KI-Kompetenz-Pflicht nach dem AI Act – was Arbeitgebende seit Februar 2025 sicherstellen müssen

Was ist die KI-Kompetenz-Pflicht

Die KI-Kompetenz-Pflicht verlangt von Unternehmen, dass alle Personen, die in ihrem Auftrag KI-Systeme bedienen, diese Systeme ausreichend verstehen. Sie steht in Artikel 4 der KI-Verordnung (Verordnung (EU) 2024/1689) und gilt für Anbieter und Betreiber gleichermaßen.

Konkret heißt das: Arbeitgebende müssen mit geeigneten Maßnahmen sicherstellen, dass Mitarbeitende die Funktionsweise, die Grenzen und die Risiken der eingesetzten KI einschätzen können. Der Gesetzestext bleibt bewusst offen und schreibt kein festes Format vor.

Seit wann die Pflicht gilt – und warum jetzt der richtige Zeitpunkt ist

Artikel 4 gilt seit dem 2. Februar 2025, unmittelbar und ohne Übergangsfrist. Wer bis heute keine Maßnahmen ergriffen hat, erfüllt die Vorgabe seit über einem Jahr nicht.

Anders als die Hochrisiko-Pflichten wurde die KI-Kompetenz-Pflicht vom Digital Omnibus nicht verschoben. Die behördliche Marktüberwachung startet in Deutschland am 2. August 2026 – zuständig wird die Bundesnetzagentur. Bis dahin besteht die Pflicht bereits, nur die Durchsetzung gewinnt an Schärfe. Wer erst im August 2026 beginnt, hat keine saubere Historie und keine belastbaren Nachweise.

Dass die Zuständigkeit für KI im Unternehmen offen bleibt, ist kein Einzelfall: Laut Gartner ist sich nur jedes vierte Führungsteam einig, wer für den Einsatz von KI geradesteht. Wo das im Zusammenspiel mit den übrigen aktuellen HR-Trends steht, zeigt unsere Auswertung der vier wichtigsten Studien.

Für wen die Pflicht gilt

Die KI-Kompetenz-Pflicht trifft jedes Unternehmen, das KI bereitstellt oder einsetzt – unabhängig von Branche und Größe. Sobald Mitarbeitende ein KI-System beruflich nutzen, ist das Unternehmen Betreiber im Sinne der Verordnung. Das gilt auch für allgemeine Werkzeuge: Wer ChatGPT für Recherche, Texte oder Vorauswahl verwendet, fällt darunter.

Für HR ist die Pflicht doppelt relevant. Personalabteilungen setzen KI zunehmend selbst ein, etwa im Recruiting oder in der Vorauswahl – und sie verantworten häufig Weiterbildung und interne Richtlinien für das gesamte Unternehmen.

Was „ausreichende KI-Kompetenz“ bedeutet

Die Verordnung definiert KI-Kompetenz als die Fähigkeiten, Kenntnisse und das Verständnis, um KI sachkundig einzusetzen und ihre Chancen wie Risiken realistisch einzuschätzen (Art. 3 Nr. 56). Ein festes Niveau nennt sie nicht.

Der Maßstab ist verhältnismäßig. Gefordert ist kein Informatikstudium und keine einheitliche Zertifizierung, sondern ein Kompetenzniveau, das zur konkreten Nutzung passt. Wer KI für einfache Textentwürfe verwendet, braucht weniger als eine Person, die KI-gestützte Entscheidungen über Bewerbende trifft. Maßgeblich sind Rolle, Vorwissen, Einsatzkontext und die möglichen Folgen für Betroffene.

