Dr. Marc Ruttloff, RA, Prof. Dr. Eric Wagner, RA, Dr. Annika Vorfelder, RAin, und Dr. Pauline Grotz, LL.M. (Trinity College Dublin), RAin

KI-Compliance durch KI-Kompetenz

Unternehmen müssen ihre Mitarbeiter im Umgang mit KI-Systemen schulen. Diese Pflicht gilt für Anbieter und Betreiber von KI-Systemen. Der im Juni 2025 vorgelegte Referentenentwurf und der nun im Februar 2026 vorgelegte Regierungsentwurf zum Durchführungsgesetz der KI-VO befassen sich mittelbar auch mit den Folgen von Verstößen gegen diese Schulungspflicht. KI-Kompetenz bildet damit das Fundament jeder unternehmerischen KI-Compliance. Der Beitrag untersucht, wie Unternehmen die gesetzlichen Anforderungen erfüllen können und welche Sanktions- und Haftungsrisken bei Verstößen bestehen.

I. Einleitung

Die Pflicht zur Schaffung von KI-Kompetenz (KI-Kompetenz-Pflicht) hat eine besondere Stellung im Regelungssystem der Verordnung über Künstliche Intelligenz (KI-VO).1 Als einzige Pflicht für Anbieter und Betreiber in Kapitel I (“Allgemeine Bestimmungen”) greift sie bei sämtlichen KI-Systemen – unabhängig vom konkreten Risikoprofil. Außerdem trat die KI-Kompetenz-Pflicht als eine der ersten Pflichten der KI-VO am 2.2.2025 in Kraft. An der derzeitigen unmittelbaren Geltung der KI-Kompetenz-Pflicht hat auch der Vorschlag der EU-Kommission zur Vereinfachung der KI-VO (Digital-Omnibus)2 nichts geändert. Soweit der Vorschlag noch nicht in geltendes Unionsrecht umgesetzt ist, gilt weiterhin: Wenn Unternehmen ihre Mitarbeiter nicht ausreichend im Umgang mit KI schulen, können sich mittelbar Sanktions- und Haftungsrisiken anschließen. Die Pflicht zur Mitarbeiterschulung behält als “Querschnittsplicht” weiterhin ihre weitreichende Ausstrahlungswirkung. Während ordnungsgemäße Schulungen auf die Einhaltung von Pflichten, insbesondere die der KI-VO, gerichtet sind, können unzureichende Schulungen mitursächlich für andere Pflichtverletzungen sein und Unternehmen eine Exkulpation maßgeblich erschweren. Der deutsche Gesetzgeber hat die Folgen von Verstößen gegen die KI-Kompetenz-Pflicht in seinem im Juni 2025 veröffentlichten Referentenentwurf (KI-VO-Referentenentwurf)3 sowie im Regierungsentwurf (KI-VO-Regierungsentwurf)4 zum Durchführungsgesetz der KI-VO konkretisiert. Aufgrund ihrer breitenwirksamen und frühen Geltung rückt die in Art. 4 KI-VO geregelte KI-Kompetenz-Pflicht somit ins Zentrum unternehmerischer Verantwortung im Umgang mit KI.

Bemerkenswerterweise war die KI-Kompetenz-Pflicht im Entwurf der EU-Kommission zur KI-VO noch gar nicht vorgesehen. Sie wurde erst später – nach erstmaliger Forderung zur Sicherstellung von “Kompetenz”durch Betreiber von Hochrisiko-KI-Systemen – im Rahmen der allgemeinen Ausrichtung des Rates der Europäischen Union5 durch das Europäische Parlament6 in den Verordnungstext aufgenommen.

Erst eine umfassende KI-Kompetenz für alle KI-Systeme ermöglicht jedoch den sachkundigen, verantwortungsvollen und grundrechtskonformen Einsatz von KI-Systemen. Art. 4 KI-VO bezweckt mit seiner Erstreckung auf sämtliche KI-Systeme nicht nur den Schutz von Grundrechten, Gesundheit und Sicherheit, sondern auch die Förderung und Stärkung vertrauenswürdiger KI in der EU.7 Demnach sind informierte Entscheidungen essentiell, um einen gesetzeskonformen Umgang mit KI im Unternehmen sicherzustellen.

Der Beitrag untersucht, wie KI-Kompetenz ein tragfähiges Fundament unternehmerischer KI-Compliance bildet. Im Fokus stehen der Anwendungsbereich (II.) sowie die konkrete Umsetzung von KI-Kompetenz im Unternehmen anhand praktischer Beispiele (III.). Aus Anlass des aktuellen Referentenentwurfs beleuchtet der Beitrag außerdem die rechtlichen Folgen bei Verstößen gegen Art. 4 KI-VO (IV.).

II. Anwendungsbereich von Art. 4 KI-VO

Art. 4 KI-VO bestimmt:

“Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.”

1. Persönlicher Anwendungsbereich

Die KI-VO kennt grundsätzlich eine Vielzahl an “Akteuren”. Art. 4 KI-VO verpflichtet jedoch lediglich Anbieter und Betreiber von KI-Systemen zur Schaffung von KI-Kompetenz.

• “Anbieter” ist, wer ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickelt oder entwickeln lässt und es unter seinem eigenen Namen oder seiner Handelsmarke in Betrieb nimmt, Art. 3 Nr. 3 KI-VO.
• “Betreiber” ist, wer ein KI-System in eigener Verantwortung verwendet, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet. Setzt ein Unternehmen ein KI-System ein, das durch seine Mitarbeiter betrieben wird, ist das Unternehmen Betreiber.8

Damit unterliegen z. B. Einführer oder Händler von KI-Systemen nicht der KI-Kompetenzpflicht.

