/1689, häufig als EU AI Act bezeichnet – verfolgt einen risikobasierten Ansatz. Sie unterscheidet insbesondere zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen, bestimmten transparenzpflichtigen Anwendungen und sonstigen KI-Systemen. Seit dem 2. Februar 2025 gelten bereits die allgemeinen Bestimmungen und die Verbote des Artikels 5. Seit dem 2. August 2026 ist die Verordnung grundsätzlich anwendbar, wobei für einzelne Regelungsbereiche besondere Übergangsfristen bestehen. Kurz zuvor wurde sie durch die Verordnung (EU) 2026/1744, die sogenannte Digital-Omnibus-Verordnung zur KI, geändert.

Für Unternehmen bedeutet das: KI-Kompetenz muss gemeinsam mit der eigenen Rolle, dem konkreten Nutzungskontext und den rechtlichen Grenzen des jeweiligen Einsatzes betrachtet werden.

Was bedeutet KI-Kompetenz?

Die KI-Verordnung versteht unter KI-Kompetenz die Fähigkeiten, Kenntnisse und das Verständnis, die es Anbietern, Betreibern und betroffenen Personen ermöglichen, KI-Systeme sachkundig einzusetzen und sich ihrer Chancen, Risiken und möglicher Schäden bewusst zu werden. KI-Kompetenz umfasst damit deutlich mehr als die technische Bedienung eines Chatbots oder das Formulieren guter Eingabeaufforderungen.

Zu einer belastbaren KI-Kompetenz gehören beispielsweise:

• die Funktionsweise und die Leistungsgrenzen eines KI-Systems,

• der kritische Umgang mit fehlerhaften oder erfundenen Ausgaben,

• Datenschutz, Informationssicherheit und Vertraulichkeit,

• mögliche Verzerrungen und Diskriminierungsrisiken,

• die Bedeutung menschlicher Kontrolle,

• verbotene Einsatzformen,

• die eigene organisatorische und rechtliche Rolle.

Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen in seiner seit dem 27. Juli 2026 geltenden Fassung dazu, Maßnahmen zu ergreifen, die die Entwicklung der KI-Kompetenz ihres Personals und weiterer in ihrem Auftrag handelnder Personen unterstützen. Dabei müssen insbesondere technische Kenntnisse, Erfahrung, Aus- und Fortbildung, der Einsatzkontext sowie die potenziell betroffenen Personen oder Personengruppen berücksichtigt werden.

Die Neufassung verlangt jedoch nicht, dass ein Anbieter oder Betreiber für jede einzelne Person ein bestimmtes Kompetenzniveau garantiert. Die Pflicht zur Durchführung geeigneter, kontextbezogener Kompetenzmaßnahmen bleibt bestehen; entfallen ist lediglich die frühere Formulierung, nach der ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen war.

Die Rollen der KI-Verordnung richtig bestimmen

Die Pflichten eines Unternehmens hängen wesentlich davon ab, welche Rolle es im Lebenszyklus eines KI-Systems einnimmt. Maßgeblich ist nicht allein die vertragliche Bezeichnung, sondern die tatsächlich ausgeübte Tätigkeit.

Anbieter

Anbieter ist, wer ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck selbst entwickelt oder entwickeln lässt und es unter dem eigenen Namen oder der eigenen Handelsmarke in Verkehr bringt oder in Betrieb nimmt.

Ein Unternehmen kann daher auch dann Anbieter sein, wenn die technische Entwicklung vollständig durch einen externen Dienstleister erfolgt, das fertige System aber unter der eigenen Marke angeboten wird.

Betreiber

Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet. Die Verwendung durch natürliche Personen im Rahmen einer ausschließlich persönlichen und nicht beruflichen Tätigkeit ist davon ausgenommen.

Ein Unternehmen, das ein fremdes KI-System im eigenen Geschäftsbetrieb verwendet, ist deshalb regelmäßig Betreiber. Dies betrifft beispielsweise den Einsatz generativer KI für Kundenkommunikation, Personalprozesse, Bildungsangebote oder interne Entscheidungsunterstützung.

Weitere Akteure

Die Verordnung kennt außerdem Einführer, Händler, Bevollmächtigte und Produkthersteller. Einführer bringen KI-Systeme eines außerhalb der Europäischen Union ansässigen Anbieters auf den europäischen Markt. Händler stellen Systeme innerhalb der Lieferkette bereit. Produkthersteller können betroffen sein, wenn sie KI-Systeme zusammen mit ihren eigenen Produkten unter ihrem Namen oder ihrer Marke anbieten.

Die korrekte Rollenzuordnung bildet die Grundlage jeder weiteren Compliance-Prüfung. Ohne sie lässt sich nicht zuverlässig bestimmen, welche Informations-, Dokumentations-, Überwachungs- oder Schulungsanforderungen gelten.

