Prof. Dr. Martin R. Schulz, LL. M. (Yale), und Dr. Maximilian Vonthien, LL. M. (Columbia)

KI-Kompetenzentwicklung als Basis von KI-Compliance – Grundlagen

Mit der „Digital Omnibus“- Regulierung vom 29. 11. 2025 will die EU-Kommission auch Art. 4 der KI-VO ändern und die dort geregelte Pflicht von Anbietern und Betreibern von KI-Systemen zur Sicherstellung eines ausreichenden Maßes an KI-Kompetenz modifizieren. Nach einer Vorstellung der geplanten Änderung in der Einführung (I.) erläutern die Autoren in diesem Beitrag die Bedeutung der KI-Kompetenz für eine effektive KI-Compliance-Organisation (II.). Anschließend werden die Verantwortung der Geschäftsleitung für die Organisation von KI-Kompetenz im Unternehmen und Haftungsrisiken bei deren unzureichender Sicherstellung aufgezeigt (III.). In einem Folgebeitrag (erscheint in CB 8/2026) werden Empfehlungen zur Entwicklung von KI-Kompetenz im Rahmen eines KI-Compliance-Systems gegeben.

I. Einführung

Die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung)1 hat seit ihrem Geltungsbeginn am 2. 2. 2025 eine neue Ära der KI-Regulierung eingeläutet. Mit Art. 4 KI-VO wurde erstmals eine unionsrechtliche Pflicht zur Sicherstellung von KI-Kompetenz etabliert, die Anbieter und Betreiber von KI-Systemen verpflichtet, Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz (AI Literacy) verfügen. Diese Vorschrift markiert einen Paradigmenwechsel, indem sie die Qualifikation im Umgang mit KI zu einem verbindlichen Bestandteil regulatorischer Compliance erhebt.2 Die Pflicht zur Sicherstellung ausreichender KI-Kompetenz erstreckt sich dabei nicht nur auf den unmittelbaren Einsatz von KI-Systemen durch das eigene Personal, sondern umfasst auch Personen, die im Auftrag des Unternehmens mit der Entwicklung, dem Vertrieb oder der Wartung von KI-Systemen befasst sind.3 Damit adressiert Art. 4 KI-VO die gesamte Wertschöpfungskette im Umgang mit künstlicher Intelligenz und stellt sicher, dass alle an der KI-Nutzung beteiligten Akteure über ein grundlegendes Verständnis der damit verbundenen Herausforderungen verfügen. Zugleich gilt die Pflicht zur Sicherstellung ausreichender KI-Kompetenz bei allen KI-Systemen und unabhängig vom jeweiligen Risikoprofil und der Unternehmensgröße.4 Die Vermittlung von KI-Kompetenz stellt eine wesentliche Bestimmung der KI-Verordnung dar5, die angesichts der dynamischen Entwicklung von KI-Systemen relevant bleibt und weiter an Bedeutung gewinnen wird.

Zurzeit unterliegt die KI-VO jedoch einem umfangreichen Reformprozess: Am 19. 11. 2025 hat die EU-Kommission den Vorschlag für eine „Digital Omnibus“-Verordnung (COM(2025) 836 final) vorgelegt, der unter anderem Änderungen an Art. 4 KI-VO vorsieht.6 Die derzeitige KI-Kompetenzentwicklungspflicht für Anbieter und Betreiber von KI-Systemen soll durch eine Verschiebung der Verantwortung auf die EU-Kommission und die Mitgliedstaaten ersetzt werden: Diese sollen Anbieter und Betreiber durch Schulungen dazu anregen, dass ihr Personal (und sonstige mit Betrieb und Nutzung von KI-Systemen befasste Personen) über ein ausreichendes Maß an KI-Kompetenz verfügen.7 Lediglich für Betreiber von Hochrisiko-KI-Systemen bleibt die Verpflichtung bestehen, ausschließlich Personal mit der erforderlichen Kompetenz mit der menschlichen Aufsicht über KI-Systeme zu betrauen (Art. 26 Abs. 2 KI-VO). Damit fiele die Verantwortung für die KI-Kompetenzentwicklung primär und überwiegend in den hoheitlichen anstatt in den unternehmerischen Verantwortungsbereich.8 Der Regulierungsvorschlag für den „Digital Omnibus“ befindet sich derzeit noch im legislativen Verfahren, dessen Abschluss erst im zweiten Halbjahr 2026 erwartet wird.9 

II. Bedeutung der KI-Kompetenz für eine effektive KI-Compliance-Organisation

Die geplante Modifikation von Art. 4 KI-VO wirft die Frage auf, ob Unternehmen und ihre Leitungsorgane dadurch von ihrer Pflicht zur KI-Kompetenzsicherung entbunden werden. Zur Beantwortung ist zunächst der Begriff der KI-Kompetenz und die Bedeutung der KI-Kompetenz für Schulungen im Rahmen der Compliance-Organisation der Unternehmen zu klären.