2. Sachlicher Anwendungsbereich

Art. 4 KI-VO bezieht sich sachlich auf den Betrieb und die Nutzung von KI-Systemen. Die KI-VO teilt KI-Systeme in Risikokategorien ein. Je nach Risikokategorie schreibt die KI-VO unterschiedlich strenge Voraussetzungen für die Herstellung und den Umgang mit diesen KI-Systemen vor.9 Sie unterscheidet zwischen KI-Systemen mit unannehmbarem Risiko (Art. 5 KI-VO), Hochrisiko-KI-Systemen (Art. 6 ff. KI-VO) und Nicht-Hochrisiko-KI-Systemen. Da auch Nicht-Hochrisiko-Systeme im Einzelfall Transparenzpflichten nach Art. 50 KI-VO unterliegen können, ist zudem auch eine weitere Abstufung außerhalb des Hochrisikobereichs möglich. Art. 4 KI-VO gilt jedoch unabhängig davon, ob es sich bei dem betroffenen KI-System um ein Hochrisiko-KI-System oder ein Nicht-Hochrisiko-KI-System handelt.10 Mithin ist die KI-Kompetenz für alle Unternehmen von Relevanz, die KI-Systeme entwickeln (lassen), unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringen bzw. in Betrieb nehmen oder KI-Systeme verwenden.

Die “AI Literacy” nach Art. 4 KI-VO ist dabei gleichermaßen relevant bei KI-Modellen (II. 2. a)) wie auch bei allgemein zugänglichen KI-Systemen wie ChatGPT (II. 2. b)).

a) Geltung auch für GPAI-Modelle?

Der Wortlaut von Art. 4 KI-VO bezieht sich ausschließlich auf “Anbieter und Betreiber von KI-Systemen”. Gleichwohl dürfte sich die KI-Kompetenz-Pflicht auch (analog) auf die Anbieter von KI-Modellen erstrecken, wie nachfolgend im Einzelnen dargestellt wird.

Die KI-VO definiert den Begriff des “KI-Modells” nicht allgemein, sondern nimmt an verschiedenen Stellen hierauf Bezug.11 KI-Modelle stellen “für sich genommen keine KI-Systeme dar”, sondern sind “in der Regel in KI-Systeme integriert und Teil davon”.12 Erst durch das Hinzufügen weiterer Bestandteile wie beispielsweise einer Nutzerschnittstelle wird das KI-Modell zu einem KI-System.13 Die KI-VO definiert lediglich KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, “GPAI-Modelle”). Dabei handelt es sich nach Art. 3 Nr. 63 KI-VO um KI-Modelle, die eine erheblich allgemeine Verwendbarkeit aufweisen, in der Lage sind, unabhängig von der Art und Weise ihres Inverkehrbringens ein breites Spektrum unterschiedlicher Aufgaben kompetent zu erfüllen, und in eine Vielzahl nachgelagerter Systeme oder Aufgaben integriert werden können.14 Als Beispiel für GPAI-Modelle nennt Erwägungsgrund 99 der KI-VO große generative KI-Modelle, die ein breites Aufgabenspektrum erfüllen und z. B. Text- Bild- oder Audioinhalte erzeugen. Hierzu zählen etwa KI-Modelle wie GPT-5.

Da die KI-VO an vielen Stellen zwischen KI-Systemen und KI-Modellen (mit allgemeinem Verwendungszweck) differenziert (etwa in Art. 2 Abs. 1 lit. a KI-VO sowie in Kapitel V KI-VO),15 lässt sich der klare Wortlaut des Art. 4 KI-VO gegen eine Erstreckung der KI-Kompetenz-Pflicht auf KI-Modelle anführen: Dieser bezieht sich ausschließlich auf “KI-Systeme”.16 Zudem erwähnt Erwägungsgrund 20 KI-VO im Kontext der KI-Kompetenz ebenfalls ausschließlich “KI-Systeme”.17

Für eine weite Auslegung spricht hingegen, dass sich die Legaldefinition von “Anbieter” in Art. 3 Nr. 3 KI-VO nicht nur auf “KI-Systeme”, sondern auch auf “KI-Modelle mit allgemeinem Verwendungszweck” bezieht. Art. 4 KI-VO verpflichtet zwar “Anbieter und Betreiber” von KI-Systemen . Dabei könnte es sich allerdings um eine redaktionelle Ungenauigkeit handeln. Denn nur der Betreiberbegriff bezieht sich nach Art. 3 Nr. 4 KI-VO auf KI-Systeme. Wie aus der Definition des Anbieterbegriffs in Art. 3 Nr. 3 KI-VO hervorgeht, lassen Anbieter aber auch “KI-Modelle” entwickeln bzw. entwickeln diese selbst. Insofern könnte der Verweis auf KI-Systeme in Art. 4 KI-VO für den Anbieter (ungewollt) zu kurz greifen und sich nur auf den Betreiber beziehen. Für Anbieter könnte sich die KI-Kompetenzpflicht damit auch auf KI-Modelle erstrecken.18 Zu berücksichtigen ist vor allem aber der Sinn und Zweck von Art. 4 KI-VO: KI-Kompetenz ist auch für GPAI-Modellen notwendig, da sie ein Teil von KI-Systemen sind. Wären Anbieter bei Art. 4 KI-VO nur auf “KI-Systeme” beschränkt, würde dies die Funktionsweise und Auswirkung des dahinterstehenden KI-Modells nicht vollumfänglich erfassen.19 Zudem legt der unionsrechtliche Gesetzgeber in Erwägungsgrund 20 KI-VO einen holistischen Ansatz zugrunde und verlangt, dass “die KI-Kompetenz allen relevanten Akteuren in der KI-Wertschöpfungskette die erforderlichen Einsichten vermitteln” soll.20 Die Beschränkung des Wortlauts von Art. 4 KI-VO auf KI-Systeme wird vor diesem Hintergrund teilweise als “Redaktionsversehen”21 bezeichnet.

