AI-Act: Was Schulungspflicht für den Mittelstand bedeutet
Seit Februar 2025 müssen Unternehmen ihre Mitarbeitenden im sicheren KI-Einsatz schulen. Die Pflicht steht – die Aufsicht greift ab August 2026 voll. Was das für den Mittelstand bedeutet und wo die häufigsten Missverständnisse liegen.
AI-Act: Was Schulungspflicht für den Mittelstand bedeutet
Seit Februar 2025 müssen Unternehmen ihre Mitarbeitenden im sicheren KI-Einsatz schulen. Die Pflicht steht – die Aufsicht greift ab August 2026 voll. Was das für den Mittelstand bedeutet und wo die häufigsten Missverständnisse liegen.
Die Pflicht ist da. Sie wird nur oft falsch erinnert.
Eine kleine Korrektur vorweg, weil sie häufig auftaucht: Die KI-Schulungspflicht gilt nicht erst seit Februar 2026. Artikel 4 der EU-KI-Verordnung – die KI-Kompetenzpflicht – ist bereits am 2. Februar 2025 in Kraft getreten. Wer heute noch nicht angefangen hat, ist also nicht zu früh, sondern eher spät dran.
Was sich 2026 ändert, ist die Schärfe: Ab 2. August 2026 gilt der AI Act vollumfänglich, die Bundesnetzagentur wird zur zentralen Aufsichtsbehörde, das deutsche Durchführungsgesetz (KI-MIG) tritt in Kraft, und die Bußgeldvorschriften werden vollstreckbar. Bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes – das ist der Rahmen für Verstöße gegen die Kompetenzpflicht.
Reden wir also über das, was jetzt zu tun ist.
Wer ist betroffen? Praktisch jedes Unternehmen.
Das ist die unbequeme Antwort. Wer ChatGPT, Microsoft Copilot, Claude, Gemini oder ein KI-gestütztes CRM einsetzt, ist „Betreiber” eines KI-Systems im Sinne der Verordnung. Branche und Unternehmensgröße spielen keine Rolle. Die Pflicht trifft den 12-Personen-Handwerksbetrieb genauso wie den 600-Personen-Mittelständler.
Schulungspflichtig sind nicht nur Festangestellte. Dazu gehören:
- Festangestellte Mitarbeitende, die KI-Tools im Arbeitskontext einsetzen
- Werkstudenten und Praktikanten, sofern sie mit KI arbeiten
- Freie Mitarbeitende und externe Dienstleister, die im Auftrag des Unternehmens KI nutzen
- Geschäftsführung und Aufsichtsorgane, die KI-Entscheidungen verantworten
Nicht betroffen sind nur Endkunden, die KI rein privat nutzen, ohne im Auftrag des Unternehmens zu handeln.
Was genau muss geschult werden?
Die Verordnung verlangt „ein ausreichendes Maß an KI-Kompetenz” – und zwar so, wie es zur jeweiligen Rolle und zum Risiko des eingesetzten Systems passt. Bewusst keine starre Stundenzahl, kein vorgeschriebenes Curriculum. Die etablierte Praxis hat sich auf drei Kompetenzbereiche eingespielt:
1. Technisches Verständnis Wie funktioniert generative KI im Grundsatz? Was sind Tokens, Halluzinationen, Bias? Warum gibt ein Sprachmodell auf dieselbe Frage manchmal unterschiedliche Antworten? Es geht nicht darum, dass jeder Mitarbeitende ein Modell trainieren kann – sondern darum, die Grenzen der Werkzeuge realistisch einzuschätzen.
2. Regulatorisches Wissen Was sagt der AI Act? Wo überschneidet sich das mit DSGVO, Urheberrecht, Geschäftsgeheimnissen? Welche Daten dürfen in welches Tool? Wer trägt die Verantwortung, wenn ein KI-Output schiefgeht?
3. Anwendungsbezogene Kenntnisse Wie schreibe ich gute Prompts? Wie prüfe ich Ergebnisse? Welche Use Cases sind im eigenen Job sinnvoll – und welche sind besser tabu? Hier wird aus Theorie konkrete Arbeitspraxis.
Wichtig: Die Schulungstiefe ist nicht für alle gleich. Eine Praktikantin, die ChatGPT für Recherche-Notizen nutzt, braucht eine andere Schulung als ein Personalleiter, der über eine KI-gestützte Bewerbervorauswahl entscheidet. Das nennt sich rollenspezifischer Ansatz – und genau so ist es auch gemeint.
Drei Mythen, die sich hartnäckig halten
„Wir sind zu klein für den AI Act.” Falsch. Die Pflicht gilt unabhängig von der Größe. Auch eine 8-Personen-Agentur, die Copilot nutzt, fällt darunter. Erleichterungen für KMU und „Small Mid Caps” werden gerade im Trilog verhandelt – sie betreffen aber vor allem Dokumentation und Konformitätsprüfungen bei Hochrisiko-Systemen, nicht die Schulungspflicht.
„Es gibt ja keine Bußgelder dafür.” Aktuell richtig, ab 2. August 2026 falsch. Und selbst heute ist das Argument schwach: Wenn ein KI-System im Unternehmen einen Schaden verursacht – versehentliche Datenpanne, diskriminierende Auswahl, irreführende Werbung – wird in der Haftungsprüfung gefragt: „Haben Sie geschult? Können Sie das nachweisen?” Wer dann mit leeren Händen dasteht, hat ein Problem, das nicht mehr im AI-Act-Bußgeldrahmen liegt, sondern in zivil- und wettbewerbsrechtlicher Haftung.
