Müssen Mitarbeiter geschult werden, wenn das Unternehmen nur ChatGPT oder Microsoft Copilot nutzt?

Warum ein Unternehmen mit ChatGPT Betreiber ist

Die KI-Verordnung unterscheidet Anbieter und Betreiber. Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt (Art. 3 Nr. 3). Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, außer im Rahmen einer persönlichen, nicht beruflichen Tätigkeit (Art. 3 Nr. 4).

Für ChatGPT ist OpenAI Anbieter, für Microsoft 365 Copilot Microsoft. Das Unternehmen, dessen Mitarbeiter damit arbeiten, ist Betreiber. Ob die Nutzung über eine Unternehmenslizenz, über Einzelkonten oder über private Konten der Mitarbeiter läuft, ändert daran nichts, solange die Nutzung beruflich erfolgt. Auch die kostenlose Nutzung fällt darunter.

Die Bundesnetzagentur formuliert das auf ihrer Seite zur KI-Kompetenz entsprechend: Art. 4 richtet sich an „Anbieter und Betreiber von KI-Systemen einschließlich solcher mit allgemeinem Verwendungszweck, wie bspw. Chatbots“, unabhängig von Wirtschaftszweig oder Organisationsgröße.

Ist Copilot überhaupt ein KI-System?

Ja. Ein KI-System ist nach Art. 3 Nr. 1 ein maschinengestütztes System, das aus Eingaben ableitet, wie Ausgaben wie Inhalte, Empfehlungen oder Entscheidungen erzeugt werden. Sprachmodelle erfüllen diese Definition; die Kommission hat das in ihren Leitlinien zur Definition des KI-Systems vom Februar 2025 bestätigt. Microsoft 365 Copilot, Copilot in Windows und Edge, ChatGPT in allen Varianten, Gemini in Google Workspace und KI-Assistenten in CRM-, ERP- oder HR-Software sind KI-Systeme. Für Art. 4 spielt keine Rolle, ob das System als eigenständige Anwendung oder als Funktion in bestehender Software auftritt.

Die Frage ist deshalb nicht, ob Art. 4 gilt, sondern welche Maßnahme zum Einsatz passt.

Was Art. 4 in diesem Fall verlangt

Art. 4 Abs. 1 verpflichtet Betreiber, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen, und dabei technische Kenntnisse, Erfahrung, Aus- und Fortbildung, Einsatzkontext und betroffene Personen zu berücksichtigen. Seit der Neufassung zum 27. Juli 2026 stellt der Artikel klar, dass kein bestimmtes Kompetenzniveau garantiert werden muss.

Für den typischen Fall, Büroarbeit mit ChatGPT oder Copilot, heißt das:

Die Mitarbeiter sollen verstehen, was das Werkzeug tut und was nicht: dass ein Sprachmodell wahrscheinliche Fortsetzungen erzeugt und keine geprüften Fakten, dass es Quellen erfindet, dass es bei Zahlen, Namen, Rechtsfragen und aktuellen Ereignissen unzuverlässig ist und dass es Vorurteile aus den Trainingsdaten übernimmt.

Sie sollen wissen, welche Daten sie eingeben dürfen. Das ist der Punkt, an dem in der Praxis die meisten Fehler passieren, und er betrifft weniger Art. 4 als die DSGVO und den Schutz von Geschäftsgeheimnissen.

Sie sollen wissen, wie Ergebnisse geprüft werden, bevor sie verwendet werden, und wer im Unternehmen für den KI-Einsatz verantwortlich ist.

Die Kommission nennt in ihren Fragen und Antworten als Mindestinhalt ein allgemeines Verständnis von KI, die eigene Rolle als Anbieter oder Betreiber, die Risiken der eingesetzten Systeme und die Berücksichtigung von Vorwissen und Kontext. Sie weist darauf hin, dass der bloße Verweis auf die Gebrauchsanweisung des Systems in vielen Fällen nicht ausreicht.

Was nicht verlangt wird

Kein bestimmtes Kompetenzniveau, keine Mindestdauer, kein bestimmtes Format, kein Zertifikat, keine Prüfung, keine Meldung an eine Behörde. Die Kommission sagt ausdrücklich: „Es besteht keine Notwendigkeit für ein Zertifikat. Organisationen können interne Aufzeichnungen über Schulungen und andere Maßnahmen führen.“ Die Bundesnetzagentur formuliert es gleich: keine Zertifizierungspflicht, Format von Selbstlernprogrammen bis zu mehrstufigen Fortbildungen frei wählbar.

