KI-Kompetenz und KI-Compliance klingen ähnlich, sind aber nicht dasselbe. Der Unterschied nach Art. 4 und Art. 50 EU AI Act, kurz erklärt.
KI-Kompetenz und KI-Compliance sind zwei unterschiedliche Dinge, die zusammengehören: KI-Kompetenz ist die Fähigkeit von Menschen, KI-Systeme sachkundig und risikobewusst zu nutzen. KI-Compliance ist die Pflicht des Unternehmens, beim Einsatz von KI die rechtlichen Vorgaben einzuhalten. Wer nur das eine hat, hat am Ende weder das eine noch das andere wirklich im Griff.
Rechtlicher Hinweis: Dieser Artikel ist eine persönliche Zusammenfassung öffentlich zugänglicher Gesetzestexte, insbesondere der Verordnung (EU) 2024/1689. Er stellt die persönliche Auslegung der Autorin dar, erhebt keinen Anspruch auf Vollständigkeit und stellt keine Rechtsberatung dar. Aktueller Stand: EUR-Lex. Für verbindliche rechtliche Einschätzungen wende dich an eine zugelassene Fachperson.
Artikel 4 der Verordnung (EU) 2024/1689 verpflichtet dafür zu sorgen, dass Mitarbeitende und du selbst über ausreichende KI-Kompetenz verfügen, wenn du KI im Business einsetzt. Gemeint ist die Fähigkeit, KI-Systeme sachkundig und risikobewusst zu nutzen, die Chancen zu erkennen und die Risiken einzuschätzen. Diese Pflicht gilt bereits seit Februar 2025.
Wie viel Kompetenz konkret ausreicht, ist nicht pauschal festgelegt. Das Gesetz verlangt, dass Erfahrung, Ausbildung, Rolle und Kontext der jeweiligen Person berücksichtigt werden. Eine Soloselbstständige, die ChatGPT für Texte nutzt, braucht ein anderes Maß an Wissen als ein Unternehmen, das ein KI-System zur automatisierten Entscheidungsfindung einsetzt.
KI-Compliance beschreibt etwas anderes: ob ein Unternehmen die eingesetzten KI-Tools regelkonform nutzt. Das ist keine individuelle Fähigkeit, sondern eine organisatorische Aufgabe.
Ein Beispiel: Ein Unternehmen legt fest, dass keine Kundendaten oder Vertragsinhalte in öffentliche KI-Tools eingegeben werden dürfen, weil dabei personenbezogene Daten auf Servern außerhalb der EU landen könnten. Diese Regel muss dokumentiert und den Mitarbeitenden bekannt sein, nicht nur der Geschäftsführung im Kopf.
Ein zweites Beispiel: Es ist festgehalten, welches Team welches KI-Tool für welchen Zweck nutzen darf, etwa Marketing für Textentwürfe, aber nicht für die automatisierte Bewertung von Kundendaten. Genau das ist der Unterschied zur Kompetenz: Compliance regelt das Was und Wie im Unternehmen, nicht das Verständnis der einzelnen Person.
Ein zentraler Baustein der KI-Compliance ist die Einordnung eines KI-Systems in die richtige Risikoklasse. Wichtig ist dabei: Nicht der Tool-Name entscheidet, sondern Zweck, Kontext und Wirkung des konkreten Einsatzes.
Bestimmte KI-Anwendungen sind mit den Grundrechten nicht vereinbar und in der EU deshalb verboten. Dazu zählen etwa Social Scoring, bestimmte Formen biometrischer Massenüberwachung oder manipulative Systeme, die gezielt Schwächen von Personen ausnutzen.
Hochrisiko-KI kommt in sensiblen Bereichen zum Einsatz, in denen Entscheidungen erhebliche Auswirkungen auf Menschen haben können, etwa bei Bewerbungsverfahren, Kreditvergabe, Personalentscheidungen oder medizinischen Anwendungen. Diese Systeme sind nicht verboten, unterliegen aber strengen Vorgaben.
Bei KI-Systemen mit begrenztem Risiko steht Transparenz im Vordergrund. Das betrifft vor allem Anwendungen, bei denen Menschen mit einer KI interagieren oder KI-generierte Inhalte als solche erkennbar sein müssen, etwa bei Chatbots, synthetischen Bildern oder Deepfakes. Für dich bedeutet das: Es können Kennzeichnungs- und Hinweispflichten nach Artikel 50 greifen.
