Demotermin buchen
KI formuliert Marketingtexte, fasst Berichte zusammen, extrahiert ESG-Daten aus Dokumenten und beantwortet Kundenanfragen. Mit der Verbreitung wächst die Fallhöhe: Fehlerhafte Ausgaben, verzerrte Ergebnisse oder unbedacht geteilte Daten können rechtliche und wirtschaftliche Folgen haben. Der europäische Gesetzgeber hat daraus eine Konsequenz gezogen, die viele Unternehmen noch unterschätzen: die Pflicht zur KI-Kompetenz nach Art. 4 der KI-Verordnung (Verordnung (EU) 2024/1689).
Die Vorschrift gilt bereits seit dem 2. Februar 2025 und verpflichtet Anbieter und Betreiber von KI-Systemen, nach besten Kräften sicherzustellen, dass ihr Personal und andere in ihrem Auftrag tätige Personen über ein ausreichendes Maß an KI-Kompetenz verfügen. Betreiber ist dabei nicht nur, wer eigene Modelle entwickelt: Schon das Unternehmen, dessen Beschäftigte mit einem generativen Sprachmodell Texte erstellen, fällt nach Lesart der Europäischen Kommission unter die Pflicht (Europäische Kommission 2025). Die Verordnung unterscheidet dabei zwei Rollen: Anbieter entwickeln KI-Systeme oder bringen sie unter eigenem Namen auf den Markt, Betreiber verwenden sie in eigener Verantwortung im beruflichen Kontext. Für die meisten Unternehmen der Immobilien- und Energiewirtschaft ist die zweite Rolle die relevante, und sie ist schnell erreicht: Schon der Chatbot im Kundenservice oder das KI-gestützte Übersetzungstool begründet die Betreiberstellung. Trotzdem haben viele Organisationen das Thema bisher gar nicht oder nur mit einer kurzen Unterweisung abgehakt.
Das wird riskanter, denn die Durchsetzung beginnt. Ab dem 2. August 2026 überwachen die nationalen Marktüberwachungsbehörden die Einhaltung der Verordnung und können Verstöße ahnden. Deutschland hat die Zuständigkeit inzwischen abschließend geklärt: Am 11. Juni 2026 hat der Bundestag das Gesetz zur KI-Marktüberwachung beschlossen, der Bundesrat hat es am 10. Juli 2026 gebilligt. Die Bundesnetzagentur wird damit zentrale Aufsichtsbehörde und Beschwerdestelle (Deutscher Bundestag 2026; Bundesrat 2026). Aus der bislang papierenen Pflicht wird damit eine beaufsichtigte.
Die KI-Verordnung folgt einem risikobasierten Ansatz. Verbotene Praktiken wie manipulative Techniken oder Social Scoring sind seit Februar 2025 untersagt. Für Modelle mit allgemeinem Verwendungszweck gelten seit August 2025 eigene Pflichten. Hochrisiko-Systeme, etwa in der Personalauswahl, der Kreditvergabe oder als Sicherheitskomponente regulierter Produkte, unterliegen den umfangreichsten Anforderungen von Risikomanagement bis menschlicher Aufsicht. Daneben stehen Transparenzpflichten für KI-Systeme, die mit Menschen interagieren oder Inhalte erzeugen. Quer zu allen Stufen liegt die Kompetenzpflicht aus Art. 4: Sie gilt unabhängig davon, wie riskant das eingesetzte System ist. Für die Einordnung im Alltag hilft eine Faustregel: Je stärker ein System über Menschen entscheidet oder auf sie einwirkt, desto höher die Stufe. Ein Tool, das Besprechungsnotizen zusammenfasst, bewegt sich im minimalen Risiko; ein System, das Bewerbungen vorsortiert, Beschäftigte bewertet oder Kreditwürdigkeit einschätzt, gehört zu den Hochrisiko-Anwendungen des Anhangs III mit entsprechend strengen Pflichten.
In diesen Zeitplan ist Bewegung gekommen. Mit dem Digital Omnibus on AI legte die Europäische Kommission am 19. November 2025 ein Änderungspaket vor, das die Umsetzung vereinfachen soll. Hintergrund waren fehlende harmonisierte Normen, Compliance-Kosten von bis zu 600.000 Euro je Hochrisiko-System für mittelständische Anbieter und der schleppende Aufbau nationaler Aufsichtsstrukturen (TÜV Rheinland Consulting 2026). Nach den Positionen von Rat (13. März 2026) und Parlament (26. März 2026) und einer zunächst gescheiterten Verhandlungsrunde Ende April erzielten die Institutionen am 7. Mai 2026 eine vorläufige politische Einigung (netzpolitik.org 2026). Sie sieht vor, die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 zu verschieben und für in regulierte Produkte eingebettete KI nach Anhang I auf den 2. August 2028. Kleine und mittlere Unternehmen sollen Erleichterungen und reduzierte Bußgelder erhalten.
