KI-Kompetenz im Unternehmen aufbauen: Der 90-Tage-Fahrplan von der Bestandsaufnahme zum belastbaren Nachweis

Stand: 15. September 2026. Dieser Beitrag ist eine Einordnung aus der Praxis, keine Rechtsberatung.

Viele Unternehmen können belegen, dass eine KI-Schulung stattgefunden hat. Die wenigsten können sagen, wie gut im Vertrieb tatsächlich mit Copilot gearbeitet wird, ob Angebotstexte vor dem Versand geprüft werden oder welche Abteilung Kundendaten in nicht freigegebene Werkzeuge gibt. Anwesenheit ist dokumentiert, Können nicht. Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025, seit dem 2. August 2026 überwacht in Deutschland die Bundesnetzagentur die Einhaltung, und die Omnibus-Verordnung (EU) 2026/1744 hat seit dem 27. Juli 2026 aus der Erfolgspflicht eine Maßnahmenpflicht gemacht. Wie weit der Weg ist, zeigt der Bitkom-Studienbericht 2026: Ein großer Teil der deutschen Unternehmen ab 20 Beschäftigten bietet keine KI-Schulungen an, und nur eine Minderheit hat feste Regeln für den KI-Einsatz. Dieser Beitrag beschreibt einen 90-Tage-Weg, der Können sichtbar macht und belegt. Die Begriffe und die vier Dimensionen fasst unser Leitfaden zur KI-Kompetenz zusammen.

Der Fahrplan in vier Phasen

Tag 1 bis 14: Bestandsaufnahme von Tools, Anwendungsfällen und Schatten-KI

78 % der Beschäftigten, die KI bei der Arbeit nutzen, bringen eigene Tools mit, in kleinen und mittleren Unternehmen sind es 80 %. So steht es im Work Trend Index 2024 von Microsoft und LinkedIn mit 31.000 Befragten in 31 Ländern. Für Deutschland meldet Bitkom (Oktober 2025): In 8 % der Unternehmen ist die Nutzung privater KI-Tools weit verbreitet, in 17 % gibt es Einzelfälle, weitere 17 % vermuten sie, ohne es zu wissen. In der Praxis heißt das: Ein großer Teil der tatsächlichen KI-Nutzung in Ihrem Unternehmen findet außerhalb dessen statt, was in Lizenzverträgen und Schulungsplänen dokumentiert ist. Wer eine Roadmap mit einem Curriculum beginnt, plant an der Realität vorbei. Die ersten zwei Wochen gehören deshalb der Bestandsaufnahme: Welche Tools sind lizenziert, welche Abteilungen nutzen sie wofür, und an welchen Stellen füllen private Accounts die Lücken? Schatten-KI ist dabei kein Disziplinarthema, sondern ein Hinweis darauf, wo ein freigegebenes Werkzeug fehlt oder zu umständlich ist.

Drei Bausteine reichen dafür aus: eine kurze, ausdrücklich sanktionsfreie Umfrage im Team, ein Abgleich der Lizenzen und Nutzungsprotokolle aus der IT sowie eine Notiz je Abteilung, welche Rollen mit welchen Daten arbeiten und welches Risiko daraus entsteht. Halten Sie das Ergebnis in einer einfachen Tabelle fest, nicht in einem Konzeptpapier: Abteilung, Tool, Anwendungsfall, Datenart, freigegeben ja oder nein. Die Orientierungshilfe der Datenschutzkonferenz geht davon aus, dass eigenmächtige KI-Nutzung ohne klare interne Regeln in vielen Unternehmen Realität ist, und empfiehlt dokumentierte Weisungen sowie betriebliche Accounts statt privater Zugänge. Spätestens bei der Tool-Inventur kommen also die Fragen nach EU-Hosting, Datentrennung und DSGVO auf den Tisch, wie wir sie unter Sicherheit beschreiben. Klären Sie diese jetzt und nicht erst im Rollout. Am Ende von Tag 14 haben Sie kein Schulungsprogramm, aber eine belastbare Faktenlage, auf der die Fallaufgaben der folgenden Phasen aufsetzen.

