Die EU verlangt keinen KI-Führerschein, aber nachvollziehbare Maßnahmen

Dieser Beitrag wurde mit KI-Unterstützung erstellt, fachlich geprüft und redaktionell freigegeben.

Artikelbild-Kennzeichnung: AI GENERATED

In einem österreichischen Corporate Newsroom arbeitet eine Redakteurin mit einem Textmodell, ein Kollege pflegt Prompts und Quellenfilter, und die WordPress-Verantwortliche entscheidet über die Veröffentlichung. Alle drei nutzen denselben KI-gestützten Prozess, brauchen aber nicht dasselbe Wissen. Ein allgemeiner Einführungskurs kann Grundlagen schaffen. Er belegt noch nicht, dass jede Rolle ihre konkreten Risiken beherrscht.

Genau diese Unterscheidung ist seit Anfang August operativ wichtiger. Die Aufsichts- und Durchsetzungsregeln zu Artikel 4 des EU AI Act sind nun anwendbar. Gleichzeitig hat der Digital Omnibus den Wortlaut verändert: Anbieter und Betreiber von KI-Systemen müssen weiterhin Maßnahmen zur Entwicklung von KI-Kompetenz unterstützen, aber keinen bestimmten oder „ausreichenden“ Kompetenzlevel garantieren. Eine aktualisierte Fragen-und-Antworten-Seite der Europäischen Kommission konkretisiert, was das für Unternehmen bedeutet.

Der praktische Kern lautet: Es gibt keinen verpflichtenden KI-Führerschein und kein vorgeschriebenes Zertifikat. Es bleibt jedoch die Aufgabe, passende Maßnahmen zu setzen. Österreichische KMU sollten daher kein Diplomarchiv aufbauen, sondern eine nachvollziehbare Verbindung zwischen eingesetzten Systemen, Personen, Risiken und Lernmaßnahmen dokumentieren.

Was sich durch den Digital Omnibus geändert hat

Artikel 4 galt bereits seit Februar 2025. Neu ist nicht die Idee der KI-Kompetenz, sondern die Kombination aus geänderter Formulierung und laufender Aufsicht. Die Kommission nennt drei Eckpunkte: Die Verpflichtung für Anbieter und Betreiber bleibt bestehen, ein spezifischer Kompetenzgrad wird nicht verlangt, und Kommission sowie Mitgliedstaaten sollen insbesondere KMU mit praktischen Beispielen unterstützen. Der europäische KI-Ausschuss soll ergänzend gemeinsame Ziele empfehlen.

Damit wird eine Unsicherheit kleiner. Unternehmen müssen Wissen nicht auf einer EU-weit normierten Skala messen und nicht garantieren, dass jede einzelne Person einen fixen Stand erreicht. Das ist aber keine Freistellung von organisatorischer Arbeit. Die Maßnahmen sollen weiterhin technische Vorkenntnisse, Erfahrung, Ausbildung, den Nutzungskontext und die Risiken des konkreten Systems berücksichtigen.

Für Hochrisiko-KI gelten zusätzliche Anforderungen, etwa an geschultes Personal und menschliche Aufsicht. Ein gewöhnlicher redaktioneller Assistent ist nicht allein deshalb ein Hochrisiko-System, weil er generative KI verwendet. Unternehmen sollten Anwendungsfälle trotzdem sauber einordnen und besonders sensible Bereiche wie Personalentscheidungen, Medizin oder kritische Infrastruktur nicht mit einem Content-Workflow gleichsetzen.

Unser früherer Überblick zur KI-Kompetenz nach dem AI Act für österreichische KMU erklärt die allgemeinen Grundlagen. Der aktuelle Schritt geht enger vor: Aus dem Inventar wird eine Rollenmatrix, und aus einer Schulungsnotiz wird ein belastbarer Nachweis der tatsächlich gesetzten Maßnahmen.

Kein Pflichtzertifikat bedeutet nicht keine Dokumentation

Die Kommission beantwortet die Zertifikatsfrage ausdrücklich: Ein bestimmtes Zertifikat ist nicht erforderlich. Unternehmen können interne Aufzeichnungen über Schulungen und andere Leitlinien oder Lerninitiativen führen. Auch ein eigener KI-Beauftragter oder ein KI-Governance-Board ist nach Artikel 4 nicht zwingend vorgeschrieben.