Der Weg dorthin war umkämpft. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte warnten in einer gemeinsamen Stellungnahme vom Januar 2026 davor, die Vereinfachung zulasten des Grundrechtsschutzes zu dehnen. Das Parlament stimmte seiner Verhandlungsposition mit 569 zu 45 Stimmen deutlich zu, allerdings erst nach Nachschärfungen: Die Registrierungspflicht für Hochrisiko-Systeme bleibt erhalten, und neue Verbote, etwa für KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Darstellungen, kamen hinzu (TÜV Rheinland Consulting 2026).
Eine Einschränkung gehört zur ehrlichen Einordnung. Nach der vorläufigen Einigung vom 7. Mai 2026 hat das Parlament am 16. Juni und der Rat am 29. Juni formell zugestimmt; unterzeichnet wurde die Änderungsverordnung am 8. Juli 2026, mit der Veröffentlichung im Amtsblatt vor dem 2. August 2026 ist zu rechnen. Damit dürften die verschobenen Fristen rechtzeitig in Kraft treten. Verschoben wird allerdings nur die Hochrisiko-Compliance. Die Transparenzpflichten nach Art. 50, darunter die Offenlegung von Chatbots, die Kennzeichnung von Deepfakes und bestimmter KI-generierter Texte, werden ab dem 2. August 2026 anwendbar; die technische Kennzeichnung synthetischer Inhalte durch Wasserzeichen folgt zum 2. Dezember 2026. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes. Für die Praxis heißt das: Die akuten Baustellen des Jahres 2026 sind nicht die Hochrisiko-Dokumentation, sondern Kompetenz und Transparenz.
Der Verordnungstext ist kurz und lässt vieles offen. KI-Kompetenz definiert Art. 3 Nr. 56 als Fähigkeiten, Kenntnisse und Verständnis, die es erlauben, KI-Systeme sachkundig einzusetzen sowie sich der Chancen, Risiken und möglichen Schäden bewusst zu werden. Was ein ausreichendes Maß ist, bemisst sich nach dem Kontext: nach technischem Vorwissen, Erfahrung und Ausbildung der Beschäftigten, nach dem Einsatzgebiet der Systeme und danach, an welchen Personen sie eingesetzt werden. Eine Buchhalterin, die gelegentlich Texte zusammenfassen lässt, braucht anderes Wissen als ein Team, das Bewerbungen mit KI-Unterstützung vorsortiert.
Die Europäische Kommission hat die offene Formulierung in einem Frage-Antwort-Katalog konkretisiert. Ein Programm, das Art. 4 genügen soll, stellt danach zunächst ein allgemeines KI-Verständnis in der Organisation sicher: was KI ist, wie sie funktioniert, welche Systeme im Haus eingesetzt werden und welche Chancen und Gefahren damit verbunden sind. Darauf aufbauend berücksichtigt es die Rolle des Unternehmens als Anbieter oder Betreiber, die Risiken der konkret eingesetzten Systeme und die Unterschiede im Vorwissen der Zielgruppen; rechtliche und ethische Aspekte gehören ausdrücklich dazu (Europäische Kommission 2025). Bemerkenswert pragmatisch sind die Formalien: Zertifikate sind nicht erforderlich, eine interne Dokumentation der Maßnahmen genügt, und weder ein KI-Beauftragter noch ein Gremium sind vorgeschrieben. Das bloße Verteilen der Bedienungsanleitung reicht nach Auffassung der Kommission allerdings in den meisten Fällen nicht aus.
Aufschlussreich ist auch, was die Kommission ausdrücklich nicht verlangt. Eine Pflicht, das Wissen der Beschäftigten zu messen oder Prüfungen abzunehmen, besteht nicht. Branchenspezifische Sonderanforderungen, etwa für Finanzdienstleister oder das Gesundheitswesen, gibt es auf dieser Ebene ebenfalls nicht; der Kontext fließt über die allgemeinen Kriterien ein. Selbst technisch ausgebildete Fachkräfte gelten nicht automatisch als ausreichend kompetent, wenn ihnen der Blick auf die rechtlichen und ethischen Fragen des konkret eingesetzten Systems fehlt. Für die Durchsetzung kündigt die Kommission Augenmaß an: Sanktionen müssen verhältnismäßig sein und Art, Schwere und Verschulden des Verstoßes berücksichtigen. Wahrscheinlicher werden sie dort, wo ein Schaden nachweislich auf fehlende Schulung zurückgeht (Europäische Kommission 2025).
