KI-Kompetenzpflicht nach dem KI-Omnibus: Was jetzt gilt
Der KI-Omnibus wird in vielen Unternehmen als Entwarnung gelesen: Die Hochrisiko-Fristen rücken nach hinten, also hat man Zeit. Für die KI-Kompetenzpflicht nach Artikel 4 des EU AI Act stimmt das nicht. Sie gilt seit dem 2. Februar 2025, der Omnibus schwächt nur die Formulierung ab, und sie trifft jedes Unternehmen, das KI-Systeme einsetzt, auch ein Team mit ChatGPT oder Copilot im Alltag.
Dieser Beitrag ordnet ein, was der Omnibus tatsächlich ändert, und zeigt einen Plan, mit dem Du die KI-Kompetenz im Team ohne Compliance-Overhead aufbaust. Er ersetzt keine Rechtsberatung.
Was hat der KI-Omnibus geändert?
Die Änderungsverordnung, Verordnung (EU) 2026/1744, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Die wichtigsten Punkte für den Mittelstand:
| Thema | Vorher | Jetzt |
|---|---|---|
| Hochrisiko-KI nach Anhang III | 2. August 2026 | 2. Dezember 2027 |
| Hochrisiko-KI in Produkten (Anhang I) | 2. August 2027 | 2. August 2028 |
| KI-Kompetenz (Art. 4) | Kompetenz sicherstellen | Maßnahmen zur Förderung ergreifen |
| Transparenzpflicht Art. 50(2), Altsysteme | 2. August 2026 | 2. Dezember 2026 |
Die neuen Hochrisiko-Termine sind feste Daten. Der ursprüngliche Vorschlag der Kommission, sie an die Verfügbarkeit von Normen zu koppeln, ist nicht Teil der finalen Fassung. Gute Zusammenfassungen bieten usd, Orrick und Haufe. Maßgeblich ist der Text im Amtsblatt.
Gilt die KI-Kompetenzpflicht nach dem Omnibus noch?
Ja. Anbieter und Betreiber von KI-Systemen müssen ihre Mitarbeitenden weiterhin befähigen, mit KI umzugehen. Nach der neuen Fassung von Art. 4 müssen sie Maßnahmen ergreifen, um die KI-Kompetenz zu fördern, statt sie wie bisher sicherzustellen. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie ausdrücklich nicht garantieren. Das ist eine Abschwächung im Wortlaut, aber keine Abschaffung. Ein Unternehmen, das gar nichts tut, erfüllt auch die neue Fassung nicht.
Drei Punkte werden oft übersehen:
- Die Pflicht gilt nicht nur für Angestellte, sondern auch für andere Personen, die KI-Systeme in Deinem Auftrag bedienen, etwa Freelancer und externe Entwickler.
- Die Pflicht hängt nicht an der Risikoklasse. Wer ein Sprachmodell für Angebote, Support-Antworten oder Code nutzt, ist Betreiber und damit betroffen.
- Die Pflicht hängt nicht an der Unternehmensgröße. Ein Team mit 15 Leuten braucht weniger Aufwand als ein Konzern, aber nicht null.
Was heißt "KI-Kompetenz" in der Praxis?
Der Gesetzestext nennt keine Mindeststundenzahl und kein Zertifikat. Gemeint ist, dass die Leute, die KI-Systeme bedienen, deren Möglichkeiten und Grenzen kennen und die Risiken für ihre Aufgabe einschätzen können. Das richtet sich nach technischem Vorwissen, Einsatzkontext und den betroffenen Personen.
Eine typische Lücke liegt weniger im Tool-Wissen als bei den Regeln. Oft hat niemand festgelegt, welche Daten in welches Tool dürfen. Das ist keine Schulungsfrage, sondern eine Regelfrage. Und hier kommt die DSGVO ins Spiel, denn ein Prompt mit personenbezogenen Daten bedeutet meist, dass der Tool-Anbieter diese Daten als Auftragsverarbeiter erhält. Dafür braucht es einen Auftragsverarbeitungsvertrag, und bei Anbietern außerhalb der EU zusätzlich eine Prüfung des Drittlandtransfers.
KI-Kompetenz im Mittelstand umsetzen: Plan in vier Schritten
1. KI-Inventar anlegen
Eine Tabelle reicht. Pro Zeile ein Tool oder System, wer es nutzt, wofür, und welche Daten hineingehen. Frag auch nach privaten Accounts und Browser-Erweiterungen. Dieses Inventar brauchst Du ohnehin für die DSGVO-Dokumentation und später für die Einordnung nach Risikoklasse.
2. Regeln für Daten und Freigaben festlegen
Eine Seite genügt. Welche Datenarten sind für welche Tools erlaubt? Welche Ergebnisse muss ein Mensch prüfen, bevor sie das Haus verlassen? Wer entscheidet über neue Tools? Wenn Du schon einen Prozess für Informationssicherheit hast, hänge die Regeln dort an, statt ein zweites Regelwerk zu bauen.
3. Rollenbasiert schulen
Nicht alle brauchen dasselbe. Die Buchhaltung braucht andere Beispiele als das Entwicklungsteam. Ein kurzer Einstieg von einer Stunde plus ein Praxisteil am eigenen Arbeitsplatz bringt mehr als ein allgemeines Webinar. Halte fest, wer wann teilgenommen hat. Dieser Nachweis ist Deine Antwort auf die Frage, welche Maßnahmen Du ergriffen hast.
4. Einmal im Jahr prüfen
Tools und Einsatzfälle ändern sich schneller als Gesetze. Ein jährlicher Termin zum Aktualisieren von Inventar, Regeln und Schulungsinhalten reicht für die meisten Mittelstandsteams.
Warum Du nicht auf Dezember 2027 warten solltest
Die verschobenen Fristen betreffen Hochrisiko-Systeme, zum Beispiel KI in Personalauswahl oder Kreditwürdigkeitsprüfung. Wer so etwas einsetzt, bekommt mehr Zeit. Die Grundlagen, die Du dafür brauchst, sind aber dieselben wie für Art. 4: ein Inventar, klare Zuständigkeiten und geschulte Leute. Wer sie jetzt aufbaut, muss 2027 nicht unter Zeitdruck nachholen.
Dazu kommt ein praktischer Grund. Sobald Du KI-Agenten mit Zugriff auf Systeme einsetzt, wachsen die Risiken. Wie ich solche Teams strukturiere, habe ich in KI-Teams auf Abruf beschrieben. Ein Beispiel für ein datenschutzkonformes Setup findest Du im Beitrag über ein selbst gehostetes Beratungssystem. Ohne Regeln und geschulte Nutzer wird jedes dieser Systeme zum Risiko.
Fazit: KI-Kompetenzpflicht nach dem Omnibus
Der KI-Omnibus gibt Dir mehr Zeit bei Hochrisiko-KI, aber nicht bei der KI-Kompetenz. Die Pflicht besteht seit Februar 2025 und gilt weiter, mit einer weicheren Formulierung. Starte diese Woche mit dem Inventar, dann folgen die Datenregeln und die rollenbasierte Schulung.
Wenn Du dabei Unterstützung suchst, etwa bei einem pragmatischen Inventar, bei Regeln, die Dein Entwicklungsteam wirklich nutzt, oder beim Verzahnen mit DSGVO und Informationssicherheit, melde Dich gern für ein unverbindliches Gespräch.