KI-Kompetenzanforderungen nach Art. 4 AI Act. Juristische Analyse und praxisorientierte Maßnahmen

KI-Kompetenzanforderungen nach Art. 4 AI Act Juristische Analyse und praxisorientierte Maßnahmen II KI-Kompetenzanforderungen nach Art. 4 AI Act – Juristische Analyse und praxisorientierte Maßnahmen Whitepaper September 2025 Autor*innen: Martina Block, LL.M. Coco Marie Görlich Dr. Jonathan Lautenschlager Valentin Mayer Jan Stramm Prof. Dr. Nils Urbach Prof. Dr. Janine Wendt Prof. Dr. Domenik Wendt, LL.M. III Kontakt: Prof. Dr Nils Urbach Frankfurt University of Applied Sciences House of Science and Transfer (HoST) Hungener Straße 6, 60318 Frankfurt [email protected] Prof. Dr. Janine Wendt Bürgerliches Recht und Unternehmensrecht Technische Universität Darmstadt Hochschulstraße 1, 64289 Darmstadt [email protected] Prof. Dr. Domenik Wendt, LL.M. Bürgerliches Recht, Europäisches Wirtschaftsrecht und Europarecht Frankfurt University of Applied Sciences House of Science and Transfer (HoST) Hungener Straße 6, 60318 Frankfurt [email protected] Bildquellen: © Sämtliche im Whitepaper verwendeten Bilder stammen aus dem Bildarchiv von Adobe Stock und sind entsprechend lizenziert. I Management Summary Mit der Verabschiedung der Verordnung (EU) 2024/1689 („AI Act“) hat der europäische Gesetzgeber erstmals einen verbindlichen Rechtsrahmen für den risikoadäquaten Einsatz Künstlicher Intelligenz (KI) geschaffen. Neben technisch-organisatorischen Vorgaben enthält die Verordnung in Art. 4 eine explizite Verpflichtung zur Sicherstellung eines hinreichenden Maßes an KI-Kompetenz bei den an Entwicklung, Betrieb und Nutzung von KI-Systemen beteiligten Akteur*innen. Die Verpflichtung adressiert Anbieter und Betreiber entsprechender Systeme und ist „nach besten Kräften“ zu erfüllen. Das vorliegende Whitepaper nimmt eine systematische Analyse und praxisorientierte Operationalisierung der durch Art. 4 AI Act normierten Kompetenzanforderungen vor. Ziel ist es, insbesondere kleinen und mittleren Unternehmen (KMU) eine Orientierungshilfe zur strukturierten Umsetzung der regulatorischen Vorgaben an die Hand zu geben. Hierzu werden die juristischen Grundlagen dezidiert aufgearbeitet und in ein integriertes Kompetenzmodell überführt, das zwischen individuellen (Mikro-) und organisationalen (Makro-) Dimensionen unterscheidet. Im Mittelpunkt steht ein zweistufiges Vorgehensmodell zur Ermittlung und Entwicklung von KI-Kompetenzen: Eine Bottom-up-Analyse individueller Fähigkeiten wird systematisch mit einem Top-down-Abgleich organisationaler Anforderungen kombiniert. Ergänzend wird ein morphologischer Kasten zur Klassifikation KI-relevanter Rollenprofile eingeführt, der eine strukturierte Zuordnung von Kompetenzbedarfen und Maßnahmen ermöglicht. Das Whitepaper leistet somit einen Beitrag zur normativen, methodischen und praktischen Fundierung der durch Art. 4 AI Act begründeten Verpflichtung zur Kompetenzsicherung im Bereich KI. Es versteht sich als Handreichung für unternehmerische und öffentliche Akteure, die den regulatorischen Anforderungen nicht nur genügen, sondern diese in eine strategisch fundierte Kompetenzentwicklung überführen möchten. II Inhaltsverzeichnis Management Summary ................................................................................... I 1 Vorwort .................................................................................................. 2 2 Rechtliche Grundlagen ........................................................................... 5 2.1 Überblick über den AI Act ............................................................... 5 2.2 Anwendungsbereich des AI Acts ..................................................... 6 2.2.1 Begriff des KI-Systems ................................................................... 6 2.2.2 Räumlicher Anwendungsbereich .................................................... 6 2.2.3 Persönlicher Anwendungsbereich .................................................. 7 2.3 KI-Kompetenz nach Art. 4 AI Act ...................................................... 7 2.3.1 Zielsetzung des Art. 4 AI Act ............................................................ 7 2.3.2 Adressaten ................................................................................... 8 2.3.3 Definition „KI-Kompetenz“ ............................................................. 8 2.3.4 Allgemeine KI-Kompetenz .............................................................. 9 2.3.5 Spezifische KI-Kompetenz ............................................................ 11 2.3.6 Maßnahmen ................................................................................ 11 2.3.7 „Nach besten Kräften“ ................................................................. 12 2.3.8 Sanktionen .................................................................................. 13 3 Umsetzungsperspektiven aus der Praxis................................................. 16 3.1 Begriffsdefinition und Dimensionen von KI-Kompetenz .................. 16 3.2 Mikro-Dimension: Einordnung individueller KI-Kompetenzen .......... 18 3.2.1 Prozesskenntnis .......................................................................... 19 3.2.2 Fähigkeiten ................................................................................. 19 3.2.3 Interaktionsverständnis und -erfahrung......................................... 20 III 3.3 Makro-Dimension: Einordnung organisationaler KI-Kompetenzen ... 21 3.3.1 Grundlagenkompetenz der Wirtschaftsinformatik .......................... 21 3.3.2 KI-Technologiekompetenz ............................................................ 23 3.3.3 KI-Anwendungskompetenz ........................................................... 25 3.3.4 KI-Entwicklungsund Betriebskompetenz ..................................... 26 3.3.5 KI-Managementkompetenz .......................................................... 28 3.3.6 KI-Reflexionskompetenz .............................................................. 30 3.4 KI-Kompetenz Assessment-Methodik zur Bedarfsanalyse .............. 31 3.4.1 Bottom-up-Analyse individueller Fähigkeiten ................................. 32 3.4.2 Top-down-Abgleich organisationaler Kompetenzen ....................... 33 3.5 Domänen zur Gruppierung von Kompetenzmaßnahmen................. 35 4 Handlungsempfehlungen und Ausblick .................................................. 40 4.1 Initiale Prüfungsmethodik ............................................................ 40 4.2 Differenzierungsbedarf ................................................................ 41 4.3 Operationalisierung der Kompetenzanforderungen nach Rollen ..... 42 4.4 Ausblick und Zukunftsbetrachtung ............................................... 47 5 Literaturverzeichnis ............................................................................... 50 1 1 Vorwort 2 1 Vorwort Die Relevanz von Künstlicher Intelligenz (KI) für Gesellschaft, Wirtschaft und Verwaltung hat in den letzten Jahren signifikant an Bedeutung gewonnen (Mayer et al. 2025). KI ist nicht länger ausschließlich als technologische Neuerung zu begreifen, sondern wirkt tiefgreifend auf das alltägliche Leben, das gesamtgesellschaftliche Zusammenleben sowie unternehmerische Wertschöpfungsprozesse ein. Unternehmen sehen sich daher verstärkt in der Verantwortung, KI-Systeme nicht nur effizient, sondern auch normenkonform, ethisch vertretbar und adressatengerecht einzusetzen. Mit dem Inkrafttreten der Verordnung (EU) 2024/1689 – besser bekannt als „AI Act“ – hat die Europäische Union erstmals einen verbindlichen Rechtsrahmen für den risikoadäquaten Einsatz von KI geschaffen. Neben technischen und organisatorischen Anforderungen beinhaltet der AI Act in Art. 4 auch eine ausdrückliche Verpflichtung zur Förderung sogenannter „KI-Kompetenz“ (AI literacy) bei den beteiligten Akteur*innen. Diese Verpflichtung adressiert Anbieter und Betreiber von KI-Systemen und verlangt, dass diese „nach besten Kräften“ sicherstellen, dass alle in Entwicklung, Betrieb oder Nutzung eingebundenen Personen über ein angemessenes Maß an Fähigkeiten, Kenntnissen und Verständnis im Umgang mit KI verfügen. Der Begriff der KI-Kompetenz umfasst dabei nicht nur technisches Wissen, sondern auch prozedurale Fähigkeiten und kritisches Reflexionsvermögen. Unternehmen sind somit angehalten, sowohl individuelle als auch organisationale Kompetenzprofile differenziert zu erheben, zu bewerten und zielgerichtet weiterzuentwickeln. Gerade für KMU besteht hierbei ein hoher Bedarf an praxisorientierter Unterstützung, um den abstrakten regulatorischen Anforderungen mit umsetzbaren Maßnahmen zu begegnen. Ziel dieses Whitepapers ist es daher, Unternehmen bei der systematischen Operationalisierung der Kompetenzanforderungen aus Art. 4 AI Act zu unterstützen. Es bietet eine juristisch fundierte und praxisorientierte Einordnung der Norm, überträgt die regulatorischen Vorgaben in überprüfbare Kompetenzdimensionen (Mikround Makroebene) und zeigt konkrete Handlungsmöglichkeiten zur Qualifikationsentwicklung auf. Ein besonderer Fokus liegt dabei auf dem entwickelten zweistufigen Kompetenzmodell sowie der Verbindung von rechtlichen Anforderungen mit organisatorischen Umsetzungsperspektiven. 