Für kleine Betriebe ist das eine Chance, die Umsetzung schlank zu halten. Eine Liste mit Kursnamen und Teilnahmebestätigungen ist allerdings nur ein Teil des Bildes. Besser ist eine kurze Nachweisakte, die zeigt, warum eine Maßnahme für einen bestimmten Einsatz geeignet war. Sie beantwortet sieben Fragen:

1. Welches KI-System oder welche KI-Funktion wird eingesetzt?
2. Für welchen Zweck und in welchem Prozess wird sie verwendet?
3. Wer konfiguriert, bedient, prüft oder verantwortet das Ergebnis?
4. Welche realistischen Fehler und Auswirkungen sind relevant?
5. Welches Wissen braucht jede beteiligte Rolle?
6. Welche Einweisung, Übung, Richtlinie oder Freigaberegel wurde umgesetzt?
7. Wann wird die Maßnahme nach Änderungen oder Vorfällen überprüft?

Die österreichische KI-Servicestelle der RTR empfiehlt ebenfalls, eingesetzte KI-Systeme laufend zu erheben und die Dokumentation mit Strategie, interner Richtlinie sowie Wissensvermittlung zu verbinden. Weil Standardsoftware neue KI-Funktionen per Update erhalten kann, ist das Inventar keine einmalige Bestandsaufnahme.

Die Rollenmatrix folgt dem echten Arbeitsablauf

Eine gute Rollenmatrix beginnt nicht bei Organigrammen, sondern bei Handlungen. Wer nur Entwürfe anfordert, braucht anderes Detailwissen als eine Person, die ein Modell auswählt, einen Autopublish-Job aktiviert oder fachliche Aussagen freigibt. Für einen KI-gestützten WordPress-Prozess können fünf Rollen genügen.

Auch externe Personen können relevant sein. Die EU-Q&A nennt Auftragnehmer und Dienstleister, wenn sie im organisatorischen Verantwortungsbereich mit dem KI-System arbeiten. Eine Agentur sollte deshalb nicht pauschal bestätigen müssen, „KI-kompetent“ zu sein. Sinnvoller sind konkrete Erwartungen: Welche Werkzeuge sind erlaubt, welche Daten dürfen eingegeben werden, wer prüft Ausgaben, und wie werden Vorfälle gemeldet?

Ein Modellabschluss oder technische Erfahrung kann eine gute Ausgangslage sein. Er ersetzt aber nicht automatisch das Wissen über den konkreten Unternehmensprozess. Ein Entwickler versteht womöglich die API sehr gut, kennt jedoch weder die redaktionelle Blattlinie noch die rechtlichen Grenzen eines Gesundheitsbeitrags.

Ein WordPress-Beispiel macht die Unterschiede sichtbar

Das NewsAI WordPress Plugin eignet sich als anschaulicher Prozess, weil es mehrere Aufgaben verbindet: Pressemitteilungen werden abgerufen, nach redaktionellen Kriterien gefiltert, über konfigurierbare Prompts verarbeitet, mit Bildern ergänzt und als WordPress-Inhalt verwaltet. Anti-Duplikat-Prüfungen, Mindestlängen, Prompt-Tests, Dry-Run, Monitoring und Logging unterstützen den Betrieb.

Diese Funktionen sind kein automatischer Nachweis für Artikel 4. Sie zeigen vielmehr, welche Kompetenzen im Team gebraucht werden. Die Person für die Blattlinie muss Fehlklassifikationen erkennen. Prompt-Verantwortliche müssen testen, ob Quellen und Anweisungen tatsächlich übernommen werden. Die Freigabe braucht fachliches Urteilsvermögen. Administratoren müssen Rechte, API-Schlüssel, Protokolle und Fehlerzustände beherrschen.

Je höher der Automatisierungsgrad, desto wichtiger wird die Trennung zwischen technischer Ausführung und redaktioneller Verantwortung. Ein Autorenfeld in WordPress beweist keine inhaltliche Prüfung. Der Beitrag über Fachfreigaben bei KI-Content zeigt, wie Übergaben und Stopprechte organisiert werden können. Für den Kompetenznachweis lässt sich daraus eine konkrete Übung ableiten: Das Team bearbeitet einen fehlerhaften Testartikel und dokumentiert, wer den Fehler finden, korrigieren oder die Veröffentlichung verhindern muss.

Vier Risikostufen für den redaktionellen Alltag

Artikel 4 verlangt keine starre interne Risikoklassifikation. Eine einfache Staffelung hilft dennoch, Lernmaßnahmen am Kontext auszurichten.

