KI-Schulungspflicht für KMU: Was Art. 4 EU AI Act ab August 2026 verlangt

56 Prozent der deutschen Unternehmen nutzen 2026 bereits generative KI — ChatGPT, Copilot, Claude im Tagesgeschäft. Nur 27 Prozent haben dafür je eine Schulung aufgesetzt. Diese 29-Prozentpunkte-Lücke wird ab dem 2. August 2026 teuer. An diesem Stichtag beginnen die nationalen Marktüberwachungsbehörden, Artikel 4 der EU-KI-Verordnung gegenüber Unternehmen durchzusetzen — und Geschäftsführer müssen nachweisen, dass sie ihre Mitarbeiter „nach besten Kräften" KI-kompetent gemacht haben. Wer hier 2026 ein klar strukturiertes Schulungs- und Nachweis-Paket für den Mittelstand anbietet, trifft eine Nische mit echtem Stichtag-Effekt.

Was Art. 4 EU AI Act konkret verlangt

Artikel 4 der KI-Verordnung ist seit Februar 2025 in Kraft. Anwender und Betreiber von KI-Systemen müssen sicherstellen, dass ihre Mitarbeiter „über ein ausreichendes Maß an KI-Kompetenz verfügen". Die Formulierung ist bewusst breit gehalten: keine Stundenpflicht, keine vorgegebene Zertifizierung, kein staatlich anerkanntes Curriculum. Stattdessen gilt der Maßstab „nach besten Kräften" — was bedeutet, dass Größe, KI-Nutzung und Risikoeinstufung des Unternehmens berücksichtigt werden.

Stichtag und Anwendungsbereich

Bis zum 2. August 2026 hatten Mitgliedstaaten Zeit, ihre Marktüberwachungsbehörden aufzustellen. Ab diesem Datum beginnen Prüfungen und Bußgelder. Die Pflicht gilt für jeden Betrieb, der KI-Systeme nutzt — unabhängig davon, ob es eine bezahlte Lizenz für ChatGPT Enterprise ist oder Mitarbeiter privat Tools für betriebliche Aufgaben einsetzen. Genau hier liegt der zweite Punkt, der Geschäftsführer wach hält: Shadow-IT zählt. Wer „nichts mitgekriegt" hat, weil Mitarbeiter über private Accounts arbeiten, hat die Pflicht trotzdem verletzt.

Welche Unternehmen betroffen sind

Praktisch alle. Anders als bei NIS2 oder CSRD gibt es keine MA- oder Umsatz-Schwelle. Eine 5-Personen-Steuerberatungs-Kanzlei mit ChatGPT-Plus-Abo fällt genauso unter Art. 4 wie ein 250-MA-Maschinenbauer mit Copilot-Enterprise. Die Praxis-Ratgeber des Bridge AI und des FIBU Magazins gehen davon aus, dass über 90 Prozent der deutschen KMU betroffen sind — und 73 Prozent davon haben noch keine Maßnahme ergriffen.

Die 56-zu-27-Lücke konkret

Die FIBU-Magazin-Erhebung aus dem Frühjahr 2026 zeigt das Auseinanderlaufen klar: 56 Prozent der deutschen Firmen setzen generative KI ein, 27 Prozent haben eine Schulung dokumentiert. Bei den Mittelständlern bis 50 Mitarbeiter ist die Lücke noch größer — 41 Prozent nutzen KI, nur 14 Prozent schulen. Übersetzt heißt das: Auf jeden Berater oder Schulungs-Anbieter, der heute am Markt ist, kommen rechnerisch sechs Unternehmen, die einen Nachweis brauchen, aber keinen haben.

Geschäftsführer reagieren typischerweise erst, wenn drei Trigger zusammenkommen: eine konkrete Bußgeld-Drohung, ein Versicherungs-Audit, oder ein verlorener Auftrag, weil der Großkunde Compliance-Nachweise verlangt. Genau diese Drei sind 2026 alle gleichzeitig da.

Was ein KMU-Nachweis enthalten muss

Die Praxis-Ratgeber von Plotdesk und Bridge AI sind sich einig: Für 95 Prozent der KMU genügt ein einfacher Nachweis, bestehend aus drei Bausteinen.