3 Die Erarbeitung des Whitepapers wurde durch hessian.AI ermöglicht. Wir danken an dieser Stelle für die Unterstützung. Wir hoffen, mit diesem Whitepaper einen substanziellen Beitrag zur Klärung der durch den AI Act aufgeworfenen Anforderungen leisten zu können. Es soll Unternehmen auf ihrem Weg zu einer verantwortungsvollen, rechtssicheren und zukunftsorientierten Nutzung von KI-Systemen begleiten – und dabei helfen, regulatorische Vorgaben mit unternehmerischer Gestaltungsfähigkeit zu verbinden. 10 Rn. 6). Hierbei geht es nicht darum, jeden Schritt technisch nachvollziehen zu können, sondern darum, grundlegende Mechanismen zu verstehen und Risiken, auch regulatorische, zu kennen (Wendt 2025, Rn. 25). Insbesondere dem Risiko eines zu großen Vertrauens in die Ergebnisse von KI sollte vorgebeugt bzw. entgegengewirkt werden (Möller-Klapperich 2025, S. 195). Zu dieser allgemeinen KI-Kompetenz gehören grundlegende Kenntnisse in mehreren Bereichen (Wendt 2025, Rn. 21; Cipierre, S. 262): 1. Identifikation, Einordnung und richtige Anwendung von KI-Systemen – Verständnis der rechtlichen Definition eines KI-Systems in Art. 3 Abs. 1 AI Act (siehe unter 2.2.1); – die Fähigkeit, ein KI-System im Sinne des AI Acts zu identifizieren; – grundlegende Kenntnisse über KI-Systeme und Modelle; – grundlegendes Verständnis der Rolle und Bedeutung von Daten als Grundlage für KI-Systeme; – grundlegendes Verständnis für KI-Schnittstellen und -Oberflächen; – grundlegende Kenntnisse des organisatorischen Umfelds des KI-Einsatzes, insbesondere der technischen und betrieblichen Einbettung sowie der regulatorischen Rahmenbedingungen für KI-Systeme; – Fähigkeit zur effektiven Interaktion mit dem eingesetzten KI-System (z.B. Eingaben und die Interpretation von Ergebnissen); – Fähigkeit, KI als Werkzeug im Arbeitsalltag zielgerichtet zu nutzen. 2. Überblick über die Position und Funktion der Organisation entlang der KI-Wertschöpfungskette – Kenntnis der unterschiedlichen Rollen und Anforderungen aus dem AI Act, insbesondere: o Rolle und Pflichten von Anbietern von (Hochrisiko)-KI-Systemen (Art. 3 Abs. 3, Art. 16 AI Act); o Rolle und Pflichten von Betreibern von (Hochrisiko)-KI-Systemen (Art. 3 Abs. 4, Art. 26 AI Act); 11 – Fähigkeit, die eigene Tätigkeit im Kontext der verschiedenen Pflichtenkreise richtig einzuordnen. 3. Verständnis der mit dem Einsatz von KI-Systemen verbundenen Chancen, Risiken und möglichen Schäden – Kenntnis der unterschiedlichen Risikoklassen des AI Acts und der damit zusammenhängenden Compliance-Pflichten, insbesondere die Unterscheidung zwischen Hochrisiko-KI-Systemen und regulären KI-Systemen; – Ausreichende Kenntnisse über die Aufgaben und Tätigkeiten, für die nach Art. 14 Abs. 4 AI Act bei Betreibern eine menschliche Aufsicht vorgesehen ist. 2.3.5 Spezifische KI-Kompetenz Über die allgemeine KI-Kompetenz hinaus kann je nach Art des eingesetzten oder angebotenen KI-Systems sowie dessen Einsatzzweck eine spezifische KI-Kompetenz erforderlich sein. Diese umfasst weitergehende Fachkenntnisse, vertiefte Fähigkeiten sowie ein tieferes Verständnis für die Anwendung und Einhaltung der Vorgaben des AI Acts (Wendt 2025, Rn. 26, Wendt und Wendt 2025, § 4 Rn. 7). So unterscheiden sich die Kompetenzanforderungen je nach Anwendungsfeld deutlich: Ein KI-System im Rechtswesen stellt andere Anforderungen an Fachwissen, Risikoabwägung und regulatorische Umsetzung als ein KI-System im Finanzsektor, etwa bei Banken oder Versicherungen. Auch der Grad des notwendigen Verständnisses hängt maßgeblich von der Komplexität des Systems sowie von seinem konkreten Einsatzzweck ab. Je komplexer und risikobehafteter ein System ist, desto höher sind in der Regel die Anforderungen an das involvierte Fachpersonal – etwa im Hinblick auf Datenverständnis, Modellinterpretation oder rechtliche Bewertung (Wendt 2025, Rn. 26; Schippel 2025, S. 123) 2.3.6 Maßnahmen Das in Art. 4 AI Act verankerte, flexible System zur Sicherstellung von KI-Kompetenz kann auf unterschiedliche Weise umgesetzt werden. Welche konkreten Maßnahmen dabei erforderlich sind, wird vom AI Act nicht festgelegt, hängt vom Einzelfall ab und sollte sich am tatsächlichen Bedarf im Unternehmen orientieren (Bundesnetzagentur 2025, S. 1). 12 Bei der Festlegung geeigneter Maßnahmen zur Entwicklung von KI-Kompetenzen sollten sowohl objektive Faktoren – insbesondere das angebotene bzw. betriebene KI-System, dessen Risikoklasse und dessen Einsatzzweck und die Personen(gruppen), bei denen das KI-System eingesetzt werden soll – als auch subjektive Aspekte berücksichtigt werden. Letztere sind nach dem Wortlaut des Art. 4 AI Act die technischen Kenntnisse, Erfahrungen, Ausbildung und Schulungen der mit den KI-Systemen befassten Personen, die abgefragt und erfasst werden sollten (Wendt 2025, Rn. 30 ff.). Auch wenn der AI Act dies nicht explizit benennt, ist die wohl sinnvollste Maßnahme, mit der KI-Kompetenz erreicht werden kann, die Durchführung von Schulungen (Wendt 2025, Rn. 36; Wendt und Wendt 2025, § 4. Rn. 9 ff; Fleck 2024, S. 102). Diese können intern oder extern durchgeführt werden (Wendt 2025, Rn. 43; Wendt und Wendt 2025, § 4 Rn. 11; Fleck 2024, S. 103; Rappenglück und Vonthien 2025, S. 402; Bundesnetzagentur 2025, S. 1) und in diesen sollten auch ausreichende technische Kenntnisse zu KI-Systemen vermittelt werden (Wendt 2025, S. 103; Wendehorst 2024b, Rn. 22). Über die Durchführung passender Schulungen hinaus kann es sich anbieten, als Organisation die Funktion des KI-Beauftragten einzuführen und/oder Arbeitsgruppen bzw. Taskforces, wie bspw. einem KI Center of Excellence, zu bilden. Die Einführung einer solchen Funktion ist zwar im Gegensatz zu anderen Funktionen wie z.B. dem Datenschutzoder Geldwäschebeauftragten nicht verpflichtend (Bundesnetzagentur 2025, S. 2), kann allerdings aus praktischen Erwägungen ab einer bestimmten Unternehmensgröße dringend empfohlen werden (Rappenglück und Vonthien 2025, S. 404). Auch die Erarbeitung von betriebsinternen Richtlinien und Arbeitsanweisungen kann zur Schaffung von KIKompetenz beitragen (Wendt 2025, Rn. 48; Wendehorst 2024b, Rn. 43; Rappenglück und Vonthien 2025, S. 404). 2.3.7 „Nach besten Kräften“ Anbieter und Betreiber von KI-Systemen sind dazu verpflichtet, ein ausreichendes Maß an KI-Kompetenz sicherzustellen – und zwar nach besten Kräften. Diese Formulierung ist im EU-Recht eher ungewöhnlich und lässt Raum für Interpretationen (Wendt und Wendt, § 4 Rn. 5; Rappenglück und Vonthien 2025, S. 400; Möller-Klapperich 2025, S. 195). 