„Eine kurze Mail an alle reicht doch.” Reicht nicht. Die Verordnung verlangt „Maßnahmen, die nach besten Kräften” sicherstellen, dass Personal kompetent mit KI umgeht. Ein PDF mit drei Faustregeln, das niemand öffnet, ist keine Maßnahme – das ist Alibi.
Was muss dokumentiert werden?
Strenggenommen schreibt Artikel 4 keine Nachweispflicht vor. Praktisch ist das aber irreführend, denn:
- Bei einer Aufsichtsprüfung muss man darlegen können, was geschult wurde, wer geschult wurde und wann.
- Bei einem KI-bezogenen Schaden im eigenen Haus zählt der Schulungsnachweis als zentraler Sorgfaltsbeleg.
- Ohne Dokumentation gibt es kein Argument gegen den Vorwurf, „nichts getan” zu haben.
Eine sinnvolle Mindest-Dokumentation umfasst: Liste der eingesetzten KI-Systeme, Schulungsinhalte und -zeiten, Teilnehmerlisten, eine schriftliche KI-Nutzungsrichtlinie und idealerweise einen jährlichen Refresher-Plan. Das ist kein Berg an Papier – das ist ein Ordner.
Was Mittelständler in den nächsten 90 Tagen konkret tun sollten
Wir sehen in der Praxis, dass Schulungspflicht vor allem dann ins Stolpern gerät, wenn vorher nie geklärt wurde, welche KI überhaupt im Unternehmen läuft. Schatten-KI – also private ChatGPT-Accounts der Mitarbeitenden, Copilot über den Browser, Gemini in Google Workspace – ist die Regel, nicht die Ausnahme. Eine TÜV-Studie aus 2026 zeigt: 54 Prozent der Unternehmen haben weder klare Regeln noch ein Verbot für generative KI. Das heißt: Es wird benutzt, nur ohne Steuerung.
Der Weg aus der Lage ist nicht kompliziert, er braucht nur Reihenfolge:
Tag 1–14: Bestandsaufnahme Welche KI-Systeme sind im Einsatz? Offiziell und inoffiziell? Welche Daten fließen wo hinein? Wer nutzt was? Diese Liste – manchmal überraschend lang – ist die Grundlage für alles Weitere.
Tag 15–30: Richtlinie und Rahmen Eine schriftliche KI-Nutzungsrichtlinie: Welche Tools sind erlaubt, welche Daten dürfen rein, welche nicht? Wer ist Ansprechperson? Klar, knapp, lebbar – nicht 40 Seiten Juristendeutsch.
Tag 31–60: Schulung umsetzen Rollenspezifisch, nicht „alle in einen Topf”. Geschäftsführung und Entscheider mit eigenem Fokus, breite Belegschaft mit Grundlagen, IT und Power-User mit Tiefe. Formate dürfen mischen: Online-Modul plus Live-Workshop funktioniert in der Praxis am besten.
Tag 61–90: Dokumentation und Routine Schulungsnachweise sammeln, Termine für jährliche Auffrischungen setzen, Verantwortliche benennen. Ab hier wird aus „Pflichtübung” eine Routine, die nebenbei läuft.
Warum Schulung mehr ist als Compliance
Hier eine Beobachtung aus der Beratungspraxis, die nicht auf der Pflicht-Folie steht: Unternehmen, die Schulung wirklich ernst nehmen, stellen oft fest, dass sich die Investition über die Compliance hinaus rechnet. Mitarbeitende nutzen KI nach einer guten Schulung mehr, nicht weniger – weil sie wissen, was geht, und nicht aus Unsicherheit weglassen. Studien zur Produktivitätswirkung von KI im Arbeitsalltag (NBER, +14 Prozent im Service; Telekom-Messung, +8 Prozent in der Entwicklung) sehen ihre Effekte vor allem dort, wo es klare Spielregeln gibt.
Anders gesagt: Wer Schulung als „lästige Pflicht” macht, bekommt sie auch nur als lästige Pflicht zurück. Wer sie als Befähigung versteht, holt aus den drei bis fünf KI-Tools, die ohnehin im Unternehmen sind, deutlich mehr heraus.
Der nächste Schritt
Die Schulungspflicht aus Artikel 4 AI Act ist kein Hexenwerk. Sie ist Routine, die einmal aufgebaut werden muss. Was sie nicht verzeiht, ist Aussitzen.
Wer nicht weiß, wo er anfangen soll, fängt am besten mit der ehrlichsten Frage an: Welche KI-Tools laufen heute schon in unserem Haus – und wer hat darüber den Überblick?
Wenn diese Frage länger als zehn Sekunden dauert, ist die Antwort gefunden, was zuerst zu tun ist.
Sie wollen die Schulungspflicht sauber und mit System abhaken? Unser Tag 1: KI-Grundlagen deckt die Pflichtinhalte für die breite Belegschaft an einem Tag ab – online, praxisnah, AI-Act-konform. Für Geschäftsführung und Entscheider gibt es den Lernpfad: KI für Management.
Marcel Noel ist Jahrespraktikant bei der OIT GmbH und beschäftigt sich im Rahmen der OMG-KI-Initiative mit der praktischen Umsetzung von KI-Compliance im Mittelstand. Mehr zur Person: oit.digital/marcel