Der Vier-Wochen-Fahrplan für kleine Unternehmen
Wenn die Frist näher rückt
Der 2. August steht im Kalender. Für viele Inhaber klingt das nach Stress. Nach noch einer Pflicht, die aus Brüssel kommt und im Alltag stört.
Ist es aber nicht. Jedenfalls dann nicht, wenn man die Sache auf vier Wochen verteilt und nicht auf den letzten Abend um 23 Uhr.
Ab dem 2. August wird die KI-Kompetenzpflicht durchsetzbar. Sie steht in Artikel 4 des AI Act und gilt der Sache nach schon seit Februar 2025. Neu ist nicht die Regel, neu ist, dass ab August die Aufsicht dahinter steht. Dieser Beitrag zeigt, was wirklich verlangt wird, was gerade nicht verlangt wird, und wie ein normales Büro die Pflicht in vier ruhigen Schritten erfüllt.
Das Wichtigste in Kürze
- Artikel 4 des AI Act verlangt, dass Unternehmen für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen. Ab dem 2. August wird diese Pflicht durchsetzbar.
- Die Pflicht gilt unabhängig von der Unternehmensgröße. Auch das kleine Büro mit drei Leuten ist gemeint.
- Für ein normales Büro reicht ein dokumentiertes Briefing. Kein Zertifikat, keine Tagesschulung, kein teurer Kurs.
- Artikel 4 selbst sieht kein eigenes Bußgeld vor. Fehlende KI-Kompetenz kann aber im Haftungsfall als Sorgfaltspflichtverletzung durchschlagen.
- Die schweren Hochrisiko-Pflichten sind nach aktuellem Stand auf Dezember 2027 verschoben. Was im August bleibt, ist überschaubar.
- Mit einem Vier-Wochen-Fahrplan ist die Pflicht ruhig und nachweisbar erfüllt.
1. Was am 2. August wirklich gilt
Artikel 4 des AI Act klingt sperrig, meint aber etwas Einfaches. Wer KI im Unternehmen einsetzt, muss dafür sorgen, dass die Menschen, die damit arbeiten, ein ausreichendes Maß an KI-Kompetenz haben. Sie sollen verstehen, was das Werkzeug kann, wo seine Grenzen liegen und welche Risiken damit verbunden sind.
Das ist keine Frage der Firmengröße. Die Pflicht trifft den Konzern genauso wie die Steuerkanzlei mit vier Mitarbeitenden. Sobald KI im Einsatz ist, und sei es nur ein Chatbot für die ersten Kundenfragen oder ein KI-Assistent in der Bürosoftware, greift Artikel 4. Wie sich KI im KMU datenschutzkonform einsetzen lässt, ist ein eigenes Thema, die Kompetenzpflicht ist der erste Schritt dazu.
Der 2. August ändert dabei nicht den Inhalt der Regel, sondern ihr Gewicht. Die Pflicht besteht seit Februar 2025. Ab August steht die Aufsicht dahinter und kann sie durchsetzen. Aus einer stillen Vorgabe wird eine, bei der jemand nachfragen darf.
2. Die gute Nachricht: Was gerade nicht kommt
Bevor die Sorge zu groß wird, ein Blick auf das, was im August ausdrücklich nicht auf dem Tisch liegt.
Die wirklich aufwendigen Pflichten des AI Act betreffen sogenannte Hochrisiko-Systeme. Das sind KI-Anwendungen in sensiblen Bereichen, etwa bei Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Für diese Systeme gelten strenge Vorgaben zu Dokumentation, Risikomanagement und Aufsicht. Diese schweren Pflichten sind nach aktuellem Stand auf Dezember 2027 verschoben.
Für das normale Büro heißt das: Der große Apparat kommt später und vielleicht in abgemilderter Form. Was jetzt zählt, ist der überschaubare Teil. Und der lässt sich mit gesundem Menschenverstand erledigen.
3. Kein Bußgeld in Artikel 4, und trotzdem kein Grund zum Aussitzen
Ein Punkt sorgt regelmäßig für Missverständnisse. Artikel 4 selbst kennt keine eigene Geldbuße. Wer die KI-Kompetenz vernachlässigt, bekommt nicht automatisch einen Bescheid mit einer Summe darunter.