1. KI-Kompetenz – Definition, Anwendungsbereich, Dimensionen und Kontextbezug

Art. 3 Nr. 56 KI-VO definiert KI-Kompetenz als „die Fähigkeiten, die Kenntnisse und das Verständnis“, die es ermöglichen, KI sachkundig einzusetzen und sich der damit verbundenen Risiken, Chancen und möglicher Schäden bewusst zu sein. Diese Legaldefinition verdeutlicht, dass KI-Kompetenz nicht den Aufbau von Expertenwissen verlangt, sondern ein grundlegendes Verständnis der Funktionsweise von KI-Systemen sowie ein Bewusstsein für die damit verbundenen Chancen und Risiken.10 Die Definition ist bewusst weit gefasst und erfasst sowohl kognitive Fähigkeiten als auch ein praktisches Verständnis, das es ermöglicht, KI-Systeme in der Praxis sicher, verantwortungsvoll und rechtskonform einzusetzen.11 Zudem gilt Art. 4 KI-VO für alle KI-Systeme (unabhängig von ihrer Risikoklasse) und hat dadurch einen weitreichenden Anwendungsbereich für alle Anbieter und Betreiber.12

a) Dimensionen der KI-Kompetenz

Der Inhalt der KI-Kompetenz umfasst verschiedene Dimensionen, die eng miteinander verknüpft sind:13 Dazu gehört ein technisches Grundverständnis der Funktionsweise von KI-Systemen, insbesondere im Hinblick auf die Wirkungsweise algorithmischer Entscheidungsmodelle sowie die zugrundeliegenden Optimierungs- und Gewichtungsmechanismen. Wichtig ist hierbei auch das Bewusstsein für die Grenzen der Vorhersagegenauigkeit und die Möglichkeit von Fehlern bei der Ergebnisausgabe wie systemimmanente Verzerrungen („Bias“) durch nicht-repräsentative oder fehlerhafte Trainingsdaten, Halluzinationen, Überanpassung („Overfitting“) oder fehlerhafte Generalisierungen.14 Das Verständnis für das Risiko dieser Fehlermöglichkeiten ist essenziell, um die jeweiligen KI-Systeme und ihre Ergebnisse kritisch bewerten und reflektiert einsetzen zu können. Die KI-Kompetenz erfordert sodann bestimmte rechtliche Kenntnisse, etwa zu verbotenen KI-Praktiken und Hochrisiko-KI-Systemen, zu grundlegenden Pflichten und Haftungsrisiken bei Einsatz von KI-Systemen sowie zu grundlegenden datenschutzrechtlichen und urheberrechtlichen Anforderungen.15 Zur KI-Kompetenz gehört auch ein ethisches Grundverständnis, das sich insbesondere auf die Vermeidung diskriminierender Effekte des KI-Einsatzes oder die Erkennbarkeit manipulativer KI-generierter Inhalte bezieht.16 Die KI-Kompetenz erfasst zudem die Fähigkeit, KI-Ergebnissen nicht blind zu vertrauen, sondern sie im jeweiligen Kontext kritisch zu prüfen und bei Bedarf menschliche Expertise hinzuzuziehen.17

Der erforderliche Umfang an KI-Kompetenz ist kontextabhängig18 und hängt unter anderem von Einsatzzwecken, Entwicklungstiefe und Nutzungsumfang des KI-Systems ab:19 In einem Unternehmen, das KI-Systeme selbst entwickelt und vertreibt, ist ein deutlich höheres Maß an technischer KI-Kompetenz der Mitarbeitenden erforderlich als in einem Unternehmen, in dem KI-Systeme lediglich als digitales Werkzeug bei der täglichen Arbeit genutzt werden. Als KI-kompetent gilt, wer KI-Systeme kontextbezogen rechtskonform und verantwortungsvoll handhaben und ihre Auswirkungen – insbesondere in sensiblen Anwendungsbereichen – sachgerecht erfassen kann.20

b) Pflicht zur aktiven Gestaltung von Kompetenzentwicklungsmaßnahmen

Die EU-Kommission hat den Begriff der KI-Kompetenz in ihren „Questions & Answers on AI Literacy“21 als eine „konkrete Handlungspflicht“ („obligation to take measures“) konkretisiert, wonach die Unternehmen verpflichtet sind, sämtliche zumutbaren und erforderlichen Schritte zur Herstellung von KI-Kompetenz zu ergreifen. Diese Konkretisierung belegt, dass Art. 4 KI-VO keine bloße Absichtserklärung, sondern eine echte Verpflichtung zur aktiven Gestaltung von Kompetenzentwicklungsmaßnahmen darstellt.22 Art. 4 enthält zwar nicht explizit eine Schulungspflicht, die erforderliche KI-Kompetenz wird allerdings maßgeblich durch Schulungen vermittelt.23 

