KI-Schulung für Mitarbeiter: was sie leisten muss

Schatten-KI ist längst der Normalfall

Die Frage, ob im Unternehmen KI eingesetzt wird, ist in den meisten Betrieben bereits beantwortet — nur hat sie niemand gestellt. Mitarbeiterinnen und Mitarbeiter nutzen ChatGPT für Formulierungen, lassen sich Protokolle zusammenfassen oder Angebotstexte vorschreiben. Das geschieht mit privaten Zugängen, ohne Freigabe und ohne dass jemand mitbekommt, welche Daten dabei das Haus verlassen.

Diese sogenannte Schatten-KI ist kein Zeichen von Illoyalität, sondern von Nützlichkeit. Die Werkzeuge sparen tatsächlich Zeit. Ein Verbot verlagert die Nutzung nur weiter ins Private und nimmt dem Unternehmen die letzte Möglichkeit, sie zu steuern.

Das eigentliche Risiko liegt deshalb nicht in der Technik, sondern in ihrer ungeregelten Anwendung: Kundendaten, die in einem öffentlichen Chatfenster landen. Erfundene Zahlen, die ungeprüft in ein Angebot wandern. Rechtstexte, die überzeugend klingen und frei erfunden sind.

Was eine Schulung tatsächlich vermitteln muss

Viele Schulungsangebote bestehen aus einer Stunde Folien über die Geschichte der künstlichen Intelligenz und einer Liste beeindruckender Beispiele. Danach macht niemand etwas anders. Wirksam wird eine Schulung erst, wenn sie an den Aufgaben ansetzt, die die Teilnehmenden ohnehin jeden Tag erledigen.

Drei Inhalte entscheiden über den Nutzen. Erstens: ein tragfähiges Grundverständnis davon, was ein Sprachmodell tut. Es sagt das statistisch wahrscheinlichste nächste Wort voraus — es weiß nichts, es prüft nichts, und es hat keinen Zugriff auf Ihre internen Zahlen, wenn Sie sie nicht mitgeben. Wer das verstanden hat, versteht auch, warum Halluzinationen keine Fehlfunktion sind, sondern Bauart.

Zweitens: der Umgang mit Ergebnissen. Jede Zahl, jedes Zitat und jede Fundstelle muss gegengeprüft werden. In Kanzleien sind erfundene Aktenzeichen der Klassiker, im Vertrieb erfundene Preise und Lieferzeiten. Eine Schulung, die das nicht an konkreten Beispielen übt, hat ihren wichtigsten Teil ausgelassen.

Drittens: Datenschutz an der Stelle, an der er entsteht — beim Prompt. Die Regel lässt sich in einem Satz formulieren: Was Sie einer fremden Firma nicht per E-Mail schicken würden, gehört auch nicht in ein öffentliches KI-Werkzeug. Alles Weitere sind Ausnahmen von dieser Regel, keine zusätzlichen Regeln.

Der rechtliche Rahmen, nüchtern betrachtet

Artikel 4 der KI-Verordnung verlangt seit dem 2. Februar 2025 von Anbietern und Betreibern, sich um KI-Kompetenz beim eigenen Personal zu kümmern. Der Digital Omnibus hat den Wortlaut zum 27. Juli 2026 abgeschwächt: Aus der Pflicht, Kompetenz sicherzustellen, wurde die Pflicht, ihre Entwicklung zu unterstützen.

Juristisch ist das der Unterschied zwischen einer Ergebnispflicht und einer Bemühenspflicht. Praktisch heißt es: Wer belegen kann, dass er etwas unternommen hat, erfüllt die Vorschrift — auch wenn am Ende nicht jede Person gleich kompetent ist.

Wichtig ist dabei eine Einordnung, die im Markt regelmäßig unterschlagen wird: Für Artikel 4 ist kein eigener Bußgeldrahmen vorgesehen. Die Vorschrift kommt in der abschließenden Aufzählung von Artikel 99 nicht vor. Wer Ihnen Schulungen mit Millionensummen verkauft, zitiert die Sanktionen für verbotene Praktiken nach Artikel 5 — eine andere Vorschrift mit einem anderen Gegenstand. Unser Beitrag zur KI-Schulungspflicht nach Artikel 4 leitet diesen Punkt im Detail her.

Daraus folgt kein Grund, auf eine Schulung zu verzichten. Es folgt nur ein anderer Grund, eine zu machen: nicht aus Angst vor einer Strafe, sondern weil ungeschulter Einsatz teurer ist als geschulter.

Was der Nachweis praktisch bedeutet

Die häufigste Rückfrage lautet, welches Zertifikat man denn nun brauche. Die Antwort ist unbefriedigend und beruhigend zugleich: keines. Die KI-Verordnung schreibt kein bestimmtes Format vor, benennt keine Prüfstelle und kennt keine amtlich anerkannte Schulung.

Was Sie brauchen, ist ein nachvollziehbarer Beleg, dass Maßnahmen stattgefunden haben. In der Praxis genügen drei Dokumente: eine Agenda mit den behandelten Inhalten, eine Teilnahmeliste mit Datum und die verwendeten Unterlagen. Zusammen zeigen sie, wer wann worin unterwiesen wurde.

Konkretisierende Leitlinien der Kommission zur KI-Kompetenz sind angekündigt, aber erst für den 2. August 2027 vorgesehen. Bis dahin bleibt der Maßstab bewusst offen. Wer heute ein offiziell anerkanntes Zertifikat verkauft, verkauft etwas, das es noch nicht gibt.

Format und Aufwand

Für die meisten Teams reicht ein halber Tag. Vier Stunden genügen für Grundlagen, praktische Übungen an eigenen Aufgaben und den Block zu Grenzen und Datenschutz. Mehr Zeit verbessert das Ergebnis nur dann, wenn mehrere Abteilungen mit deutlich unterschiedlichen Anwendungsfällen teilnehmen.

Sinnvoll sind sechs bis zwölf Teilnehmende. Darunter lohnt der Aufwand für den Zuschnitt kaum, darüber kommen die Übungen zu kurz, weil nicht mehr jeder eine eigene Aufgabe bearbeiten kann. Bei größeren Teams ist es wirksamer, in mehreren Gruppen zu schulen, als eine Großveranstaltung abzuhalten, in der die Hälfte nur zuhört.

Ergänzend gehört eine schriftliche Regelung dazu. Eine Schulung vermittelt Kompetenz, eine Richtlinie legt fest, was erlaubt ist — ohne sie weiß danach jeder, was möglich ist, aber niemand, was gilt. Eine kostenlose Musterrichtlinie zum Ausfüllen stellen wir im Bereich zur KI-Verordnung bereit.