Die meisten alltäglichen KI-Anwendungen fallen in diese Kategorie, etwa Textassistenten, Übersetzungstools, Spamfilter oder Rechtschreibprüfungen.
Die meisten Soloselbstständigen, Gründer:innen und KMUs bewegen sich mit alltäglichen KI-Tools im Bereich minimales bis begrenztes Risiko. Das bedeutet überschaubare, aber eben nicht null Pflichten.
Die Kennzeichnungspflicht nach Artikel 50 verlangt, dass bestimmte KI-generierte oder KI-gestützte Inhalte als solche erkennbar gemacht werden. Rechtlich bindend wird sie ab dem 2. August 2026. Bereits seit dem 10. Juni 2026 stellt die EU-Kommission dafür offizielle Icons kostenlos zur Verfügung, damit Unternehmen sich vor dem Stichtag vorbereiten können. Für Systeme, die schon vor dem 2. August 2026 im Markt sind, gilt für die maschinenlesbare Kennzeichnung zusätzlich eine Übergangsfrist bis 2. Dezember 2026.
Art. 50 des EU AI Act regelt mehrere konkrete Transparenzpflichten. Für Gründer:innen, Soloselbstständige und KMUs sind vor allem drei Fälle relevant: KI-Chatbots, Deepfakes und KI-Texte zu öffentlichen Angelegenheiten.
Wenn jemand direkt mit einem KI-System interagiert, muss das grundsätzlich erkennbar sein. Der Hinweis soll spätestens beim ersten Kontakt erfolgen und klar machen, dass die Person nicht mit einem Menschen, sondern mit einer KI kommuniziert. In der Praxis bedeutet das: Wer einen Chatbot im Kundenkontakt einsetzt, sollte die Kennzeichnung gut sichtbar platzieren.
KI-generierte oder KI-manipulierte Bild-, Audio- oder Videoinhalte müssen als solche gekennzeichnet werden, wenn sie authentisch wirken könnten. Das betrifft zum Beispiel realistisch aussehende Bilder, Videos oder Tonaufnahmen, die Personen, Orte oder Ereignisse täuschend echt nachbilden. Ein einfacher Hinweis wie „KI-generiert” oder „künstlich erzeugt” reicht dabei grundsätzlich aus, solange er klar und verständlich ist.
Wird ein vollständig KI-erstellter Text zu Themen wie Politik, Gesellschaft oder Wahlen veröffentlicht, greift ebenfalls eine Kennzeichnungspflicht, sofern keine wirksame redaktionelle Kontrolle durch einen Menschen stattgefunden hat. Besonders wichtig ist hier, dass der Text nicht nur intern erstellt, sondern öffentlich verbreitet wird. Für journalistische oder redaktionell verantwortete Inhalte gelten dabei besondere Ausnahmen.
Eine weitere Transparenzpflicht betrifft Systeme zur Emotionserkennung oder biometrischen Kategorisierung. Betroffene Personen müssen darüber informiert werden, dass ein solches System eingesetzt wird. Dieser Fall ist für viele kleine Unternehmen im Alltag weniger relevant, gehört aber ebenfalls zu den Pflichtfällen des Art. 50.
Die Kennzeichnung kann entweder über ein Icon oder über einen Text erfolgen. Die Verwendung der EU-Icons ist freiwillig; ein klarer Texthinweis wie „KI-generiert” oder „Erstellt mit Künstlicher Intelligenz” reicht rechtlich ebenso aus. Entscheidend ist nicht das Format, sondern dass die Kennzeichnung für Nutzerinnen und Nutzer leicht verständlich und gut erkennbar ist.
Wichtig ist außerdem die Platzierung: Der Hinweis sollte vor oder spätestens bei der ersten Interaktion sichtbar sein, direkt mit dem Inhalt verbunden bleiben und auch beim Teilen oder Herunterladen erhalten bleiben. Versteckte Hinweise oder schwer auffindbare Einblendungen reichen dafür nicht aus.
Keine Kennzeichnung ist erforderlich, wenn der Inhalt offensichtlich künstlerisch, kreativ, satirisch oder fiktional ist. Auch wenn ein KI-Text unter echter menschlicher redaktioneller Verantwortung wesentlich überarbeitet wurde, kann eine Kennzeichnung entfallen. Gleiches gilt für Fälle, in denen die Nutzung gesetzlich zur Strafverfolgung erlaubt ist.
