KI-Schulungspflicht nach Art. 4 AI Act: Plan, Nachweis, Quellen

Art. 4 der KI-Verordnung (EU) 2024/1689 verpflichtet jeden Betrieb, der KI-Systeme einsetzt, Maßnahmen zu ergreifen, „um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“. Wer Mitarbeitenden ChatGPT, Copilot oder ein anderes KI-Werkzeug zur Verfügung stellt oder deren Nutzung duldet, ist im Sinne der Verordnung Betreiber und damit erfasst. Die Pflicht gilt seit 2. Februar 2025.

Ein Zertifikat braucht es nicht, eine Handlung schon. Die KI-Servicestelle der RTR schreibt in ihren Antworten auf häufige Fragen: „Derzeit gibt es noch keine Zertifizierungen für die Schulungen.“ Interne Schulungen durch qualifizierte Mitarbeitende reichen. Wer ein Seminar mit Urkunde bucht, hat damit nicht mehr erfüllt als jemand, der eine Stunde im Besprechungsraum sauber vorbereitet und dokumentiert.

Keine Rechtsberatung. Der Beitrag gibt wieder, was in der Verordnung, bei der RTR und bei der EU-Kommission steht, Stand 05.10.2026.

Was sich im Juli 2026 geändert hat#

Der Digital-Omnibus zur KI hat Art. 4 mit Wirkung vom 27.07.2026 neu gefasst. Vorher hieß es, Betreiber hätten „nach besten Kräften sicherzustellen“, dass ihr Personal über „ausreichende KI-Kompetenz“ verfügt. Jetzt müssen sie deren Entwicklung „unterstützen“, und der neue Satz 2 stellt klar: Die Pflicht verlangt nicht, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“. Neu ist auch Absatz 2: Kommission und Mitgliedstaaten sollen Betreiber und „insbesondere KMU“ dabei unterstützen, unter anderem mit veröffentlichten Beispielen.

Geblieben ist die Pflicht selbst. Die Kommission schreibt in ihren Fragen und Antworten zur KI-Kompetenz, Art. 4 bleibe eine Pflicht für Anbieter und Betreiber, nur ohne vorgeschriebenes Niveau. Wer Hochrisiko-KI einsetzt, etwa in der Bewerberauswahl, muss die Personen, die die menschliche Aufsicht führen, weiterhin ausdrücklich schulen. Diese Pflicht steht in Art. 26 und ist vom Omnibus nicht berührt.

Sanktion und Haftung#

Der AI Act sieht für Art. 4 keine verwaltungsstrafrechtliche Sanktion vor. Die RTR weist aber auf den zweiten Weg hin: Fehlende Mitarbeiterschulungen seien „idR auch außerhalb des AI Acts nach § 1313a ABGB dem Unternehmer zurechenbar“. Entsteht ein Schaden, weil jemand KI ohne Verständnis ihrer Grenzen eingesetzt hat, etwa eine erfundene Rechtsauskunft an einen Kunden weitergibt, präzisiert Art. 4, dass eine Schulung geschuldet gewesen wäre. Die Dokumentation ist deshalb kein Formular für die Behörde, sondern der Beleg für den Fall, dass etwas schiefgeht.

Wer in Österreich Art. 4 überwacht, war zum Stand der RTR-Antworten nicht festgelegt: Es gebe „noch keine nationale Umsetzung der Zuständigkeiten des AI Acts in Österreich“, auch nicht für die Marktüberwachungsbehörden.

Der Schulungsplan in fünf Schritten#

Die RTR schlägt als ersten Schritt zwei Dinge vor: erheben, welche KI-Systeme im Unternehmen schon eingesetzt werden, und festlegen, wie das Unternehmen KI künftig nutzen will. Daraus ergibt sich der Plan.