Mangels gefestigter Rechtsprechung und administrativer Leitlinien zu dieser Frage ist es nicht fernliegend, dass Behörden oder Gerichte den Anwendungsbereich von Art. 4 KI-VO auf KI-Modelle entsprechend erstrecken.

b) Geltung auch für allgemein zugängliche KI-Systeme wie ChatGPT?

Mitarbeiter von Unternehmen nutzen im Rahmen ihrer Tätigkeit oftmals allgemein zugängliche KI-Systeme wie z. B. ChatGPT – etwa zur Recherche, zum Entwurf von Texten oder für Übersetzungen. Dies wirft die Frage auf, ob Unternehmen bereits deshalb die KI-Kompetenz ihrer Mitarbeiter sicherstellen müssen.22 Die KI-VO nimmt hierauf nicht ausdrücklich Bezug. Allerdings bejaht die Europäische Kommission in ihren Q&A23 die Notwendigkeit einer KI-Kompetenz auch in solchen Fällen: Demnach müssen Unternehmen ihre Mitarbeiter auf die spezifischen Risiken allgemein zugänglicher KI-Systeme, wie z. B. Halluzinationen, hinweisen.24 Auch wenn die Q&A unverbindlich sind, ist davon auszugehen, dass sie Behörden und Gerichten künftig als Auslegungshilfe dienen werden. Unternehmen, deren Mitarbeiter allgemein zugängliche KI-Systeme im beruflichen Kontext nutzen, sollten mithin auch in diesem Bereich die erforderliche KI-Kompetenz sicherstellen.

3. Zeitlicher Anwendungsbereich

Die KI-VO trat am 1.8.2024 in Kraft. Sie ist zeitlich abgestuft anwendbar. Die KI-Kompetenz-Pflicht gilt – ebenso wie die Regelungen zu den verbotenen KI-Praktiken in Art. 5 KI-VO – bereits seit dem 2.2.2025, Art. 113 lit. a KI-VO. Seit dem 2.8.2025 sind weitere Teile der KI-VO anwendbar, vor allem die für den vorliegenden Kontext relevanten Vorschriften über Sanktionen (Kapitel XII), daneben aber auch einige behördliche Pflichten (Kapitel VII) sowie Pflichten zu GPAI-Modellen (Kapitel V), Art. 113 lit. b KI-VO.

Ab dem 2.8.2026 wird die KI-VO dann nahezu vollständig anwendbar sein. Ausnahmen gelten nur im Bereich bestimmter Hochrisiko-KI-Systeme – die entsprechenden Pflichten sind aufgrund der Sicherheitsrelevanz erst ab dem 2.8.2027 anwendbar, Art. 113 lit. d i. V. m. Art. 6 Abs. 1 KI-VO.

4. Örtlicher Anwendungsbereich

Die KI-VO und somit auch Art. 4 KI-VO gilt in örtlicher Hinsicht für alle Anbieter und Betreiber, die KI-Systeme (zur Frage, ob auch GPAI-Modelle erfasst sind, siehe II. 2. a)) in der EU in den Verkehr bringen, in Betrieb nehmen, verwenden oder deren Verwendung Auswirkungen auf Menschen in der EU hat, Art. 2 lit. a–c KI-VO. Hieraus folgt, dass Art. 4 KI-VO auch für Personen mit Sitz außerhalb der EU gelten kann, sofern der örtliche Bezug über das Inverkehrbringen von KI-Systemen in der EU besteht.25

III. Pflicht zur Gewährleistung der KI-Kompetenz im Unternehmen

1. Personal und andere Personen

Anbieter und Betreiber von KI-Systemen müssen gemäß Art. 4 KI-VO sicherstellen, dass ihr “Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen”. Während die Begriffe des “Anbieters” und “Betreibers” in Art. 3 Nr. 3, Nr. 4 KI-VO legaldefiniert sind (siehe II. 1.), fehlen gesetzliche Definitionen für die Adressaten der Schulungsmaßnahmen: “Personal” und “andere Personen”. Die beiden Begriffe werden nachfolgend im Hinblick auf den Umfang von Weisungsgebundenheit (III. 1. a)) und KI-bezogener Tätigkeit (III. 1. b)) konkretisiert.

a) Weisungsgebundenheit und Auffangtatbestand

Vor diesem Hintergrund stellt sich zunächst die Frage, welche Personen zum von Art. 4 KI-VO genannten “Personal” zählen. Da es sich um eine EU-Verordnung handelt, könnte der unionsrechtliche Arbeitnehmerbegriff nach Art. 45 AEUV maßgeblich sein.26 Entscheidendes Kriterium wäre danach die Weisungsgebundenheit.27

