Der Einsatz von KI bringt Potenziale – aber vor allem erhebliche Unwägbarkeiten. Der Gesetzgeber hat den KI-Bereich neu geregelt, die entsprechenden Regeln stellen Unternehmen vor neue Herausforderungen.
Dieser Leitfaden beantwortet die vier offenen Fragen systematisch: Was gilt, für wen, ab wann – und wie Sie daraus mehr machen als eine Compliance-Übung.
ChatGPT schreibt Angebote. Copilot formuliert E‑Mails. Das CRM bewertet Kundenpotenziale automatisch. Die Recruiting-Software selektiert Bewerbungen vor. Na, kommt Ihnen das bekannt vor? Das sind genau die Erleichterungen, die eine KI in Unternehmen bringen soll – wäre da nicht das Problem, dass der Gesetzgeber hierfür den Nachweis einer ordentlichen Schulung verlangt.
Die ordnungsgemäße Schulung von Mitarbeitenden im Umgang mit KI ist Pflicht – und das schon ab August dieses Jahres. Und selbst wenn die meisten Führungskräfte davon schon gehört haben, ist die Umsetzung dieser Verpflichtung keine leichte Aufgabe – gerade in komplexeren Unternehmensstrukturen.
Es müssen folgende Fragen geklärt werden:
Die EU-KI-Verordnung (Verordnung EU 2024/1689) ist das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Sie unterscheidet grundlegend zwischen zwei Rollen: dem Anbieter, der ein KI-System entwickelt oder in Verkehr bringt, und dem Betreiber, der ein KI-System in eigener Verantwortung einsetzt.
Für die meisten Unternehmen im Alltag steht die Betreiberrolle im Fokus – und damit die Schulungspflicht nach Artikel 4.
Welche Umfänge einzuhalten sind, hängt davon ab, welche KI-Systeme eingesetzt werden – und mit welchem Risiko. Denn nicht alle KI-Systeme sind gleich gefährlich, und dementsprechend unterschiedlich sind die Anforderungen. Die Verordnung unterscheidet vier Risikoklassen:
Verbotene KI-Praktiken
KI-Systeme, die Grundrechte massiv gefährden – etwa Social-Scoring, biometrische Massenüberwachung oderpx manipulative KI – sind komplett verboten.
Hochrisiko-KI
KI-Systeme in sensiblen Bereichen, wie HR, Kreditwürdigkeit, Bildung oder kritischer Infrastruktur, unterliegen strengen Dokumentations‑, Aufsichts- und Schulungspflichten. Viele Unternehmen setzen Hochrisiko-KI ein, ohne es zu wissen – etwa, wenn die Recruiting-Software Bewerbungen vorselektiert.
KI mit begrenztem Risiko
Wer KI-Produktbilder im Onlineshop oder automatisch durch KI generierte Marketingtexte ohne entsprechende Kennzeichnung veröffentlicht, riskiert Bußgelder.
KI mit minimalem Risiko
Keine besonderen Pflichten – freiwillige Verhaltenskodizes werden empfohlen. Der Großteil der KI-Tools im Alltag fällt in diese Kategorie, wie etwa das Vorschreiben einer E‑Mail.
Schulungspflicht startet
Seit Februar 2025 müssen Unternehmen nachweisen, dass ihre Mitarbeitenden ausreichend für den Umgang mit KI geschult sind. Die Pflicht gilt für jeden, der KI-Tools beruflich einsetzt.
Behörden prüfen
Behörde BSI startet die Marktüberwachung in Deutschland. Das bedeutet eine aktive Prüfen, ob Schulungsnachweise vorliegen, bei Verstößen entstehen Bußgelder.
Hochrisiko-Klasse aktiviert
Unternehmen, die Hochrisiko-KI einsetzen, müssen ab Dezember 2027 vollständige Governance-Strukturen nachweisen: Risikomanagement, techn. Dokumentation, Aufsicht und Konformitätsbewertung.