Das ist aber kein Freibrief. Denn die Pflicht wirkt an anderer Stelle. Geht durch einen unbedachten KI-Einsatz etwas schief, landen Kundendaten im falschen System, wird eine falsche KI-Auskunft ungeprüft weitergegeben, dann steht schnell die Frage im Raum, ob das Unternehmen seine Sorgfaltspflichten erfüllt hat. Fehlende KI-Kompetenz schlägt dann als Sorgfaltspflichtverletzung durch. Und die kann im Haftungsfall deutlich teurer werden als jedes Bußgeld. Das macht KI-Kompetenz zur Chefsache, so wie Datenschutz insgesamt Führungsaufgabe ist und nicht am Empfang delegiert wird.
Kurz gesagt: Die eigentliche Sanktion steht nicht in Artikel 4. Sie kommt über die Haftung. Genau deshalb lohnt sich der kleine Aufwand jetzt.
4. Der Vier-Wochen-Fahrplan
Vier Wochen, ein Schritt pro Woche. Mehr braucht ein normales Büro nicht, um am 2. August nicht blank dazustehen.
Woche 1: Aufschreiben, wer welche KI nutzt. Machen Sie eine ehrliche Inventur. Welche KI-Werkzeuge sind im Haus, und wer nutzt sie wofür? Dazu gehören die offensichtlichen wie ChatGPT oder ein KI-Assistent in der Office-Software, aber auch die stillen. Übersetzungsdienste, Bildgeneratoren, KI-Funktionen in Programmen, die längst im Einsatz sind. Denken Sie auch an die Werkzeuge, die niemand offiziell freigegeben hat, die aber trotzdem benutzt werden. Gerade dann, wenn Mitarbeitende KI-Tools nutzen, ohne dass es oben ankommt, entstehen die stillsten Risiken.
Woche 2: Festlegen, was nicht rein darf. Bestimmen Sie die Grenzen. Was gehört nicht in ein KI-Tool? Kundendaten, Gesundheitsdaten, Geschäftsgeheimnisse, alles Personenbezogene ohne klare Rechtsgrundlage. Diese Linie ist dieselbe, die auch sonst im Datenschutz im KMU-Alltag gilt. Eine einzige Seite mit klaren Regeln genügt. Wichtig ist, dass die Regeln verständlich sind und nicht wie ein Gesetzestext klingen.
Woche 3: Ein kurzes Briefing ans Team. Setzen Sie einen Termin von dreißig Minuten an. Erklären Sie, was KI im Alltag leisten kann, wo die Grenzen liegen, welche Regeln aus Woche 2 gelten und wie man ein KI-Ergebnis kurz gegenprüft, bevor man sich darauf verlässt. Kein Vortrag, kein Fachchinesisch. Ein Gespräch auf Augenhöhe.
Woche 4: Dokumentieren und datieren. Halten Sie fest, was Sie gemacht haben. Wer war beim Briefing dabei, welche Regeln gelten, wann fand es statt. Ein bis zwei Seiten reichen. Datum drauf, ablegen, fertig. Genau dieses Blatt ist im Zweifel Ihr Nachweis.
5. Was als Nachweis reicht
An dieser Stelle atmen viele auf. Für ein normales Büro braucht es kein Zertifikat, keine ganztägige Schulung und keinen teuren externen Kurs. Verlangt wird ein Hinweis ohne Drama, dokumentiert und datiert.
Der Nachweis besteht aus zwei einfachen Dingen. Erstens die kurze Regelseite aus Woche 2, die zeigt, dass Sie sich Gedanken gemacht haben. Zweitens das datierte Protokoll des Team-Briefings aus Woche 4, das zeigt, dass die Menschen im Haus die Regeln kennen. Wer das vorlegen kann, hat seine KI-Kompetenzpflicht sichtbar erfüllt.
