EU AI Act umsetzen: Checkliste, Rollen und KI-Kompetenz-Pflicht
Die Übersicht kennen die meisten — bei der Umsetzung hakt es. Dieser Praxis-Leitfaden liefert die 6-Punkte-Checkliste, klärt die Rollen und erklärt die oft übersehene KI-Kompetenz-Pflicht aus Artikel 4.
Den EU AI Act setzt man im Mittelstand über eine 6-Punkte-Checkliste um: KI-Inventar erstellen, Risikoklassen zuordnen, Rollen benennen, KI-Kompetenz nach Artikel 4 schulen, Transparenz und Dokumentation umsetzen, Monitoring aufsetzen. Die Gesamtverantwortung trägt die Geschäftsführung; IT, Datenschutz und Fachbereiche teilen sich die Umsetzung. Die oft übersehene KI-Kompetenz-Pflicht (Art. 4) gilt bereits seit Februar 2025 ohne Übergangsfrist — für jedes Unternehmen, das KI nutzt. Sie verlangt, die KI-Kompetenz der Mitarbeitenden zu fördern; ein bestimmtes Niveau schreibt die Verordnung nicht vor.
Stand: Oktober 2026, nach der Änderungsverordnung (EU) 2026/1744 (Digital Omnibus). Dieser Beitrag ist eine Einordnung, keine Rechtsberatung.
Die Risikoklassen, die Fristen, die Bußgelder — das alles ist inzwischen bekannt. Die eigentliche Frage im Mittelstand lautet längst nicht mehr „Was steht im EU AI Act?“, sondern: Wer macht jetzt konkret was — und wie weisen wir das nach?
Dieser Beitrag liefert eine abhakbare 6-Punkte-Checkliste, verteilt die Verantwortlichkeiten auf klare Rollen und beleuchtet die Pflicht, die am häufigsten übersehen wird: die KI-Kompetenz-Pflicht aus Artikel 4, die schon seit Februar 2025 ohne Übergangsfrist gilt.
Die übersehene Pflicht: KI-Kompetenz nach Artikel 4
Während alle auf die Hochrisiko-Fristen schauen, die der Digital Omnibus auf Dezember 2027 und August 2028 verschoben hat, gilt eine Pflicht schon heute: Artikel 4 gilt seit dem 2. Februar 2025. In der Fassung der Änderungsverordnung (EU) 2026/1744 verpflichtet er Unternehmen, Maßnahmen zu ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden zu fördern, unabhängig von der Risikoklasse und ohne Übergangsfrist. Ein bestimmtes Kompetenzniveau schreibt die Verordnung nicht vor.
Das betrifft praktisch jedes Unternehmen, in dem ChatGPT, Copilot oder ein KI-gestütztes Tool genutzt wird. Ziel ist, dass Mitarbeitende verstehen, wie die KI funktioniert, wo ihre Grenzen liegen und welche Risiken entstehen. Rollenspezifische Schulungen sind dafür eine geeignete Maßnahme, und ihre Dokumentation zeigt im Zweifel, was das Unternehmen getan hat.
Woran die Umsetzung im Mittelstand scheitert
Niemand ist klar verantwortlich — Compliance liegt zwischen IT, Datenschutz und Geschäftsführung.
Die KI-Kompetenz-Pflicht (Art. 4) ist unbekannt, obwohl sie bereits gilt.
Schulungen finden statt, werden aber nicht dokumentiert. Im Prüfungsfall lässt sich dann nicht zeigen, was das Unternehmen getan hat.
Es fehlt eine abhakbare Checkliste; die Übersicht bleibt abstrakt.
Von der Pflicht zur Audit-Readiness.
Nach dem KI-Inventar werden Rollen verteilt, die KI-Kompetenz nach Artikel 4 gefördert und alles dokumentiert, bis das Unternehmen prüfsicher ist.
EU AI Act Checkliste: die sechs Punkte für den Mittelstand
KI-Inventar erstellen
Alle eingesetzten KI-Systeme erfassen — inklusive eingekaufter Tools wie ChatGPT, Copilot oder Scoring-Modelle. Ohne vollständiges Inventar ist keine Bewertung möglich.
Risikoklassen zuordnen
Jedes System einer der vier Klassen zuordnen (verboten, hoch, begrenzt, minimal). Die meisten Mittelstands-Anwendungen sind begrenzt oder minimal.
Rollen benennen
Verantwortlichkeiten festlegen: Geschäftsführung trägt die Gesamtverantwortung, IT die Technik, Datenschutz die rechtliche Bewertung, Fachbereich den Einsatz.