1. Bestand aufnehmen. Welche Dienste werden genutzt, von wem, wofür, mit welchen Daten? Dazu gehören auch die Dienste, die niemand freigegeben hat. Wie man das herausfindet, ohne Mitarbeitende zu überwachen, steht in Schatten-KI im Betrieb.
2. Gruppen bilden. Nicht alle brauchen dasselbe. Die RTR sagt ausdrücklich, dass nicht jeder Mitarbeitende im gleichen Ausmaß über KI-Kompetenz verfügen muss. Sinnvoll sind meist drei Gruppen: alle, die KI gelegentlich nutzen; die, deren KI-Ergebnisse den Betrieb verlassen, an Kunden, in Angebote, in Texte auf der Website; und die, die Dienste auswählen und Regeln festlegen.
3. Inhalte festlegen. Die RTR nennt fünf Bereiche: den Unternehmenskontext mit Strategie und Richtlinien, digitale Grundlagen, das Verständnis von KI samt „Bias, Halluzinationen, Bedeutung von Trainingsdaten“, die praktische Nutzung der konkreten Systeme, etwa Prompting für Text-KI, und die rechtlichen Aspekte von Datenschutz über Arbeitsrecht bis Urheberrecht. Die Kommission ergänzt: Wer Werkzeuge wie ChatGPT einsetzt, soll über deren besondere Risiken informieren, zum Beispiel Halluzinationen.
4. Form wählen. Interne Schulung, E-Learning, Workshop oder externer Kurs sind gleichwertig. Entscheidend ist, dass der Inhalt zu den Diensten passt, die tatsächlich genutzt werden.
5. Wiederholen, wenn sich etwas ändert. Ein neuer Dienst, eine neue Funktion wie ein Agent mit Zugriff aufs Postfach, ein neuer Mitarbeiter. Einen festen Rhythmus schreibt niemand vor.

Was in den Nachweis gehört#

Die RTR rät, für jede betroffene Person „zumindest Folgendes im Personalakt festzuhalten“: Art der Schulung, bei externen den Veranstalter, Inhalt und Ziel, Zeitpunkt und Wiederholungen. Eine Tabelle reicht, hier mit einer ausgedachten Beispielzeile:

Dazu empfiehlt die RTR drei Dokumente, die nicht lang sein müssen: eine schriftliche KI-Strategie, also wofür der Betrieb KI nutzen will und wofür nicht; eine interne KI-Richtlinie mit Rollen und freigegebenen Diensten; und ein Schulungskonzept, das die Gruppen und Inhalte von oben festhält. Für die Richtlinie bietet die WKO Muster an.

Kostenlose Quellen#

• KI-Servicestelle der RTR: Erklärungen zur KI-Verordnung auf Deutsch, Antworten auf häufige Fragen, die Seite zur KI-Kompetenz mit den fünf Inhaltsbereichen.
• WKO: KI: Leitfaden und Muster-KI-Richtlinien, auf die die RTR verweist.
• EU-Kommission: Living Repository zur KI-Kompetenz: Beispiele, wie Organisationen Art. 4 umsetzen. Die Kommission weist darauf hin, dass das Nachmachen eines Beispiels nicht automatisch als erfüllt gilt.
• Digitale Kompetenzen Österreich: der Kompetenzrahmen DigComp 2.3 AT, auf den die RTR für die digitalen Grundlagen verweist.

Wer die Schulung zu Datenschutz selbst vorbereitet, findet die Unterschiede zwischen Privat- und Geschäftstarifen der großen Dienste in ChatGPT, Claude, Copilot: Datenschutz im Vergleich. Das ist der Teil, an dem in kleinen Betrieben am häufigsten etwas schiefgeht.

Was nicht hilft#

Ein „KI-Führerschein“ für alle, der mit den eigenen Diensten nichts zu tun hat. Art. 4 verlangt, Kenntnisse, Erfahrung und Einsatzkontext zu berücksichtigen. Ein allgemeiner Kurs ohne Bezug zu den Werkzeugen im Betrieb deckt das nur teilweise ab.

Eine Unterschrift unter „Ich habe die KI-Richtlinie gelesen“. Das belegt, dass ein Papier verteilt wurde, nicht, dass jemand die Grenzen der Werkzeuge kennt.

KI verbieten, um sich die Schulung zu sparen. Die Nutzung wandert dann aufs private Handy, und das Risiko bleibt im Betrieb.

Warten, bis eine Behörde zuständig ist. Die Pflicht gilt schon, und die Haftung hängt nicht an der Aufsicht.

Häufige Fragen#

Wenn du es nicht selbst machen willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol. Ich verkaufe keinen KI-Führerschein und kein Zertifikat. Wer einen KI-Ablauf im Betrieb einführt, bekommt beim Paket Ein Ablauf, fertig die Einschulung für genau diesen Ablauf dazu, mit den Grenzen des Werkzeugs und einem Prüfschritt vor allem, was nach außen geht. Den Bestand aus Schritt 1 und die Datenschutzfragen klärt der KI-Check.

Stand 05.10.2026. Verordnung, RTR-Seiten und Kommissionsantworten an diesem Tag abgerufen.