Spalte der Bestandsaufnahme	Beispielhafter Eintrag
Abteilung	Vertrieb
Tool	Copilot, dazu eine private Chat-App
Anwendungsfall	Angebotstexte und Kundenanschreiben
Datenart	Kundendaten, Preise
Freigegeben	Copilot ja, Chat-App nein

Tag 15 bis 30: Die Baseline entsteht an echten Fallaufgaben, nicht im Quiz

Ein Wissensquiz misst Lesen, nicht Arbeiten. Wer die Definition eines Prompts ankreuzen kann, formuliert damit noch keine belastbare Anweisung für ein Angebot, eine Reklamation oder eine Stellenanzeige. Genau diese Lücke bleibt unsichtbar, solange Sie Multiple Choice auswerten. Selbsteinschätzungen helfen ebenso wenig: In der klassischen Studie von Kruger und Dunning (1999) ordneten sich die schwächsten Teilnehmer, die tatsächlich im 12. Perzentil lagen, selbst im 62. Perzentil ein. Die Baseline gehört deshalb in den Arbeitskontext der Person: Ein Vertriebsmitarbeiter bearbeitet eine Vertriebsaufgabe, die Personalabteilung eine HR-Aufgabe. Das Format dafür ist die Fallaufgabe, also eine echte Aufgabe aus dem Alltag, mit Zeitrahmen und freigegebenem Tool.

Bewertet wird die Abgabe entlang der vier Dimensionen Strategic Tool Use, Interaction Quality, Critical Oversight und Domain-Steered Prompting. Das ergibt keine Gesamtnote, sondern ein Profil. Sie sehen, ob jemand das falsche Werkzeug wählt, zu grob anweist, Ergebnisse ungeprüft übernimmt oder Fachwissen nicht einbringt. Diese vier Werte sind Ihr Nullpunkt. Ohne Nullpunkt gibt es später keinen Vorher-Nachher-Vergleich, sondern nur Bauchgefühl, und Bauchgefühl lässt sich weder Ihrem Wirtschaftsprüfer noch einer Ausschreibung vorlegen.

Tag 31 bis 60: Coaching dort ansetzen, wo die Lücken wirklich sind

Die Baseline verändert die Logik Ihres Weiterbildungsbudgets. Statt alle Beschäftigten durch dasselbe Programm zu schicken, sehen Sie, welche Dimension in welchem Team tatsächlich schwach ist. Ein Vertriebsteam, das in Domain-Steered Prompting und Strategic Tool Use überdurchschnittlich abschneidet, bei Critical Oversight aber einbricht, braucht keinen weiteren Prompt-Kurs, sondern Prüfroutinen: Wer kontrolliert Zahlen, Zitate und Zusagen, bevor ein Text das Haus verlässt, und woran erkennt man eine plausibel klingende Falschaussage? Dass Feedback wirkt, ist gut belegt, aber nicht jedes: In der Metaanalyse, die Hattie und Timperley (2007) referieren, waren 32 % der Feedback-Effekte negativ; wirksam ist Feedback, das sich auf Aufgabe und Vorgehen bezieht, nicht auf die Person. Der BCG-Report „AI at Work 2025“ zeigt zudem, dass die regelmäßige KI-Nutzung erst mit mindestens fünf Stunden Training und persönlichem Coaching deutlich steigt, während nur ein Drittel der Beschäftigten angibt, überhaupt angemessen geschult zu sein. Genau deshalb setzt Coaching bei uns unmittelbar nach der Abgabe einer Fallaufgabe an, wenn die eigene Lösung noch präsent ist: Die Person erhält eine Begründung zur Bewertung, eine Musterlösung zum Vergleich und einen konkreten nächsten Schritt für die nächste vergleichbare Aufgabe. Lernen findet damit in der Arbeitssituation statt und kostet Minuten statt Schulungstage.

Führungskräfte lesen parallel die Muster ihrer Abteilung. Wenn dieselbe Schwäche in der Mehrheit eines Teams auftaucht, ist das kein individuelles Defizit, sondern eine fehlende Regel im Prozess, etwa ein verbindliches Vier-Augen-Prinzip für KI-erzeugte Kundenkommunikation. So entsteht in diesen 30 Tagen nicht nur mehr Kompetenz, sondern auch eine dokumentierte Kette aus Messung, Maßnahme und erneuter Messung. Genau diese Kette ist es, die später im Sinne der Bemühenspflicht aus Artikel 4 EU AI Act belastbar ist.

