KI-Richtlinie und KI-Kompetenz
Sicher und wirksam mit KI arbeiten, mit Muster zum Anpassen

Entscheidend ist die Rolle, in der Sie handeln. Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt. Betreiber ist, wer ein System im eigenen Namen einsetzt. Die meisten Unternehmen sind Betreiber der Werkzeuge, die sie nutzen, und für Betreiber sind die Pflichten überschaubar und gut umsetzbar.

Die Einzelheiten zu Kennzeichnung und Stichtagen beschreibt unser Fachbeitrag zum AI Omnibus. Wie der Datenschutz hinzukommt, erklärt der Beitrag zu DSGVO und KI.

Was ist ein Hochrisiko-System?

Ein System in Bereichen, die der AI Act ausdrücklich nennt, etwa Personalauswahl, Kreditwürdigkeit, Zugang zu Bildung oder bestimmte Sicherheitsbauteile von Produkten. Für diese Systeme gelten umfangreiche Anforderungen, die nach dem AI Omnibus ab Dezember 2027 beziehungsweise August 2028 greifen. Für KI als Sicherheitsbauteil einer Maschine kommen die Anforderungen seit dem AI Omnibus über die Maschinenverordnung; die Einzelheiten stehen in Baustein 20. Die meisten Anwendungen im Büroalltag gehören nicht dazu.

Welche Übersicht sollte jedes Unternehmen führen?

Eine Liste der eingesetzten KI-Werkzeuge und -Systeme: wofür sie genutzt werden, welche Daten sie verarbeiten, wer zuständig ist und in welcher Rolle Sie handeln. Diese Liste ist die Grundlage für Richtlinie, Schulung und jede weitere Frage zum AI Act.

Bis zum Sommer 2026 verlangte der Wortlaut, ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Aus dieser Erfolgspflicht ist eine Bemühenspflicht geworden. Das gibt Unternehmen die Freiheit, Maßnahmen zu wählen, die zu ihren Aufgaben passen, und macht die Dokumentation dieser Maßnahmen zum Kern des Nachweises.

Kommission und Mitgliedstaaten unterstützen die Umsetzung mit Beispielen und Empfehlungen. Die Europäische Kommission veröffentlicht dazu Fragen und Antworten sowie eine Sammlung von Praxisbeispielen. Beides ist eine gute Orientierung für die eigene Planung.

KI-Kompetenz umfasst nach der Begriffsbestimmung der Verordnung Fähigkeiten, Kenntnisse und Verständnis, die einen sachkundigen Einsatz ermöglichen und ein Bewusstsein für Chancen, Risiken und mögliche Schäden schaffen. Das ist eine hilfreiche Gliederung für jede Schulung: Was kann das Werkzeug, wie nutze ich es gut, worauf achte ich?

Gilt die Pflicht auch für kleine Unternehmen?

Ja, für alle Anbieter und Betreiber, unabhängig von der Größe. Der Umfang der Maßnahmen richtet sich aber nach den eingesetzten Systemen, den Aufgaben und dem Wissensstand der Beteiligten. Für ein kleines Unternehmen mit einem Textassistenten genügt eine kurze, gut gemachte Einführung mit Richtlinie.

Zählen auch Dienstleister und freie Mitarbeitende?

Die Pflicht erfasst Personen, die in Ihrem Auftrag mit Ihren KI-Systemen arbeiten. Bei Dienstleistern lässt sich das gut über den Vertrag regeln, etwa mit der Zusage, dass eingesetzte Personen geschult sind und Ihre Richtlinie kennen.

Die erste Gruppe ist die größte und die wichtigste. Hier entsteht die Sicherheit im Alltag: Wer weiß, wie ein Sprachmodell arbeitet, prüft Ergebnisse mit dem richtigen Blick und geht bewusst mit Daten um. Eine gute Einführung für diese Gruppe hat die größte Wirkung auf Qualität und Sicherheit.

Wie sich Kompetenz im Unternehmen insgesamt aufbauen lässt, von der Pilotgruppe bis zur ganzen Belegschaft, beschreibt Baustein 04.

Was sollte jeder über Sprachmodelle wissen?

Drei Dinge: Ein Sprachmodell formuliert plausibel, und plausibel ist nicht immer richtig. Es kennt Ihr Unternehmen nur aus dem, was Sie ihm mitgeben. Und was Sie eingeben, wird verarbeitet, deshalb zählt das Werkzeug. Wer diese drei Punkte verinnerlicht hat, nutzt KI sicher und wirksam.

Wie erkennt man den Schulungsbedarf?