Die entscheidende Frage ist eher selten “Nutzen wir KI?”, sondern vielmehr “Wo steckt KI bereits in unseren Prozessen, und was tut sie dort?”. Ein einfacher Dreischritt hilft bei der Einordnung:
Welche Tools, Software und Systeme im Unternehmen treffen automatisierte Entscheidungen oder unterstützen Menschen dabei? Das schließt offensichtliche Tools wie ChatGPT oder Copilot ein – aber auch ERP-Module mit automatischer Rechnungsprüfung, CRM-Systeme mit Kundenscoring, Recruiting-Software mit Vorauswahl oder jede andere Software, die Muster erkennt und Empfehlungen ausspricht.
Faustregel: Bei einem Unternehmen ab 100 Mitarbeitern finden sich bei einer ersten Inventur regelmäßig 15 bis 30 KI-Berührungspunkte – von denen die Geschäftsführung oft nur einen Bruchteil kennt.
Welche Tools, Software und Systeme im Unternehmen treffen automatisierte Entscheidungen oder unterstützen Menschen dabei? Das schließt offensichtliche Tools wie ChatGPT oder Copilot ein – aber auch ERP-Module mit automatischer Rechnungsprüfung, CRM-Systeme mit Kundenscoring, Recruiting-Software mit Vorauswahl oder jede andere Software, die Muster erkennt und Empfehlungen ausspricht.
Faustregel: Bei einem Unternehmen ab 100 Mitarbeitern finden sich bei einer ersten Inventur regelmäßig 15 bis 30 KI-Berührungspunkte – von denen die Geschäftsführung oft nur einen Bruchteil kennt.
Was tut das KI-System konkret? Drei Fragen helfen bei der Einordnung:
Was tut das KI-System konkret? Drei Fragen helfen bei der Einordnung:
Wer arbeitet mit welchem System – und in welcher Funktion? Ein Vertriebsmitarbeiter, der Copilot für Angebote nutzt, hat andere Schulungsanforderungen als eine HR-Managerin, die ein KI-gestütztes Recruiting-Tool einsetzt. Die Schulung muss den Unterschieden Rechnung tragen – eine einheitliche Standardschulung für alle reicht nicht aus.
Wer arbeitet mit welchem System – und in welcher Funktion? Ein Vertriebsmitarbeiter, der Copilot für Angebote nutzt, hat andere Schulungsanforderungen als eine HR-Managerin, die ein KI-gestütztes Recruiting-Tool einsetzt. Die Schulung muss den Unterschieden Rechnung tragen – eine einheitliche Standardschulung für alle reicht nicht aus.
Artikel 4 der EU-KI-Verordnung verpflichtet Betreiber von KI-Systemen, dafür zu sorgen, dass die Personen, die KI-Systeme in ihrem Auftrag bedienen, über ausreichende KI-Kompetenz verfügen. Das klingt abstrakt – ist es aber nicht.
KI-Kompetenz umfasst die Fähigkeiten, Kenntnisse und das Verständnis, die erforderlich sind, um KI-Systeme sachkundig einzusetzen und deren Möglichkeiten und Risiken zu kennen.
Eine förmliche Zertifizierungspflicht gibt es nicht – die Verordnung schreibt weder ein bestimmtes Schulungsformat noch einen Mindestumfang vor. Was sie verlangt: Die Schulung muss dem konkreten Einsatzbereich angepasst sein.
Eine einheitliche Standardschulung für alle Mitarbeitenden reicht nicht aus, wenn unterschiedliche Abteilungen unterschiedliche KI-Systeme mit unterschiedlichen Risikoprofilen einsetzen.
Auch wenn kein bestimmtes Format vorgeschrieben ist, gilt: Im Fall einer Behördenprüfung muss nachweisbar sein, wer wann zu welchem KI-System geschult wurde.
Eine Excel-Liste oder eine E‑Mail-Bestätigung erfüllen die Voraussetzungen einer ordentlichen Dokumentation nicht, da sie weder revisionssicher noch manipulationssicher und meistens auch schlecht auffindbar sind. Was zählt, ist ein strukturierter und klar archivierter Schulungsnachweis.