Tag 61 bis 90: Vom Ergebnis zum Nachweis und zum Führungsbericht

Was legen Sie vor, wenn ein Kunde, ein Wirtschaftsprüfer oder eine Aufsichtsbehörde fragt, wie kompetent Ihr Team mit KI arbeitet? Ein belastbarer Nachweis besteht nicht aus einer Unterschriftenliste, sondern aus einer nachvollziehbaren Kette: welche Person welche Fallaufgabe bearbeitet hat, wie die Bearbeitung entlang von Strategic Tool Use, Interaction Quality, Critical Oversight und Domain-Steered Prompting bewertet wurde, welches Coaching darauf folgte und wie sich das Ergebnis in der zweiten Bearbeitung verändert hat. Diese Kette lässt sich verdichten, von der Organisationsebene bis in einzelne Abteilungen, sodass Sie den Gesamtstand ebenso sehen wie die Unterschiede zwischen Vertrieb, Einkauf und Technik. In der Auswertung wird sichtbar, wo Kompetenz bereits trägt und wo im nächsten Quartal nachgesteuert werden muss. Für die Dokumentation zu Artikel 4 EU AI Act, für Fragebögen in Ausschreibungen und für Rückfragen der Prüfer sprechen Sie damit über Ergebnisse statt über Teilnahmen.

Der zweite Adressat dieses Berichts sitzt in Ihrer eigenen Geschäftsführung. Nur 25 % der KI-Initiativen der vergangenen Jahre haben laut IBM-CEO-Studie 2025 (2.000 CEOs in 33 Ländern) den erwarteten ROI geliefert, und 74 % der Unternehmen konnten laut BCG (2024) noch keinen greifbaren Wert aus KI vorweisen. Das liegt selten an der Technik, sondern daran, dass niemand einen Ausgangswert festgehalten hat, gegen den sich eine Veränderung rechnen ließe. Weil Sie zwischen Tag 15 und Tag 30 eine Baseline an echten Fallaufgaben erhoben haben, existiert dieser Ausgangswert: Am Ende der 90 Tage vergleichen Sie dieselben Dimensionen bei denselben Rollen und sehen, ob sich Bearbeitungsqualität und Prüfverhalten tatsächlich verbessert haben. Diese Vorher-Nachher-Betrachtung ist die Grundlage für die nächste Budgetentscheidung. Und sie zeigt, dass Ihre Bemühenspflicht nicht als Absichtserklärung endet, sondern in Form dokumentierter Ergebnisse vorliegt.

Typische Stolpersteine in den 90 Tagen

Vier Fehler lassen sich vermeiden, wenn man sie kennt. Erstens beginnt das Vorhaben mit einem Tool-Rollout statt mit einer Bestandsaufnahme. Zweitens wird die ganze Organisation gleichzeitig gemessen, statt mit zwei oder drei Pilotabteilungen zu starten. Drittens wird die Baseline als Leistungsbeurteilung wahrgenommen, sodass Beschäftigte defensiv arbeiten. Viertens endet der Nachweis nach der ersten Welle, und neue Mitarbeitende, Werkzeuge und Anwendungsfälle bleiben unberücksichtigt.

Hinter allen vier Mustern steht dieselbe Lücke: unklare Verantwortung. Laut IBM Cost of a Data Breach Report 2025 hatten 63 % der von Sicherheitsvorfällen betroffenen Organisationen keine KI-Governance-Richtlinie oder arbeiteten noch daran; in Deutschland haben nur 23 % der Unternehmen ab 20 Beschäftigten feste Regeln für den KI-Einsatz (Bitkom 2025). Im Mittelstand liegt der Grund selten am Willen, sondern an der fehlenden Zuordnung. Legen Sie deshalb in den ersten zwei Wochen fest, wer für KI-Kompetenz zuständig ist, wer an die Geschäftsführung berichtet und in welchem Takt Ergebnisse überprüft werden, etwa quartalsweise gemeinsam mit der Tool-Übersicht. Der Unterschied ist deutlich: Ein Vorhaben, das am Ende nur einen Bericht erzeugt, hängt am Engagement einer einzelnen Person, während ein Vorhaben mit benannter Verantwortung und festem Prüftakt einen Personalwechsel übersteht. Datenschutzfragen sind die zweite Bremse, die Piloten aufhält. Klären Sie Hosting, Speicherort und Zugriffsrechte vor der ersten Fallaufgabe, nicht danach.