Mit einer kurzen Abfrage: Welche Werkzeuge werden genutzt, wofür und wie sicher fühlen sich die Mitarbeitenden damit? Zusammen mit der Liste der KI-Systeme ergibt das ein klares Bild, welche Gruppe welche Maßnahme braucht.

• Eigene Fälle statt Beispiele von der Stange. Die Abteilung bringt drei bis fünf typische Aufgaben mit, und genau diese werden gemeinsam gelöst.
• Kurze Einheiten. Mehrere kurze Termine wirken stärker als ein langer Schulungstag, weil zwischen den Terminen geübt wird.
• Gute und schwache Ergebnisse zeigen. Wer sieht, wie ein plausibles, aber falsches Ergebnis aussieht, prüft danach aufmerksamer.
• Die Richtlinie erklären. Datenklassen und freigegebene Werkzeuge werden an Beispielen besprochen, nicht nur verteilt.
• Ansprechpersonen benennen. Eine Person im Team, die weiterhilft, verankert das Gelernte im Alltag.

Ergänzend helfen kleine Formate im Alltag: eine Sammlung bewährter Anweisungen je Abteilung, ein kurzer Austausch im Teamtermin, eine Seite mit Fragen und Antworten. So wächst die Kompetenz auch zwischen den Schulungen weiter. Hinweise für gute Anweisungen gibt unser Beitrag zum Prompt Engineering.

Eignen sich Online-Kurse?

Für Grundlagen ja, besonders als Vorbereitung. Die Übertragung auf die eigene Arbeit gelingt am besten im gemeinsamen Termin mit echten Aufgaben. Eine Kombination aus kurzem Online-Kurs und Werkstatt in der Abteilung verbindet beides gut.

Wie oft sollte aufgefrischt werden?

Mindestens einmal im Jahr und immer dann, wenn neue Werkzeuge eingeführt werden oder sich die Richtlinie ändert. Werkzeuge entwickeln sich schnell, und eine kurze Auffrischung hält das Wissen auf dem aktuellen Stand.

Viele Unternehmen führen diese Übersicht in einer Tabelle oder in der vorhandenen Lernplattform. Wichtig ist, dass sie laufend gepflegt wird und die Verbindung zwischen Werkzeug, Gruppe und Maßnahme erkennbar ist. Dann beantwortet sie jede Nachfrage in wenigen Minuten.

Braucht es ein Zertifikat?

Die Verordnung verlangt kein Zertifikat. Teilnahmebestätigungen können den Nachweis ergänzen, entscheidend sind aber Inhalt und Bezug zur eigenen Arbeit. Eine gut dokumentierte interne Schulung ist ein ebenso guter Nachweis wie ein externer Kurs.

Die Sprache entscheidet über die Wirkung. Eine Richtlinie, die Möglichkeiten beschreibt und klare Wege aufzeigt, wird gelesen und befolgt. Deshalb beginnt sie mit dem Grundsatz, dass KI die Arbeit unterstützt, und erklärt dann, wie das sicher gelingt.

Die Details, die sich häufig ändern, stehen in Anlagen: die Liste der freigegebenen Werkzeuge und die Datenklassen mit Beispielen. So bleibt die Richtlinie selbst stabil, und die Anlagen werden bei Bedarf aktualisiert.

Wer sollte die Richtlinie erarbeiten?

Eine kleine Gruppe aus Geschäftsführung, IT, Datenschutz und einem Fachbereich, der KI bereits nutzt, dazu früh der Betriebsrat. Die Nutzerperspektive ist besonders wertvoll, weil sie zeigt, welche Fragen im Alltag wirklich auftauchen.

Das Muster bewusst kurz zu halten, hat einen Grund: Eine Richtlinie wirkt, wenn sie gelesen wird. Ausführliche Regeln für einzelne Werkzeuge oder Abteilungen lassen sich als ergänzende Hinweise anhängen, ohne den Kern zu verlängern.

Sollten Mitarbeitende die Richtlinie bestätigen?

Eine Bestätigung der Kenntnisnahme ist sinnvoll und ergänzt den Nachweis nach Kapitel 05. Am besten verbindet man sie mit der Einführungsschulung, in der die Richtlinie erklärt wird. So wird aus der Unterschrift ein Gespräch über die eigene Arbeit.

Für personenbezogene Daten gelten zusätzlich die Regeln der DSGVO: eine Rechtsgrundlage, ein Vertrag zur Auftragsverarbeitung mit dem Anbieter und Datensparsamkeit. Für die beiden oberen Klassen bieten sich lokale Modelle an, bei denen die Daten das Haus nicht verlassen. Wie das funktioniert, zeigt unsere Seite zu lokaler KI.

Was ist mit Geschäftskundenverträgen der großen Anbieter?