Ein Beispiel aus dem Alltag. Eine kleine Kanzlei war überzeugt, KI sei bei ihr kein Thema. In der Inventur der ersten Woche stellte sich heraus, dass drei von fünf Mitarbeitenden ChatGPT längst täglich für Textentwürfe nutzten. Nicht heimlich, sondern weil es half. Nach einem halbstündigen Briefing und einer Seite mit Regeln war klar, welche Daten nie in das Tool wandern. Der Aufwand: ein Nachmittag. Das Ergebnis: ein sauberer Nachweis und ein Team, das weiß, woran es ist.
FAQ: KI-Kompetenzpflicht nach dem AI Act
1. Was verlangt die KI-Kompetenzpflicht nach Artikel 4 AI Act? Sie verlangt, dass ein Unternehmen für ein ausreichendes Maß an KI-Kompetenz bei den Personen sorgt, die KI in seinem Auftrag einsetzen. Sie sollen verstehen, was die Werkzeuge können, wo die Grenzen liegen und welche Risiken bestehen.
2. Ab wann gilt die Pflicht und ab wann ist sie durchsetzbar? Artikel 4 gilt der Sache nach seit dem 2. Februar 2025. Ab dem 2. August wird die Pflicht durchsetzbar, weil dann die Aufsicht dahintersteht.
3. Gilt die Pflicht auch für kleine Unternehmen? Ja. Es gibt keine Ausnahme nach Firmengröße. Sobald KI eingesetzt wird, greift die Pflicht, auch im kleinen Büro.
4. Drohen bei fehlender KI-Kompetenz Bußgelder? Artikel 4 selbst sieht kein eigenes Bußgeld vor. Fehlende KI-Kompetenz kann aber im Schadens- oder Haftungsfall als Sorgfaltspflichtverletzung gewertet werden und dadurch teuer werden.
5. Reicht ein internes Briefing oder brauche ich ein Zertifikat? Für ein normales Büro reicht ein dokumentiertes internes Briefing. Ein Zertifikat, eine Tagesschulung oder ein teurer Kurs sind dafür nicht erforderlich.
6. Was muss ich dokumentieren? Eine kurze Regelseite, welche Daten nicht in KI-Tools gehören, und ein datiertes Protokoll des Team-Briefings mit den Teilnehmenden. Das genügt als Nachweis.
Wenn Sie einen Blick von außen möchten
Die KI-Kompetenzpflicht ist kein Großprojekt, sondern eine Reihe kleiner, klarer Schritte. Wenn Sie unsicher sind, ob Ihr Vier-Wochen-Fahrplan trägt oder wie Sie die Regelseite für Ihr Haus formulieren, hilft ein strukturierter Blick von außen. Ohne Vortrag, ohne Paragrafen-Overkill und ohne Verkaufsdruck. Sie entscheiden danach in Ruhe, was Sie selbst umsetzen und wo Unterstützung sinnvoll ist. Mehr dazu finden Sie bei LexGeneralis-Datenschutzconsulting auf lex-generalis.com.
Ihr nächster Schritt
Sie müssen nach dem Lesen nichts überstürzen. Wenn Sie wissen wollen, wo Ihr Unternehmen konkret steht, gibt es zwei einfache Wege.
- Kostenloser Webseiten-Check: Ich schaue mir Ihre Website an und sage Ihnen klar, wo typische Datenschutz-Risiken liegen. Ohne Vortrag, ohne Verpflichtung. Webseiten-Check anfragen
- Lieber direkt sprechen? In einem kurzen Time-2-Call klären wir Ihre Fragen. Termin buchen
Über den Autor
Stephan Wagner ist Jurist, TÜV-Dozent und externer Datenschutzbeauftragter. Mit LexGeneralis-Datenschutzconsulting auf Sylt begleitet er Inhaber und Geschäftsführer dabei, Datenschutz, KI und Compliance praxisnah umzusetzen. Ohne Bürokratie-Overkill, mit klarem Fokus auf Lösungen, die im Alltag funktionieren.
Disclaimer
Dieser Beitrag bietet eine allgemeine Orientierung zur KI-Kompetenzpflicht nach dem AI Act. Er ersetzt keine individuelle Rechtsberatung und keine Prüfung des Einzelfalls durch qualifizierte Fachleute. Fristen und Auslegungen zum AI Act sind in Bewegung, maßgeblich ist der jeweils aktuelle Stand.