Im Digital Omnibus wollte die Kommission die Vorschrift entschärfen und die direkte Unternehmenspflicht durch einen Förderauftrag an Mitgliedstaaten und Kommission ersetzen. Rat und Parlament sind dem nur teilweise gefolgt; nach der vorläufigen Einigung bleibt eine verbindliche, wenn auch sprachlich abgeschwächte Pflicht bestehen. Wer daraus Entwarnung abliest, übersieht drei stabile Anker: Für Betreiber von Hochrisiko-Systemen schreibt Art. 26 die Schulung des Personals und eine wirksame menschliche Aufsicht ohnehin vor. Zivilrechtlich haftet das Unternehmen für Schäden, die aus unsachgemäßem KI-Einsatz entstehen, von der Datenschutzverletzung bis zur diskriminierenden Vorauswahl. Und betriebswirtschaftlich entscheidet die Kompetenz der Anwender darüber, ob KI-Ausgaben geprüft übernommen oder ungeprüft zum Risiko werden.
Aus den Kontextfaktoren des Art. 4 lässt sich ein Stufenmodell ableiten, das sich in der Beratungspraxis und im Schulungsmarkt etabliert hat. Die Basisstufe richtet sich an alle Beschäftigten mit KI-Berührung: Funktionsweise und Grenzen generativer Modelle, Halluzinationen, Umgang mit vertraulichen Daten, Kennzeichnungsfragen. Die zweite Stufe vertieft das für produktive Anwender, die KI regelmäßig in Fachprozessen einsetzen, etwa bei der Aufbereitung von ESG-Daten oder im Kundenservice; hierzu zählt auch handwerkliches Können wie präzises Prompting. Die dritte Stufe betrifft Personen, die KI-Systeme auswählen, beschaffen oder integrieren: Sie müssen Risikoklassen einordnen, Anbieterangaben bewerten und Vertrags- wie Datenschutzfragen mitdenken. Auf der vierten Stufe steht die Leitungsebene, die den Einsatz verantwortet, Prioritäten setzt und die Aufsicht organisiert.
Wie tief die Basisstufe gehen sollte, zeigt ein Blick auf typische Fehlerbilder. Beschäftigte übernehmen Modellausgaben ungeprüft, weil die Texte sprachlich überzeugend wirken; sie geben vertrauliche Unterlagen in öffentliche Werkzeuge ein, weil der Unterschied zwischen lokalem und cloudbasiertem Betrieb unklar ist; oder sie verlassen sich auf Quellenangaben, die das Modell erfunden hat. Eine gute Grundschulung arbeitet deshalb mit den Werkzeugen und Fällen aus dem eigenen Haus statt mit abstrakten Folien: Sie zeigt an realen Beispielen, wo Modelle stark sind, wo sie systematisch scheitern und wie sich Ausgaben mit vertretbarem Aufwand verifizieren lassen.
Wichtig ist der Blick über die eigene Belegschaft hinaus. Art. 4 erfasst auch andere Personen, die im Auftrag des Unternehmens mit KI-Systemen umgehen, also Dienstleister, freie Mitarbeitende oder Agenturen. Wer die Erstellung von Inhalten oder die Datenaufbereitung auslagert, sollte die Kompetenzfrage vertraglich und praktisch mitregeln. Bei den Formaten lässt die Kommission bewusst Spielraum: Präsenzschulungen, E-Learning, rollenspezifische Lernpfade oder Übungsformate an konkreten Anwendungsfällen sind gleichermaßen zulässig, solange sie zu Vorwissen und Einsatzkontext passen. Ein öffentlich zugängliches Verzeichnis dokumentierter Praxisbeispiele, das die Kommission als Living Repository pflegt, bietet Orientierung. Zwei Punkte entscheiden über die Belastbarkeit: die Dokumentation, also wer wann zu welchen Inhalten geschult wurde, und die Aktualisierung, denn Modelle, Werkzeuge und Rechtslage ändern sich schneller als klassische Unterweisungszyklen.