KI-Kompetenz aufbauen (Art. 4)
Die KI-Kompetenz der Mitarbeitenden fördern: rollenspezifisch zu Funktionsweise, Grenzen und Risiken der genutzten KI schulen und die Schulungen dokumentieren. Diese Pflicht gilt seit Februar 2025.
Transparenz & Doku umsetzen
Nutzer auf KI-Interaktion hinweisen, Transparenzpflichten erfüllen und alle Nachweise strukturiert ablegen.
Monitoring & Audit-Readiness
Laufende Überwachung etablieren, Schulungen bei neuen Systemen wiederholen, Dokumentation aktuell halten — damit Sie jederzeit prüfsicher sind.
Die Checkliste zum Abhaken: Verantwortung und Nachweis je Punkt
Eine Checkliste ist erst dann prüfsicher, wenn zu jedem Punkt feststeht, wer ihn verantwortet und welches Dokument ihn belegt. Diese sechs Unterlagen sollten im Prüfungsfall griffbereit sein.
| Punkt | Verantwortlich | Nachweis |
|---|---|---|
| 01KI-Inventar erstellen | IT / KI-Team | Liste aller KI-Systeme mit Zweck, Anbieter und Nutzergruppe — auch eingekaufte Tools wie ChatGPT oder Copilot. |
| 02Risikoklassen zuordnen | Datenschutz / Compliance | Klassifizierung je System (verboten, hoch, begrenzt, minimal) mit kurzer Begründung. |
| 03Rollen benennen | Geschäftsführung | Mandat und Benennung der koordinierenden Person, Verantwortungsmatrix über die vier Rollen. |
| 04KI-Kompetenz aufbauen (Art. 4) | Geschäftsführung, Fachbereiche | Schulungsdokumentation je Rolle: Teilnehmende, Inhalte, Datum. Art. 4 gilt seit Februar 2025 und verlangt Maßnahmen zur Förderung, kein bestimmtes Kompetenzniveau. |
| 05Transparenz & Doku umsetzen | IT / KI-Team, Fachbereiche | Transparenzhinweise gegenüber Nutzern; strukturierte Ablage aller Nachweise an einem Ort. |
| 06Monitoring & Audit-Readiness | KI-Koordinator | Wiederholungsplan für Schulungen bei neuen Systemen oder Mitarbeitenden, Änderungsprotokoll des Inventars. |
Wer macht was? Die vier Rollen
| Rolle | Verantwortung im EU AI Act |
|---|---|
| Geschäftsführung | Trägt die Gesamtverantwortung, gibt Budget und Mandat frei, benennt den KI-Koordinator. |
| IT / KI-Team | Kennt die Systeme technisch, pflegt das KI-Inventar, setzt Transparenz- und Monitoring-Maßnahmen um. |
| Datenschutz / Compliance | Bewertet rechtlich, ordnet Risikoklassen zu, integriert den EU AI Act in das bestehende GRC-System. |
| Fachbereiche | Kennen den konkreten KI-Einsatz, melden neue Tools, nehmen an den Kompetenz-Schulungen teil. |
EU AI Act umsetzen — in Zahlen
Der pragmatische Weg zur KI-Kompetenz: der Workshop
Für die Kompetenz-Pflicht aus Artikel 4 ist ein strukturierter KI-Workshop eine schnelle, geeignete Maßnahme, wenn er drei Dinge leistet: rollenspezifische Inhalte (Geschäftsführung braucht anderes Wissen als die Sachbearbeitung), praktische Vermittlung von Funktionsweise, Grenzen und Risiken der konkret genutzten Tools — und eine saubere Dokumentation von Teilnehmern, Inhalten und Datum.
Genau so wird aus einer Pflicht ein dokumentierter Baustein der Audit-Readiness. Die Teilnahmebescheinigung hilft bei dieser Dokumentation. Wichtig ist die Wiederholung: Kommen neue KI-Systeme oder neue Mitarbeitende hinzu, sollte die Schulung aktualisiert werden.
Für wen ist dieser Leitfaden gedacht?
Geschäftsführer, die wissen wollen, wer im Haus die EU-AI-Act-Verantwortung trägt
Compliance- und Datenschutzbeauftragte, die eine konkrete Checkliste brauchen
IT-Leiter, die KI-Inventar und Kompetenz-Schulungen aufsetzen müssen
Personalverantwortliche, die die KI-Kompetenz nach Art. 4 im Haus fördern und dokumentieren
Technologie-Stack
KI-Kompetenz im Team fördern und dokumentieren?
Wir schulen Ihr Team rollenspezifisch im Sinne von Artikel 4. Die Teilnahmebescheinigung hilft bei Ihrer Dokumentation. Pragmatisch statt bürokratisch.
Workshop anfragen