AI Literacy: Pflicht nach EU AI Act Art. 4

Das Wichtigste in Kürze

• Art. 4 EU AI Act ist seit dem 2. Februar 2025 in Kraft und verlangt, dass Unternehmen die KI-Kompetenz ihrer Mitarbeitenden sicherstellen.

• Die Pflicht gilt für alle Unternehmen, die in den Anwendungsbereich des EU AI Act fallen, also auch für Schweizer KMU mit EU-Kunden oder EU-Marktauftritt.

• "AI Literacy" bedeutet nicht, dass alle Mitarbeitenden KI-Experten sein müssen. Gefragt ist ein zweckmässiges Verständnis je nach Rolle.

• Es gibt keine vorgeschriebene Form. Schulungen, Guidelines, interne Richtlinien und begleitetes Lernen können alle als Massnahmen zählen.

• Unternehmen sollten Massnahmen dokumentieren, um im Zweifelsfall nachweisen zu können, dass sie der Pflicht nachgekommen sind.

Was sagt Artikel 4 des EU AI Act genau?

Artikel 4 lautet in der offiziellen deutschen Fassung: "Anbieter und Betreiber von KI-Systemen ergreifen Massnahmen, um nach besten Kräften dafür zu sorgen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Mass an KI-Kompetenz verfügen, unter Berücksichtigung ihrer technischen Kenntnisse, Erfahrung, Ausbildung und Schulung sowie des Kontexts, in dem die KI-Systeme eingesetzt werden sollen, und der Personen oder Gruppen von Personen, gegenüber denen die KI-Systeme eingesetzt werden sollen."

Drei Punkte verdienen besondere Aufmerksamkeit. Erstens: "nach besten Kräften". Das ist kein Ergebnis, das garantiert werden muss, sondern eine Bemühenspflicht. Unternehmen müssen zeigen, dass sie etwas getan haben, nicht dass jeder Mitarbeitende eine Zertifizierung bestanden hat.

Zweitens: "unter Berücksichtigung ihrer technischen Kenntnisse und des Kontexts". Die Anforderung ist rollenbezogen. Ein Buchhalter, der gelegentlich einen KI-Assistenten nutzt, braucht ein anderes Verständnis als eine Produktmanagerin, die KI-Funktionen in ein Kundenprodukt integriert.

Drittens: Die Pflicht gilt für "Anbieter und Betreiber". Anbieter sind Unternehmen, die KI-Systeme entwickeln und auf den Markt bringen. Betreiber sind alle, die KI-Systeme beruflich einsetzen. Das betrifft die grosse Mehrheit der KMU, die KI-Tools von Drittanbietern nutzen.

Gilt Art. 4 auch für Schweizer KMU?

Der EU AI Act gilt für Unternehmen, die KI-Systeme in der EU auf den Markt bringen oder dort einsetzen, unabhängig davon, wo das Unternehmen seinen Sitz hat. Ein Schweizer KMU, das Produkte oder Dienstleistungen an EU-Kunden erbringt und dabei KI einsetzt oder in die Leistung integriert hat, fällt in den Anwendungsbereich.

Das ist derselbe Marktortprinzip, der auch beim EU AI Act insgesamt gilt. Wer EU-Kunden beliefert, ist betroffen. Für rein binnenschweizerisch tätige KMU ohne EU-Kunden ist die Lage anders. Aber das dürfte in der Praxis eine Minderheit sein.

Schweizer Recht kennt keine direkte Entsprechung zu Art. 4 EU AI Act. Die Schweiz hat den EU AI Act nicht übernommen. Es gibt aber ähnliche Gedanken im Kontext des revDSG (Sensibilisierung beim Umgang mit Personendaten) und zunehmend in FINMA-Guidance für den Finanzsektor. AI Literacy als Konzept gewinnt auch in der Schweiz an Bedeutung, unabhängig von EU-Pflichten.

Was bedeutet "KI-Kompetenz" in der Praxis?

KI-Kompetenz ist kein einheitlicher Begriff. Der EU AI Act definiert ihn in Art. 3 Nr. 56 als "Fähigkeiten, Kenntnisse und Verständnis, die es ermöglichen, Anbieter, Betreiber und Betroffene jeweils auf sachkundige Weise einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden bewusst zu sein, die sie verursachen kann."

Das ist breit formuliert. In der Praxis lässt sich KI-Kompetenz nach Zielgruppe herunterbrechen.

