KI-Kompetenz ist eine betriebliche Organisationspflicht

Unternehmen müssen weiterhin Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu fördern. Die europäische Neuregelung schwächt diese Pflicht nicht ab, sondern präzisiert sie. Zugleich zeigt sich eine überraschende Sanktionslücke: Ein Verstoß gegen Art. 4 KI-VO ist in Deutschland derzeit nicht eindeutig mit einem eigenen Bußgeldtatbestand unterlegt.

Die Rechtslage erklärt der Bremer Fachanwalt für Arbeitsrecht Klaus-Dieter Franzen vom VDAA - Verband deutscher ArbeitsrechtsAnwälte e. V. mit Sitz in Stuttgart.

Worum geht es rechtlich

Seit dem 27. Juli 2026 gilt die durch die Verordnung (EU) 2026/1744 geänderte Fassung der europäischen KI-Verordnung. Der sogenannte Digital Omnibus verändert unter anderem die Pflicht zur KI-Kompetenz, die Sanktionsregelungen und die Anwendungsfristen für Hochrisiko-KI-Systeme. Parallel dazu ist am 29. Juli 2026 das deutsche KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz, kurz KI-MIG, in Kraft getreten. Es legt insbesondere die Behördenzuständigkeiten, das Beschwerdeverfahren, nationale Bußgeldtatbestände und Maßnahmen zur Innovationsförderung fest.

Für Arbeitgeber sind beide Regelungsebenen wichtig. Die KI-Verordnung bestimmt, welche Pflichten beim betrieblichen Einsatz von KI bestehen. Das KI-MIG regelt, welche deutschen Behörden diese Pflichten überwachen und welche nationalen Durchsetzungsinstrumente zur Verfügung stehen.

Was gilt aktuell und warum

KI-Kompetenz bleibt verpflichtend

Nach der neuen Fassung des Art. 4 KI-VO müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und weiterer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Zu berücksichtigen sind deren technische Kenntnisse, Erfahrung, Aus- und Fortbildung, der konkrete Einsatzkontext sowie die Personen, auf die das System angewendet wird. Das Unternehmen muss allerdings nicht garantieren, dass jede Person ein bestimmtes Kompetenzniveau erreicht.

Damit wird aus der bisherigen, teilweise als Erfolgspflicht verstandenen Regelung eine klarere Handlungspflicht. Das Unternehmen schuldet kein bestimmtes Lernergebnis. Es muss aber angemessene Maßnahmen planen, durchführen und im Streitfall nachvollziehbar darlegen können. Eine bloße Freigabe von KI-Software ohne Einweisung genügt regelmäßig nicht. Ebenso wenig reicht für jeden Einsatzbereich dieselbe allgemeine Online-Schulung.

Der Umfang richtet sich nach dem Risiko des Einsatzes. Wer lediglich Texte sprachlich überarbeiten lässt, benötigt andere Kenntnisse als eine Personalabteilung, die KI zur Vorauswahl von Bewerbungen, zur Leistungsbewertung oder zur Vorbereitung personeller Entscheidungen einsetzt. Gerade bei Personalentscheidungen müssen die zuständigen Personen mögliche Verzerrungen, Diskriminierungsrisiken, Grenzen der Aussagekraft und die Notwendigkeit menschlicher Kontrolle verstehen.

Kein automatisches Millionenbußgeld bei Verstößen gegen Art. 4

Die zunächst naheliegende Annahme, ein Verstoß gegen Art. 4 KI-VO unterliege nun unmittelbar dem Bußgeldrahmen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, trifft nicht zu. Die Verordnung (EU) 2026/1744 hat Art. 4 nicht in die Tatbestände des Art. 99 Abs. 4 KI-VO aufgenommen. Ergänzt wurden dort lediglich bestimmte Verpflichtungen aus Art. 25 KI-VO.

Allerdings verpflichtet die neue Fassung des Art. 99 Abs. 1 KI-VO die Mitgliedstaaten, für jeden Verstoß gegen die KI-Verordnung wirksame, verhältnismäßige und abschreckende Sanktionen oder andere Durchsetzungsmaßnahmen vorzusehen. Genannt werden Geldbußen, Verwarnungen und nicht monetäre Maßnahmen. Diese Regelung ist ein Auftrag an die Mitgliedstaaten. Sie schafft für sich genommen aber keinen hinreichend bestimmten deutschen Bußgeldtatbestand.