Fazit: In 90 Tagen vom Ordner zum belastbaren Nachweis

Am Ende der 90 Tage liegt neben der Teilnahmeliste ein kurzer Führungsbericht mit Ausgangswerten, Entwicklung und offenen Lücken je Abteilung. Der Weg dorthin folgt einem festen Takt. In den ersten zwei Wochen erfassen Sie Tools, Anwendungsfälle und Schatten-KI. Bis Tag 30 entsteht die Baseline an echten Fallaufgaben aus dem Arbeitsalltag. Bis Tag 60 setzt Coaching dort an, wo die Auswertung tatsächliche Schwächen zeigt, nicht dort, wo ein Standardprogramm es vorsieht. Bis Tag 90 liegen Nachweis und Führungsbericht vor, danach greift ein fester Überprüfungszyklus.

Seit der Omnibus-Verordnung vom 27. Juli 2026 gilt eine Maßnahmenpflicht statt einer Erfolgspflicht: Kein Unternehmen muss ein bestimmtes Niveau bei einer einzelnen Person garantieren, aber jedes muss Maßnahmen ergreifen und belegen können. Die Europäische Kommission verlangt dafür laut ihren Fragen und Antworten zur KI-Kompetenz kein Zertifikat, empfiehlt aber interne Aufzeichnungen über Schulungen und andere Maßnahmen. Das senkt den Anspruch nicht, es verschiebt ihn: Bewertet wird, ob Sie nachvollziehbar, regelmäßig und dokumentiert an der KI-Kompetenz Ihrer Belegschaft arbeiten. Ein wiederholbarer 90-Tage-Zyklus, der Ergebnisse festhält statt Teilnahmen zu zählen, leistet genau das. Wenn Sie wissen möchten, wo Ihr Unternehmen heute steht, geben acht Fragen in drei Minuten eine erste Einordnung: zum Selbstcheck. Beginnen Sie mit zwei Abteilungen und einer Fallaufgabe je Rolle. Mehr braucht es für den ersten belastbaren Datenpunkt nicht.

Quellen

Alle Quellen mit direktem Link zum Original.

1. Verordnung (EU) 2026/1744 (Digital Omnibus on AI) und AI Act Explorer, Artikel 4: Maßnahmenpflicht, kein garantiertes Niveau, gültig seit 2. Februar 2025.
2. Europäische Kommission, AI literacy Questions & Answers (Stand 27. Juli 2026): kein Zertifikat, interne Aufzeichnungen, Aufsicht ab 2. August 2026.
3. Bundesnetzagentur, Pressemitteilung vom 29. Juli 2026: Marktüberwachungsbehörde für die KI-Verordnung in Deutschland.
4. Bitkom, Studienbericht „Künstliche Intelligenz in Deutschland“ 2026 (PDF) und Presseinformation „Beschäftigte nutzen vermehrt Schatten-KI“ (Oktober 2025): 43 % ohne Schulungen, 23 % mit Regeln, private KI-Nutzung.
5. Microsoft und LinkedIn, Work Trend Index 2024: 78 % der KI-Nutzer bringen eigene Tools mit, 80 % in KMU.
6. Datenschutzkonferenz, Orientierungshilfe „KI und Datenschutz“ (Mai 2024, PDF): interne Regelungen (Rn. 36), betriebliche Accounts (Rn. 41).
7. Kruger und Dunning, „Unskilled and unaware of it“, Journal of Personality and Social Psychology 1999: 12. Perzentil tatsächlich, 62. Perzentil geschätzt.
8. Hattie und Timperley, „The Power of Feedback“, Review of Educational Research 2007 (PDF): 470 Effektstärken, d = 0,38, 32 % negativ.
9. BCG, „AI at Work 2025“: mehr als 10.600 Befragte; nur ein Drittel angemessen geschult; fünf Stunden Training plus Coaching als Schwelle.
10. IBM Institute for Business Value, CEO Study 2025 und BCG, „Where's the Value in AI?“ (2024): 25 % der KI-Initiativen mit erwartetem ROI, 74 % ohne greifbaren Wert.
11. IBM, Cost of a Data Breach Report 2025: 63 % ohne fertige KI-Governance-Richtlinie, Schatten-KI verteuert Vorfälle um rund 670.000 US-Dollar.