13 Der AI Act selbst erläutert nicht näher, welcher Maßstab anzulegen ist, allerdings enthalten die FAQ der Kommission den Hinweis, dass der Art. 4 AI Act eine konkrete Handlungspflicht begründet („obligation to take measures“) (Europäische Kommission 2025a). Die Formulierung „nach besten Kräften“ bringt eine spürbare Relativierung der Verpflichtung mit sich. Anbieter und Betreiber von KI-Systemen sind demnach nicht verpflichtet, alle denkbaren Maßnahmen zu ergreifen, um ein ausreichendes Maß an KI-Kompetenz sicherzustellen (Möller-Klapperich 2025, S. 197). Vielmehr beinhaltet diese Formulierung ein Zumutbarkeitskriterium, das die individuelle Ausgangslage berücksichtigt. Unternehmen müssen sie nur solche Schritte unternehmen, die angesichts ihrer Unternehmensgröße, personellen und finanziellen Ressourcen, Art des Betriebs und der konkreten Umstände tatsächlich zumutbar und realisierbar sind (Wendt 2025, Rn. 49; Fleck 2024, S. 101; Möller-Klapperich 2025, S. 197). Demnach ist zunächst eine strukturierte Bedarfsermittlung erforderlich, wenn Anbieter und Betreiber die KI-Kompetenz der Akteur*innen möglichst passgenau sicherstellen wollen. Diese sollte sowohl objektive als auch subjektive Faktoren berücksichtigen – wie sie in Art. 4 AI Act angelegt sind. Die Analyse kann dabei unternehmensintern erfolgen oder an fachkundige Dritte ausgelagert werden (Wendt 2025, Rn. 50). Sie sollte inkl. ihrer Ergebnisse dokumentiert werden und anlassbezogen sowie regelmäßig wiederholt werden (Wendt 2025, Rn. 52; Bundesnetzagentur 2025, S. 4). 2.3.8 Sanktionen Ein Verstoß gegen die Anforderungen aus Art. 4 AI Act – insbesondere im Hinblick auf unzureichende Maßnahmen zur Förderung von KI-Kompetenz – kann rechtliche Konsequenzen nach sich ziehen. So müssen die EU-Mitgliedstaaten entsprechend den Vorgaben des Art. 99 Abs. 1 S. 1 AI Act Vorschriften für wirksame, verhältnismäßige und abschreckende Sanktionen erlassen. Darüber hinaus kann eine Missachtung der Vorgaben aus Art. 4 AI Act auch haftungsrechtlich von Bedeutung sein (Wendt 2025, Rn. 6; Wendehorst 2024b, Rn. 6; Rappenglück und Vonthien 2025, S. 401; Möller-Klapperich 2025, S. 195; Bundesnetzagentur 2025, S. 2), wenn beispielsweise ein Schaden durch ausreichende Schulungsmaßnahmen hätte verhindert werden können. Unternehmen und Organisationen sind daher gut beraten, entsprechende Schulungsund Qualifizierungsmaßnahmen 14 systematisch umzusetzen und zu dokumentieren, um rechtliche Risiken zu minimieren und eine verantwortungsvolle Nutzung von KI zu gewährleisten (Bundesnetzagentur 2025, S. 2). 15 3 Umsetzungsperspektiven aus der Praxis 16 3 Umsetzungsperspektiven aus der Praxis 3.1 Begriffsdefinition und Dimensionen von KI-Kompetenz Die Analyse des Art. 4 AI Act verdeutlicht: Der EU-Gesetzgeber beschränkt sich nicht auf die Etablierung technischer Normen und organisatorischer Rahmenbedingungen, sondern erhebt den Erwerb individueller Kompetenzen zum verbindlichen rechtlichen Erfordernis für alle mit Entwicklung, Betrieb und Nutzung von KI-Systemen betrauten Akteursgruppen. Die praktische Umsetzung dieser normativen Vorgabe verbleibt indessen in der Verantwortung der verpflichteten Organisationen. Es bedarf daher einer methodisch fundierten Überführung der regulatorischen Anforderungen in operable Strukturen, Prozesse und Maßnahmen, welche den institutionellen Realitäten betrieblicher Praxis Rechnung tragen. Vor diesem Hintergrund adressiert dieses Kapitel das Spannungsfeld zwischen rechtlicher Sollvorgabe und organisatorischer Umsetzungsperspektive aus der Perspektive der Wirtschaftsinformatik. Als wissenschaftliche Disziplin mit ausgeprägtem soziotechnischem Fokus bietet die Wirtschaftsinformatik eine geeignete Anschlussstelle, um regulatorische Anforderungen in praxisrelevante Kompetenzmodelle, differenzierte Rollenprofile sowie strukturierte Verfahren der Bedarfserhebung und Kompetenzentwicklung zu überführen. Ziel ist es, den in Art. 4 AI Act enthaltenen Auftrag zur Sicherstellung hinreichender KI-Kompetenz inhaltlich zu konkretisieren, methodisch zu operationalisieren und für die unternehmerische Anwendung systematisch aufzubereiten. Gerade kleine und mittlere Unternehmen stehen vor der Aufgabe, die eher abstrakten Vorgaben in konkrete Lernziele, Rollenprofile und Prüfprozesse zu übersetzen – und das unter typischen Randbedingungen knapper Ressourcen und begrenzter Expertise. Im deutschsprachigen Diskurs hat sich der Begriff „KI-Kompetenz“ als etablierte Übersetzung des im AI Act verwendeten Terminus „AI literacy“ durchgesetzt, jedoch bezeichnet dieser häufig primär anwendungsbezogene Fähigkeiten im Umgang mit KI-Systemen, während der englische Begriff darüber hinaus auch kritisch-reflexive und ethische Dimensionen der Auseinandersetzung mit Künstlicher Intelligenz umfasst (Gimpel 2024). Ausgehend von der im AI Act verankerten Definition von KI-Kompetenz als Zusammen- 17 spiel von Wissen, Fähigkeit und Verständnis (siehe unter Abschnitt 2.3.3), greifen wir diesen Kompetenzbegriff aus wirtschaftsinformatischer Perspektive auf und erweitern ihn um drei zentrale Gestaltungsprinzipien. Diese sollen der besonderen Komplexität und Dynamik der organisationalen Praxis im Umgang mit KI-Systemen Rechnung tragen. Dabei stehen nicht nur kognitive oder technische Anforderungen im Vordergrund, sondern auch handlungspraktische, normative und organisationale Dimensionen. Die nachfolgenden drei Kerngedanken verdeutlichen diesen erweiterten Kompetenzansatz und bilden die konzeptionelle Grundlage für die nachfolgenden Ausführungen: 1. Sozio-technische Ganzheitlichkeit – technisches Know-how reicht nicht aus: Menschliche, organisatorische und regulatorische Aspekte sind gleichrangig. 2. Handlungsorientierung – Kompetenz zeigt sich erst in der praktischen Umsetzung und nicht allein im Zertifikat. 3. Kontinuierliches Lernen – aufgrund des rasanten Fortschritts ist KI-Kompetenz kein statischer Zielzustand, sondern ein fortlaufender Entwicklungsprozess. Zur Systematisierung und Operationalisierung der im Verordnungstext teils abstrakt und unspezifiziert formulierten Anforderungen wird im Folgenden ein konzeptioneller Bezugsrahmen herangezogen, der zwei wirtschaftsinformatische Dimensionen integriert (Gimpel 2024; Pinski und Benlian 2023). Ziel ist es, eine praxisgerechte Überführung der regulatorischen Vorgaben zu ermöglichen und eine strukturierte Ableitung konkreter Handlungsschritte im organisationalen Kontext zu erleichtern. Die Mikro-Dimension umfasst dabei die individuelle Perspektive nach Pinski und Benlian (2024): 1. Kenntnis: Eigenauffassung der KI-Prozessschritte (Input, Verarbeitung, Output) sowie der spezifischen Chancen und Risiken in jedem Schritt. 2. Fähigkeit: Selbstdeutung des Rollenverständnis von Menschen und KI, inklusive Verantwortung, Kontrollmechanismen und Entscheidungsgrenzen. 3. Verständnis: Praktisches Begreifen („Können“) im Umgang mit KI-Werkzeugen, die implizites Wissen entstehen lässt. Die Makro-Dimensionen enthalten hingegen organisationale Perspektiven nach Gimpel 18 (2024): 1. Grundlagenkompetenz der Wirtschaftsinformatik 2. KI-Technologiekompetenz 3. KI-Anwendungskompetenz 4. KI-Entwicklungs & -Betriebskompetenz 5. KI-Managementkompetenz 6. KI-Reflexionskompetenz Die Mikround Makro-Dimensionen werden dabei integriert betrachtet und greifen ineinander: Erst wenn Mitarbeiter*innen ihre Kenntnisse, Fähigkeiten und ihr Verständnis (Mikro) in klar definierte Rollen, Governance-Strukturen und Geschäftsprozesse (Makro) einbringen, entsteht organisationsweite KI-Kompetenz. Umgekehrt bleiben strategische KI-Programme ohne persönlich verankerte Kompetenzen wirkungslos. Es empfiehlt sich daher ein zweistufiges Vorgehen: 1. Bottom-up-Analyse individueller Fähigkeiten aller Mitarbeiter*innen (Skill-Inventur, Self-Assessments, Beobachtung realer Arbeitsprozesse). 2. Top-down-Abgleich mit den sechs Makro-Dimensionen, um Lücken in Strategie, Governance oder Infrastruktur aufzudecken (Bedarfsanalyse, Rollenprofilerstellung, Maßnahmenzuordnung) Dieses integrierte Vorgehen bildet die Grundlage für die weiteren Kapitel des Whitepapers, welches ein einheitliches Vokabular liefert, die Priorisierung von Schulungsmaßnahmen erleichtert und Prüfkriterien für die im AI Act geforderten Maßnahmen zur Sicherstellung von KI-Kompetenz „nach besten Kräften“ liefert. Zunächst werden dazu die Mikround Makro-Dimension der KI-Kompetenzen eingeordnet. 