Auch § 15 KI-MIG nennt Art. 4 KI-VO nicht. Die Vorschrift erfasst nur einzelne ausdrücklich aufgeführte Verstöße, etwa gegen Informationspflichten, die Grundrechte-Folgenabschätzung und das Recht auf Erläuterung bestimmter Entscheidungen. Nach § 3 OWiG darf eine Handlung nur dann als Ordnungswidrigkeit geahndet werden, wenn die Ahndungsmöglichkeit vor der Handlung gesetzlich bestimmt war. Daher spricht derzeit viel dafür, dass die Verletzung von Art. 4 KI-VO in Deutschland nicht mit einem eigenständigen Bußgeld geahndet werden kann.

Folgenlos ist die Pflichtverletzung trotzdem nicht. Sie kann Gegenstand einer Beschwerde oder behördlichen Prüfung werden. Sie kann außerdem bei der Bewertung der betrieblichen Organisation, der menschlichen Aufsicht oder anderer Verstöße Bedeutung erlangen. Die Diskrepanz zwischen dem erweiterten europäischen Sanktionsauftrag und dem bereits verabschiedeten deutschen Bußgeldkatalog dürfte zudem weiteren gesetzgeberischen Klärungsbedarf auslösen. Das ist eine rechtliche Bewertung auf Grundlage der derzeit geltenden Fassungen.

Weitere Änderungen der KI-Verordnung

Für die betriebliche Praxis wichtig ist die Verschiebung der besonderen Anforderungen an Hochrisiko-KI-Systeme. Die Pflichten für Systeme nach Anhang III gelten nun grundsätzlich ab dem 2. Dezember 2027. Dazu gehören insbesondere KI-Systeme für die Einstellung und Auswahl von Beschäftigten, für Entscheidungen über Arbeitsbedingungen, Beförderungen oder Kündigungen sowie für die Aufgabenverteilung und Leistungsüberwachung. Für Hochrisiko-KI-Systeme, die Bestandteil regulierter Produkte sind, gilt grundsätzlich der 2. August 2028.

Die Verschiebung ist kein Freibrief. Art. 4 KI-VO, die DSGVO, das Allgemeine Gleichbehandlungsgesetz und das Betriebsverfassungsrecht gelten unabhängig von den späteren Hochrisikofristen. Unternehmen sollten geplante HR-Systeme deshalb nicht bis Ende 2027 ungeprüft einsetzen.

Neu ist außerdem Art. 4a KI-VO. Die Vorschrift erlaubt unter engen Voraussetzungen die Verarbeitung besonderer Kategorien personenbezogener Daten, wenn dies zur Erkennung und Korrektur von Verzerrungen erforderlich ist. Dazu gehören etwa Gesundheitsdaten oder Angaben, aus denen die ethnische Herkunft hervorgeht. Die Ausnahme ist auf das notwendige Maß begrenzt und an besondere Schutzvorkehrungen gebunden. Sie ersetzt weder die datenschutzrechtliche Prüfung noch die Pflicht zur Datenminimierung.

Das KI-MIG schafft die deutsche Aufsichtsstruktur

Zentrale Marktüberwachungsbehörde wird grundsätzlich die Bundesnetzagentur. Ausnahmen bestehen insbesondere für regulierte Produkte, Finanzunternehmen und einzelne fachgesetzlich beaufsichtigte Bereiche. Bei der Bundesnetzagentur werden außerdem eine zentrale Anlaufstelle, ein Koordinierungs- und Kompetenzzentrum sowie eine zentrale Beschwerdestelle eingerichtet.

Das Kompetenzzentrum soll allgemeine Informationen, Prüfempfehlungen sowie vorbereitete Schulungs- und Sensibilisierungsangebote bereitstellen. Hinzu kommen Informationsangebote der Bundesnetzagentur, Maßnahmen zum Wissensaufbau und mindestens ein KI-Reallabor. Unternehmen erhalten dadurch Orientierung und Erprobungsmöglichkeiten. Eine verbindliche Vorabfreigabe eines konkreten betrieblichen KI-Einsatzes ist damit jedoch nicht verbunden.

Das KI-MIG erweitert zudem das Hinweisgeberschutzgesetz. Meldungen über Verstöße gegen die KI-Verordnung fallen nun in dessen sachlichen Anwendungsbereich. Unternehmen müssen deshalb ihre internen Meldestellen, Fallkategorien und Zuständigkeiten anpassen. Hinweise auf fehlende KI-Schulungen, diskriminierende HR-Systeme oder unzulässige KI-Praktiken dürfen nicht als rein technische Beschwerden behandelt werden.

