Das Statistische Bundesamt hat Unternehmen gefragt, warum sie keine KI einsetzen. Die häufigste Antwort war fehlendes Wissen mit 72 Prozent. Auf Platz zwei landete mit 62 Prozent die Unklarheit über die rechtlichen Folgen.
Beim Thema KI-Schulungspflicht kommen beide Punkte zusammen. Und was gerade darüber geschrieben wird, macht es schlimmer statt besser.
Sehr viele Beiträge behaupten, für fehlende KI-Schulungen drohten Bußgelder in Millionenhöhe. Das steht so weder in der europäischen Verordnung noch im deutschen Gesetz. Hier ist die Lage, wie sie sich am Normtext lesen lässt.
Die Pflicht ist anderthalb Jahre alt
Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025. Sie ist also kein neues Thema, sondern seit anderthalb Jahren geltendes Recht.
Er verpflichtet Anbieter und Betreiber von KI-Systemen. Betreiber ist jedes Unternehmen, das ein solches System im eigenen Haus nutzt. Die Pflicht gilt unabhängig von der Risikoklasse des Systems, unabhängig von Ihrer Branche und unabhängig von Ihrer Größe. Die Bundesnetzagentur nennt in ihrem Hinweispapier ausdrücklich Chatbots als Beispiel.
Wenn in Ihrem Haus jemand ChatGPT, Copilot oder Gemini für die Arbeit nutzt, sind Sie erfasst. Das ist der praktisch relevante Teil. Und er ist seit anderthalb Jahren geltendes Recht.
Erfasst sind übrigens nicht nur Ihre Angestellten. Artikel 4 nennt auch Personen, die in Ihrem Auftrag mit dem Betrieb und der Nutzung befasst sind. Also Auftragnehmer, Freelancer und Dienstleister. Dieser Punkt wird in der Praxis am häufigsten übersehen.
Inzwischen steht ein anderer Text im Gesetz
Am 24. Juli 2026 wurde die Verordnung (EU) 2026/1744 im Amtsblatt veröffentlicht, der sogenannte Digital Omnibus. Sie ist am 27. Juli 2026 in Kraft getreten. In Artikel 1 Nummer 5 steht der Satz „Artikel 4 erhält folgende Fassung".
Artikel 4 wurde also vollständig ersetzt. Der Unterschied ist kein Formaldetail.
- Alte Fassung: Anbieter und Betreiber ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ein ausreichendes Maß an KI-Kompetenz vorliegt.
- Neue Fassung: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen. Dazu kommt ein neuer Schlusssatz, der ausdrücklich klarstellt, dass niemand verpflichtet ist, für irgendeine Person ein bestimmtes Kompetenzniveau zu garantieren.
Aus einer ergebnisbezogenen Pflicht wurde eine Bemühenspflicht. Der Gesetzgeber begründet das in den Erwägungsgründen offen mit dem Befolgungsaufwand, gerade für kleinere Unternehmen.
Zwei Missverständnisse dazu, die beide falsch sind. Die Pflicht wurde nicht abgeschafft. Und sie wurde nicht auf die Kommission und die Mitgliedstaaten verlagert, obwohl genau das im Kommissionsvorschlag vom November 2025 stand. Das Parlament hat diesen Teil gekippt. Die Pflicht bleibt bei den Unternehmen, nur weicher formuliert.
Ein Hinweis zur Quellenlage: Viele Fachbeiträge und sogar die FAQ-Seite der EU-Kommission beschreiben noch die alte Fassung. Sie wurden vor der Veröffentlichung im Amtsblatt geschrieben.
Was mit der Aufsicht dazukommt und was nicht
Zum 2. August 2026 startet der Aufsichtsapparat der KI-Verordnung. Was dabei regelmäßig untergeht, ist der Umstand, dass damit kein neuer Pflichtenkatalog für Schulungen kommt.
Was greift:
- Die Transparenzpflichten nach Artikel 50. Das ist die einzige neue materielle Pflicht, die einen normalen Mittelständler treffen kann. Betroffen sind zum Beispiel ein Chatbot auf Ihrer Webseite oder KI-generierte Texte, mit denen Sie die Öffentlichkeit informieren. Nicht betroffen sind Rechtschreibkorrektur, Übersetzung oder ein Assistent, der Ihnen E-Mail-Entwürfe schreibt.
- Die Marktüberwachung. Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde, soweit keine Fachbehörde zuständig ist. Sie darf ab dann Unterlagen und Auskünfte anfordern.