3.2 Mikro-Dimension: Einordnung individueller KI-Kompetenzen Während der AI Act insgesamt vor allem organisatorische Prozesse und technische Anforderungen adressiert, rückt Art. 4 AI Act explizit den Menschen als entscheidenden Erfolgsfaktor in den Mittelpunkt. Diese individuelle Mikro-Dimension gelten auch als „ge- 19 neral AI literacy“ und fassen drei eng miteinander verzahnten Teilkompetenzen zusammen: Kenntnis, Fähigkeit und Verständnis. Gemeinsam beschreiben diese, wie Einzelpersonen ein KI-System verstehen, hinterfragen und verantwortungsvoll einsetzen können. Im Folgenden werden diese drei Mikro-Dimensionen näher ausgeführt. Aus der Kombination dieser Begriffe entsteht jene „ganzheitliche Befähigung“, die der AI Act von den Stakeholdern fordert: ein Kompetenzprofil, das technische Einsichten, Verantwortungsbewusstsein und praktische Routine verbindet. Indem Unternehmen diese drei Mikro-Dimensionen systematisch erfassen und weiterentwickeln, legen sie das Fundament für eine verantwortungsvolle, effiziente und rechtskonforme Nutzung von KI. 3.2.1 Prozesskenntnis Die Kenntnis im Rahmen des Prozesswissens bezieht sich auf das Verständnis der zentralen Funktionsschritte eines KI-Systems: Daten-Input, algorithmische Verarbeitung und Resultat-Output. Wer über ein ausgeprägtes Prozesskenntnis verfügt, erkennt, welche Datenquellen ein Modell benötigt, wo Verzerrungen entstehen können und wie sich die Datenqualität auf das Ergebnis auswirkt. Ebenso wichtig ist das Know-how, wie ein Modell trainiert, validiert und überwacht wird: Welche Algorithmen kommen infrage? Welche Leistungsmetriken sind sinnvoll, und wie werden sie richtig interpretiert? Schließlich umfasst Prozesskenntnis auch die Fähigkeit, Resultate kritisch zu lesen – also Wahrscheinlichkeiten, Erklärungen oder Visualisierungen korrekt einzuordnen und Grenzen der Aussagekraft zu erkennen. Für kleine und mittlere Unternehmen wird dieses Wissen zur Voraussetzung, um einerseits die im AI Act geforderten Dokumentationsund Berichtspflichten zu erfüllen und andererseits Fehlfunktionen oder Compliance-Risiken frühzeitig zu identifizieren. Kurz: Prozesskenntnis macht Mitarbeitende zu informierten Sparringspartnern für Data-Scientists und zu glaubwürdigen Vermittler*innen gegenüber Management, Kunden und Aufsichtsbehörden. 3.2.2 Fähigkeiten Die Fähigkeiten von Akteur*innen fokussieren die Interaktion und Rollenverteilung zwischen Menschen und KI-System. Im Zentrum stehen dabei zentrale Fragestellungen zur funktionalen Aufgabenteilung: Welche Entscheidungen können automatisiert getroffen 26 Schnittstelle zwischen technischer Systemlogik und menschlicher Handlungskompetenz im praktischen Einsatz von KI. KI-Anwendungskompetenz schließt dabei nicht nur kognitive Fähigkeiten, sondern auch Handlungskompetenz ein. Gemeint ist die Fähigkeit, KI-Systeme sinnvoll in den eigenen Arbeitskontext einzubetten – z. B. in der Kundenberatung, in der Personalrekrutierung, in der medizinischen Diagnostik oder im Bereich der öffentlichen Verwaltung. Hierzu gehört auch das Wissen darüber, welche Anforderungen an menschliche Kontrollund Korrekturmöglichkeiten bestehen und wie diese praktisch umgesetzt werden können. Die Kompetenz umfasst somit auch den souveränen Umgang mit sogenannten „Hybridentscheidungen“, bei denen Mensch und KI gemeinsam zu einem Ergebnis kommen. Ein wesentliches Element der Anwendungskompetenz ist das Bewusstsein für Verantwortung im Umgang mit algorithmischer Unterstützung. Anwender*innen müssen sich darüber im Klaren sein, dass Entscheidungen, die auf KI-Empfehlungen basieren, letztlich durch Menschen getragen und verantwortet werden müssen. Die Fähigkeit zur kritischen Reflexion von Empfehlungen, zur Infragestellung automatisierter Vorschläge und zur Dokumentation von Abweichungen ist daher elementarer Bestandteil dieser Kompetenz. Forschungsseitig wird diese Kompetenz als eigenständige Dimension in Modellen zur AI Literacy erfasst. Anwendungskompetenz steht demnach sowohl mit der Akzeptanz als auch mit der Wirksamkeit von KI-Systemen im direkten Zusammenhang. Diese ist dabei nicht nur abhängig von Schulung und Vorerfahrung, sondern auch vom organisationalen Kontext – etwa von der Fehlerkultur, der Verfügbarkeit unterstützender Strukturen oder der Transparenz der eingesetzten Systeme. Zusammenfassend lässt sich festhalten, dass die Anwendungskompetenz einen handlungsbezogenen, praxisnahen Zugang zur KI-Nutzung darstellt. Sie ermöglicht es Beschäftigten, mit algorithmischen Systemen nicht nur zu arbeiten, sondern diese aktiv und verantwortungsvoll in ihre beruflichen Routinen zu integrieren – eine wesentliche Voraussetzung für die gelingende digitale Transformation von Wirtschaft und Verwaltung. 3.3.4 KI-Entwicklungsund Betriebskompetenz Die Kompetenz zur Entwicklung und zum Betrieb von KI beschreibt die Fähigkeit, KI-Sys- 27 teme über den gesamten Lebenszyklus hinweg konzeptionell, technisch und organisatorisch zu gestalten, umzusetzen und verantwortungsvoll zu betreiben. Diese Entwicklungskompetenz umfasst sowohl methodische als auch praktische Kenntnisse und Fertigkeiten, die erforderlich sind, um KI-Systeme zielgerichtet zu entwickeln, dauerhaft zu warten und in bestehende sozio-technische Infrastrukturen zu integrieren. Diese Kompetenz ist zentral für eine sichere, robuste und wirtschaftlich sinnvolle Anwendung von KITechnologien in professionellen Kontexten (Gimpel 2024). Im Entwicklungsprozess bezieht sich diese Kompetenz zunächst auf die strukturierte Umsetzung von KI-Projekten – von der Problemformulierung über die Datenaufbereitung, Modellwahl und -training bis hin zur Validierung und Optimierung. Diese setzt voraus, dass Personen in der Lage sind, geeignete Modelle auszuwählen und diese systematisch auf spezifische Anwendungsprobleme anzupassen. Hierzu zählen sowohl algorithmischtechnisches Know-how als auch projektbezogene Kompetenzen im Umgang mit Frameworks und Tools wie TensorFlow, PyTorch, Scikit-learn oder MLflow. Darüber hinaus umfasst diese Kompetenz die Fähigkeit, KI-Systeme in produktive Umgebungen zu überführen. Dies schließt Aspekte des Deployments (z. B. API-Design, Edge-Computing, Containerisierung), des Monitorings (z. B. Performance Tracking, Konzeptdrift-Erkennung) sowie der kontinuierlichen Modellpflege (z. B. Re-Training, Hyperparameter-Tuning) ein. Entscheidend ist hierbei das Verständnis dafür, dass KI-Systeme keine einmalig abgeschlossenen Produkte, sondern dynamische und pflegebedürftige Komponenten in einem sich wandelnden technologischen und organisatorischen Kontext sind. Besonders relevant ist in diesem Zusammenhang auch die Fähigkeit, die technischen, organisatorischen und regulatorischen Rahmenbedingungen für den dauerhaften und regelkonformen Betrieb von KI-Systemen zu schaffen. Dies umfasst Fragen der IT-Sicherheit, der Datenverfügbarkeit und -souveränität, der Dokumentationspflichten sowie der Einhaltung einschlägiger Normen und Standards. Die Kompetenz zur Entwicklung und zum Betrieb von KI wird in der aktuellen Forschung als eigenständiger Kompetenzbereich begriffen. Gimpel (2024) beschreibet diese als Schnittstelle zwischen Technologie-, Managementund Anwendungskompetenz, die ein tiefes Verständnis der KI-spezifischen Entwicklungslogik mit praktischer Umsetzungsfähigkeit kombiniert. Damit ist sie nicht nur für Entwickler*innen von Bedeutung, sondern 28 auch für jene Rollen, die für Qualitätssicherung, Lifecycle-Management oder regulatorische Konformität verantwortlich sind. Nicht zuletzt ist diese Kompetenz aus strategischer Sicht relevant. Organisationen, die KI-Technologien nachhaltig und skalierbar einsetzen wollen, benötigen verlässliche Prozesse für Entwicklung, Betrieb und Pflege. Personen mit entsprechender Fachkompetenz leisten einen zentralen Beitrag zur Absicherung der technischen Leistungsfähigkeit, zur Reduktion operationeller Risiken und zur Etablierung robuster Innovationsprozesse. Sie schaffen damit die Voraussetzungen für organisatorische Lernfähigkeit und kontinuierliche Verbesserung im Umgang mit KI. Zusammenfassend lässt sich festhalten, dass die Kompetenz zur Entwicklung und zum Betrieb von KI eine praxisorientierte, prozessorientierte und compliance-relevante Fähigkeit darstellt. Sie befähigt Organisationen dazu, KI-Systeme nicht nur technisch umzusetzen, sondern auch langfristig stabil, verantwortungsvoll und strategisch wirksam zu betreiben. 