• Interner Entwurf: Ein Modell strukturiert Notizen, die nicht veröffentlicht werden. Schwerpunkt sind Vertraulichkeit, Eingabedaten und das Erkennen erfundener Aussagen.
• Öffentlicher Standardinhalt: Ein Produkt- oder Ratgebertext erscheint nach menschlicher Prüfung. Zusätzlich zählen Quellen, Markenrecht, Transparenz und klare Freigaben.
• Sensibler Fachinhalt: Texte zu Gesundheit, Recht, Finanzen oder Sicherheit können spürbare Folgen haben. Fachkompetenz, belastbare Primärquellen und ein strenger Eskalationsweg werden wichtiger.
• Automatisierte Veröffentlichung: Das System kann Inhalte ohne Einzelentscheidung publizieren. Teams brauchen besonders gute Tests, Grenzwerte, Monitoring, Stoppschalter und regelmäßige Stichproben.

Die Stufen bewerten den Prozess und sind keine rechtliche Einstufung nach dem Hochrisiko-Katalog des AI Act. Sie verhindern aber, dass ein Betrieb jede KI-Nutzung gleich behandelt. Ein Übersetzungsvorschlag für einen internen Termin braucht nicht denselben Aufwand wie ein automatisch veröffentlichter Gesundheitsratgeber.

So sieht eine schlanke Nachweisakte aus

Nehmen wir einen fiktiven Tourismusbetrieb in Salzburg. Das Marketingteam nutzt generative KI, um aus freigegebenen Veranstaltungsdaten Entwürfe für den Unternehmensblog zu erstellen. Die Nachweisakte beginnt mit einer nüchternen Systembeschreibung: verwendeter Dienst, Zweck, zugelassene Datenquellen, verantwortliche Abteilung und die Regel, dass keine Gästedaten in Prompts gelangen dürfen.

Danach werden die Rollen getrennt. Eine Mitarbeiterin erstellt den Entwurf und prüft, ob Termine, Preise und Orte mit der freigegebenen Quelle übereinstimmen. Der Marketingverantwortliche kontrolliert Tonalität, Bildrechte und Veröffentlichung. Die externe WordPress-Agentur betreibt Schnittstelle und Rechtekonzept, darf aber Inhalte nicht eigenständig freigeben. Für jede Rolle steht in einem Satz, welche Fehlentscheidung sie verhindern soll.

Die Lernmaßnahmen folgen daraus direkt. Die Redaktion absolviert eine 45-minütige Übung mit absichtlich falschen Öffnungszeiten und erfundenen Quellen. Der Freigabeverantwortliche trainiert die Entscheidung zwischen Korrektur, Rückfrage und Veröffentlichungsstopp. Die Agentur erhält eine technische Einweisung zu zulässigen Daten, Protokollierung und Eskalationsweg. Als Nachweis reichen Datum, Inhalt, Zielgruppe, verantwortliche Person und ein kurzer Vermerk über das Ergebnis. Ein Multiple-Choice-Test ist möglich, aber nicht zwingend die beste Form.

Zum Schluss nennt die Akte konkrete Aktualisierungsanlässe: Wechsel des Modells, neue automatische Bildgenerierung, Freigabe zusätzlicher Datenquellen, Einführung einer Übersetzungsfunktion oder ein Vorfall. Ein jährlicher Termin kann diese Trigger ergänzen, sollte sie aber nicht ersetzen. Wenn ein Plugin im September eine neue KI-Funktion aktiviert, wäre es wenig überzeugend, bis zur nächsten Standardschulung im Jänner zu warten.

Dieses Beispiel lässt sich auf Handel, Gastronomie, Agenturen oder Fachportale übertragen. Der Nachweis bleibt kurz, weil er keine allgemeine Abhandlung über KI enthält. Er zeigt die tatsächliche Nutzung, die relevanten Personen und die Maßnahmen, mit denen vorhersehbare Fehler reduziert werden sollen.

Ein 30-Tage-Plan für österreichische KMU

Woche 1: Systeme und Schattennutzung erfassen. Fragen Sie Teams nicht nur nach „KI-Tools“, sondern nach Funktionen: Textvorschläge, Übersetzung, Bildgenerierung, Transkription, Bewerberfilter, Prognosen und automatische Veröffentlichungen. Erfassen Sie Zweck, Datenarten, Nutzerkreis und verantwortliche Stelle.