Nicht zwingend alle Mitarbeitenden – aber alle, die KI-Systeme beruflich bedienen. Das schließt ein:
Nicht eingeschlossen: Mitarbeitende, die KI ausschließlich privat nutzen.
Ab August 2026 entscheidend
Die Transparenzpflichten drehen sich um die Risikoklassen aus der EU-KI-Verordnung. Je höher die KI-Anwendung automatisiert ist, desto tiefgreifender sind die Anforderungen an die Transparenz – so die Faustformel. Aber was bedeutet das genau?
KI-generierte Bilder, Videos und Audioinhalte müssen als solche gekennzeichnet werden – maschinenlesbar, klar und für den Durchschnittsverbraucher erkennbar. Das betrifft konkret:
KI-generierte Texte – etwa Produktbeschreibungen, E‑Mails oder Blogartikel – unterliegen grundsätzlich keiner Kennzeichnungspflicht, sofern sie von einem Menschen geprüft und redaktionell verantwortet werden. Wer KI-Texte unverändert und ohne menschliche Kontrolle veröffentlicht, bewegt sich in einer rechtlichen Grauzone.
Wer im Marketing, im E‑Commerce oder in der Unternehmenskommunikation tätig ist und KI-Tools einsetzt, muss wissen: wann Kennzeichnungspflicht greift, wie sie technisch umgesetzt wird und wo die Grenze zwischen zulässiger KI-Unterstützung und kennzeichnungspflichtigem KI-Output liegt. Das ist keine juristische Detailfrage – es ist alltägliches Handwerkszeug für jeden, der KI im Kommunikationsbereich nutzt.
Die EU-KI-Verordnung wird oft als Bürde wahrgenommen – als weiteres Compliance-Thema, das Zeit kostet und Ressourcen bindet. Das greift zu kurz. Wer die Schulungspflicht nicht als lästige Pflicht, sondern als Investition begreift, entdeckt dahinter ein echtes Potenzial.
Wer die Grenzen von KI-Texten kennt, weiß auch, wie er sie gezielt ausschöpft: SEO-Vorgaben und Contentrichtlinien im Prompt verankern, Halluzinationen erkennen und korrigieren, KI-generierte Bilder rechtzeitig kennzeichnen – und damit gleichzeitig Abmahnrisiken nach dem UWG vermeiden. Das Ergebnis sind rechtssichere, qualitativ bessere Inhalte in kürzerer Zeit.
Copilot für Recherche und Angebotsstrukturierung nutzen, gleichzeitig wissen, welche Kundendaten der KI nicht anvertraut werden dürfen, und KI-Ergebnisse kritisch einordnen statt blind übernehmen – das ist der Unterschied zwischen einem KI-Nutzer und einem KI-kompetenten Mitarbeitenden. Letzterer arbeitet schneller, sicherer und mit weniger Nacharbeit.
KI-gestützte Recruiting-Tools fallen in die Kategorie Hochrisiko und erfordern menschliche Aufsicht. Wer das weiß, setzt sie bewusster ein – und effizienter. Die Zeitersparnis bei der Erstsichtung bleibt, das Haftungsrisiko sinkt.
KI-gestützte Rechnungsprüfung funktioniert – aber nicht fehlerfrei. Wer einschätzen kann, wann das Ergebnis plausibel ist und wann nicht, reduziert Fehlerquoten und Durchlaufzeiten gleichzeitig.
KI-generierte Analysen, Marktberichte und Entscheidungsvorlagen sind mächtige Werkzeuge – solange man weiß, dass KI-Systeme plausibel klingende, aber falsche Informationen erzeugen können. Wer das Konzept der Halluzination kennt und kritisch mit KI-Ergebnissen umgeht, trifft bessere Entscheidungen – schneller als ohne KI.
Nach der Einordnung des Umfangs der Pflichten nach ihren Risikoklassen braucht es nun die technische Lösung. Bei komplexen internen Strukturen kommen einfache Datenbank-Lösungen schnell an ihre Grenzen. sycat eLU dagegen arbeitet als Teil der JobRouter-Welt komplett vernetzt und dadurch bruchfrei.
