KIVENTIS · B2B KI-Enablement DACH & APAC
Seit dem 2. Februar 2025 gilt für alle Betreiber von KI-Systemen in der EU die gesetzliche Schulungspflicht nach Artikel 4. Erfahren Sie, welche Pflichten KMU treffen, wie Sie Shadow AI verhindern und Audits gelassen begegnen.
Die europäische KI-Verordnung (EU AI Act, Verordnung (EU) 2024/1689) ist das weltweit erste umfassende Gesetzeswerk zur Regulierung von künstlicher Intelligenz. Während die Medien oft über Milliardenstrafen für Tech-Konzerne berichten, übersehen viele mittelständische Geschäftsführer, dass wesentliche Pflichten bereits 2025 und 2026 in Kraft treten.
Der Stufenplan gliedert sich in vier zentrale Meilensteine: Seit dem 2. Februar 2025 sind unzulässige KI-Praktiken (Art. 5) strikt untersagt und die systematische Schulungspflicht zur KI-Kompetenz (Art. 4 AI Literacy) ist bereits rechtsverbindlich in Kraft. Ab dem 2. August 2025 greifen die Bestimmungen für General-Purpose-AI-Modelle (GPAI). Ab August 2026 greifen die vollumfänglichen Dokumentations-, Risikomanagement- und CE-Kennzeichnungspflichten für Hochrisikosysteme gemäß Anhang III.
Artikel 4 des EU AI Act besagt unmissverständlich: Bereitsteller und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Dies muss unter Berücksichtigung der technischen Kenntnisse, der Erfahrung, der Ausbildung und des Kontexts der KI-Systeme geschehen.
In der Praxis bedeutet das: Ein bloßer Passus im Arbeitsvertrag oder ein fünfminütiges Informationsblatt genügen bei einer behördlichen Prüfung oder einem Datenschutzvorfall nicht. Unternehmen müssen dokumentieren, wer wann zu welchen Themen (Halluzinationserkennung, Urheberrecht, Datensensibilität, Prompting-Grenzen) geschult wurde.
In über 80 % der von uns analysierten Mittelstandsbetriebe nutzen Mitarbeiter bereits KI-Tools – allerdings unreguliert über private Accounts („Shadow AI“). Aus Bequemlichkeit werden Vertriebsangebote, Bilanzen, Quellcode oder juristische Verträge in Browser-Fenster kopiert.
Wird dabei ein kostenloses Consumer-Modell verwendet, fließen diese Daten in den Trainingskorpus der Betreiber ab. Dies verletzt nicht nur die DSGVO (Art. 28 Auftragsverarbeitung), sondern gefährdet Geschäftsgeheimnisse und verstößt gegen die Grundsätze der KI-Verordnung.
Schritt 1 – Inventur & Risikoklassifizierung: Erfassen Sie in einer internen Matrix alle verwendeten KI-Assistenten und stufen Sie diese ein (Minimales Risiko vs. Spezifisches Transparenzrisiko vs. Hochrisiko).
Schritt 2 – Klare Nutzungsrichtlinien & Enterprise-Zugänge: Ersetzen Sie unregulierte Privat-Accounts durch datenschutzkonforme Unternehmens-Lizenzen mit vertraglich garantiertem Zero-Data-Retention.
Schritt 3 – Zertifizierte Mitarbeiterschulung: Führen Sie strukturierte Trainings durch, die nicht nur theoretische Paragrafen behandeln, sondern den konkreten, fehlerfreien Workflow der jeweiligen Fachabteilung festigen.