Schulungs-Curriculum

Zwei Stunden Lerninhalt reichen. Inhalt: Was sind KI-Systeme, welche Risiken gibt es (Halluzinationen, Datenschutz, Urheberrecht, Bias), wie nutzt man sie sicher, welche internen Regeln gelten. Das Format ist frei — Live-Webinar, aufgezeichnetes Video, internes Präsenz-Training. Wichtig ist, dass die Inhalte zum tatsächlichen Einsatzbereich passen. Ein Steuerberater bekommt andere Beispiele als ein Maschinenbauer.

Schulungs-Protokoll

Pro Mitarbeiter ein Datensatz: Name, Datum, Schulungs-Inhalt, Bestätigung. Bei aufgezeichneten Modulen reicht ein Login-Log plus Abschluss-Quiz. Bei Live-Trainings ein unterschriebener Anwesenheits-Beleg. Beide Varianten sind digital zulässig — papierne Listen sind nicht mehr nötig, das hat das Bürokratieentlastungsgesetz IV explizit klargestellt.

Nutzungsrichtlinie

Eine schriftliche Anweisung, welche KI-Tools für welche Aufgaben erlaubt sind. Welche Daten nicht eingegeben werden dürfen. Wie Ergebnisse gegengeprüft werden. Bei wem nachgefragt wird, wenn der Mitarbeiter unsicher ist. Sieben bis zehn Punkte reichen — länger wird sie ohnehin niemand lesen. Bezugspunkt ist die Cognuro-Praxis-Liste, die das auf eine A4-Seite verdichtet.

Welche Tools und Anbieter es schon gibt

Der Markt sortiert sich gerade. Drei Schichten lassen sich unterscheiden. Enterprise-Plattformen wie Credo AI, Holistic AI oder IBM watsonx.governance bedienen Konzerne mit Hochrisiko-Systemen — sechsstellige Jahres-Lizenzen, für KMU nicht skalierbar. Anwaltskanzleien und große Beratungen liefern korrekt, aber zu 250 bis 400 Euro pro Stunde und ohne standardisiertes Produkt. Erste DACH-Nischen-Anbieter — Schulungs-Startups, einzelne LegalTech-Tools — sind im Aufbau, der Markt hat noch keinen klaren Spieler im Bundle „Schulung plus Nachweis plus Richtlinie für KMU".

Genau dieser Spalt zwischen 19-Euro-LinkedIn-Learning und 50.000-Euro-Beratungsmandat ist die wirtschaftlich interessante Lücke. Wer den Mittelstand in zwei Stunden remote schult, ein sauberes Protokoll mit liefert und eine Richtlinie als Word-Vorlage beilegt, baut ein wiederholbares Produkt.

Wie ein eigenes Schulungs-Paket aussieht

Aus Off-Map-Sicht ist das eine klassische Stichtag-Nische — planbare Nachfrage, klare Pricing-Range, niedrige Einstiegshürde. Ein realistisches Modell besteht aus zwei Tiers.

Pricing

Basis-Paket: einmalige Live-Schulung remote (zwei Stunden) für bis zu 25 Mitarbeiter, inklusive Protokoll-Vorlage, Richtlinien-Template, schriftlichem Abschluss-Zertifikat. Pricing-Range 790 bis 1.490 Euro pro Unternehmen, abhängig von Mitarbeiterzahl und Branche. Jahres-Retainer: halbjährlicher Refresher plus Onboarding für neue Mitarbeiter plus Update bei Gesetzes-Änderungen. 1.200 bis 2.400 Euro pro Jahr.

Beide Bausteine zusammen ergeben ein Geschäft mit hohem Bruttogewinn (Live-Schulung skaliert über Aufzeichnung plus Live-Q&A), niedrigem Support-Aufwand und einer wiederkehrenden Komponente, die nicht vom Stichtag-Timing abhängt. Wer 50 Mittelständler im ersten Jahr gewinnt, sitzt bei 60 bis 75 Prozent Marge auf etwa 90.000 Euro Umsatz.