Elena veröffentlicht auf ihrer Website einen Blogpost zu aktuellen KI-Regulierungen, vollständig von einer KI geschrieben, ohne eigene Überarbeitung. Weil es sich um einen Text zu einer Angelegenheit von öffentlichem Interesse handelt, der ohne redaktionelle Kontrolle veröffentlicht wird, greift Art. 50 Abs. 4, sobald die Pflicht ab 2. August 2026 bindend wird. Sie entscheidet sich für einen einfachen Texthinweis direkt unter der Überschrift: „Dieser Text wurde vollständig mit Künstlicher Intelligenz erstellt.” Kein Icon, kein kompliziertes System, ein Satz reicht. Aufwand: zwei Minuten. Ob damit die vollständige Compliance erreicht ist, hängt trotzdem von der Gesamtumsetzung ab.
KI-Kompetenz endet nicht an der Grenze des AI Act. Wer KI-Tools beruflich nutzt, sollte auch die DSGVO mitdenken, denn in der Praxis werden oft personenbezogene Daten verarbeitet. Sobald Namen, E-Mail-Adressen, Kundendaten oder andere personenbezogene Informationen in ein KI-Tool eingegeben werden, stellt sich die Frage, ob und unter welchen Bedingungen das datenschutzrechtlich zulässig ist.
Ein wichtiges Grundprinzip lautet dabei: Personenbezogene Daten sollten nur anonymisiert oder zumindest nur dann in ein KI-System eingegeben werden, wenn dafür eine klare rechtliche Grundlage und ein passender Vertrag mit dem Anbieter vorliegen. Besonders relevant ist das bei Tools, deren Server außerhalb der EU liegen oder bei denen Daten für Trainingszwecke genutzt werden könnten.
KI-Kompetenz bedeutet in diesem Zusammenhang, überhaupt zu erkennen, dass KI-Nutzung und Datenschutz oft zusammenhängen. KI-Compliance bedeutet, im Unternehmen verbindlich festzulegen, welche Daten in welches Tool dürfen, welche nicht und unter welchen Bedingungen das erlaubt ist.
Ein verbreiteter Irrtum: Wer einen KI-Kompetenz-Kurs gemacht hat, denkt, das Thema sei damit erledigt. Ist es nicht.
Ein Kurs vermittelt das Wissen, das eine einzelne Person braucht, um KI-Risiken einzuschätzen, zum Beispiel Bias, Halluzinationen, Risikoklassen oder den Umgang mit sensiblen Daten. Er ersetzt aber keine betrieblichen Regeln. Selbst wenn jede Mitarbeiterin und jeder Mitarbeiter kompetent ist, bleibt offen, welche Tools überhaupt freigegeben sind, welche Daten eingegeben werden dürfen, wie Transparenzpflichten im eigenen Angebot umgesetzt werden und wer die Nutzung dokumentiert. Diese Regeln entstehen nicht automatisch durch einen Kurs, sie müssen im Unternehmen selbst erarbeitet und schriftlich festgehalten werden.
Ein Kurs ist damit ein notwendiger, aber kein hinreichender Baustein. Er ist der Teil, den eine einzelne Person für sich mitnehmen kann. Die betriebliche Umsetzung bleibt trotzdem eigene Aufgabe.
Betroffen ist jeder, der KI-Tools beruflich einsetzt, nicht nur Konzerne mit eigener Rechtsabteilung. Auch Gründer:innen, Soloselbstständige und KMUs, die für ihre Arbeit ChatGPT, Claude oder ein anderes Tool nutzen, fallen drunter.
Für eine Gründerin, die gerade ihr Business aufbaut und KI täglich für Texte und Recherche nutzt, bedeutet das vor allem, die eigenen Grenzen zu kennen: welche Daten sie eingibt, wie sie KI-Ergebnisse prüft, bevor sie sie veröffentlicht. Für einen Soloselbstständigen mit eigenem Kundenstamm kommt hinzu, dass er selbst entscheidet, welche Kundendaten in welchem Tool landen, hier verschmelzen individuelle Kompetenz und unternehmerische Compliance in einer Person. Für ein kleines Team in einem KMU wird daraus eine geteilte Aufgabe: Die Geschäftsführung legt Regeln fest, die Mitarbeitenden müssen sie kennen und anwenden können.
