Vom realen Einsatz statt vom Kurskatalog ausgehen
Der erste Schritt ist eine Bestandsaufnahme der tatsächlich genutzten KI-Systeme. Dazu gehören freigegebene Anwendungen, eingebettete Funktionen, Pilotprojekte und typische Schattennutzung. Für jeden Einsatz sind Aufgabe, Nutzer, Daten, Entscheidungseinfluss und mögliche Schäden zu beschreiben. Ohne dieses Bild kann ein Standardkurs zwar allgemeine Begriffe vermitteln, aber weder konkrete Fehlhandlungen adressieren noch angemessene Schutzmaßnahmen begründen.
Die Bestandsaufnahme muss nicht technisch perfekt sein, sollte aber priorisieren können. Ein Schreibassistent für öffentliche Marketingtexte hat andere Lern- und Kontrollbedarfe als ein System, dessen Ausgaben Personalentscheidungen beeinflussen. Ebenso unterscheiden sich Eigenentwicklung, Konfiguration und bloße Nutzung eines Dienstes. Ziel ist eine System-Rollen-Risiko-Matrix, aus der Lernziele und ergänzende organisatorische Maßnahmen abgeleitet werden.
- Freigegebene, eingebettete und informell genutzte Systeme erfassen
- Aufgaben, Daten, Betroffene und Fehlfolgen beschreiben
- System-Rollen-Risiko-Matrix als Ausgangspunkt erstellen
Basismodul und Rollenvertiefung kombinieren
Ein Basismodul kann gemeinsame Begriffe, interne Regeln, erlaubte Werkzeuge, Datenschutz, Geheimnisschutz, kritische Output-Prüfung und Meldewege vermitteln. Es schafft ein gemeinsames Mindestverständnis, darf aber nicht alle Zielgruppen gleich behandeln. Leitung, allgemeine Nutzer, Power-User, Entwicklung, Beschaffung, Datenschutz und menschliche Aufsicht benötigen unterschiedliche Entscheidungskompetenzen und praktische Beispiele.
Rollenvertiefungen sollten an realen Arbeitsabläufen ansetzen. Einkauf übt das Prüfen von Anbieterunterlagen, Nutzer erkennen ungeeignete Eingaben und unsichere Ausgaben, Technik behandelt Überwachung und Änderungen, Leitung entscheidet über Risikoappetit und Ressourcen. Externe Personen, die im Auftrag des Anbieters oder Betreibers handeln, sind anhand ihrer Aufgaben einzubeziehen. Ein Kursname allein ersetzt kein nachvollziehbares Rollenmodell.
- Gemeinsame Grundregeln im Basismodul vermitteln
- Vertiefungen an Aufgaben und Entscheidungsrechten ausrichten
- Externe Auftragnehmer nach tatsächlicher Funktion einbeziehen
Quellen: [2]
Kompetenzmaßnahmen mit Prozess und Technik verzahnen
Art. 4 ist nicht auf formale Schulungen beschränkt. Geeignete Kompetenzmaßnahmen können Microlearning, Checklisten, Nutzungshinweise, Übungsfälle, Sprechstunden und Communities of Practice umfassen. Technische Warnungen, gesperrte Datenfelder und Freigabeprozesse können sie als eigenständige Schutzebenen ergänzen. Ein guter Mix verbindet Wissen mit einer Arbeitsumgebung, in der erwünschtes Verhalten möglich und unerwünschtes Verhalten erkennbar oder technisch begrenzt ist.
Die Auswahl folgt dem konkreten Problem. Wenn Beschäftigte sensible Daten versehentlich in ein Werkzeug eingeben, können klare Regeln, voreingestellte Schutzfunktionen und praktische Übungen zusammenwirken. Wenn menschliche Prüfer automatisierte Empfehlungen ungeprüft übernehmen, braucht es Verständnis von Grenzen, Zeit für Kontrolle und echte Eingriffsbefugnis. Schulung kann fehlende Berechtigungen, unrealistische Arbeitslast oder ungeeignete Systemgestaltung nicht kompensieren.
- Wissens-, Prozess- und Technikmaßnahmen kombinieren
- Maßnahme an konkretem Fehlverhalten ausrichten
- Strukturelle Hindernisse nicht zur Schulungsfrage umetikettieren
Intensität am Risiko ausrichten
Verhältnismäßigkeit bedeutet weder Minimalprogramm noch maximale Schulungsmenge. Umfang und Tiefe hängen von Vorwissen, Häufigkeit der Nutzung, Komplexität, Entscheidungseinfluss, Daten und möglichem Schaden ab. Seltene, aber schwerwiegende Risiken können intensive Übungen rechtfertigen. Häufige einfache Nutzung kann kurze, direkt im Arbeitsablauf platzierte Hinweise erfordern. Die Begründung sollte verständlich dokumentiert werden.
Für personalbezogene oder sicherheitskritische Anwendungen können systemspezifische Fallübungen, beaufsichtigte Praxis, Leistungsnachweise und wiederkehrende Aktualisierung angemessen sein. Bei einfacher Textassistenz reichen möglicherweise ein fokussiertes Basismodul, klare Grenzen und Stichproben. Diese Beispiele sind keine starren Kategorien. Entscheidend bleibt, ob der Maßnahmenmix die Personen in ihrer konkreten Aufgabe unterstützt und erkannte Risiken wirksam adressiert.