Geschäftskundenverträge bieten in der Regel wichtige Zusagen: keine Nutzung der Eingaben zum Training, Verarbeitung nach Vertrag, oft mit Wahl des Verarbeitungsorts. Damit eignen sie sich für interne und je nach Vertrag auch für vertrauliche Daten. Prüfen Sie die Zusagen im konkreten Vertrag.

Wie geht man mit Kundendaten in Anweisungen um?

So sparsam wie möglich. Oft lässt sich eine Aufgabe auch mit Platzhaltern lösen, etwa „Kunde A“ statt des Namens. Wo Kundendaten gebraucht werden, kommen nur Werkzeuge der passenden Klasse zum Einsatz.

• Chatbots und Sprachassistenten. Wer mit einem KI-System kommuniziert, soll das erkennen können.
• Deepfakes. Künstlich erzeugte oder veränderte Bilder, Videos und Tonaufnahmen, die echt wirken, werden als solche gekennzeichnet.
• Texte zu Angelegenheiten von öffentlichem Interesse. Wer KI-erzeugte Texte veröffentlicht, um die Öffentlichkeit über solche Angelegenheiten zu informieren, legt das offen, sofern keine redaktionelle Prüfung erfolgt.
• Maschinenlesbare Markierung. Die technische Markierung erzeugter Inhalte ist eine Pflicht der Anbieter. Für bestehende Systeme endet die Übergangsfrist am 2. Dezember 2026.

Ein mit KI vorbereitetes Angebot, ein intern zusammengefasstes Protokoll oder ein Produkttext im eigenen Shop sind in der Regel keine Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse. Eine klare Regel in der Richtlinie schafft hier Sicherheit und hält die Kennzeichnung für die Fälle frei, in denen sie Orientierung gibt. Mehr dazu im Fachbeitrag zum AI Omnibus.

Was sollten Betreiber bei ihren Anbietern erfragen?

Ob die eingesetzten Werkzeuge erzeugte Inhalte maschinenlesbar markieren, und wenn ja, ab wann. Für die meisten Unternehmen besteht die Aufgabe zum 2. Dezember 2026 genau in dieser Nachfrage bei den Lieferanten ihrer Werkzeuge.

1. Bestand aufnehmen. Welche Werkzeuge werden heute genutzt, auch privat für dienstliche Aufgaben? Diese Frage ohne Vorwurf zu stellen, bringt die ehrlichsten Antworten.
2. Werkzeuge bereitstellen. Die gefragtesten Anwendungen mit Unternehmenskonto und passendem Vertrag anbieten.
3. Betriebsrat früh beteiligen. Gemeinsam erarbeitete Regeln tragen besser und lassen sich schneller einführen.
4. Einführung mit Schulung verbinden. Richtlinie und Werkzeuge werden im selben Termin erklärt und geübt.
5. Ansprechperson benennen. Eine Stelle für Fragen, Vorschläge und Meldungen.

Warum ein gutes Angebot wirksamer ist als jedes Verbot, zeigt unser Fachbeitrag zur Schatten-KI. Wie die Zusammenarbeit mit dem Betriebsrat gut gelingt, beschreibt der Beitrag zu Betriebsrat und KI.

Wie lange dauert die Einführung?

Das hängt vor allem an der Abstimmung im Haus. Mit einem Muster als Ausgangspunkt, einer kleinen Arbeitsgruppe und früher Beteiligung des Betriebsrats lassen sich Richtlinie und erste Schulungen zügig umsetzen. Den genauen Plan legen wir gemeinsam im Scoping fest.

• Jährliche Überprüfung. Richtlinie, Anlagen und Schulungsinhalte werden gemeinsam angesehen und angepasst.
• Anlage 1 laufend pflegen. Neue Werkzeuge kommen nach Prüfung hinzu, abgelöste werden entfernt.
• Rückmeldungen sammeln. Fragen aus Schulungen und Meldungen an die Ansprechperson zeigen, wo die Richtlinie klarer werden kann.
• Rechtslage beobachten. Die nächsten Stufen des AI Act, Leitlinien der Kommission und Hinweise der Aufsicht fließen bei der nächsten Überprüfung ein.

Wir halten diese Wissensdatenbank und unsere Fachbeiträge zum AI Act aktuell. Wer ein KI-System im Betrieb verantwortet, findet in Baustein 10 die passenden Routinen für Prüfung, Kennzahlen und Modellwechsel.

Wer ist für die Pflege zuständig?

Die Ansprechperson aus Abschnitt 10 der Richtlinie, unterstützt von IT und Datenschutz. Wichtig ist eine klare Zuständigkeit mit einem festen Termin im Kalender. Dann bleibt die Richtlinie ein lebendiges Dokument, das den Alltag gut begleitet.