Setzt man für das Personal eine Weisungsgebundenheit voraus, könnte derjenige, der deswegen nicht unter den Personalbegriff fällt, jedenfalls als “andere Person” i. S. v. Art. 4 KI-VO gelten. Bei der Formulierung handelt es sich um einen Auffangtatbestand28 für solche Personen, die zwar nicht (eindeutig) zum Personal gehören, aber dennoch im Auftrag des Anbieters bzw. Betreibers mit KI-Systemen arbeiten (“befasst sind”).29 Dazu zählen zivilrechtlich gesprochen Erfüllungsgehilfen30 u. a. Leih- und Auftragsarbeiter,31 aber auch (externe) Dienstleister und Auftragnehmer.32 Trotz des Auffangcharakters ist angesichts des Wortlauts (“im Auftrag”) und zur Vermeidung einer übermäßigen Verantwortungsausweitung aber nicht anzunehmen, dass die Pflicht gegenüber jeder Person gelten soll, die in irgendeiner Art und Weise mit dem Anbieter bzw. Betreiber in Kontakt gekommen ist.33 Insofern kategorisiert Schippel folgende Gruppen als “Personal” bzw. “andere Personen”: Betriebsmitarbeiter, Datenanalysten, Entscheidungsträger (Führungskräfte und Manager), Entwickler von KI-Systemen, IT-Sicherheitsexperten, Mitarbeiter mit Kundenbezug, Produktmanager und Softwareentwickler.34

b) Personal ohne KI-bezogene Tätigkeit

Offen ist außerdem, ob eine KI-spezifische Tätigkeit nur für “andere Personen” oder auch für das “Personal” erforderlich ist.35 Unter Verweis auf den Wortlaut von Art. 4 KI-VO wird vertreten, dass Anbieter und Betreiber von KI-Systemen nur “Personal” schulen müssen, das auch KI-bezogene Tätigkeiten ausübt.36 Eine andere Lesart hätte die Konsequenz, dass über sämtliche Sparten eines Unternehmens hinweg alle Mitarbeiter geschult werden müssten – selbst wenn sie in ihrer Tätigkeit keinerlei KI-fähige IT-Anwendungen nutzen, wie z. B. in bestimmten handwerklichen bzw. dienstleistungsbezogenen Bereichen. Ein solches Ergebnis konfligiert mit dem Sinn und Zweck von Art. 4 KI-VO. Daher sprechen gute Gründe dafür, dass nur Personal, das im Rahmen seiner Tätigkeiten KI-Systeme tatsächlich oder zumindest potentiell einsetzt, der Schulungspflicht nach Art. 4 KI-VO unterfällt.

Es empfiehlt sich daher, die Verwendung eines KI-Tools von einer vorherigen Schulung abhängig zu machen. Lässt sich gleichwohl nicht ausschließen, dass ein allgemein zugängliches KI-Tool wie Chat-GPT genutzt wird, sollte vorsorglich eine umfassende KI-Schulung im Unternehmen stattfinden (und z. B. bei Onboarding-Veranstaltungen in das allgemeine Schulungsprogramm aufgenommen werden).

2. KI-Kompetenz-Maßnahmen: Doppelt flexibler Maßstab

KI-Kompetenz-Maßnahmen zielen darauf ab, bei den Adressaten ein Bewusstsein dafür zu schaffen, wie sie KI-Systeme sachkundig einsetzen und welche Chancen und Risiken deren Nutzung mit sich bringt, vgl. Art. 3 Nr. 56 KI-VO. Die für die Praxis bedeutsame Frage ist dabei, wie Maßnahmen zur Schaffung von KI-Kompetenz konkret auszugestalten sind. Hierauf gibt die KI-VO keine allgemeingültige präzise Antwort.37 Vielmehr sollen Anbieter und Betreiber von KI-Systemen “nach besten Kräften” sicherstellen, dass ihr Personal und die anderen Personen über ein “ausreichendes Maß” an KI-Kompetenz verfügen, Art. 4 KI-VO. Insofern statuiert Art. 4 KI-VO keine abstrakte KI-Kompetenz, sondern eine spezifisch auf das jeweilige KI-System bezogene Kompetenz. Ausgangspunkt ist demnach die Frage, wer welches KI-System nutzt und wie hierfür geschult werden muss. Der doppelt flexible Maßstab in Art. 4 KI-VO soll nachfolgend im Hinblick auf die Verpflichteten (“nach besten Kräften”) (III. 2. a)) sowie im Hinblick auf das Maßnahmenziel (“ausreichendes Maß”) (III. 2. b)) umrissen werden.

a) Verpflichtete: Schaffung von KI-Kompetenz “nach besten Kräften”

Zur Schaffung von KI-Kompetenz kommen Schulungen,38 Fortbildungen oder Workshops39 in Betracht, nach deren Durchführung Handouts mit den wesentlichen Informationen verteilt werden können.40 Eine Kompetenzvermittlung ist auch in Form von Videos, Podcasts oder e-Learning-Plattformen möglich.41 Denkbar sind zudem übergreifende Trainingsprogramme, die neben der Vermittlung (informations-)technischer Kenntnisse z. B. auch Themen wie Ethik aufgreifen.42 Ebenfalls möglich ist die Inanspruchnahme von Trainings-Diensten Dritter.43 Eine Zertifizierungspflicht sieht die KI-VO hingegen nicht vor.44