- Nutzungsfrequenz und Schadenshöhe gemeinsam bewerten
- Hochwirksame Rollen mit praxisnahen Übungen vorbereiten
- Schlanke Maßnahmen bei geringem Risiko begründet einsetzen
Quellen: [2]
Scheinerfüllung erkennen und vermeiden
Eine unterschriebene Teilnehmerliste beweist nur Teilnahme. Auch das Hochladen einer langen Anleitung in ein Intranet zeigt nicht, dass sie gefunden, verstanden oder angewendet wird. Warnzeichen sind identische Inhalte für alle Rollen, fehlender Systembezug, keine Zeit für Fragen, keine praktischen Übungen und unveränderte Fehler nach Abschluss. Die Hinweise und Praxisbeispiele der Kommission sprechen für kontextbezogene statt rein formaler Ansätze.
Wirksamkeit lässt sich ohne Prüfungsbürokratie beobachten. Kurze Szenariofragen, Stichproben von Arbeitsprodukten, Auswertung von Rückfragen, dokumentierte Übersteuerungen und Vorfallanalysen liefern Hinweise. Kennzahlen müssen vorsichtig interpretiert werden: Mehr Meldungen können auf bessere Aufmerksamkeit statt mehr Fehler hinweisen. Deshalb sollten quantitative Werte mit qualitativen Beobachtungen und Rückmeldungen der betroffenen Rollen verbunden werden.
- Teilnahme, Verständnis und Anwendung getrennt betrachten
- Szenarien und Arbeitsproben statt reiner Klickbestätigung nutzen
- Kennzahlen im Kontext interpretieren
Management und Fachbereiche verbinden
Die Unternehmensleitung legt Risikoappetit, Verantwortlichkeiten, Ressourcen und verbindliche Grenzen fest. Management-Sparring kann Zielkonflikte sichtbar machen, etwa zwischen schneller Einführung und notwendiger Kontrolle. Fachbereiche übersetzen diese Leitplanken in konkrete Abläufe, Beispiele und Eskalationswege. HR oder Personalentwicklung koordiniert Formate, sollte aber fachliche und rechtliche Verantwortung nicht allein übernehmen.
Der Maßnahmenmix braucht einen Verbesserungszyklus. Neue Systeme, Modellwechsel, geänderte Rollen, Vorfälle und Rechtsänderungen lösen eine Überprüfung aus. Materialien erhalten Owner, Version und Überprüfungsdatum. Praxisbeispiele der Kommission können Ideen liefern, sind jedoch kein Gesetz und schaffen keine Konformitätsvermutung. Ein gut begründeter Prozess unterstützt die Erfüllung ausgewählter Anforderungen, ist aber keine Garantie gegen Fehler oder Haftung.
- Leitplanken und Ressourcen durch das Management festlegen
- Fachbereiche an Beispielen und Abläufen beteiligen
- Owner, Versionen und Überprüfungsauslöser dokumentieren
Entscheidung: Wirkt der Maßnahmenmix im Arbeitsalltag?
- Systeme, Rollen, Daten, Entscheidungseinfluss und Risiken sind inventarisiert.
- Basismodul und rollenbezogene Vertiefungen haben konkrete Lernziele.
- Schulung, Prozesshilfen und technische Kontrollen greifen ineinander.
- Verständnis und Anwendung werden mit geeigneten Methoden beobachtet.
- Owner, Aktualisierungsauslöser und Ressourcen sind festgelegt.
Häufige Fragen
Ist eine Online-Schulung immer nur Scheinerfüllung?
Nein. Ein Onlineformat kann geeignet sein, wenn Inhalt, Zielgruppe, Praxisbezug und Rückfragemöglichkeiten passen. Problematisch wird es, wenn bloße Teilnahme als vollständiger Wirksamkeitsnachweis behandelt wird und konkrete Systeme oder Risiken unberücksichtigt bleiben.
Wie oft müssen Maßnahmen wiederholt werden?
Art. 4 nennt keine starre Frequenz. Sinnvolle Auslöser sind neue Systeme, wesentliche Updates, Rollenwechsel, Vorfälle, wiederkehrende Fehler oder Rechtsänderungen. Zusätzlich kann ein risikobasiertes Überprüfungsdatum verhindern, dass veraltete Inhalte unbemerkt fortbestehen.
Dürfen Unternehmen Praxisbeispiele der Kommission übernehmen?
Ja, als Orientierung und Ideenquelle. Die Beispiele sind jedoch kein Gesetz und begründen keine automatische Konformitätsvermutung. Jede Maßnahme muss an eigene Systeme, Personen, Nutzungskontexte und Risiken angepasst und auf tatsächliche Eignung geprüft werden.
Primärquellen
- Verordnung (EU) 2026/1744
- Europäische Kommission: Fragen und Antworten zur KI-Kompetenz
- Europäische Kommission: Sammlung von KI-Kompetenz Praktiken
Rechtsstand: 16. September 2026. Art. 4 verlangt angemessene Maßnahmen zur Unterstützung der Kompetenzentwicklung, aber weder eine einheitliche Pflichtschulung noch ein bestimmtes Format. Kommissionsbeispiele sind Orientierung und begründen keine Konformitätsvermutung. Vor Veröffentlichung sind Empfehlungen des KI-Gremiums, aktualisierte Kommissionshinweise sowie österreichische Sanktionen und Behördenzuständigkeiten erneut zu prüfen.