Alle Mitarbeitenden (Grundstufe):

• Verstehen, was KI-Systeme sind und was sie nicht sind

• Wissen, welche KI-Tools im Unternehmen eingesetzt werden

• Grundlagen zur Qualitätsprüfung von KI-Outputs

• Verständnis für Datenschutz beim KI-Einsatz

Mitarbeitende mit regelmässiger KI-Nutzung (Anwenderstufe):

• Sicherer Umgang mit den freigegebenen Tools

• Erkennen von Halluzinationen und Fehlern

• Prompting-Grundlagen für den eigenen Anwendungsfall

• Wissen, wann eine KI-Ausgabe menschlich geprüft werden muss

Führungskräfte und KI-Verantwortliche (Steuerungsstufe):

• Verständnis für Risikoklassen und regulatorische Anforderungen

• Entscheidungsgrundlagen für neue KI-Investitionen

• Beurteilung von KI-Lieferanten und deren Datenschutzpraktiken

• Fähigkeit, KI-Governance-Entscheidungen gegenüber Kunden und Regulatoren zu vertreten

Wie dokumentiert ein KMU, dass es Art. 4 ernst nimmt?

Die Pflicht ist bewusst offen formuliert. Es gibt keine vorgeschriebene Schulungsform, keinen Mindestumfang und keinen vorgeschriebenen Nachweis. Das klingt bequem, aber es bedeutet auch, dass Unternehmen im Zweifelsfall selbst zeigen müssen, was sie getan haben.

Was als Massnahmen gelten kann:

• Interne Schulungen oder Workshops zum KI-Einsatz

• E-Learning-Module zu KI-Grundlagen und Risiken

• Schriftliche Guidelines und Nutzungsrichtlinien, die mit Mitarbeitenden besprochen werden

• Onboarding-Module für neue Mitarbeitende

• Dokumentierte Teamgespräche oder Lerneinheiten zu konkreten KI-Anwendungen

Was dokumentiert werden sollte:

• Welche Massnahmen wurden ergriffen (Titel, Format, Datum)

• Wer hat teilgenommen (Funktion reicht, kein Name nötig)

• Welche KI-Systeme wurden dabei besprochen

• Wann wird die Massnahme wiederholt oder aktualisiert

Ein einfaches Tracking-Dokument, das diese Punkte festhalt, reicht in den meisten Fällen aus. Kein aufwendiges LMS, keine externe Zertifizierung.

Was sind häufige Fehler bei der Umsetzung?

Zu breite Schulungen ohne Rollenbezug. Eine einstündige KI-Präsentation für die gesamte Belegschaft hält das Häkchen im Prozess, bringt aber wenig. Mitarbeitende aus dem Vertrieb brauchen andere Inhalte als die IT oder das Finanzteam. Wer Schulungen rollenbezogen gestaltet, erreicht mehr mit weniger Aufwand.

Einmalige Massnahmen ohne Wiederholung. KI-Tools entwickeln sich schnell. Eine Schulung aus dem Jahr 2024 ist 2026 teilweise schon überholt. Art. 4 ist eine Dauerpflicht, keine einmalige Abhakliste.

Schulungen ohne Verknüpfung mit den tatsächlich genutzten Tools. Wenn ein Unternehmen intern Microsoft Copilot einsetzt, bringt eine generische ChatGPT-Schulung wenig. Die Massnahmen sollten sich an den real eingesetzten Systemen orientieren.

Keine Dokumentation. Was nicht dokumentiert ist, hat im Zweifelsfall nicht stattgefunden. Das gilt gegenüber Aufsichtsbehörden genauso wie gegenüber Kunden, die im Rahmen von Vendor-Prüfungen nach AI-Literacy-Nachweisen fragen.

Wie viel Aufwand bedeutet das für ein KMU?

Eine realistische Erstmassnahme für ein KMU mit 20 bis 50 Mitarbeitenden:

• Rollenbezogene Kurzschulung (jeweils 60 bis 90 Minuten pro Gruppe): 2 bis 3 Sessions

• Einfaches Teilnahme-Tracking: eine Tabelle, kein System

• Aktualisierung der internen KI-Nutzungsrichtlinie um einen Abschnitt zu Kompetenzanforderungen: 1 bis 2 Stunden

• Jährliche Wiederholung oder Update-Session: 1 Session

Das ist keine grosse Investition. Der Unterschied zwischen "wir haben nichts getan" und "wir haben nachweisbare Massnahmen ergriffen" lässt sich mit einem halben Arbeitstag überbrücken.