3.3.5 KI-Managementkompetenz Die Managementkompetenz im Kontext von KI beschreibt die Fähigkeit, den strategischen, organisatorischen und ökonomischen Rahmen für die Einführung, Nutzung und Weiterentwicklung von KI-Systemen zu gestalten. Diese Kompetenz befähigt Führungskräfte, Projektverantwortliche und strategische Entscheidungsträger*innen dazu, Potenziale und Risiken der KI-Nutzung zu erkennen, angemessen zu bewerten und in nachhaltige Steuerungsstrukturen zu überführen. Als Schnittstelle zwischen Technik, Organisation und Regulierung ist diese Kompetenz für die strategische Handlungsfähigkeit von Organisationen im digitalen Wandel von zentraler Bedeutung. Ein zentraler Bestandteil der KI-Managementkompetenz ist die Fähigkeit zur strategischen Bewertung von KI-Initiativen. Führungskräfte müssen in der Lage sein, konkrete Anwendungsfelder zu identifizieren, den erwartbaren Nutzen gegen Aufwand und Risiken abzuwägen und geeignete Projekte auszuwählen. Hierzu gehört auch das Verständnis für die Voraussetzungen erfolgreicher KI-Implementierungen, etwa im Hinblick auf Datenverfügbarkeit, IT-Infrastruktur, Personalqualifikation und regulatorische Rahmenbedingungen. Die Kompetenz umfasst dabei sowohl analytische als auch gestalterische Fähig- 29 keiten – also die Fähigkeit, technologische Entwicklungen vorausschauend zu beobachten und aktiv mitzugestalten. Darüber hinaus schließt KI-Managementkompetenz die Fähigkeit ein, geeignete Organisationsstrukturen, Verantwortlichkeiten und Prozesse zu etablieren. Dazu zählt beispielsweise der Aufbau interdisziplinärer Teams, die Implementierung agiler Projektsteuerung, die Definition von Governance-Richtlinien für KI-Systeme sowie die Integration von KI-spezifischen Risiken in das betriebliche Risikomanagement. Insbesondere in größeren Organisationen kommt der Fähigkeit zur Koordination unterschiedlicher Interessensgruppen und zur Vermittlung zwischen technischer Fachlichkeit und unternehmerischer Zielsetzung zentrale Bedeutung zu. Ein weiterer Aspekt betrifft die Befähigung zur Steuerung regulatorischer und ethischer Anforderungen. Führungskräfte müssen dafür Sorge tragen, dass KI-Systeme nicht nur technisch funktionieren, sondern auch rechtskonform, diskriminierungsfrei und gesellschaftlich akzeptabel eingesetzt werden. Dies schließt die Verantwortung für Schulungsmaßnahmen ebenso ein wie die Etablierung von Prozessen zur ethischen Prüfung, Transparenz und Nachvollziehbarkeit algorithmischer Entscheidungen. Aus der Forschungsperspektive wird KI-Managementkompetenz als kritischer Erfolgsfaktor für die wertschöpfende und verantwortungsvolle Einführung von KI identifiziert (Pinski und Benlian 2023). Studien zeigen, dass insbesondere die Fähigkeit von Top-Management-Teams, technologische Entwicklungen zu verstehen und strategisch einzuordnen, maßgeblich darüber entscheidet, ob KI-Initiativen langfristig Wirkung entfalten. Dabei wird auch betont, dass Managementkompetenz nicht nur auf einzelne Führungspersonen beschränkt ist, sondern zunehmend teambasiert und kontextabhängig zu verstehen ist (Pinski et al. 2024a; Pinski et al. 2024b). Zusammenfassend lässt sich festhalten, dass KI-Managementkompetenz die Fähigkeit beschreibt, KI nicht nur operativ zu nutzen, sondern strategisch und nachhaltig in Wertschöpfung und Steuerung zu integrieren. Sie bildet die Grundlage für organisationsweite Gestaltungsfähigkeit im Umgang mit KI und ist damit unverzichtbar für eine zukunftsfähige und rechtskonforme digitale Transformation. 30 3.3.6 KI-Reflexionskompetenz Die Reflexionskompetenz im Kontext von KI beschreibt die Fähigkeit, die gesellschaftlichen, rechtlichen und ethischen Implikationen der Nutzung von KI-Systemen zu erkennen, kritisch zu analysieren und in unternehmerische Entscheidungen einzubeziehen. Diese Kompetenz bildet das normative Fundament für einen verantwortungsvollen Umgang mit KI und ist von besonderer Bedeutung in Anwendungsbereichen, in denen automatisierte Systeme über personenbezogene Daten, Zugangschancen oder sicherheitsrelevante Aspekte mitentscheiden. Als Querschnittskompetenz ergänzt sie die technologische, anwendungsbezogene und managementorientierte Perspektive um eine bewusste Auseinandersetzung mit Grundwerten, Risiken und Nebenfolgen algorithmischer Systeme. Zentrale Bestandteile der KI-Reflexionskompetenz sind zunächst das Verständnis für typische Risikodimensionen der KI-Nutzung. Hierzu zählen insbesondere Fragen der Diskriminierung durch algorithmische Verzerrungen, des Verlusts menschlicher Kontrolle, der Transparenz von Entscheidungsprozessen sowie der potenziellen Entmündigung durch automatisierte Systeme. Personen mit hoher Reflexionskompetenz sind in der Lage, solche Risiken zu identifizieren, zu problematisieren und entsprechende Maßnahmen zur Risikominimierung zu initiieren – etwa durch technische Gestaltung, organisatorische Rahmenbedingungen oder bewusste Begrenzung des KI-Einsatzes. Darüber hinaus umfasst diese Kompetenz die Fähigkeit, zwischen technologischen Möglichkeiten und gesellschaftlicher Akzeptabilität zu unterscheiden. Reflexionskompetenz bedeutet, nicht alles technisch Machbare automatisch als wünschenswert zu bewerten, sondern potenzielle Zielkonflikte – etwa zwischen Effizienz und Fairness, Automatisierung und Autonomie, Innovation und Nachhaltigkeit – systematisch zu reflektieren. Dies erfordert die Bereitschaft, KI-Systeme nicht nur funktional zu betrachten, sondern auch unter den Gesichtspunkten von Machtverhältnissen, sozialer Gerechtigkeit und demokratischer Kontrolle zu hinterfragen. In der Wissenschaft wird Reflexionskompetenz zunehmend als zentrales Element einer umfassenden KI-Kompetenz verstanden. Pinski und Benlian (2023) verstehen diese insbesondere mit dem Begriff „critical literacy“, der die Fähigkeit beschreibt, die Wirkungen von KI-Systemen im gesellschaftlichen Kontext kritisch zu bewerten. Dabei zeigt sich, 31 dass diese Kompetenz nicht nur die individuelle Urteilsfähigkeit stärkt, sondern auch Voraussetzung für eine wertegeleitete, partizipative Gestaltung von KI in Organisationen ist. Aus organisatorischer Sicht trägt Reflexionskompetenz dazu bei, eine kritische und verantwortungsbewusste Nutzungskultur im Umgang mit KI zu fördern. Sie stärkt die Fähigkeit zur Auseinandersetzung mit normativen Fragestellungen in interdisziplinären Teams, zur Entwicklung von Leitlinien für ethischen KI-Einsatz und zur Kommunikation mit internen und externen Stakeholdern. Nicht zuletzt ist sie ein zentrales Element vertrauensfördernder Governance-Strukturen, etwa im Rahmen von Ethikboards, Compliance-Prozessen oder partizipativen Entscheidungsverfahren. Zusammenfassend lässt sich festhalten, dass KI-Reflexionskompetenz eine normative, interdisziplinäre und kontextbezogene Fähigkeit darstellt. Sie befähigt Organisationen und Individuen dazu, technologische Innovationsprozesse mit gesellschaftlicher Verantwortung zu verbinden – und so eine KI-Nutzung zu ermöglichen, die nicht nur leistungsfähig, sondern auch legitim, gerecht und nachhaltig ist. 3.4 KI-Kompetenz Assessment-Methodik zur Bedarfsanalyse Die wirksame Umsetzung der in Art. 4 AI Act normierten Verpflichtung zur Sicherstellung hinreichender KI-Kompetenz setzt eine differenzierte Analyse bestehender KI-Kompetenzen voraus. Zur Bedarfserhebung empfiehlt sich aus Unternehmensperspektive eine methodisch fundierte Analyse, die sowohl individuelle als auch organisationale Kompetenzdimensionen berücksichtigt. In Abhängigkeit von Unternehmensgröße, technologischer Reife und domänenspezifischem Anwendungskontext variiert der Status quo der vorhandenen Fähigkeiten mitunter erheblich – und damit auch der konkrete Bedarf an Schulungs-, Entwicklungsund Steuerungsmaßnahmen. Vor diesem Hintergrund adressiert dieses Unterkapitel die Frage, wie Unternehmen strukturiert erfassen können, über welche Kenntnisse, welches Verständnis und welche praktischen Fähigkeiten ihre Mitarbeitenden im Umgang mit KI-Systemen aktuell verfügen und inwiefern diese Kompetenzen im Verhältnis zu den eingesetzten Technologien, den jeweiligen Aufgabenprofilen sowie den regulatorischen Anforderungen angemessen sind. Leitfragen der folgenden Ausführungen lauten daher: 32 – Welche individuellen KI-Kompetenzen sind im Unternehmen notwendig und inwieweit sind diese bereits in der Belegschaft vorhanden? – Wie unterscheiden sich Rollenprofile in ihrer Kompetenzanforderung und wie können diese Anforderungen ermittelt und gruppiert