Die Anforderungen sind für kleinere Unternehmen in der Regel überschaubarer als für Konzerne mit Hochrisiko-KI-Systemen, aber ausgenommen ist niemand. Wer als Soloselbstständige täglich mit ChatGPT arbeitet, braucht kein umfangreiches Compliance-Programm, aber sehr wohl ein Grundverständnis der eigenen Risiken und ein paar klare, am besten schriftlich festgehaltene Regeln für sich selbst.
Beide bedingen sich gegenseitig. Wissen ohne klare Regeln bleibt Zufall: Eine kompetente Person kennt ohne dokumentierte Vorgaben trotzdem nicht die Grenzen ihres Unternehmens und trifft im Zweifel jedes Mal eine eigene Entscheidung, die von der nächsten abweichen kann. Regeln ohne Wissen bleiben Papier: Eine Richtlinie, die niemand versteht oder im Alltag anwenden kann, schützt niemanden, sie liegt nur in einer Schublade oder einem vergessenen Ordner.
Deshalb lassen sich KI-Kompetenz und KI-Compliance nicht getrennt voneinander aufbauen. Erst wenn Menschen verstehen, warum eine Regel existiert, wird sie auch im Alltag eingehalten. Und erst wenn Regeln existieren und dokumentiert sind, wird aus individuellem Wissen ein verlässlicher Standard im gesamten Unternehmen, der auch bei Nachfrage belegt werden kann.
KI-Kompetenz und KI-Compliance sind zwei Seiten derselben Pflicht. Die eine befähigt Menschen, die andere verpflichtet Unternehmen, und beide funktionieren nur zusammen. Wer beides aufbaut, ist nicht nur rechtlich abgesichert, sondern nutzt KI auch tatsächlich sicherer und wirksamer im eigenen Business.
Die Umsetzung liegt bei dir. Dieser Artikel gibt Orientierung, ersetzt aber keine individuelle Rechtsberatung.
Dieser Artikel entstand mit KI-Unterstützung und wurde redaktionell überarbeitet. Er stellt keine Rechtsberatung dar.
Ja. Artikel 4 EU AI Act gilt für alle, die KI-Systeme beruflich einsetzen, unabhängig von der Unternehmensgröße. Der Umfang richtet sich nach Rolle und Kontext, aber ausgenommen ist niemand. Das gilt genauso für die Compliance-Seite: Achte darauf, dass du alles dokumentierst, auch wenn andere Freelancer:innen in deinem Auftrag KI-Tools für dich nutzen.
Ein formelles Zertifikat ist gesetzlich nicht vorgeschrieben. Eine dokumentierte Schulung kann ein geeigneter Baustein sein, ersetzt aber nicht die eigenen betrieblichen Regeln zur KI-Nutzung und deren Dokumentation.
Dann fehlt der Compliance-Teil. Ohne dokumentierte Vorgaben, wer welche Tools wie nutzen darf, ist die Nutzung nicht regelkonform, selbst wenn die einzelnen Personen gut informiert sind und verantwortungsvoll handeln.
Am einfachsten mit einer Bestandsaufnahme: Welche KI-Tools werden im Unternehmen genutzt, von wem und wofür? Darauf lassen sich sowohl der Kompetenzaufbau als auch die internen Regeln aufbauen, Schritt für Schritt statt alles auf einmal.
Dieser Artikel entstand mit KI-Unterstützung und wurde redaktionell überarbeitet.
Autorin
Annette Schneider-Desgranges
Marketing-Expertin mit über 25 Jahren Erfahrung · Gründerin der AI Marketing LearnAgency in Karlsruhe · Dozentin · Certified KI Architect – Expertin für KI Agenten · Certified AI Marketing Innovation Leader · Certified AI Prompt Engineer.
LinkedIn Profil ansehenDiese Kurse vertiefen das Thema dieses Artikels.
Online-Selbstlernkurs · Sofort verfügbar nach Kauf
in unter einer Stunde
0 € kostenlos
Online-Selbstlernkurs · Sofort verfügbar nach Kauf
5 Stunden
Melde dich zum Newsletter an und erhalte Tipps, Neuigkeiten und exklusive Angebote rund um Marketing und KI.
Entdecke unsere Kurse und Workshops – und setze das Gelernte direkt um.