Organisatorisch beginnt die Umsetzung nicht bei der Schulung, sondern beim Überblick. Ein KI-Inventar beantwortet die Fragen, welche Systeme im Unternehmen laufen, wofür sie eingesetzt werden, welche Risikoklasse sie berühren und wer mit ihnen arbeitet. Erst daraus ergibt sich, wer welche Kompetenz braucht. Dieses Inventar ist zugleich die Grundlage fast aller weiteren Pflichten der KI-Verordnung, von der Transparenz bis zur späteren Hochrisiko-Compliance; die durch den Digital Omnibus gewonnene Zeit lässt sich kaum besser nutzen als für diesen Aufbau.
Für ESG-Verantwortliche hat das Thema eine doppelte Pointe. Zum einen werden Nachhaltigkeitsdaten zunehmend KI-gestützt erhoben, geprüft und berichtet; die Kompetenz der Reporting-Teams entscheidet damit unmittelbar über die Qualität der Daten, die später im Lagebericht stehen. Fehler, die ein Modell halluziniert und niemand bemerkt, wandern sonst bis in die geprüfte Berichterstattung. Ein Beispiel macht das greifbar: Extrahiert ein Modell Energieverbräuche aus hunderten Nebenkostenabrechnungen, spart das Wochen manueller Arbeit. Ob die Werte stimmen, ob Einheiten korrekt übernommen und Lücken als Lücken ausgewiesen wurden, beurteilt aber nur, wer die Datenlage kennt und weiß, an welchen Stellen solche Systeme typischerweise fehlerhaft arbeiten. Kompetenz ersetzt hier keine Kontrolle, sie macht Kontrolle erst möglich. Zum anderen passt die Kompetenzpflicht strukturell in vorhandene Governance-Systeme: Schulungsmatrizen, Unterweisungsnachweise und Freigabeprozesse existieren in den meisten Häusern bereits für Datenschutz und Arbeitssicherheit und lassen sich um KI-Inhalte erweitern, statt parallele Strukturen aufzubauen. Auch spezialisierte Werkzeuge entbinden nicht von dieser Aufgabe: Ein auf ESG-Regulatorik trainiertes System wie der ESGbot senkt die fachliche Einstiegshürde, ersetzt aber keine Anwender, die Ergebnisse einordnen und prüfen können. Wie Schulung, Inventar und Verantwortlichkeiten zusammenspielen, wurde bereits in einem Artikel zur ESG-Strategie grundsätzlich beschrieben; KI-Kompetenz fügt sich dort als weiterer Baustein ein.
Ein praktischer Fahrplan bis zum 2. August 2026 umfasst überschaubare Schritte: das KI-Inventar erstellen oder aktualisieren, Zielgruppen und Kompetenzstufen zuordnen, eine Basisschulung für die Breite und vertiefte Module für die tragenden Rollen aufsetzen, die Dokumentation organisieren und die Kennzeichnungspflichten nach Art. 50 in die Kommunikations- und Freigabeprozesse einarbeiten. Nichts davon erfordert ein Großprojekt. Es erfordert eine Entscheidung, das Thema vom Stapel der aufgeschobenen Pflichten zu nehmen.
Die Nachrichtenlage zur KI-Verordnung wird von Verschiebungen dominiert, und tatsächlich gewinnen Unternehmen bei den Hochrisiko-Pflichten voraussichtlich mehr als ein Jahr. Nur betrifft das die wenigsten Anwendungsfälle im Alltag. Was bleibt, ist unbequemer: Die Kompetenzpflicht gilt seit Februar 2025, die Transparenzpflichten kommen zum 2. August 2026, und mit der Bundesnetzagentur steht die deutsche Aufsicht bereit. Wer KI im Unternehmen nutzt, schuldet seinen Beschäftigten und seinen Stakeholdern einen befähigten Umgang damit; die Verordnung macht daraus lediglich eine nachweisbare Erwartung. Hinzu kommt ein Zeitargument: Die Aufsichtsstrukturen entstehen gerade erst, und wer jetzt dokumentiert nachsteuert, bewegt sich in einer Phase, in der die Behörden erkennbar auf Orientierung statt auf Härte setzen. Diese Ausgangslage bleibt nicht dauerhaft bestehen.
Richtig verstanden ist Art. 4 deshalb weniger Bürokratie als Betriebsvoraussetzung: Geschulte Anwender holen mehr aus den Werkzeugen heraus und produzieren weniger Risiken. Das gilt besonders dort, wo KI-gestützte Inhalte das Unternehmen nach außen vertreten. Ab dem 2. August 2026 müssen KI-generierte Inhalte in vielen Fällen gekennzeichnet werden, und nur wenige Wochen später, zum 27. September 2026, verschärft das geänderte UWG die Anforderungen an Umweltaussagen in der Werbung.