Vor dem Hintergrund dieser vielfältigen Maßnahmen ist zu klären, was “nach besten Kräften” gemäß Art. 4 KI-VO bedeutet. Diese Pflichtenrelativierung für Hersteller und Betreiber wurde erst im späteren Verlauf des Gesetzgebungsverfahrens eingefügt.45 Die KI-VO selbst sieht jedoch keine Spezifizierung vor. Dem Wortlaut zufolge ist für die Frage der konkret zu treffenden Maßnahmen der Blick (auch) auf den Verpflichteten selbst zu richten.46 So müssen anbieter- bzw. betreiberspezifische Umstände berücksichtigt werden. Der angemessene Umfang des Maßnahmenkonzepts kann sich zum einen an der Unternehmensgröße und den verfügbaren Ressourcen orientieren: Je größer bzw. wirtschaftlich stärker ein Unternehmen ist, desto umfangreichere Maßnahmen können von diesem erwartet werden. Zum anderen darf dabei das Risiko des KI-Systems, insbesondere hinsichtlich der Rechte der Betroffenen, nicht außer Acht gelassen werden.47 Der Terminus “nach besten Kräften” setzt einen objektiv nachprüfbaren Einsatz zum Nachweis der hinreichenden Kompetenzgewährleistung voraus, bloße symbolische Handlungen oder allgemeine Handreichungen ohne Bezug zu den konkreten Einsatzfeldern und spezifischen Risikopotentialen reichen hierfür nicht aus.48

Zur Unterstützung bei der Umsetzung der KI-Kompetenz-Pflicht stellt das Büro für Künstliche Intelligenz ein unverbindliches Guidance-Dokument zur Verfügung (“Living Repository to foster learning and exchange on AI literacy”), in dem Unternehmen ihre Maßnahmenkonzepte und Erfahrungen mit anderen Unternehmen teilen können.49

b) Maßnahmenziel: “Ausreichendes Maß an KI-Kompetenz”

Ein flexibler Maßstab findet sich nicht nur im Hinblick auf die Verpflichteten, sondern auch in Bezug auf das zu erreichende Maßnahmenziel. Insofern müssen Unternehmen gemäß Art. 4 KI-VO dafür sorgen, dass die “Schulungs-Adressaten” über ein “ausreichendes Maß an KI-Kompetenz” verfügen. Für die Auslegung dieses vagen50 Begriffs sind nach Art. 4 KI-VO die technischen Kenntnisse, Erfahrungen, Ausbildungen und Schulungen der Adressaten zu berücksichtigen. Hierbei sind die technische Komplexität und die spezifischen Risiken des KI-Systems zu beachten. Insofern gilt, dass die Schulungsanforderungen mit der Komplexität und dem Risiko des KI-Systems steigen. Darüber hinaus sind die Personen oder Personengruppen zu bedenken, bei denen die KI-Systeme eingesetzt werden sollen, Art. 4 KI-VO. Entscheidend sind daher der jeweilige Sektor sowie die Anzahl und die Art der eingesetzten KI-Systeme sowie die Fachabteilungen, die die KI-Systeme nutzen.51

Eine normative Konkretisierung findet sich in Erwägungsgrund 20 der KI-VO: Alle einschlägigen Akteure in der Wertschöpfungskette müssen über eine entsprechende KI-Kompetenz verfügen. Insbesondere für betroffene Personen muss deutlich werden, welche Auswirkungen eine durch KI getroffene Entscheidung auf sie hat. Die EU-Kommission weist in ihren Q&A ferner darauf hin, dass an das Merkmal “ausreichendes Maß” keine strengen Anforderungen zu stellen sind, sondern durch Berücksichtigung der technologischen Entwicklung von KI-Systemen eine gewisse Flexibilität hinsichtlich der jeweiligen Anforderungen ermöglicht werden soll.52 Insofern gibt es keine abschließende Definition. Festzuhalten ist jedoch, dass ein “Mindeststandard nach unten hin abzusichern”53 ist.

3. Umsetzung im Unternehmen: Inkorporation in bestehende Compliance-Strukturen

Die Umsetzung von KI-Kompetenz im Unternehmen bedarf nicht zwingend eines eigenständigen Prozesses. Vielmehr können Maßnahmen zur Schaffung von KI-Kompetenz flexibel in bereits bestehende Compliance-Strukturen integriert werden. Die Umsetzung wird nachfolgend anhand eines Compliance-“Health-Check” (III. 3. a)) skizziert. Dabei wird auch der Frage nachgegangen, ob es eines KI-Beauftragten bedarf (III. 3. b)).

a) Compliance-“Health-Check” und KI-Kompetenz

In einem ersten Schritt erfolgt eine sach- und personenbezogene Bestandsaufnahme. Hierfür sind zunächst alle KI-Systeme zu erfassen, die aktuell innerhalb eines Unternehmens genutzt werden.54 Sodann werden Mitarbeiter und Dritte, einschließlich Bedienern, Entscheidungsträgern und Endbenutzern, ermittelt, die mit diesen KI-Systemen arbeiten.55 Dabei ist zu analysieren, zu welchem Zweck die Personen mit dem KI-System zusammenarbeiten und welche Risiken damit einhergehen können.56 Nach der Identifikation dieser Nutzergruppen erfolgt die Bewertung ihrer KI-bezogenen Kenntnisse und Fähigkeiten, um den aktuellen Kenntnisstand zu ermitteln. Hierzu sind individuelle Faktoren wie die Ausbildung und Berufserfahrung der Mitarbeiter sowie der Nutzungskontext und Zweck des KI-Systems zu berücksichtigen.57

Basierend auf dem so ermittelten Status quo führen Unternehmen dann eine Gap-Analyse durch. Das heißt, sie ermitteln, in welchen Bereichen die KI-bezogenen Kenntnisse und Fähigkeiten ihrer Mitarbeiter hinter dem vorgegebenen Mindestmaß zurückbleiben, und legen damit den Schulungsbedarf fest.58 Darauf aufbauend empfiehlt es sich, einen Schulungsplan zu entwickeln. Dieser sollte die Ziele, Inhalte, Methoden und Fristen für die Verbesserung der KI-Kompetenz im gesamten Unternehmen festlegen und dann in einem Schulungsprogramm umgesetzt werden.