- Das Beschwerderecht. Auch Beschäftigte und Wettbewerber können sich an die Behörde wenden.
Was entgegen vielen Artikeln nicht greift: Die Anforderungen an Hochrisiko-Systeme. Der Digital Omnibus hat sie verschoben, für die Anwendungsfälle aus Anhang III auf den 2. Dezember 2027, für in Produkte eingebettete Systeme auf den 2. August 2028. Personalauswahl gehört zu Anhang III. Wer also liest, dass jetzt strenge Regeln für KI im Recruiting gelten, liest einen Text auf dem Stand vor dem Omnibus.
Der Bußgeld-Mythos
Jetzt zum Kern. Artikel 99 Absatz 4 der KI-Verordnung zählt abschließend auf, welche Verstöße mit bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes belegt werden können. Genannt sind die Artikel 16, 22, 23, 24, 25, 26, 31, 33, 34 und 50.
Artikel 4 steht in keiner dieser Aufzählungen. Auch nicht in der Fassung nach dem Omnibus.
Der deutsche Gesetzgeber hätte nachlegen können. Artikel 99 Absatz 1 erlaubt den Mitgliedstaaten ausdrücklich, eigene Sanktionen für weitere Verstöße vorzusehen. Das deutsche KI-Marktüberwachungs- und Innovationsförderungsgesetz nutzt diese Möglichkeit auch, aber nur für die Artikel 21, 27, 45 und 86, mit einem Höchstbetrag von 50.000 Euro.
Artikel 4 ist auch dort nicht dabei. Deutschland hat sich also bewusst gegen einen Bußgeldtatbestand für fehlende KI-Kompetenz entschieden.
Und die Zahl 35 Millionen Euro, die in diesem Zusammenhang regelmäßig auftaucht, auch in Beiträgen großer Kanzleien? Die gilt ausschließlich für die verbotenen Praktiken nach Artikel 5. Mit Schulungen hat sie nichts zu tun.
Eine Bußgeldbrücke gibt es trotzdem
Sie liegt nur woanders, als alle behaupten.
Artikel 99 Absatz 5 sanktioniert unrichtige, unvollständige oder irreführende Auskünfte gegenüber der Behörde, wenn diese um Auskunft gebeten hat. Der Rahmen liegt bei bis zu 7,5 Millionen Euro oder 1 Prozent, bei kleineren Unternehmen gilt der jeweils niedrigere Wert. Diese Regel gilt bereits seit August 2025.
Übersetzt: Für fehlende KI-Kompetenz gibt es kein Bußgeld. Für eine falsche oder unvollständige Antwort auf die behördliche Nachfrage danach schon.
Genau deshalb ist die Dokumentation das eigentliche Thema, nicht die Schulung als solche.
Wo Ihr echtes Risiko liegt
Hier ist Ehrlichkeit angebracht. Es gibt in Deutschland kein einziges Gerichtsurteil zur Haftung wegen fehlender KI-Kompetenz. Alles, was dazu geschrieben wird, ist Literatur- und Kanzleimeinung. Wer Ihnen etwas anderes erzählt, hat kein Aktenzeichen.
Was es sehr wohl gibt, sind Urteile zur Zurechnung von KI-Ergebnissen. Und eines davon ist frisch.
Das Oberlandesgericht Hamm hat am 12. Mai 2026 entschieden, dass ein Unternehmen für Falschaussagen seines eigenen Chatbots als Täter haftet, nicht etwa als unbeteiligter Betreiber einer fremden Technik. Aktenzeichen 4 UKl 3/25. Das Gericht verlangte zweierlei. Das Unternehmen hätte als umsichtiger Marktakteur vorher absehen müssen, welche Fragen dem Bot gestellt werden. Und es hätte ihn vor der Inbetriebnahme absichern müssen. Das Argument, so ein System sei eine Black Box, ließ der Senat nicht gelten, weil sich der Bot hinterher problemlos umprogrammieren ließ.
Die Revision zum Bundesgerichtshof ist zugelassen, das Urteil ist also nicht rechtskräftig. Die Richtung ist trotzdem deutlich. Wer eine KI auf Kunden loslässt, trägt die Verantwortung für das, was sie sagt.
Die zweite Argumentationslinie funktioniert sogar unabhängig von Artikel 4.