Die vier Risikostufen – und warum HR fast immer im Hochrisiko landet

Die Kompetenzpflicht steht nicht für sich. Sie ist ein Baustein der Verordnung (EU) 2024/1689, die KI-Systeme nach Risiko einordnet und daran die Pflichten knüpft. Vier Stufen gibt es:

• Verboten – Praktiken mit unvertretbarem Risiko. Im HR-Kontext fällt darunter die Emotionserkennung am Arbeitsplatz, also Software, die aus Stimme oder Gesicht auf den Gefühlszustand von Beschäftigten schließt.
• Hochrisiko – KI, die Menschen wesentlich beeinflusst. Für HR ist das die zentrale Stufe: Recruiting, Auswahl, Beförderung und Leistungsbewertung stehen ausdrücklich im Katalog (Annex III, Nr. 4).
• Begrenztes Risiko – Transparenzpflicht, etwa bei Chatbots oder KI-generierten Inhalten. Menschen müssen erkennen können, dass eine Maschine am Werk ist.
• Minimales Risiko – der Großteil aller Anwendungen, vom Spam-Filter bis zur einfachen Automatisierung. Keine besonderen Pflichten.

Der Punkt, an dem die meisten Einschätzungen kippen: Nicht das Modell bestimmt die Stufe, sondern der Einsatz. Ein allgemeines Werkzeug wie ChatGPT ist minimales Risiko, solange damit Stellenanzeigen formuliert werden – und wird zur Hochrisiko-Anwendung in dem Moment, in dem es systematisch Bewerbungen vorsortiert. Eine enge Ausnahme sieht Artikel 6 Absatz 3 für rein vorbereitende oder eng begrenzte Aufgaben vor; sie wird streng ausgelegt und entfällt vollständig, sobald das System Personen profiliert.

Für die Kompetenzpflicht heißt das: Die Risikostufe der eingesetzten Systeme bestimmt, wie tief geschult werden muss. Wer weiß, welche Tools im Haus hochriskant arbeiten, weiß auch, wo ein Basismodul nicht reicht.

Welche Fristen sonst noch laufen

Die Pflichten der Verordnung greifen gestaffelt über mehrere Jahre. Der Digital Omnibus, ein Änderungspaket vom 29. Juni 2026, hat die Hochrisiko-Fristen nach hinten verschoben – die Kompetenzpflicht aber ausdrücklich nicht.

• 2. Februar 2025 – verbotene Praktiken (Art. 5) und KI-Kompetenz-Pflicht (Art. 4). In Kraft.
• 2. August 2025 – Regeln für General-Purpose-AI, Governance und Sanktionen. In Kraft.
• 2. August 2026 – Kern der Transparenzpflichten nach Artikel 50. Nicht verschoben.
• 2. Dezember 2026 – Kennzeichnungspflicht für KI-Inhalte bei Alt-Systemen (Art. 50 Abs. 2).
• 2. Dezember 2027 – Hochrisiko-Pflichten für Annex-III-Systeme inklusive HR. Verschoben von ursprünglich 2. August 2026.
• 2. August 2028 – Pflichten für in Produkte eingebettete Hochrisiko-KI (Annex I).

Für HR-Teams ist das Vorbereitungszeit, kein Aufschub. Risikoanalyse, Dokumentation und die Gestaltung der menschlichen Aufsicht entstehen nicht im letzten Quartal vor der Frist – und die Kompetenzpflicht gilt ohnehin seit über einem Jahr.

Anbieter oder Betreiber: Welche Rolle Sie haben

Die Verordnung unterscheidet zwei Rollen, und davon hängen die Pflichten ab. Betreiber sind Sie, wenn Sie ein eingekauftes KI-System produktiv einsetzen – das trifft auf die meisten Personalabteilungen zu. Anbieter sind Sie, wenn Sie ein System selbst entwickeln, unter eigenem Namen vermarkten oder wesentlich verändern. Beide Rollen haben eigene, voneinander unabhängige Pflichten – die Betreiberpflichten lassen sich nicht auf den Softwareanbieter abwälzen.