Die Workflow-Engine von JobRouter bildet die Vorgaben und Anforderungen an die Schulungen ab und die sycat-Software etabliert die Abläufe faktisch vollautomatisch.
Anbieter
Unternehmen oder Person, die ein KI-System entwickelt oder in Verkehr bringt – mit dem Ziel, es anderen zur Verfügung zu stellen. Anbieter tragen die umfangreichsten Pflichten nach der EU-KI-Verordnung.
Betreiber
Unternehmen oder Person, die ein KI-System in eigener Verantwortung beruflich einsetzt. Wer ChatGPT, Copilot oder ein KI-integriertes Fachsystem im Unternehmen nutzt, ist Betreiber – und damit schulungspflichtig.
Bias
Systematische Verzerrung in KI-Ergebnissen, die durch fehlerhafte oder einseitige Trainingsdaten entsteht. Besonders relevant im HR-Bereich: Ein KI-System, das auf Basis historischer Einstellungsdaten trainiert wurde, kann bestimmte Bewerbergruppen systematisch benachteiligen.
Digital Omnibus
EU-Gesetzgebungspaket vom Mai 2026, das unter anderem die vollen Hochrisiko-Pflichten der EU-KI-Verordnung auf Dezember 2027 bzw. August 2028 verschoben hat. Die Schulungspflicht nach Artikel 4 ist davon ausdrücklich nicht betroffen.
GPAI (General Purpose AI)
KI-Modelle mit breitem Einsatzspektrum – etwa ChatGPT, Copilot oder Gemini. Sie unterliegen seit August 2025 eigenen Pflichten: Dokumentation, Transparenz und Urheberrechtskonformität auf Anbieterseite.
Halluzination
KI-Systeme können plausibel klingende, aber faktisch falsche Informationen erzeugen – ohne es zu “wissen”. Geschulte Mitarbeitende kennen dieses Risiko und prüfen KI-Ergebnisse kritisch, bevor sie sie übernehmen.
Hochrisiko-KI
KI-Systeme, die in sensiblen Bereichen eingesetzt werden und erhebliche Auswirkungen auf Menschen haben können – etwa in HR, Kreditwürdigkeit, Bildung oder kritischer Infrastruktur. Sie unterliegen strengen Dokumentations‑, Aufsichts- und Schulungspflichten.
KI-Kompetenz (AI Literacy)
Der zentrale Begriff der Schulungspflicht nach Artikel 4. Bezeichnet die Fähigkeiten, Kenntnisse und das Verständnis, die erforderlich sind, um KI-Systeme sachkundig einzusetzen und deren Möglichkeiten und Risiken zu kennen – technisch, rechtlich und ethisch.
Marktüberwachung / BSI
Ab August 2026 übernimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Aufsicht über die Einhaltung der EU-KI-Verordnung in Deutschland. Das BSI kann Schulungsnachweise anfordern und bei Verstößen Bußgelder verhängen.
Revisionssicherheit
Eigenschaft einer Dokumentation, die nachträgliche Änderungen ausschließt und jederzeit als Nachweis vorgelegt werden kann. Für Schulungsnachweise nach der EU-KI-Verordnung ist Revisionssicherheit keine formale Pflicht – aber die praktische Voraussetzung dafür, einer Behördenprüfung standzuhalten.
Transparenzpflicht
Pflicht nach Artikel 50 der EU-KI-Verordnung, KI-generierte Inhalte – Bilder, Videos, Audioinhalte – als solche zu kennzeichnen. Gilt ab August 2026 für alle Unternehmen, die solche Inhalte nach außen kommunizieren.
Verbotene KI-Praktiken
KI-Systeme, die Grundrechte massiv gefährden, sind seit Februar 2025 vollständig verboten – darunter Social-Scoring, biometrische Massenüberwachung im öffentlichen Raum und manipulative KI-Systeme, die das Verhalten von Menschen unbewusst beeinflussen.