Woche 2: Rollen und Risiken zuordnen. Zeichnen Sie für die wichtigsten Anwendungsfälle den tatsächlichen Ablauf vom Input bis zur Entscheidung. Benennen Sie, wer konfiguriert, nutzt, prüft und stoppen darf. Ordnen Sie jedem Schritt konkrete Fehlerbilder zu.

Woche 3: Maßnahmen durchführen. Kombinieren Sie eine kurze Basisinformation mit rollenbezogenen Übungen. Redaktionsteams prüfen erfundene Quellen, Technikteams simulieren einen API-Ausfall, Führungskräfte entscheiden über einen Eskalationsfall. Auch Richtlinien, Checklisten, Sprechstunden und begleitetes Arbeiten können Teil der Maßnahme sein.

Woche 4: Nachweis und Wiederholung festlegen. Dokumentieren Sie Inhalt, Zielgruppe, Datum, Verantwortliche und Ergebnis. Definieren Sie Auslöser für eine Aktualisierung: neues Modell, wesentlich geänderter Prompt, neue Datenart, Autopublish-Aktivierung, Vorfall oder Wechsel einer Schlüsselrolle.

Wer bereits einen automatisierten Redaktionsprozess plant, sollte die Rollenmatrix vor der Aktivierung erstellen. Beim NewsAI WordPress Plugin lässt sich die Einweisung direkt an Prompt-Tests, Dry-Run, Monitoring und Freigaberegeln knüpfen. So entsteht kein losgelöstes Schulungsprojekt, sondern ein prüfbarer Bestandteil der Einführung.

Fünf typische Fehler beim AI-Literacy-Nachweis

1. Ein Kurs für alle: Gemeinsame Grundlagen sind sinnvoll, aber Rollen mit Veröffentlichung, Konfiguration oder sensiblen Daten brauchen zusätzliche Übungen.
2. Zertifikate statt Einsatzbezug: Eine Teilnahmebestätigung zeigt Anwesenheit. Sie erklärt nicht, welches Risiko im realen Prozess bearbeitet wurde.
3. Nur offiziell beschaffte Tools erfassen: Browserfunktionen, Office-Updates und private Konten können unbemerkte KI-Nutzung schaffen.
4. Dienstleister ausblenden: Wer im Auftrag mit dem System arbeitet, benötigt passende Informationen und klare Übergaben.
5. Keine Aktualisierung: Modelle, Prompts, Datenquellen und Automatisierungsgrade ändern sich schneller als klassische Schulungspläne.

Vermeiden Sie außerdem Rechtsgarantien. Weder die Übernahme eines Beispiels aus dem europäischen Praxisregister noch eine interne Checkliste schafft automatisch eine Vermutung der Rechtskonformität. Die Maßnahmen müssen zur Organisation und zum konkreten KI-Einsatz passen.

Fazit: Der beste Nachweis erklärt das Warum

Der Digital Omnibus nimmt Unternehmen die Aufgabe ab, einen abstrakten Mindestlevel zu garantieren. Er nimmt ihnen nicht die Verantwortung für sinnvolle KI-Kompetenzmaßnahmen. Ein belastbarer AI-Literacy-Nachweis zeigt daher nicht nur, wer an welchem Kurs teilgenommen hat. Er erklärt, welches System eingesetzt wird, wer damit welche Entscheidung trifft, welche Fehler relevant sind und wie das Team darauf vorbereitet wurde.

Für österreichische KMU reicht oft ein überschaubares Paket aus KI-Inventar, Rollenmatrix, kurzen Praxisübungen und anlassbezogener Aktualisierung. Beginnen Sie beim wichtigsten oder am stärksten automatisierten Prozess. Dokumentieren Sie die Verbindung zwischen Risiko und Maßnahme, bevor Sie weitere Zertifikate sammeln.

Hinweis: Dieser Beitrag bietet eine allgemeine organisatorische Orientierung und keine individuelle Rechtsberatung. Bei sensiblen oder hochriskanten Anwendungen sollte die konkrete Einordnung fachkundig geprüft werden.

Quellen

• Europäische Kommission: AI Literacy – Questions & Answers
• EUR-Lex: Verordnung (EU) 2026/1744 zum Digital Omnibus
• RTR KI-Servicestelle: KI-Kompetenz nach dem AI Act