Stand: 5. August 2026. Dieser Beitrag ist eine Einordnung aus der Praxis, keine Rechtsberatung.

Die Lage in einem Satz: Artikel 4 EU AI Act gilt seit Februar 2025, wird seit Anfang August aktiv beaufsichtigt und verlangt seit dem Digital Omnibus nachweisbare Maßnahmen statt eines garantierten Niveaus. Was daraus praktisch folgt, lässt sich als Liste abarbeiten. Sieben Schritte, in dieser Reihenfolge.

Schritt 1: KI-Inventar erstellen — inklusive Schatten-KI

Welche KI-Systeme werden im Unternehmen tatsächlich genutzt? Die Betonung liegt auf „tatsächlich“: 71 % der Beschäftigten im DACH-Mittelstand nutzen Tools, die nie offiziell freigegeben wurden. Ein Inventar, das nur die eingekauften Lizenzen listet, beschreibt einen Teil der Realität. Fragen Sie die Teams direkt und ohne Sanktionsdrohung — sonst bekommen Sie die offizielle Liste noch einmal.

Schritt 2: Rollen und Einsatzkontexte clustern

Artikel 4 verlangt Kompetenz passend zu Rolle und Kontext, keine Einheitsschulung. Drei bis fünf Cluster reichen im Mittelstand meist: etwa gelegentliche Nutzung für Texte und Recherche, intensive Nutzung in Kundenkommunikation oder Angebotserstellung, und besonders sensible Kontexte wie Personal- oder Finanzdaten. Pro Cluster genügt ein Satz dazu, was kompetente Nutzung dort bedeutet.

Schritt 3: Ist-Stand messen — an echter Arbeit

Vor jeder Maßnahme steht die Frage, wo das Team tatsächlich steht. Eine Selbsteinschätzung liefert ein Stimmungsbild, ein Quiz einen Wissensstand — belastbar wird das Bild erst, wenn Mitarbeitende eine echte Aufgabe aus ihrem Bereich mit KI bearbeiten und der Weg zum Ergebnis bewertet wird. Erst dieser Schritt zeigt, ob es überhaupt Lücken gibt, wo genau sie liegen und welche Maßnahme sich lohnt.

Schritt 4: Lücken gezielt schließen statt flächig schulen

Mit dem Ist-Bild aus Schritt 3 wird aus der Gießkanne ein Werkzeugkasten: Ein Team, das KI-Ausgaben ungeprüft übernimmt, braucht etwas anderes als eines, das das Werkzeug an den falschen Stellen einsetzt. Gezieltes Feedback nach jeder Aufgabe verändert Verhalten dabei nachweislich stärker als eine weitere Grundlagenschulung für alle.

Schritt 5: Dokumentieren — wer, was, wann, Ergebnis

Die Bemühenspflicht macht die Dokumentation zum Kern der Compliance: Was nicht festgehalten ist, lässt sich nicht vorzeigen. Halten Sie pro Maßnahme fest, wer teilgenommen hat, was gemessen oder vermittelt wurde, wann — und was dabei herauskam. Ein datierter Kompetenzbeleg pro Person und Durchlauf ist genau die Form, die vor Behörden, Kunden und Prüfern trägt.

Schritt 6: Richtlinie und Freigaben nachziehen

Das Inventar aus Schritt 1 zeigt fast immer Tools, die genutzt, aber nie freigegeben wurden. Jetzt lässt sich sauber entscheiden, was offiziell unterstützt und was ersetzt wird — und die KI-Richtlinie beschreibt danach den tatsächlichen Zustand statt eines Wunschbilds. Eine Richtlinie allein ist allerdings noch kein Bemühen um Kompetenz; sie regelt das Dürfen, nicht das Können.

Schritt 7: Wiederholen — Kompetenz ist kein Einmalprojekt

Modelle, Tools und Aufgaben ändern sich schneller als jeder Schulungskatalog. Ein halbjährlicher Rhythmus aus Messung, gezielter Maßnahme und Dokumentation hält den Nachweis aktuell — und macht nebenbei sichtbar, ob sich das Investment lohnt, weil dieselbe Kompetenz vor und nach einer Maßnahme gemessen wird.

Fazit

Sieben Schritte, kein Hexenwerk — aber eine Reihenfolge, die zählt: erst wissen, was genutzt wird und wo das Team steht, dann handeln, dann dokumentieren, dann wiederholen. Wer die Liste einmal durchlaufen hat, besitzt genau das, was die Bemühenspflicht verlangt: einen laufenden, belegbaren Prozess statt einer einzelnen Maßnahme aus der Vergangenheit.