werden? – Welchen Handlungsempfehlungen können KMUs folgen, um die Anforderungen des Art. 4 AI Act dauerhaft zu erfüllen? Zur Beantwortung dieser Fragen wird eine kombinierte Vorgehensweise vorgeschlagen, die zwei Perspektiven vereint: eine Bottom-up-Analyse zur Erfassung individueller Fähigkeiten einzelner Mitarbeitenden und eine Top-down-Analyse zur Ableitung organisatorischer Kompetenzanforderungen. Beide Analysepfade gliedern sich in je drei Phasen und bieten in ihrer Verbindung die methodische Grundlage für eine systematische, evidenzgestützte Bedarfsanalyse, die den Anforderungen des Art. 4 AI Act gerecht wird. 3.4.1 Bottom-up-Analyse individueller Fähigkeiten Die Bottom-up-Analyse und ihre einzelnen Phasen, die in Abbildung 2 dargestellt sind, verfolgen das Ziel, bestehende individuelle KI-Kompetenzen im Unternehmen systematisch zu erfassen, einzuordnen und im Hinblick auf organisationsspezifische Anforderungen zu bewerten. Im Mittelpunkt steht hierbei die Perspektive der einzelnen Mitarbeitenden, deren kognitive, prozedurale und reflexive Fähigkeiten im Umgang mit KI-Systemen als Grundlage organisationaler Lernund Transformationsprozesse begriffen werden. Die Analyse erfolgt in einem dreistufigen Verfahren, das sowohl subjektive Selbsteinschätzungen als auch objektivierbare Beobachtungen realer Arbeitsprozesse integriert. Abbildung 2: Bottom-up-Analyse individueller Fähigkeiten (1) Skill-Inventur: Zu Beginn steht die strukturierte Erhebung vorhandener Kompetenzen durch eine sogenannte Skill-Inventur. Ziel ist es, einen Überblick über die im Unternehmen bereits vorhandenen Wissensstände, Erfahrungen und Fähigkeiten in Bezug auf KIPhase 1: Skill-Inventur Phase 2: Self-Assesment Phase 3: Beobachtung realer Arbeitsprozesse 33 bezogene Aufgabenstellungen zu gewinnen. Diese Inventur kann auf bestehende Kompetenzmodelle zurückgreifen und wird idealerweise durch standardisierte Erhebungsinstrumente unterstützt, beispielsweise in Form von Kompetenzmatrizen oder digitalen Skill-Profilen. Die Erfassung dient der initialen Verortung individueller Kompetenzniveaus entlang der in Kapitel 3.2 beschriebenen Mikro-Dimensionen. (2) Self-Assessment: Ergänzend zur Bestandsaufnahme erfolgt eine systematisierte Selbsteinschätzung durch die Mitarbeitenden. Mittels digitaler Tools oder standardisierter Fragebögen können subjektive Einschätzungen zu Wissen, Handlungssicherheit und Reflexionsfähigkeit abgefragt und ausgewertet werden. Diese Form des Assessments fördert nicht nur die individuelle Auseinandersetzung mit dem eigenen Kompetenzprofil, sondern liefert zugleich organisationsweit vergleichbare Daten zur interpersonellen Differenzierung. Um Verzerrungen zu vermeiden, empfiehlt sich die Kombination mit realitätsnahen Fallbeispielen oder interaktiven Anwendungsszenarien. (3) Beobachtung realer Arbeitsprozesse: Abschließend erfolgt eine ergänzende Validierung durch die Beobachtung realer Arbeitsprozesse. Ziel ist es, implizite Fähigkeiten – insbesondere solche, die durch bloße Selbsteinschätzung nicht zuverlässig erfassbar sind – im konkreten Nutzungskontext sichtbar zu machen. Diese Erhebungsform erfordert methodische Sensibilität und kann durch Shadowing, kollegiales Feedback oder Simulationen operationalisiert werden. Die Ergebnisse ermöglichen eine ganzheitliche Einschätzung praktischer Handlungskompetenz und liefern Hinweise auf diskrepante Selbsteinschätzungen oder verdeckte Kompetenzpotenziale. Das dreistufige Verfahren der Bottom-up-Analyse trägt damit wesentlich zur individuellen wie kollektiven Standortbestimmung bei und bildet die empirische Grundlage für gezielte Entwicklungsmaßnahmen. Es erlaubt eine evidenzbasierte Differenzierung von Schulungsbedarfen, adressiert spezifische Lernpfade und unterstützt die passgenaue Verortung in weiterführenden Rollenprofilen im Sinne der im Anschluss beschriebenen Top-down-Analyse organisationaler Kompetenzstrukturen. 3.4.2 Top-down-Abgleich organisationaler Kompetenzen Ergänzend zur Bottom-up-Perspektive individueller Fähigkeiten ist eine wie in Abbildung 34 3 dargestellte Top-down-Analyse erforderlich, um bestehende und künftige Anforderungen an KI-Kompetenzen auf organisationaler Ebene systematisch zu identifizieren und zu operationalisieren. Ziel ist es, die strategischen, strukturellen und funktionalen Rahmenbedingungen einer Organisation in den Blick zu nehmen und auf dieser Grundlage verbindliche Kompetenzprofile sowie daraus abgeleitete Maßnahmen zu entwickeln. Die Top-down-Analyse gliedert sich in drei aufeinander aufbauende Phasen: Bedarfsanalyse, Erstellung von Rollenprofilen und Maßnahmenzuordnung. Abbildung 3: Top-down-Abgleich organisationaler Kompetenzen (1) Bedarfsanalyse: In einem ersten Schritt erfolgt die systematische Erhebung des organisationsspezifischen Kompetenzbedarfs im Umgang mit KI-Systemen. Diese Analyse berücksichtigt unter anderem Art und Komplexität der eingesetzten Technologien, den Digitalisierungsgrad der Geschäftsprozesse sowie die regulatorischen Anforderungen des AI Act. Relevante Fragestellungen lauten hierbei: – In welchen Bereichen kommen KI-Systeme zur Anwendung? – Welche Aufgaben werden (teil‑)automatisiert? – Welche Kontrollund Steuerungskompetenzen sind erforderlich? Die Bedarfsanalyse bildet somit den konzeptionellen Ausgangspunkt für die Bestimmung funktionaler Soll-Kompetenzen im jeweiligen Organisationskontext. (2) Erstellung von Rollenprofilen: Basierend auf der Bedarfsanalyse werden im zweiten Schritt differenzierte Rollenprofile entwickelt, welche die relevanten Tätigkeitsfelder, Entscheidungsebenen und Verantwortlichkeiten in der Organisation abbilden. Diese Rollenprofile sind entlang der in Kapitel 3.3 beschriebenen Kompetenzdimensionen zu strukturieren und in ihrer Ausprägung (niedrig, mittel, hoch) zu bewerten. Der Einsatz vereinfachender Strukturierungsinstrumente – etwa in Form eines Strukturierungsrasters (morphologischer Kasten) – ermöglicht eine systematische Kombination funktionaler Phase 1: Bedarfsanalyse Phase 2: Erstellung Rollenprofil Phase 3: Maßnahmenzuordnung 35 Merkmale und schafft die methodische Grundlage für eine präzise Zuordnung von Kompetenzanforderungen zu organisationalen Rollen. Auf diese Weise lassen sich nicht nur bestehende, sondern auch neu entstehende oder hybride Rollenformate modellieren, etwa in interdisziplinären KI-Teams oder Governance-Strukturen. (3) Maßnahmenzuordnung: Abschließend erfolgt die Ableitung konkreter Maßnahmen zur Kompetenzentwicklung und deren strategische Verankerung in bestehende Personal- , IToder Compliance-Strukturen. Dies umfasst die Priorisierung von Schulungsformaten, die Entwicklung curricularer Bausteine, die Integration in bestehende Weiterbildungsplattformen sowie die Definition von Eignungskriterien für Rekrutierung und interne Laufbahnentwicklung. Darüber hinaus können die Ergebnisse zur Erfüllung dokumentationspflichtiger Nachweise im Rahmen der KI-Compliance genutzt werden. Die Maßnahmenzuordnung schließt damit den Regelkreis zwischen strategischem Bedarf, operationalisierten Rollenprofilen und zielgerichteter Qualifizierungsstrategie. In der Kombination mit der Bottom-up-Analyse entsteht ein integriertes Kompetenzmodell, das nicht nur zur Bestandsaufnahme, sondern auch zur Steuerung organisationaler KI-Kompetenzentwicklungsprozesse herangezogen werden kann. Dieses bildet die Grundlage für anschlussfähige Bildungsstrategien, nachhaltige Personalentwicklung und eine Umsetzung der Vorgaben aus Art. 4 AI Act. 3.5 Domänen zur Gruppierung von Kompetenzmaßnahmen Zur Operationalisierung der in Kapitel 3 dargestellten KI-Kompetenzbereiche im eigenen Unternehmenskontext bietet sich der Einsatz eines morphologischen Kastens als Strukturierungsund Klassifizierungsinstrument an. Ziel ist es, unterschiedliche Rollenprofile innerhalb von Organisationen hinsichtlich ihrer funktionalen Merkmale, organisatorischen Einbettung und konkreten KI-bezogenen Aufgabenstellungen zu differenzieren und diesen spezifische Kompetenzanforderungen zuzuordnen. Der morphologische Kasten dient dabei der systematischen Kombination unabhängiger Merkmalsdimensionen, die ein Rollenprofil in seiner Gesamtheit charakterisieren. Dieser ermöglicht es, die