2. Kompetenzentwicklung durch Schulungen als Bestandteil von Compliance-Management

Da – wie ausgeführt – die erforderliche KI-Kompetenz maßgeblich durch Schulungen vermittelt wird24, bietet sich insofern die Nutzung vorhandener Compliance-Management-Systeme (CMS) an, denn generell spielt die Förderung der Regelbefolgung durch Schulungen für den Aufbau und die Weiterentwicklung wirksamer CMS eine entscheidende Rolle.25 Regelverletzungen basieren nicht allein auf vorsätzlichem Fehlverhalten, in vielen Fällen ist „Non Compliance“ vielmehr auf fahrlässiges Verhalten zurückzuführen26: Sorgfaltspflichten werden hierbei aus Unkenntnis oder aufgrund unzureichender Kenntnis der relevanten Gebote und ihres jeweiligen Anwendungsbezugs verletzt, weil die rechtlichen Anforderungen und ihre Auswirkungen im Unternehmensalltag von den Betroffenen nicht bzw. nicht richtig eingeschätzt oder beachtet werden.27 Zudem ergeben sich im Unternehmensalltag häufig Zweifelsfragen in Bezug auf bestimmte Anwendungsfälle oder auch sogenannte „Graubereiche“, da viele Normen diverse Lücken und Unklarheiten aufweisen und es an einer verbindlichen Klärung durch die Rechtspraxis fehlt.28 Die daraus folgende Rechtsunsicherheit mit dem Risiko fahrlässiger Normverletzung gilt insbesondere bei neuen Regelungen wie der KI-Verordnung. Adressatengerechte und praxisbezogene Schulungen bieten bei Unklarheiten und Zweifelsfragen eine große Chance, den Teilnehmenden sowohl den Inhalt und Anwendungsbezug der relevanten Regelungen zu vermitteln als auch ein Verständnis für Sinn und Zweck von Compliance im Unternehmen zu fördern.29

3. Besondere Bedeutung der KI-Kompetenzentwicklung für KI-Compliance

Die KI-VO generiert eine Vielzahl neuer Pflichten, deren Erfüllung die Geschäftsleitung im Rahmen ihrer Compliance-Pflicht organisieren und kontrollieren muss.30 Dabei stellt sich die umfangreiche Aufgabe, Anforderungen der KI-Compliance in bestehende CMS zu integrieren.31 Wie das Beispiel des Art. 4 KI-VO zeigt, folgt daraus ein spezifischer Informations- und Kompetenzentwicklungsbedarf für alle mit dem Einsatz von KI-Systemen betrauten Personen. Von generativen KI-Modellen über prädiktive Analysen bis hin zu automatisierten Entscheidungssystemen – die Einsatzmöglichkeiten von KI sind ebenso vielfältig wie die damit verbundenen Risiken (wie Diskriminierung, Urheberrechts- und Datenschutzverletzungen und Reputationsschäden).32 Durch die rasante technologische Entwicklung und die zunehmende Durchdringung aller Wirtschaftsbereiche mit KI-Systemen ist die Sicherstellung von KI-Kompetenz nicht nur eine regulatorische Anforderung, sondern eine wesentliche Voraussetzung für einen verantwortungsvollen und nachhaltigen KI-Einsatz.33

III. Verantwortung der Geschäftsleitung zur Sicherstellung adäquater KI-Kompetenz

Die Compliance-Pflicht als Pflicht zur Organisation, Kontrolle und Durchsetzung der Einhaltung rechtlicher Vorgaben und der Verhinderung regelwidrigen Verhaltens im Unternehmen folgt aus der organschaftlichen Leitungsverantwortung und ist eine rechtsformunabhängige Pflichtaufgabe eines jeden Geschäftsleiters.34 Die Erfüllung dieser Pflicht durch erforderliche und zumutbare Maßnahmen umfasst auch die Organisation und Kontrolle adressatengerechter Compliance-Schulungen.35