Verbotene Praktiken nach Artikel 5: Die roten Linien des KI-Einsatzes

Artikel 5 enthält keine bloßen Empfehlungen, sondern Verbote. Die betreffenden Praktiken dürfen grundsätzlich weder in Verkehr gebracht noch in Betrieb genommen oder verwendet werden, soweit der jeweilige Verbotstatbestand erfüllt ist.

Zu den zentralen Verbotsbereichen gehören:

Manipulation und Täuschung: Verboten sind bestimmte unterschwellige, manipulative oder täuschende KI-Techniken, wenn sie die Fähigkeit zu einer fundierten Entscheidung erheblich beeinträchtigen und dadurch erhebliche Schäden verursachen oder mit hinreichender Wahrscheinlichkeit verursachen.

Ausnutzung schutzbedürftiger Personen: KI-Systeme dürfen nicht gezielt die Schutzbedürftigkeit von Menschen aufgrund ihres Alters, einer Behinderung oder ihrer sozialen oder wirtschaftlichen Situation ausnutzen, wenn dadurch ihr Verhalten erheblich beeinflusst und ein erheblicher Schaden verursacht wird oder droht.

Unzulässige soziale Bewertung: Verboten ist eine soziale Bewertung von Menschen auf der Grundlage ihres Verhaltens oder tatsächlicher, abgeleiteter beziehungsweise vorhergesagter persönlicher Eigenschaften, wenn sie zu sachfremden, ungerechtfertigten oder unverhältnismäßigen Benachteiligungen führt.

Bestimmte Vorhersagen von Straftaten: Das Risiko, dass eine Person eine Straftat begehen wird, darf nicht ausschließlich aufgrund von Profiling oder der Bewertung persönlicher Merkmale und Eigenschaften durch KI vorhergesagt werden. Eine eng begrenzte Unterstützung menschlicher Bewertungen auf der Grundlage objektiver und überprüfbarer Tatsachen bleibt davon zu unterscheiden.

Ungezieltes Sammeln von Gesichtsbildern: KI-Systeme dürfen keine Gesichtserkennungsdatenbanken durch das ungezielte Auslesen von Bildern aus dem Internet oder aus Überwachungsaufnahmen erstellen oder erweitern.

Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen: Die Ableitung von Emotionen durch KI ist in diesen Bereichen grundsätzlich verboten. Ausnahmen bestehen insbesondere für bestimmte medizinische oder sicherheitsbezogene Zwecke.

Biometrische Kategorisierung nach sensiblen Merkmalen: Unzulässig ist insbesondere die biometrische Kategorisierung, um Merkmale wie politische Einstellungen, Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugungen, Sexualleben oder sexuelle Orientierung zu erschließen oder abzuleiten.

Biometrische Echtzeit-Fernidentifizierung: Der Einsatz solcher Systeme in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken ist grundsätzlich verboten. Die Verordnung enthält lediglich eng gefasste Ausnahmen, etwa für die gezielte Suche nach bestimmten Opfern oder zur Abwehr konkreter erheblicher Gefahren.

Seit dem 27. Juli 2026 erfasst Artikel 5 zusätzlich bestimmte KI-Systeme zur Erzeugung oder Manipulation nicht einvernehmlich hergestellter intimer Inhalte sowie von Darstellungen sexuellen Missbrauchs von Kindern. Für das Inverkehrbringen und die Inbetriebnahme sowie für die konkrete Verwendung gelten dabei jeweils näher bestimmte Voraussetzungen.

Unternehmen sollten daher nicht erst nach der Beschaffung eines Systems prüfen, ob ein Anwendungsfall zulässig ist. Die Prüfung muss bereits bei der Bedarfsermittlung, Produktauswahl und Festlegung des Verwendungszwecks beginnen.

Warum der Nutzungskontext entscheidend ist

Die rechtliche Bewertung eines KI-Systems lässt sich nicht allein anhand seines Produktnamens oder seiner technischen Grundlage vornehmen. Entscheidend ist, wofür, durch wen, gegenüber welchen Personen und mit welchen möglichen Auswirkungen das System verwendet wird.

Ein generatives KI-System kann beispielsweise genutzt werden, um einen internen Textentwurf sprachlich zu strukturieren. Dasselbe technische Grundmodell kann jedoch auch Bestandteil eines Systems sein, das Bewerbungen bewertet, Beschäftigte überwacht oder Lernergebnisse beurteilt. In den Bereichen Bildung, Beschäftigung und Personalmanagement nennt die KI-Verordnung verschiedene Einsatzformen, die aufgrund ihrer möglichen Auswirkungen auf Bildungszugänge, berufliche Entwicklung, Lebensgrundlagen und Grundrechte als Hochrisiko-Anwendungen eingeordnet werden können.

Für die Kompetenzmaßnahmen eines Unternehmens ergeben sich daraus unterschiedliche Anforderungen:

• Wer KI lediglich zur sprachlichen Unterstützung einsetzt, benötigt andere Kenntnisse als eine Person, die mit KI-gestützten Bewertungen arbeitet.

• Führungskräfte müssen organisatorische Verantwortlichkeiten, Freigabeprozesse und Eskalationswege verstehen.