Wenn ein Mitarbeitender im Rahmen seiner Aufgaben einen Schaden bei einem Kunden verursacht, haften Sie nach § 278 BGB, auch wenn er gegen eine Weisung verstoßen hat. Bei § 831 BGB können Sie sich grundsätzlich entlasten, indem Sie sorgfältige Auswahl, Anleitung und Überwachung nachweisen. Ohne dokumentierte Einweisung ist dieser Nachweis praktisch nicht zu führen.
Der zweite Punkt ist der interessantere, weil er der Intuition widerspricht.
Im Innenverhältnis gilt das arbeitsrechtliche Haftungsprivileg. Bei leichtester Fahrlässigkeit haftet der Mitarbeitende gar nicht, bei mittlerer wird geteilt, bei grober Fahrlässigkeit haftet er voll. Die Beweislast für das Verschulden liegt beim Arbeitgeber.
Wer nie geschult und nie eine Regel aufgeschrieben hat, kann kaum belegen, dass jemand grob fahrlässig gehandelt hat. Der Schaden bleibt dann im Unternehmen. Fehlende Schulung schützt Sie also nicht vor Haftung. Sie nimmt Ihnen die Möglichkeit, sie weiterzugeben.
Der Schaden, der in keiner Bußgeldtabelle steht
Es gibt eine Folge, die deutlich unangenehmer ist als jedes Bußgeld. Erwähnt wird sie fast nie.
Ein Geschäftsgeheimnis ist nach dem Geschäftsgeheimnisgesetz nur dann geschützt, wenn es Gegenstand angemessener Geheimhaltungsmaßnahmen ist. Wenn in Ihrem Haus niemand geregelt hat, was in ein externes KI-Modell eingegeben werden darf, kann der Schutzstatus rückwirkend entfallen, sobald Beschäftigte Kalkulationen, Angebote oder Konstruktionsdaten dort einkippen.
Dann verlieren Sie Ihre Ansprüche gegen jeden. Gegen abgeworbene Mitarbeitende, gegen Wettbewerber, gegen ehemalige Partner. Das taucht in keiner Aufsichtsstatistik auf und trifft mittelständische Unternehmen härter als jede Geldbuße.
Ein Nebenaspekt für Betriebe mit Betriebsrat: Nach § 97 Absatz 2 Betriebsverfassungsgesetz kann der Betriebsrat Qualifizierungsmaßnahmen erzwingen, wenn eine Maßnahme des Arbeitgebers die Tätigkeit verändert und die vorhandenen Kenntnisse nicht mehr ausreichen. Kommt keine Einigung zustande, entscheidet die Einigungsstelle. Wer KI einführt und Schulung für optional hält, kann sie also auch von innen aufgedrückt bekommen.
Was die Bundesnetzagentur ausdrücklich nicht verlangt
Die Behörde hat im Juni 2025 ein Hinweispapier veröffentlicht. Es zitiert noch die alte Fassung von Artikel 4, die Methodik bleibt aber gültig. Bemerkenswert ist vor allem, was dort ausgeschlossen wird:
- keine formalisierten oder standardisierten Trainingsmaßnahmen
- keine externen Zertifizierungen
- kein KI-Beauftragter
- keine regelmäßige Vorabprüfung durch Aufsichtsbehörden
Wenn Ihnen also jemand ein Zertifikat verkauft, das Sie „rechtssicher" macht, verkauft er ein Produkt, das die Behörde nicht verlangt.
Was sie stattdessen verlangt: drei Spalten
Die Bundesnetzagentur nennt vier Schritte. Bedarf ermitteln, Maßnahmen ausgestalten, regelmäßig auffrischen, ausreichend dokumentieren.
Für die Bedarfsermittlung reichen vier Fragen. Wer entwickelt, betreibt oder nutzt bei Ihnen KI-Systeme? Welche Systeme sind das? Wozu werden sie eingesetzt? Welche Risiken hängen daran?
Bei der Dokumentation wird es angenehm konkret. Festgehalten werden soll:
- die Art der Maßnahme
- der inhaltliche und zeitliche Umfang
- die teilnehmenden Personen
Mehr verlangt die Behörde nicht. Das sind drei Spalten in einer Tabelle. Für einen 50-Personen-Betrieb ist das eine Aufgabe von einem Nachmittag, nicht von einem Projekt.