Die Schulungsmaßnahmen sollten – einschließlich verwendeter Methoden und anwesender Mitarbeiter – dokumentiert werden, um die Einhaltung regulatorischer Vorgaben nachzuweisen.59 Die Dokumentation sollte auf dem neusten Stand gehalten werden und außerdem auch Änderungen bei der Nutzung des KI-Systems oder der Stellung der Mitarbeiter beinhalten.

Ein fortwährendes Monitoring der Nutzungskontexte von KI im Unternehmen sowie von technologischen und regulatorischen Entwicklungen gewährleistet einen langfristige Compliance.60 Ergänzend tragen regelmäßige Aktualisierungen und Auffrischungskurse dazu bei, die KI-Kompetenz im Unternehmen aufrechtzuerhalten und zu verbessern.61

b) Erforderlichkeit eines KI-Beauftragten?

Die KI-VO enthält keine verpflichtende Regelung für die Benennung eines KI-Beauftragten, der die Einhaltung der Vorgaben – vergleichbar einem Datenschutzbeauftragten nach Art. 37 DS-GVO62 – überwacht.63 Die (freiwillige) Benennung eines KI-Beauftragten kann allerdings für die zentrale Steuerung und die Förderung der KI-Kompetenz von Vorteil sein.64

Es wird mitunter auch vorgeschlagen, der Datenschutzbeauftragte eines Unternehmens könne die Aufgaben eines KI-Beauftragten übernehmen.65 Dies birgt jedoch das Risiko eines Interessenskonflikts, Art. 38 Abs. 6 S. 2 DSGVO, sofern die KI auch personenbezogene Daten verarbeitet, und ist vor diesem Hintergrund daher kritisch zu betrachten.66

IV. Folgen bei Verstößen gegen Art. 4 KI-VO

Die KI-VO sanktioniert Verstöße gegen Art. 4 KI-VO nicht explizit, ebenso wenig der kürzlich veröffentlichte KI-VO-Regierungsentwurf.67 Gleichwohl können fehlende KI-Kompetenzen mittelbare Folgen nach sich ziehen – Art. 4 KI-VO kommt insofern “Appellcharakter”
68 zu.69 Mittelbare Konsequenzen sind denkbar im Hinblick auf das Sanktionsregime der KI-VO (IV. 1.), auf Beschwerden bei Marktüberwachungsbehörden (IV. 2.) sowie auf eine Haftung nach allgemeinen Vorschriften (IV. 3.).

1. Sanktionsregime der KI-VO

Eine mittelbare Sanktionierung von Verstößen gegen Art. 4 KI-VO ist denkbar bei Fehlern in der Risikoeinstufung und im Risikomanagementsystem (IV. 1. a)). Anschließend wird die Rolle des Umsetzungs- und Durchsetzungsgesetzes der KI-VO skizziert (IV. 1. b)).

a) Geldbuße bei Fehlern in der Risikoeinstufung und im Risikomanagementsystem

Fehlende KI-Kompetenz kann Ursache für eine unsachgemäße Abgrenzung zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen und Nicht-Hochrisiko-KI-Systemen sein. Die KI-VO bestimmt die Pflichten für Anbieter und Betreiber von KI-Systemen risikobezogen. Eine falsche Einstufung oder Handhabung von KI-Systemen kann zu Verstößen gegen spezifische Pflichten der KI-VO führen, die ihrerseits wiederum sanktioniert werden können. Damit handelt es sich bei Art. 4 KI-VO um eine Art “Querschnittspflicht”. Denn nur mit hinreichender KI-Kompetenz lassen sich KI-Systeme und KI-Modelle konform herstellen oder betreiben. Art. 99 KI-VO enthält insofern Mindestanforderungen für die Sanktionierung von Verstößen, die die Mitgliedstaaten bei ihrer Umsetzung wahren müssen.

Betreibt ein Unternehmen beispielsweise infolge fehlender KI-Kompetenzen verbotene KI-Praktiken nach Art. 5 KI-VO, kommen Geldbußen i. H. v. bis zu 35 Mio. Euro oder 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres in Betracht, je nachdem, welcher Betrag höher ist, Art. 99 Abs. 3 KI-VO. Überdies können speziell bei Anbietern von Hochrisiko-KI-Systemen Fehler im Risikomanagementsystem durch ungeschulte Mitarbeiter zu einer Geldbuße von bis zu 15 Mio. Euro oder 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres führen, je nachdem, welcher Betrag höher ist, Art. 99 Abs. 4 lit. a KI-VO i. V. m. Art. 16 KI-VO und Art. 9 KI-VO.70

Damit kann ein Verstoß gegen Art. 4 KI-VO mittelbar zu einer Haftung führen.71 Die KI-Kompetenz-Pflicht hat insofern eine weitreichende Ausstrahlungswirkung. Während ordnungsgemäße Schulungen auf die Einhaltung aller Pflichten, auch die der KI-VO, einzahlen, können unzureichende Schulungen mitursächlich für andere Pflichtverletzungen sein. Dabei dürfte es häufig kaum möglich sein, sich von einer Pflichtverletzung zu exkulpieren, wenn im Vorfeld keine ausreichenden KI-Schulungen durchgeführt wurden, da diese auch und gerade auf die Einhaltung aller Pflichten – auch der KI-VO – einzahlen sollen.