1. KI-Kompetenzentwicklung als Ausprägung der Compliance-Pflicht der Geschäftsleitung

Von Ausnahmen abgesehen, enthält das deutsche Recht bis dato kaum besondere Vorgaben für die Erfüllung der Compliance-Pflicht; die Ausgestaltung der erforderlichen Strukturen und Maßnahmen liegt grundsätzlich im Gestaltungsermessen der Geschäftsleitung.36 Dies gilt auch für Compliance-Schulungen, soweit diese nicht durch besondere Anforderungen geregelt sind.37 Wie ausgeführt, folgt aus der derzeitigen Fassung von Art. 4 der KI-VO zumindest mittelbar eine Schulungspflicht, da die Herstellung der erforderlichen KI-Kompetenz ohne ein darauf ausgerichtetes Schulungsprogramm kaum vorstellbar ist. Die Geschäftsleitung muss die Herstellung der erforderlichen KI-Kompetenz im Rahmen ihrer Compliance-Pflicht sicherstellen.

Unternehmen sollten zudem beachten, dass eine Pflicht der Geschäftsleitung zur Sicherstellung ausreichender KI-Kompetenz auch unabhängig von Art. 4 KI-Verordnung besteht. Eine entsprechende Vorgabe ist einerseits Ausprägung der allgemeinen Compliance-Pflicht dahingehend, die Erfüllung der KI-Verordnung sowie weiterer KI-relevanter Rechtspflichten (ebenso wie für andere Normen) im Unternehmen zu organisieren.38 Die Fortbildung der Mitarbeitenden in Compliance-Angelegenheiten zählt zu den Essentialia eines wirksamen Compliance-Systems.39 Die Geschäftsleiter müssen in Erfüllung der verbandsübergreifenden Compliance-Pflicht sicherstellen, dass die Unternehmensangehörigen regelmäßig über die einschlägigen Regelungen informiert werden.40 So hat das OLG Nürnberg hinsichtlich der Haftung eines Geschäftsführers wegen unzureichenden Compliance-Managements entschieden, dass eine Pflichtverletzung schon dann vorliegt, wenn durch unzureichende Organisation, Anleitung (Hervorhebung durch Verf.) bzw. Kontrolle von Mitarbeitern der Gesellschaft Straftaten oder sonstige Fehlhandlungen ermöglicht oder auch nur erleichtert würden.41 Damit sieht das Gericht die Organisation von Compliance-Schulungen als (Unter-)Fall der Compliance-Pflicht der Geschäftsführung an.42

Die Pflicht zur Herstellung von KI-Kompetenz folgt andererseits mittelbar auch aus den Anforderungen zu den sogenannten Instruktionspflichten, welche die Rechtsprechung bei der Auslegung von § 130 OWiG entwickelt hat: Um diesen Anforderungen zu genügen und eine persönliche Haftung wegen Aufsichtspflichtverletzung nach §§ 130, 9 OWiG zu vermeiden, müssen die Leitungsorganmitglieder die Mitarbeitenden über einschlägige gesetzliche Vorschriften fortlaufend unterrichten.43 Die Anforderungen an die erforderlichen Instruktionen und Schulungen hat die Rechtsprechung in zahlreichen Einzelfällen konkretisiert und mehrfach betont, dass die Mitarbeitenden den Inhalt der Schulungen verstehen und in ihrer täglichen Arbeit anwenden können.44 In dieser Linie hat der Bundesgerichtshof in einer jüngeren Entscheidung zu der Frage einer Verletzung der Aufsichtspflicht nach § 130 OWiG im Zusammenhang mit dem Export eines Medizinproduktes ausgeführt, dass geeignete organisatorische Vorkehrungen zur Haftungsvermeidung unter anderem in Schulungen der mit der Exportabwicklung befassten Mitarbeitenden liegen können.45