Sinnvoll ist es, die Belegschaft vorher in Gruppen zu schneiden, weil die Vorkenntnisse weit auseinandergehen. Geschäftsführung, tägliche Anwender im Fachbereich, Gelegenheitsnutzer, Beschäftigte ohne Berührungspunkte. Und die externen Dienstleister, die Artikel 4 ausdrücklich mit erfasst.
Eine offizielle Vorlage für diese Dokumentation gibt es nicht. Weder von der Bundesnetzagentur noch von den Kammern. Alles, was als „kostenlose Muster-Richtlinie" durchs Netz geht, kommt von kommerziellen Anbietern.
Kostenlos verfügbar, aber nicht mehr lange
Das ist der Teil, der in den meisten Beiträgen fehlt, weil er niemandem etwas verkauft.
Die Mittelstand-Digital Zentren stellen bundesweit rund 100 KI-Trainerinnen und KI-Trainer, anbieterneutral und für Unternehmen kostenfrei. Workshops, Unternehmensbesuche, Sprechstunden, ein KI-Readiness-Check. Das Wirtschaftsministerium bestätigt die Kostenfreiheit aller Angebote ausdrücklich.
Der Haken: Das Netzwerk läuft Ende 2026 in der heutigen Form aus. Der Nachfolger startet 2027 mit nur noch sechs Regionalzentren. Einzelne Standorte haben bereits geschlossen. Wer die Angebote im gewohnten Zuschnitt nutzen will, hat dafür nur noch bis Ende 2026 Zeit.
Die Zukunftszentren des Arbeitsministeriums laufen dagegen bis Ende 2028. Sie bieten neben Beratung auch eine vertiefte Analyse von bis zu zehn Tagen, ebenfalls kostenfrei. Gearbeitet wird explizit zur KI-Einführung unter Beteiligung der Beschäftigten. Für Ihre Größenordnung ist das der stärkste Treffer im ganzen Fördersystem.
Die Bundesnetzagentur stellt einen KI-Compliance-Kompass als Selbsteinschätzungstool bereit, dazu ein Factsheet speziell für kleine und mittlere Unternehmen. Als kostenfreie Lernquellen nennt sie unter anderem den KI-Campus des Stifterverbands und Elements of AI.
Zur oft gestellten Förderfrage eine nüchterne Einordnung. Eine Weiterbildung nach § 82 SGB III kann bezuschusst werden, muss dafür aber mehr als 120 Stunden umfassen, von einem zugelassenen Träger kommen und über eine arbeitsplatzbezogene Anpassungsfortbildung hinausgehen. Die Bundesagentur nennt als Negativbeispiel wörtlich die Schulung zu einer betriebsspezifischen Software. Ein zweitägiges Prompting-Seminar ist damit nicht förderfähig. Seit 2026 gilt zusätzlich, dass Lernzeit in der Freizeit nicht bezuschusst wird.
Was Sie diese Woche tun können
Wenn Sie den Aufwand klein halten wollen, reicht diese Reihenfolge:
- Bestandsaufnahme. Welche KI-Systeme laufen im Haus, auch die eingebauten Funktionen in Office, CRM und Grafikprogrammen. Fragen Sie im Zweifel anonym, sonst bekommen Sie die halbe Wahrheit.
- Gruppen bilden. Vier bis fünf Rollen reichen. Externe nicht vergessen.
- Maßnahme wählen. Kostenfreie Angebote nutzen, statt sofort einzukaufen.
- Tabelle anlegen. Art, Umfang, Teilnehmende. Danach halbjährlich prüfen.
Das ist die ganze Pflicht. Sie ist kleiner, als der Markt sie gerade macht.
Wichtig bleibt der Grund dahinter. 90 Prozent der Betriebe, die KI nutzen, arbeiten laut einer Erhebung des Instituts für Arbeitsmarkt- und Berufsforschung mit frei zugänglichen Systemen. Gleichzeitig haben nur 21 Prozent dieser Betriebe interne Regeln dafür aufgeschrieben. Der eigentliche Schaden entsteht nicht durch eine fehlende Schulungsurkunde, sondern durch Daten, die in einem System landen, in das sie nicht gehören.
Wie Sie ChatGPT im Unternehmen sauber aufsetzen, ohne dass genau das passiert, haben wir an anderer Stelle durchgerechnet.
Und wenn Sie lieber einmal strukturiert draufschauen lassen, statt sich durch Verordnungstexte zu arbeiten: Wir machen das in der KI-Beratung mit Unternehmen Ihrer Größe regelmäßig. Ein Erstgespräch kostet Sie eine halbe Stunde.