Typische Fehler in der Praxis

Ein häufiger Fehler ist die Gleichsetzung von KI-Kompetenz mit einer einmaligen Standardschulung. Art. 4 verlangt eine am konkreten Einsatz orientierte Maßnahme. Beschäftigte in Personalabteilung, IT, Einkauf und Führung benötigen unterschiedliche Inhalte.

Ebenso problematisch ist es, nur offiziell beschaffte KI-Systeme zu betrachten. Auch frei verfügbare Chatbots oder in Standardsoftware integrierte KI-Funktionen können betriebliche Daten verarbeiten. Ohne klare Nutzungsregeln entsteht eine schwer kontrollierbare Schattennutzung.

Ein weiterer Fehler besteht darin, die verschobenen Hochrisikofristen als allgemeine Übergangsfrist zu verstehen. Datenschutz, Diskriminierungsschutz, Mitbestimmung und KI-Kompetenz sind bereits heute zu beachten.

Was heißt das für die Praxis

Arbeitgeber sollten zunächst sämtliche eingesetzten oder geduldeten KI-Anwendungen erfassen. Zu jedem System sind Zweck, Nutzergruppen, Datenarten, betroffene Personen und mögliche Auswirkungen zu dokumentieren. Darauf sollte eine Kompetenzmatrix aufbauen. Sie legt fest, welche Kenntnisse Beschäftigte für den jeweiligen Anwendungsfall benötigen.

Grundschulungen sollten Funktionsweise und Grenzen generativer KI, mögliche Fehler, den Schutz vertraulicher Daten und die Pflicht zur Kontrolle von Ergebnissen behandeln. Personalverantwortliche benötigen zusätzlich Kenntnisse zu Diskriminierungsrisiken, Datenschutz, menschlicher Letztentscheidung und Dokumentation. IT, Einkauf und Systemverantwortliche müssen insbesondere Anbieterinformationen, Protokollierung, Zugriffsrechte und technische Änderungen bewerten können.

Anordnung und Durchführung der Schulungen sind auch arbeitsrechtlich zu gestalten. Verpflichtende, vom Arbeitgeber veranlasste Fortbildungen sind grundsätzlich als Arbeitszeit zu behandeln. Der Europäische Gerichtshof hat dies auch für angeordnete Fortbildungen außerhalb des üblichen Arbeitsorts und der regulären Arbeitszeit bestätigt. EuGH vom 28.10.2021 – C-909/19.

Besteht ein Betriebsrat, ist dieser frühzeitig einzubeziehen. Bei der Planung von Arbeitsverfahren unter Einsatz von KI greifen die Unterrichtungs- und Beratungsrechte aus § 90 BetrVG. Bei betrieblichen Bildungsmaßnahmen kommen die Beteiligungsrechte aus §§ 96 bis 98 BetrVG hinzu. Setzt das Unternehmen KI für Personalfragebögen, Beurteilungsgrundsätze oder Auswahlrichtlinien ein, sind außerdem §§ 94 und 95 BetrVG zu prüfen. Bei Systemen, die Verhalten oder Leistung überwachen können, kann § 87 Abs. 1 Nr. 6 BetrVG einschlägig sein.

Wichtigste Erkenntnisse und konkrete Tipps

Die Pflicht zur Förderung der KI-Kompetenz bleibt bestehen. Sie verlangt keine Erfolgsgarantie, wohl aber ein angemessenes und risikobasiertes Schulungskonzept. Ein eindeutiger eigener Bußgeldtatbestand für Art. 4 KI-VO fehlt derzeit im deutschen KI-MIG. Unternehmen sollten daraus keine Entwarnung ableiten. Beschwerden, Aufsichtsprüfungen, Hinweisgebermeldungen und mögliche spätere Gesetzesänderungen schaffen weiterhin erheblichen Handlungsdruck.

Für die Praxis empfiehlt sich ein dokumentiertes System aus KI-Inventar, Rollen- und Risikobewertung, zielgruppengerechten Schulungen, klaren Nutzungsregeln und regelmäßiger Aktualisierung. Personalabteilung, Datenschutz, Informationssicherheit, Compliance und Betriebsrat sollten dabei gemeinsam eingebunden werden.

Für Rückfragen steht Ihnen zur Verfügung:
Klaus-Dieter Franzen
Rechtsanwalt
Fachanwalt für Arbeitsrecht
Zertifizierter Datenschutzbeauftragter (DSB-TÜV)
--- --- --- --- --- --- --- --- --- --- --- --- --- --- --- --- ---
FranzenLegal
Altenwall 6
D-28195 Bremen
Telefon: +49 (0) 421 33 78 413
Telefax: +49 (0) 421 33 78 416
www.franzen-legal.de
«  zurück