Ein Bußgeld für Verstöße gegen Art. 4 gibt es weder auf EU-Ebene noch in Deutschland. Art. 99 KI-VO enthält keinen Bußgeldtatbestand für Art. 4, und § 15 des deutschen KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) ebenfalls nicht. Die Marktüberwachungsbehörde, in Deutschland die Bundesnetzagentur, kann aber nach § 11 KI-MIG Auskünfte und Unterlagen verlangen und Anordnungen treffen. Wer gefragt wird, sollte zeigen können, welche Maßnahmen er getroffen hat.

Was in der Praxis schwerer wiegt als Art. 4

Wer die Frage nach der Schulungspflicht stellt, hat meist ein anderes Problem: Mitarbeiter nutzen KI-Werkzeuge bereits, und niemand weiß genau, womit. Drei Regelwerke greifen dabei unabhängig von Art. 4.

DSGVO. Wer personenbezogene Daten in ein KI-Werkzeug eingibt, verarbeitet sie. Bei Unternehmenslizenzen (Microsoft 365 Copilot, ChatGPT Enterprise, ChatGPT Team) ist der Anbieter Auftragsverarbeiter mit Vertrag nach Art. 28 DSGVO. Bei privaten oder kostenlosen Konten fehlt dieser Vertrag, und die Eingaben können nach den Standardeinstellungen des Anbieters zum Training verwendet werden. Ein Kundenname in einem privaten ChatGPT-Konto ist deshalb ein Datenschutzverstoß, unabhängig davon, ob der Mitarbeiter geschult war.

Geschäftsgeheimnisse. Der Schutz nach dem Geschäftsgeheimnisgesetz setzt angemessene Geheimhaltungsmaßnahmen voraus. Wer Quellcode, Kalkulationen oder Verträge in ein externes KI-Werkzeug ohne vertragliche Vertraulichkeit eingibt, gefährdet diesen Schutz.

Urheberrecht und Haftung. Für KI-generierte Texte, Bilder und Code haftet das Unternehmen, das sie verwendet. Der Hinweis „das hat die KI geschrieben“ entlastet nicht.

Dazu kommen seit dem 2. August 2026 die Transparenzpflichten nach Art. 50 KI-VO, etwa die Kennzeichnung von KI-erzeugten Bildern, Audio- und Videoinhalten, die echte Personen oder Ereignisse darstellen (Deepfakes), sowie von KI-erzeugten Texten zu Themen von öffentlichem Interesse, die ohne menschliche Kontrolle veröffentlicht werden.

Eine Schulung nach Art. 4 ist die Gelegenheit, alle vier Punkte gemeinsam zu vermitteln. Das ist der eigentliche Nutzen, nicht die Pflicht.

Was HR und Geschäftsführung jetzt tun sollten

Erstens erfassen, welche KI-Werkzeuge im Unternehmen genutzt werden, einschließlich der inoffiziellen. Eine kurze Abfrage in den Abteilungen reicht.

Zweitens festlegen, welche Werkzeuge mit welchen Daten erlaubt sind. Das ist eine KI-Richtlinie von einer Seite: erlaubte Werkzeuge, verbotene Eingaben, Prüfpflicht vor Verwendung, Ansprechpartner.

Drittens die Mitarbeiter schulen, die KI-Werkzeuge nutzen. Für Büroarbeit reicht eine Grundschulung; für Gruppen mit spezifischem Risiko, etwa HR mit KI-gestützter Bewerberauswahl, Führungskräfte mit Verantwortung für den KI-Einsatz oder Entwickler, die Sprachmodelle in Produkte integrieren, sind vertiefte Inhalte sinnvoll.

Viertens dokumentieren: wer wann an welcher Maßnahme teilgenommen hat, mit welchem Inhalt. Wie eine solche Dokumentation aussehen kann, steht im Ratgeber KI-Kompetenz nachweisen: Zertifikat, Dokumentation, Aufbewahrung.