• Beschäftigte mit Zugriff auf vertrauliche Informationen benötigen klare Vorgaben zur Dateneingabe.

• Personen, die KI-Ausgaben in Entscheidungen einbeziehen, müssen Leistungsgrenzen, Verzerrungen und Automatisierungsbias erkennen können.

• Entwickler und technische Verantwortliche benötigen vertiefte Kenntnisse über Systemarchitektur, Datenqualität, Tests und Überwachung.

Eine identische Standardschulung für sämtliche Funktionen wird diesem kontextbezogenen Ansatz regelmäßig nicht gerecht.

Wie Unternehmen KI-Kompetenz praktisch umsetzen können

Artikel 4 schreibt kein bestimmtes Schulungsformat und keinen festen Stundenumfang vor. Eine zweckmäßige Umsetzung kann jedoch auf fünf miteinander verbundenen Bausteinen beruhen:

1. KI-Systeme und Anwendungsfälle erfassen

Unternehmen sollten dokumentieren, welche KI-Systeme eingesetzt werden, wer sie verwendet, welche Daten verarbeitet werden und welchen Zweck der Einsatz verfolgt.

2. Rollen und Verantwortlichkeiten bestimmen

Für jeden Anwendungsfall sollte geklärt werden, ob das Unternehmen Anbieter, Betreiber oder ein anderer Akteur ist. Zusätzlich sind interne Verantwortlichkeiten für Freigabe, Datenschutz, Informationssicherheit, fachliche Kontrolle und Dokumentation festzulegen.

3. Verbote und Risikoklassen prüfen

Vor der Nutzung muss geprüft werden, ob eine verbotene Praxis vorliegt, der Einsatz als Hochrisiko-Anwendung einzuordnen sein könnte oder besondere Transparenzpflichten bestehen.

4. Kompetenzmaßnahmen rollenbezogen gestalten

Die Inhalte sollten sich an Tätigkeit, Vorwissen, Systemrisiko und betroffenen Personengruppen orientieren. Neben Grundlagen können Fallbeispiele, praktische Übungen, interne Nutzungsregeln und verbindliche Eskalationswege erforderlich sein.

5. Umsetzung dokumentieren und aktualisieren

Dokumentiert werden sollten insbesondere Zielgruppe, Inhalte, Zeitpunkt und Form der Kompetenzmaßnahmen. Bei neuen Systemen, geänderten Funktionen oder neuen Einsatzkontexten ist zu prüfen, ob eine Aktualisierung erforderlich ist.

Die von der Europäischen Kommission veröffentlichten Beispiele für KI-Kompetenzmaßnahmen können als Orientierung dienen. Ihre Übernahme begründet jedoch nicht automatisch die Vermutung, dass Artikel 4 erfüllt ist. Auch ein Teilnahmezertifikat sollte deshalb nicht mit einem vollständigen Compliance-Nachweis verwechselt werden.

Fachwissen systematisch aufbauen: der gleichnamige Kurs

Der Kurs „KI-Kompetenz nach EU-KI-Verordnung – Rollen, verbotene Praktiken und Nutzungskontext“ greift genau diese Herausforderungen auf.

Im Mittelpunkt stehen:

• die Grundlagen und zentralen Begriffe der KI-Verordnung,

• die Abgrenzung von Anbieter, Betreiber und weiteren Akteuren,

• die systematische Prüfung der verbotenen Praktiken nach Artikel 5,

• die Bedeutung von Zweckbestimmung und tatsächlichem Verwendungskontext,

• die Entwicklung geeigneter, rollenbezogener Kompetenzmaßnahmen,

• die Übertragung der rechtlichen Anforderungen auf konkrete betriebliche Situationen.

Der Kurs unterstützt Fach- und Führungskräfte sowie mit KI-Systemen befasste Beschäftigte dabei, nicht nur einzelne Vorschriften wiederzugeben, sondern KI-Anwendungen strukturiert einzuordnen und Risiken frühzeitig zu erkennen.

Weitere Informationen und die Buchungsmöglichkeit finden Interessierte im gleichnamigen Kursangebot des MQL Campus.

Fazit

KI-Kompetenz ist keine isolierte IT-Fähigkeit. Sie entsteht aus dem Zusammenspiel von technischem Verständnis, rechtlicher Einordnung, organisatorischer Verantwortung und kritischer Anwendungskompetenz.

Unternehmen müssen deshalb drei Fragen gemeinsam beantworten:

Welche Rolle nehmen wir ein? Welche KI-Praktiken sind unzulässig? Und in welchem konkreten Kontext wird das System eingesetzt?

Erst wenn diese Fragen belastbar geklärt sind, können Kompetenzmaßnahmen zielgerichtet geplant und KI-Systeme verantwortungsvoll in betriebliche Prozesse integriert werden.

Hinweis: Der Beitrag stellt eine allgemeine fachliche Einordnung dar und ersetzt nicht die rechtliche Prüfung eines konkreten KI-Systems oder Einzelfalls.