Der kürzlich veröffentlichte Digital-Omnibus der EU-Kommission schlägt vor, dass die EU-Kommission und die Mitgliedstaaten die Anbieter und Betreiber von KI-Systemen beim Ergreifen von Schulungsmaßnahmen fördern (“encourage”).72 Dieser Vorschlag ändert jedoch nichts daran, dass Anbieter und Betreiber von KI-Systemen nach der aktuell gültigen KI-VO verpflichtet sind, die KI-Kompetenz ihrer Mitarbeiter sicherzustellen. Auch im Falle einer Abschwächung dieser Pflicht in der KI-VO sollte die Schulung von Mitarbeitern zur allgemeinen Compliance-Struktur zählen. Unzureichende Schulungen können sich insofern haftungsrechtlich auswirken, weil fehlende oder unzureichende Schulungen gegebenenfalls andere Pflichtverstöße begünstigen und damit einen Sorgfaltsverstoß begründen können. Daher bleibt die Schulung von Mitarbeitern eine allgemeine Compliance-Anforderung, die im Rahmen der Vorsorge skizzierten Sanktionsrisiken zu berücksichtigen ist.

b) Umsetzungs- und Durchführungsgesetz der KI-VO

Ein deutsches Umsetzungsgesetz der KI-VO fehlt zwar derzeit noch. § 15 des aktuellen KI-VO-Regierungsentwurfs sieht jedoch vor, dass bei Verstößen gegen Art. 99 Abs. 3 bis 5 KI-VO das Ordnungswidrigkeitengesetz73 anwendbar ist. Gemäß § 15 Abs. 1 S. 2 KI-VO-Regierungsentwurf finden lediglich die Vorschriften des OWiG zur Höhe der Geldbuße keine Anwendung. Damit bleiben die Vorgaben des von § 15 KI-VO-Regierungsentwurf in Bezug genommenen Art. 99 Abs. 3 bis 5 KI-VO maßgeblich. Diese betreffen u. a. die Anwendung verbotener KI-Praktiken (Art. 99 Abs. 3 i. V. m. Art. 5 KI-VO), Verstöße gegen Pflichten bei Hochrisiko-KI-Systemen (Art. 99 Abs. 4 i. V. m. Art. 16, 22, 23, 24, 26 KI-VO) sowie Verstöße gegen Transparenzpflichten (Art. 99 Abs. 4 i. V. m. Art. 50 KI-VO). Der Regierungsentwurf verweist jedoch auf die Erforderlichkeit von Anpassungen im Zuge der Abstimmung eines einheitlichen Sanktionssystems auf europäischer Ebene. Die finale Ausgestaltung bleibt damit abzuwarten.

Soweit Pflichtverletzungen auf unzureichende oder fehlende KI-Kompetenz zurückzuführen sind, kann das in dieser Folge auch einen Verstoß gegen die Aufsichtspflicht von Leitungspersonen gemäß § 130 OWiG begründen, sofern dies als Organisations- oder Delegationsverschulden gewertet wird.74

2. Beschwerdemöglichkeit und erhöhte Kontrolldichte

Jede natürliche oder juristische Person, die Grund zur Annahme hat, dass Verpflichtete gegen die Bestimmungen der KI-VO verstoßen, kann bei der zuständigen Marktüberwachungsbehörde Beschwerde einreichen, Art. 85 UAbs. 1 KI-VO. Dieses Beschwerderecht setzt weder eine persönliche Betroffenheit noch das Vorliegen eines bestimmten KI-Systems voraus.75 Aufgrund des weit gefassten Wortlauts (“die Bestimmungen”) und mangels expliziter Ausklammerung ist eine Beschwerde auch möglich, wenn Grund zur Annahme besteht, dass ein Unternehmen gegen Art. 4 KI-VO verstößt.76

In erster Linie dient die Beschwerdemöglichkeit der objektiven Durchsetzung der Verordnung durch Informationsgewinnung der Marktüberwachungsbehörden und Unterstützung der behördlichen Überwachung.77 Die Beschwerde hat außerdem Einfluss auf das behördliche Entschließungs- und Auswahlermessen (vgl. “berücksichtigen” in Art. 85 UAbs. 2 KI-VO).78

Die Behandlung von Beschwerden erfolgt gemäß der Marktüberwachungs- und Produktkonformitätsverordnung (MÜVO),79 Art. 85 UAbs. 2 KI-VO. Nach Art. 11 Abs. 3 UAbs. 2 lit. e MÜVO sind die Beschwerden im Rahmen des risikobasierten Ansatzes der Kontrollen zu berücksichtigen. Für Unternehmen bedeutet das, dass sie durch eine Beschwerde in den Fokus der Marktüberwachungsbehörden rücken und mithin eher kontrolliert werden könnten.