Komplexität organisationaler Anforderungen an KI-Kompetenz entlang strukturierter Kategorien zu erfassen, zu vergleichen und in anschlussfähige Entwick- 42 und Qualifizierungsmaßnahmen nicht im Sinne eines flächendeckenden Rollouts konzipiert werden können, sondern bedarfsgerecht, modular und in bestehende Arbeitsprozesse und Schulungen integriert erfolgen müssen. Gleichzeitig kann eine generische Verpflichtung zur Hochstufung aller Rollenprofile auf ein einheitlich „hohes“ Kompetenzniveau zu einer Überforderung der betrieblichen Strukturen und letztlich zur faktischen Nichtumsetzung der regulatorischen Vorgaben führen. Auch öffentliche Einrichtungen, insbesondere auf kommunaler oder mittlerer Landesebene, sehen sich mit ähnlichen Ausgangslagen konfrontiert. Der hier bestehende Fortbildungsbedarf kollidiert nicht selten mit einem restriktiven Haushaltsrecht, langwierigen Beschaffungsverfahren sowie einer organisatorischen Segmentierung zwischen Fach-, ITund Personalbereichen. Zudem fehlt es vielfach an strategischer Gesamtverantwortung für den KI-Einsatz, sodass Kompetenzentwicklungsinitiativen entweder fragmentarisch oder projektbezogen ansetzen und dadurch an Nachhaltigkeit und Skalierbarkeit verlieren. Im Unterschied zur Privatwirtschaft tritt zudem eine verstärkte Rechenschaftsund Legitimationserwartung durch Öffentlichkeit und politische Gremien hinzu, wodurch Fragen der ethischen Reflexion und rechtsstaatlichen Kontrolle zusätzlich an Bedeutung gewinnen. 4.3 Operationalisierung der Kompetenzanforderungen nach Rollen Ausgehend von der in Art. 4 AI Act normierten Verpflichtung sowie der zuvor dargestellten dreistufigen Prüfarchitektur zur Ermittlung des unternehmerischen Kontextes, empfiehlt sich für die Ermittlung der KI-Kompetenz der Mitarbeitenden eines Unternehmens ein mehrstufiges Vorgehen zur systematischen Kompetenzentwicklung. Dieses Vorgehen integriert sowohl eine Bottom-up-Analyse individueller Fähigkeiten als auch einen Topdown-Abgleich organisationaler Kompetenzanforderungen. Auf dieser Grundlage wird ein Rollenprofilraster generiert, das die Grundlage für differenzierte Maßnahmen der Kompetenzsicherung bildet. Handlungsempfehlung 1: Es ist eine organisationsweite Basisschulung einzuführen, die für sämtliche Beschäftigte verbindlich ein Mindestniveau an technischen, regulatorischen und datenschutzrechtlichen Kompetenzen gewährleistet. 43 Unabhängig vom spezifischen Tätigkeitsoder Qualifikationsprofil ist zunächst ein verbindliches Grundniveau an KI-Kompetenz sicherzustellen. Dieses umfasst insbesondere: – ein grundlegendes Verständnis von Einsatzmöglichkeiten und Risiken, – die Fähigkeit, KI-basierte Werkzeuge sicher und adressatengerecht zu nutzen, – sowie die Kenntnis regulatorischer und datenschutzrechtlicher Rahmenbedingungen. Diese Basisschulung ist für alle Mitarbeitenden verpflichtend, unabhängig vom fachlichen Spezialisierungsgrad. Sie dient der Gewährleistung eines organisationsweiten Mindeststandards, der sowohl technische als auch rechtliche Aspekte integriert. Dies trägt der Tatsache Rechnung, dass auch hochqualifizierte technische Expertinnen und Experten nicht notwendigerweise über ausreichende regulatorische Kenntnisse verfügen. Handlungsempfehlung 2: Im Anschluss an die Basisschulung sind differenzierte Rollenprofile – z.B. Integrator*in und Entwickler*in – heranzuziehen, um weitergehende Kompetenzanforderungen zielgerichtet zu bestimmen. Im Anschluss an die Basisschulung erfolgt eine rollenbezogene Differenzierung, die es erlaubt, Kompetenzanforderungen zielgerichtet nach Funktion und Verantwortungsgrad auszugestalten. Hierzu werden, wie in Abbildung 4 dargestellt, drei archetypische Personas empfohlen: – Anwender*in: Mitarbeitende, die vornehmlich vorgefertigte KI-Tools einsetzen. Erforderlich sind insbesondere Kompetenzen im sicheren und datenschutzkonformen Umgang mit Standardanwendungen, der Verwendung von Daten, in der Formulierung einfacher Prompts sowie in der Interpretation von Ergebnissen. – Integrator*in: Personen, die für die Einbettung von KI in bestehende Prozesse verantwortlich sind. Hierzu zählen ergänzend Fähigkeiten zur Nutzung von Low-Code-/No-Code-Plattformen, zur Umsetzung einfacher Anwendungsfälle mit bestehenden Modulen sowie ein grundlegendes Verständnis für Datenquellen und Schnittstellen. 44 – Entwickler*in: Fachkräfte mit vertiefter technischer Expertise, die für die Entwicklung, Anpassung und Integration von KI-Systemen zuständig sind. Erforderlich sind zusätzlich insbesondere Kompetenzen im Umgang mit APIs, im Erstellen und Optimieren von Modellen sowie in der Einbettung komplexer Architekturen. Diese Rollendifferenzierung erlaubt es, Schulungsund Entwicklungsmaßnahmen proportional zur tatsächlichen Verantwortung und zum Einsatzkontext auszugestalten. 45 Abbildung 4: Rollenprofile zur Adressierung des Artikel 4 AI Act 46 Handlungsempfehlung 3: Die Umsetzung der Kompetenzanforderungen hat sich am Proportionalitätsgrundsatz und am Zumutbarkeitskriterium „nach besten Kräften“ zu orientieren, wobei stets der Pflichtcharakter der Norm gewahrt bleibt. Die praktische Umsetzung der Schulungen sollte sich am Proportionalitätsgrundsatz orientieren. Maßgeblich ist nicht die abstrakte Erfüllung eines Idealzustands, sondern die nachvollziehbare Sicherstellung von Kompetenzentwicklung „nach besten Kräften“. Für KMU bedeutet dies: – Es besteht eine unabdingbare Pflicht, ein Grundniveau an Kompetenz sicherzustellen. – Darüberhinausgehende Spezialisierungen sind abhängig von Rolle, Einsatzbereich und Unternehmensgröße in zumutbarer Form umzusetzen. – Dokumentierte Bedarfsanalysen und abgestufte Maßnahmenkonzepte gelten als geeignete Nachweise gegenüber Aufsichtsbehörden. Handlungsempfehlung 4: Datenschutzrechtliche Mindeststandards sind als querschnittliche Anforderung in sämtlichen Rollenprofilen systematisch zu berücksichtigen. Die Sicherstellung datenschutzrechtlicher Mindeststandards ist als durchgängige Querschnittsanforderung in sämtlichen Rollenprofilen zu verankern. Neben den Grundprinzipien der Datenminimierung, Zweckbindung und Transparenzpflichten umfasst dies insbesondere Kenntnisse über den rechtmäßigen Umgang mit besonderen Kategorien personenbezogener Daten, die Einhaltung von Löschund Dokumentationspflichten sowie das Verständnis für die Schnittstellen zwischen dem AI Act und der Datenschutz-Grundverordnung (DSGVO). Mitarbeitende aller Rollenebenen sind befähigt, Risiken datenschutzrechtlicher Non-Compliance zu erkennen und bei der Einführung und Anwendung von KI-Systemen angemessene Schutzmaßnahmen zu ergreifen. Dies gilt sowohl für technische Expert*innen, die bei der Entwicklung von Systemarchitekturen datenschutzkonforme Voreinstellungen („Privacy by Design“) berücksichtigen müssen, als auch für Anwendende, die personenbezogene Daten im Rahmen ihrer Nutzungstätigkeit verarbeiten. Datenschutzrechtliche Kompetenz ist somit nicht als fakultatives Zusatzwissen, sondern als obligatorische Kernanforderung an jede Rolle im Kompetenzmodell zu begreifen. 47 Handlungsempfehlung 5: Die Sicherstellung von KI-Kompetenzen ist als kontinuierliche Daueraufgabe institutionell zu verankern und durch regelmäßige Bedarfsanalysen sowie Evaluationen fortlaufend weiterzuentwickeln. Die Verpflichtung zur Kompetenzsicherung nach Art. 4 AI Act ist als fortlaufende und dynamische Aufgabe zu verstehen, die über einmalige Schulungsmaßnahmen hinausgeht. Unternehmen sind angehalten, die Kompetenzentwicklung organisatorisch zu institutionalisieren, etwa durch die Einrichtung von dauerhaften Governance-Strukturen wie Kompetenzzentren, kontinuierlich aktualisierten Schulungsprogrammen oder standardisierten Evaluationsverfahren. Hierzu zählen insbesondere: (1) regelmäßige Bedarfsanalysen, die sowohl individuelle Lernfortschritte als auch organisationale Anforderungen erfassen, (2) die kontinuierliche Aktualisierung von Rollenprofilen im Lichte technischer und regulatorischer Entwicklungen sowie (3) die systematische Evaluation der Wirksamkeit von Qualifizierungsmaßnahmen anhand messbarer Kriterien. Eine solche Verstetigung trägt dazu bei, KI-Kompetenzen nicht nur reaktiv, sondern vorausschauend zu entwickeln und nachhaltig im Organisationsgefüge zu verankern. Damit wird zugleich gewährleistet, dass die Einhaltung der Anforderungen des Art. 4 AI Act langfristig dokumentierbar, überprüfbar und an neue rechtliche oder technologische Rahmenbedingungen anpassbar bleibt. 