Wie AIEXAM.EU dabei unterstützt

Die Grundschulung von AIEXAM.EU ist für Mitarbeiter gemacht, die ChatGPT, Copilot oder vergleichbare Werkzeuge im Arbeitsalltag einsetzen. In 90 Minuten behandelt sie Funktionsweise und Grenzen von Sprachmodellen, Halluzinationen und Bias, erlaubte und verbotene Eingaben, Datenschutz und Geschäftsgeheimnisse, Art. 4 und Art. 50 KI-VO, Prüfung von Ergebnissen und die Verantwortlichkeiten im Unternehmen. Anschließend absolvieren die Teilnehmer einen Online-Test; bei Bestehen erhalten sie einen personalisierten Nachweis. Teilnehmerliste und Ergebnisse stehen für die Dokumentation zur Verfügung.

Häufige Fragen

Gilt Art. 4, wenn Mitarbeiter ChatGPT nur mit privaten Konten nutzen?

Ja, sofern die Nutzung beruflich erfolgt. Das Unternehmen ist Betreiber, weil die Nutzung in seinem Auftrag stattfindet. Private Konten sind darüber hinaus ein Datenschutzproblem, weil kein Auftragsverarbeitungsvertrag besteht. Unternehmen sollten entweder Unternehmenslizenzen bereitstellen oder die berufliche Nutzung privater Konten untersagen.

Reicht es, wenn Microsoft oder OpenAI die Mitarbeiter schult?

Anbieter stellen Schulungsmaterial bereit, und Unternehmen dürfen es verwenden. Die Pflicht nach Art. 4 liegt aber beim Betreiber, und die Kommission hält den bloßen Verweis auf die Anleitung des Anbieters in vielen Fällen für unzureichend. Entscheidend ist, dass die Maßnahme zum Einsatzkontext des Unternehmens passt: seine Daten, seine Prozesse, seine Verantwortlichkeiten.

Müssen auch Mitarbeiter geschult werden, die KI nicht nutzen?

Art. 4 bezieht sich auf Personen, die mit Betrieb und Nutzung von KI-Systemen befasst sind. Wer kein KI-System nutzt, fällt nicht darunter. In der Praxis ist die Abgrenzung schwierig, weil KI-Funktionen in Standardsoftware zunehmend voreingestellt sind. Viele Unternehmen schulen deshalb alle Mitarbeiter mit Bildschirmarbeitsplatz.

Gilt das auch für Freelancer und externe Dienstleister?

Art. 4 nennt ausdrücklich „andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“. Die Kommission zählt dazu Auftragnehmer und Dienstleister. Für sie muss das Unternehmen keine eigene Schulung durchführen, sollte aber sicherstellen, dass sie über die für die Aufgabe nötigen Kenntnisse verfügen, etwa durch vertragliche Zusicherung oder Einbeziehung in die eigene Schulung.

Wie oft muss geschult werden?

Art. 4 nennt keinen Rhythmus. Sinnvoll ist eine Auffrischung, wenn neue Werkzeuge eingeführt werden, sich Aufgaben ändern, neue Mitarbeiter hinzukommen oder sich der Rechtsrahmen ändert.

Ist eine 90-minütige Schulung ausreichend?

Art. 4 nennt keine Dauer. Für Mitarbeiter, die generative KI im Büroalltag nutzen, deckt eine 90-minütige Grundschulung die von der Kommission genannten Mindestinhalte ab. Für Rollen mit höherem Risiko sind zusätzliche Inhalte sinnvoll.

Quellen

1. Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 3 Nr. 1, 3 und 4, Art. 4, Art. 50, Art. 99: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
2. Verordnung (EU) 2026/1744 (Digital Omnibus zur KI-Verordnung): https://eur-lex.europa.eu/eli/reg/2026/1744/oj
3. Europäische Kommission, AI Literacy – Questions & Answers, Stand 27. Juli 2026: https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
4. Europäische Kommission, Leitlinien zur Definition eines KI-Systems (Februar 2025): Leitlinien zur Definition eines KI-Systems
5. Bundesnetzagentur, KI-Kompetenz nach Artikel 4 KI-Verordnung: https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/7_Kompetenz/artikel.html
6. Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), § 11 und § 15: https://www.gesetze-im-internet.de/ki-mig/
7. Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG), § 2 Nr. 1: https://www.gesetze-im-internet.de/geschgehg/

Diese Seite ist eine fachliche Einordnung, keine Rechtsberatung.