Vertrieb

Drei Kanäle funktionieren erfahrungsgemäß. Erstens: Steuerberater und IT-Dienstleister als Reseller. Sie haben KMU-Zugang und suchen Compliance-Themen für ihre Mandanten — eine 15-Prozent-Affiliate-Marge reicht. Zweitens: IHKs und Handwerkskammern als Veranstalter. Hier zählt ein gutes Vortrags-Format mit Branchen-Beispielen. Drittens: LinkedIn-Outreach an Geschäftsführer mit klarem Subject — „Noch 46 Tage bis 2. August". Das Stichtag-Argument verkauft sich allein und braucht keine Cold-Sell-Choreografie.

Für alle, die eine Nischen-Idee erst validieren wollen, bevor sie investieren, hilft der strukturierte Test-Ansatz aus Geschäftsidee validieren: fünf Pilotkunden zu 490 Euro Referenz-Preis, drei Wochen Lieferung, Feedback in das Curriculum einarbeiten.

Risiken und Show-Stopper

Digital Omnibus

Der von der EU-Kommission im Frühjahr 2026 angekündigte Digital Omnibus könnte einzelne KMU-Pflichten der KI-Verordnung abschwächen. Die Schulungspflicht aus Art. 4 gilt aber als gesetzt — sie ist bereits seit Februar 2025 in Kraft, lässt sich politisch kaum mehr rückbauen und ist für die Marktüberwachung das einzige Instrument, mit dem Geringrisiko-Anwender überhaupt geprüft werden können.

Wettbewerb

Niedrige Eintrittsbarriere. Jeder mit Compliance-Hintergrund kann eine zwei-Stunden-Schulung anbieten. Differenzierung muss daher über das Nachweis-Paket und Reseller-Kanäle kommen — nicht über die Schulung allein. Wer nur die Stunde verkauft, konkurriert mit jedem freien Trainer; wer Stunde plus Protokoll plus Richtlinie plus Reseller-Programm liefert, baut einen Moat.

Häufige Fragen

Reicht wirklich eine 2-Stunden-Schulung?

Für 95 Prozent der KMU mit Geringrisiko-Anwendung ja. Für Unternehmen mit Hochrisiko-KI-Systemen (etwa biometrische Identifikation, Kreditscoring, KI-gestützte Personalauswahl) gelten strengere Anforderungen — dort sind dokumentierte Risiko-Analysen und längere Schulungen Pflicht. Wer als Anbieter beide Segmente bedienen will, braucht ein Premium-Tier mit echter Recht-Beratung im Bündel.

Muss ich es selbst machen oder einen Berater einkaufen?

Das ist die Verkaufs-Story. Selbst gemacht heißt: Zeit eines Mitarbeiters, der eigentlich Produkt-Arbeit machen sollte, plus Risiko, dass das Dokument im Audit nicht hält. Externer Anbieter zu 790 Euro spart vier interne Tage und liefert einen Nachweis, der bei Prüfungen anerkannt wird. Für die meisten KMU ist der ROI offensichtlich.

Was passiert nach August 2026?

Der Markt verschiebt sich von „erstmals erfüllen" zu „aktuell halten". Genau dafür ist der Jahres-Retainer mit halbjährlichem Refresher gedacht. Wer den Erstkunden 2026 sauber bedient, hat 2027 einen wiederkehrenden Umsatz ohne Akquise-Kosten.

KI-Schulungspflicht für KMU ist 2026 die seltene Nische, in der ein Service-Anbieter weder den Bedarf erklären noch die Dringlichkeit erzeugen muss. Beides hat der Gesetzgeber schon erledigt. Wer ein klares Paket schnürt, einen Reseller-Kanal aufbaut und den Stichtag im Subject führt, baut innerhalb von 60 Tagen einen wiederkehrenden Umsatz auf — ohne Cold-Sell, ohne Educate-the-Market-Phase. Die Aufgabe ist nicht, eine Idee zu erfinden, sondern eine Lieferkette zu bauen, die einen klar definierten Pflicht-Output verkauft. Für mehr Stichtag-getriebene Nischen aus den täglichen Off-Map-Scans lohnt sich der Blick in Marktlücken finden und Dienstleistung Geschäftsidee.