4.4 Ausblick und Zukunftsbetrachtung Mit Blick auf die weitere Entwicklung ist davon auszugehen, dass die Sicherstellung von KI-Kompetenzen künftig in einem noch engeren Zusammenspiel zwischen nationalen, europäischen und internationalen Strukturen erfolgen muss. Über die rein unternehmensinterne Perspektive hinaus werden Fragen der Standardisierung, Zertifizierung und transnationalen Vergleichbarkeit von Kompetenzniveaus in den Vordergrund treten. Unternehmen werden sich darauf einstellen müssen, dass neben internen Nachweisen zunehmend externe Zertifizierungsprozesse etabliert werden, um regulatorische Anschlussfähigkeit und Marktvertrauen gleichermaßen zu gewährleisten. Parallel hierzu verschärft die technologische Dynamik, insbesondere im Bereich generativer KI und Multi-Agenten-Systeme, die Anforderungen an die kontinuierliche Kompetenzentwicklung (Busch et al. 2025; Lämmermann et al. 2025). Diese Technologien erweitern 48 nicht nur die Anwendungsszenarien, sondern erzeugen auch neue Abhängigkeiten von Datenqualität, Modelltransparenz und Governance-Mechanismen (Mayer et al. 2024). Organisationen sind daher gefordert, proaktive Lernund Anpassungsprozesse zu entwickeln, die über die reine Schulungslogik hinausgehen und Kompetenzen in experimentellen, interdisziplinären Kontexten aufbauen. Hierbei sind auch KI-Assistenten als Lernpartner zur Vermittlung von KI-Kompetenz denkbar (Gutheil et al. 2025). Von wachsender Bedeutung ist ferner die ethisch-normative Dimension. Mit der zunehmenden Integration von KI in gesellschaftlich sensible Bereiche steigt die Erwartungshaltung, dass Unternehmen neben regulatorischer Konformität auch Verantwortung für Fairness, Erklärbarkeit und gesellschaftliche Legitimität übernehmen. Zukünftige Kompetenzmodelle werden daher nicht nur technisches und regulatorisches Wissen abbilden, sondern auch Fähigkeiten zur kritischen Reflexion, zur interdisziplinären Kooperation und zur verantwortungsbewussten Entscheidungsfindung systematisch einbeziehen müssen. Gerade KMU können durch die aktive Nutzung von externer Unterstützung, branchenspezifischen Lernplattformen und kooperativen Qualifikationsmodellen Skaleneffekte erschließen. Dabei könnte es sich als hilfreich erweisen, wenn die Europäische Kommission zwar bewusst auf starre und detaillierte Vorschriften verzichtet, zugleich jedoch klarere Guidance und interpretative Hinweise bereitstellt. Insbesondere für KMU ist es entscheidend, frühzeitig zu wissen und zu verstehen, welche Auflagen in welcher Form und mit welchem Ressourceneinsatz bedient werden müssen, um Rechtssicherheit zu schaffen und unverhältnismäßige Belastungen zu vermeiden. Langfristig wird KI-Kompetenz somit zu einem integralen Bestandteil gesamtgesellschaftlicher Bildungsund Weiterbildungssysteme avancieren (Gimpel et al. 2024). Die Verknüpfung von beruflicher Bildung, Hochschullehre und lebenslangem Lernen eröffnet die Möglichkeit, die Anforderungen des Art. 4 AI Act nicht nur als rechtliche Pflicht, sondern als Ausgangspunkt für eine umfassende digitale Mündigkeit in Europa zu verstehen. Mit dem vorliegenden Leitfaden liegt für Unternehmen ein erster methodischer Vorschlag vor, wie die in Art. 4 AI Act statuierte Pflicht zur Sicherstellung ausreichender KI-Kompetenzen systematisch adressiert werden kann. Er bietet eine Orientierung, welche Schritte 49 prioritär zu setzen sind – von der Einführung einer verbindlichen Basisschulung über die differenzierte Ausgestaltung von Rollenprofilen bis hin zur fortlaufenden Institutionalisierung der Kompetenzentwicklung. Damit wird es KMU ermöglicht, den gesetzlichen Anforderungen nach Maßgabe ihrer Ressourcen und im Sinne des Proportionalitätsgrundsatzes „nach besten Kräften“ Rechnung zu tragen und zugleich eine Grundlage für den langfristigen Aufbau organisationaler KI-Mündigkeit zu schaffen. 50 5 Literaturverzeichnis Bundesnetzagentur (2025): Hinweispapier KI-Kompetenzen nach Artikel 4 KI-Verordnung. Online verfügbar unter https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/_functions/Hinweispapier.pdf?__blob=publicationFile&v=2. Busch, M., Collarana, D., Decker, S., Eymann, T., Gutheil, N., Keller, R., Kühl, N., LangeBever, C., Mayer, V., Morad, M., Pöllath, L., Röglinger, M., Sharma, R., Urbach, N. (2025) Implementing Generative AI Chatbots – Potentials, Challenges and Guidelines for the Successful Implementation of Generative AI Chatbots into Tourism, University of Bayreuth, March 28, 2025. Cipierre, Paula: Konzepte zur Umsetzung von KI-Kompetenz im Unternehmen zwischen KI-VO und DS-GVO. In: RDV (2024), S. 261. Europäische Kommission (2025a): AI Literacy - Questions & Answers. Europäische Kommission. Online verfügbar unter https://digital-strategy.ec.europa.eu/en/faqs/ailiteracy-questions-answers, zuletzt aktualisiert am 18.08.2025, zuletzt geprüft am 21.08.2025. Europäische Kommission (2025b): Annex to the Communication to the Commission Approval of the content of the draft Communication from the Commission - Commission Guidelines on the definition of an artificial intelligence system established by Regulation (EU) 2024/1689 (AI Act). C(2025) 924 final. Hg. v. Europäische Kommission. Europäische Kommission. Brüssel. Online verfügbar unter https://ec.europa.eu/newsroom/dae/redirection/document/112455, zuletzt geprüft am 28.07.2025. European Artificial Intelligence Office (2025): Living Repository of AI Literacy Practices - v. 16.04.2025. European Artificial Intelligence Office. Online verfügbar unter https://digital-strategy.ec.europa.eu/en/library/living-repository-foster-learning-and-exchange-ailiteracy. Fernandes, Elora; Holmes, Wayne; Zhgenti, Sopio (2024): Art. 4. In: Ceyhun Necati Pehlivan, Nikolaus Forgó und Peggy Valcke: The EU Artificial Intelligence (AI) Act: A Commentary: Wolters Kluwer Law International. Fleck, Tilmann (2024): AI literacy als Rechtsbegriff - beck-online. In: KIR, 99-103. 51 Gimpel, Henner (2024): KI-Kompetenzen in der Wirtschaftsinformatik: OSF. Online verfügbar unter https://osf.io/wbd84/. Gimpel, H., Gutheil, N., Mayer, V., Bandtel, M., Büttgen, M., Decker, S., Eymann, T., Feulner, S., Kaya, M. F., Kufner, M., Kühl, N., Lämmermann, L., Maedche, A., Ruiner, C., Schoop, M., and Urbach, N. (2024). (Generative) AI Competencies for Future-Proof Graduates: Inspiration for Higher Education Institutions. University of Hohenheim. https://doi.org/10.5281/ZENODO.10680210 Gutheil, Niklas; Mayer, Valentin; Müller, Leopold; Römmelt, Jörg; and Kühl, Niklas, "PromptPilot: Improving Human-AI Collaboration Through LLM-Enhanced Prompt Engineering" (2025). ICIS 2025 Proceedings. 8. https://aisel.aisnet.org/icis2025/hti/hti/8 Hilgendorf, Eric; Härtlein, Johannes (2025): Art. 3. In: Eric Hilgendorf und Johannes Härtlein: KI-VO. Verordnung über künstliche Intelligenz. NomosHANDKOMMENTAR. BadenBaden: Nomos. Kirschke-Biller, Jonathan; Füllsack, Anna-Lena (2025): Art. 3. In: Jens Schefzig und Robert Kilian: BeckOK KI-Recht, Stand: 01.05.2025. 2. Edition: C.H.Beck. Lämmermann, L., Mayer, V., Schweizer, A., & Urbach, N. (2025). AI-Shoring als Zukunftsstrategie: Mit KI-Agenten dem Fachkräftemangel begegnen. Wirtschaftsinformatik & Management, 1-7. Mayer, Valentin; Schüll, Moritz; Aktürk, Onur; and Guggenberger, Tobias, "Designing Human-AI Hybrids: Challenges and Good Practices from a Multiple Case Study" (2024). ICIS 2024 Proceedings. 3. https://aisel.aisnet.org/icis2024/aiinbus/aiinbus/3 Mayer, Valentin; Prediger, Loreen; Urbach, Nils; and Meierhöfer, Simon, "The Evolution of the Organizational Decision-Making Process: A Predictive Analysis of the Impact of Artificial Intelligence" (2025). ICIS 2025 Proceedings. 2. https://aisel.aisnet.org/icis2025/general_topic/general_topic/2 Möller-Klapperich, Julia (2025): KI-Kompetenz. In: NJ 2025. Pinski, Marc; Benlian, Alexander (2023): AI literacy-towards measuring human competency in artificial intelligence. Pinski, Marc; Benlian, Alexander (2024): AI literacy for users – A comprehensive review