2. Haftungsrisiken bei unzureichender Sicherstellung von KI-Kompetenz

Bei unzureichender Sicherstellung der erforderlichen KI-Kompetenz drohen Haftungsrisiken für das Unternehmen und seine Leitungsorgane.46 Auch wenn Art. 4 KI-VO in der derzeitigen Fassung von der Sanktionsnorm des Art. 99 Abs. III-V KI-VO nicht erfasst ist, kann ein Verstoß gegen die Pflicht zur Kompetenzsicherung mittelbar sanktionsrelevant werden.47 Dies gilt etwa dann, wenn ein Unternehmen mangels ausreichender KI-Kompetenz verbotene Praktiken im KI-Bereich im Sinne des Art. 5 KI-VO betreibt48 oder wenn wegen fehlender Kompetenz die Wirksamkeit der menschlichen Aufsicht über Hochrisiko-KI-Systeme beeinträchtigt ist und dadurch eine Verletzung von Art. 26 Abs. 2 KI-VO eintritt. Dasselbe gilt für den Fall, dass mangels ausreichender KI-Kompetenz ein Schaden durch fehlerhafte Bedienung eines KI-Systems verursacht wird.49 Die Sanktionsnorm des Art. 99 KI-VO sieht für Verstöße gegen die KI-VO empfindliche Geldbußen vor. So können bei Verstößen gegen die Vorschriften für Hochrisiko-KI-Systeme Geldbußen bis zu 15.000.000 EUR oder 3 % des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Bei Verstößen gegen andere Vorschriften der KI-VO können Geldbußen bis zu 7.500.000 EUR oder 1 % des weltweiten Jahresumsatzes verhängt werden. Diese Bußgelder können sowohl gegen Unternehmen als auch gegen natürliche Personen verhängt werden. Ein Verstoß gegen Art. 4 KI-VO kann zudem deliktsrechtliche Schadensersatzansprüche nach § 823 Abs. 1 BGB wegen eines Organisationsverschuldens auslösen.50 Wenn infolge fehlender KI-Kompetenz gegen Diskriminierungsverbote, datenschutzrechtliche Vorgaben oder behördliche Zulassungsanforderungen verstoßen wird, kommen auch Schadensersatzansprüche nach § 823 Abs. 2 BGB i. V. m. mit den relevanten Schutzgesetzen in Betracht.51 Zu denken ist auch eine Haftung nach dem ProdHaftG.52

Auch im Falle der geplanten Modifikation von Art. 4 KI-VO durch die „Digital Omnibus“-Regulierung bestehen die Haftungsrisiken fort. So kann der schadensauslösende Einsatz von KI-Systemen bei Fehlen hinreichender Schulungsmaßnahmen weiterhin als Organisationsverschulden zu bewerten sein.53 Entsprechend den Erläuterungen zur KI-Kompetenzentwicklung als Ausprägung der allgemeinen Compliance-Pflicht besteht die Möglichkeit von Regressansprüchen (gemäß §§ 93 Abs. 2 AktG, 43 Abs. 2 GmbHG), sofern der Gesellschaft aufgrund unzureichender Organisation und Kontrolle ausreichender KI-Kompetenz durch Leitungsorganmitglieder ein Schaden entsteht.54 Verletzen die Leitungsorganmitglieder durch unzureichende KI-Kompetenzschulungen ihre Instruktionspflicht, durch geeignete Maßnahmen die Einhaltung relevanter Vorschriften durchzusetzen55, haften sie persönlich nach §§ 130, 9 OWiG. Diese (Außen-) Haftung nach dem Ordnungswidrigkeitenrecht tritt neben die (Innen-)Haftung der Leitungsorgane wegen einer Verletzung ihrer verbandsrechtlichen Leitungssorgfaltspflicht.56

IV. Fazit – Pflicht zur KI-Kompetenzentwicklung auch bei Neuregulierung durch den „Digital Omnibus“

Die Vermittlung von KI-Kompetenz ist das Fundament eines wirksamen KI-Compliance-Management-Systems.57 Sie dient nicht nur der Erfüllung der Vorgaben von Art. 4 KI-VO, sondern schafft die Basis dafür, dass Unternehmen und ihre Leitungsorgane die umfangreichen Anforderungen beim Einsatz von KI-Systemen bewältigen und nachhaltig sicherstellen können.58

Die geplante Änderung von Art. 4 KI-VO durch den „Digital Omnibus“ entbindet Unternehmen und ihre Leitungsorgane nicht von der Pflicht zur Entwicklung und Sicherstellung ausreichender KI-Kompetenz (insbesondere durch adäquate Schulungen). Vielmehr folgen entsprechende Schulungspflichten aus der Komplexität KI-relevanter Rechtspflichten sowie aus allgemeinen Compliance-Anforderungen und Instruktionspflichten gemäß § 130 OWiG.

Auch im Fall der Verabschiedung der geplanten Änderung müssen Unternehmen weiterhin die Einhaltung aller KI-relevanten Pflichten sicherstellen. Die Herbeiführung und nachhaltige Sicherstellung von KI-Kompetenz durch adäquate Schulungen ist und bleibt damit eine Pflichtaufgabe, die in allen Organisationen (unabhängig von ihrer Rechtsform) zu erfüllen ist, die KI-Systeme im Unternehmensalltag einsetzen.

Entsprechend den allgemeinen Grundsätzen für Compliance-Schulungen sollte die Geschäftsleitung daher adäquate Vorkehrungen für die Konzeption, Durchführung, Kontrolle und Aktualisierung der KI-Schulungen treffen, die im Folgebeitrag in Heft 8/2026 näher dargestellt werden.

---