Was Betreiber im Recruiting sicherstellen müssen

Sobald ein KI-System Bewerbende bewertet, filtert oder in eine Rangfolge bringt, ist es nach Annex III Nummer 4 regelmäßig hochriskant. Für Betreiber folgen daraus fünf Punkte, die in der Praxis am häufigsten offenbleiben:

• Menschliche Aufsicht sicherstellen. Eine benannte Person muss die Ergebnisse prüfen und überstimmen können – nicht formal, sondern mit echtem Entscheidungsspielraum.
• Bewerbende informieren. Wer einer KI-gestützten Auswahl unterliegt, muss das erfahren.
• Den Betriebsrat einbeziehen. Der Einsatz solcher Systeme berührt die Mitbestimmung und gehört früh auf den Tisch, nicht erst nach der Einführung.
• Eingabedaten im Blick behalten. Die Daten müssen zum Zweck des Systems passen. Verzerrte Eingaben erzeugen verzerrte Ergebnisse – und die Verantwortung dafür bleibt beim Betreiber.
• Protokolle aufbewahren. Die automatisch erzeugten Logs sind aufzubewahren, damit Entscheidungen später nachvollziehbar bleiben.

Reine Hilfsfunktionen ohne Einfluss auf die Auswahl, etwa eine Rechtschreibprüfung in der Stellenanzeige, fallen nicht darunter. Die enge Ausnahme nach Artikel 6 Absatz 3 für rein vorbereitende Aufgaben entfällt dagegen vollständig, sobald das System Personen profiliert.

Was Arbeitgebende jetzt tun sollten

Ein pragmatischer Weg in fünf Schritten:

• KI-Systeme erfassen – Welche Tools sind im Einsatz, wer nutzt sie, in welchem Kontext?
• Zielgruppen bilden – Rollen mit ähnlichem Bedarf zusammenfassen, statt jede Einzelnutzung separat zu betrachten.
• Risikoadäquat schulen – ein Basismodul für die allgemeine Nutzung, Vertiefungen für sensible Bereiche wie Recruiting.
• Dokumentieren – Inhalte, Teilnahme und Datum festhalten. Artikel 4 verlangt das nicht ausdrücklich, aber im Prüf- oder Schadensfall liegt die Beweislast beim Unternehmen.
• Aktuell halten – auffrischen bei neuen Tools, wesentlichen Funktionsänderungen oder geänderten Rechtsvorgaben.

Was bei Verstößen droht

Hier lohnt Präzision statt Panikmache: Artikel 4 enthält keinen eigenen Bußgeldtatbestand. Es gibt keinen festen Strafbetrag allein für fehlende Schulung.

Folgenlos ist Untätigkeit trotzdem nicht. Ab dem 2. August 2026 können die nationalen Behörden die Einhaltung kontrollieren. Sanktionen sind vor allem dann wahrscheinlich, wenn sich ein Vorfall nachweislich auf fehlende Schulung oder Anleitung zurückführen lässt – so die FAQ der EU-Kommission. Dazu kommt die zivilrechtliche Seite: Führt ein Bedienfehler zu einem Schaden, kann eine unzureichende Qualifikation als Verletzung der Sorgfaltspflicht gewertet werden. Eine saubere Dokumentation ist deshalb der beste Schutz.

Zur Einordnung, was die Verordnung insgesamt an Sanktionen vorsieht: Bei verbotenen Praktiken drohen bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, bei Verstößen gegen die Hochrisiko-Pflichten bis zu 15 Mio. € oder 3 % – je nachdem, welcher Betrag höher ist. Die Höhe richtet sich nicht nach der Unternehmensgröße. Für kleine und mittlere Unternehmen gibt es schmale Erleichterungen bei der Konformitätsbewertung, die Grundpflichten gelten aber für jeden Betreiber von Hochrisiko-KI.

KI-Kompetenz beginnt mit der Einordnung

Bevor Sie sinnvoll schulen können, brauchen Sie den Überblick: Welche KI ist im Haus, wer nutzt sie wofür, und wie riskant ist dieser Einsatz? Diese Einordnung ist der erste Schritt jeder KI-Governance – und sie beantwortet beide Fragen auf einmal: Sie zeigt, wo die Kompetenzpflicht ein Basismodul verlangt und wo deutlich mehr nötig ist. Dieser Überblick ersetzt keine Rechtsberatung; die Einstufung hängt vom konkreten Einzelfall ab.