3. Haftung nach allgemeinen Vorschriften

Eine Verletzung der von Art. 4 KI-VO statuierten Pflichten kann als Sorgfaltspflichtverletzung oder Verletzung eines Schutzgesetzes bedeutsam sein.80 Zu denken ist hier insbesondere an eine (deliktische) Verschuldenshaftung nach § 823 Abs. 1 BGB und § 823 Abs. 2 BGB i. V. m. Art. 4 KI-VO. Die Grundsätze über die Beweislastumkehr bei Fabrikations- und Konstruktionsfehlern81 sind prinzipiell auch bei KI-Systemen relevant,82 da anerkanntermaßen auch auf Software die Grundsätze der Produzentenhaftung anwendbar sind.83 Das bedeutet, dass ein Unternehmen als Hersteller den Entlastungsbeweis in Bezug auf sein Verschulden führen muss. Insofern sollten Unternehmen die getroffenen “Kompetenz-Schaffungsmaßnahmen” hinreichend dokumentieren. Eine Haftung nach § 823 Abs. 2 BGB i. V. m. Art. 4 KI-VO setzt jedoch voraus, dass der Geschädigte zumindest die Schutzgesetzverletzung beweisen muss.84 Dabei dürfte künftig aber noch ganz grundlegend zu klären sein, (i) ob Art. 4 KI-VO überhaupt ein Schutzgesetz darstellt85 und (ii) ob außenstehende Dritte in den persönlichen Schutzbereich fallen.

Daneben kommt die verschuldensunabhängige Haftung nach § 1 ProdHaftG in Betracht.86 Zudem ist bei fehlerhaften KI-basierten Produkten der Anwendungsbereich der (neuen) Produkthaftungsrichtlinie (ProdHaftRL) eröffnet.87 Die ProdHaftRL gilt nach Art. 2 Abs. 1 ProdHaftG für Produkte, die nach dem 9.12.2026 in Verkehr gebracht oder in Betrieb genommen werden. Nach der Legaldefinition des Art. 4 Nr. 1 ProdHaftG fällt auch “Software” ausdrücklich unter den Produktbegriff. Nach Art. 2 Abs. 2 ProdHaftG gilt die ProdHaftRL lediglich für solche Software nicht, die frei und quelloffen ist und außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird.88 Ein Produktfehler liegt gemäß Art. 7 Abs. 1 ProdHaftRL vor, wenn das Produkt nicht die Sicherheit bietet, die eine Person erwarten darf oder die gemäß Unionsrecht oder nationalem Recht vorgeschrieben ist. Die Nichteinhaltung von Pflichten aus der KI-VO kann dann zur Vermutung der Fehlerhaftigkeit des Produkts i. S. v. Art. 10 Abs. 2 lit. b ProdHaftRL führen.89

V. Fazit und Ausblick

Anbieter und Betreiber von KI-Systemen müssen sicherstellen, dass Personal und andere Dritte, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Unternehmen sollten außerdem die KI-Kompetenz ihrer Mitarbeiter sicherstellen, wenn diese allgemein zugängliche KI-Systeme wie Chat-GTP nutzen.

Die Schulungspflicht bezieht sich auf weisungsgebundene Mitarbeiter sowie auf selbständige Leistungserbringer. Voraussetzung ist jedoch, dass diese Personen KI-bezogene Tätigkeiten im Unternehmen ausführen bzw. der Einsatz von KI über öffentlich zugängliche KI-Tools nicht ausgeschlossen werden kann. Bei der Bestimmung der KI-Kompetenz-Maßnahmen gilt ein doppelt flexibler Maßstab. Er betrifft sowohl die Verpflichteten als auch das Maßnahmenziel. Zur Umsetzung der KI-Kompetenz-Pflicht können Unternehmen verschiedene Maßnahmen wie Schulungen, Workshops, E-Learning oder externe Trainingsdienste nutzen.

KI-Kompetenz-Maßnahmen können im Unternehmen in bestehende Compliance-Prozesse integriert werden. Dabei ist auf eine sorgfältige Dokumentation der Maßnahmen sowie auf ein fortwährendes Monitoring von Nutzungskontexten, technologischen und regulatorischen Entwicklungen zu achten.

Wie bereits thematisiert, ändert der aktuelle Vorschlag der EU-Kommission, die KI-Kompetenz-Pflicht im Rahmen des Digital-Omnibus abzuschwächen, nichts daran, dass Anbieter und Betreiber nach aktueller Rechtslage (noch) unmittelbar verpflichtet sind, KI-Kompetenz zu schaffen.

Verstöße gegen diese KI-Kompetenz-Pflicht werden nicht direkt sanktioniert, können aber mittelbar zu Geldbußen und anderen Folgen führen. Geldbußen sind beispielsweise denkbar bei Fehlern in der Risikoeinstufung und im Risikomanagementsystem. Sollten die Vorschläge im Digital-Omnibus umgesetzt und die KI-Kompetenz-Pflicht abgeschwächt werden, bleibt die Schulung von Mitarbeitern eine Compliance-Anforderung, die im Rahmen der Vorsorge gegen die skizzierten Sanktionsrisiken zu berücksichtigen ist. Es besteht außerdem die Möglichkeit, dass Dritte bei Verdacht auf Verstöße Beschwerde bei den zuständigen Behörden einreichen, was zu einer erhöhten Kontrolldichte führen kann. Fehlende KI-Kompetenz kann zudem haftungsrechtliche Konsequenzen nach sich ziehen, etwa im Rahmen der deliktischen Haftung oder Produkthaftung.

---