KI-Kompetenzpflicht: Was Schweizer Unternehmen jetzt schulen müssen

Es gibt eine KI-Pflicht, die fast jede grössere Organisation trifft und die trotzdem selten diskutiert wird: nicht die Klassifizierung von Hochrisiko-Systemen, sondern die Kompetenz der Menschen, die KI bedienen. Seit dem 2. Februar 2025 verlangt Artikel 4 des EU AI Act, dass Anbieter und Betreiber von KI-Systemen ein ausreichendes Mass an KI-Kompetenz ihrer Mitarbeitenden sicherstellen. Es ist die breiteste Einzelpflicht der ganzen Verordnung, weil sie unabhängig vom Risiko-Tier gilt.

Dieser Beitrag ist eine allgemeine Einordnung, kein Rechtsgutachten und keine Rechtsberatung. Stand Juli 2026. Prüf den aktuellen Stand der jeweiligen Primärquelle, bevor du handelst.

Was die Pflicht verlangt

Artikel 4 EU AI Act (in Kraft seit 2. Februar 2025, Quelle: EUR-Lex sowie artificialintelligenceact.eu/article/4) verpflichtet jeden Anbieter und jeden Betreiber eines KI-Systems, unabhängig von dessen Risiko-Einstufung, ein ausreichendes Mass an KI-Kompetenz der Personen sicherzustellen, die in ihrem Auftrag mit dem System arbeiten. Massgeblich sind laut Verordnung Vorwissen, Erfahrung und Ausbildung dieser Personen. Die Pflicht erfasst nicht nur die Festangestellten, sondern auch Auftragnehmer und alle, die im Auftrag der Organisation ein KI-System bedienen.

Die Durchsetzung liegt bei den nationalen Marktüberwachungsbehörden. Deren Zuständigkeit für Artikel 4 greift ab August 2026 (Quelle: EU-Kommission, “AI literacy Q&A”, digital-strategy.ec.europa.eu). Bis dahin gilt die Pflicht bereits, ohne dass eine benannte Behörde sie systematisch prüft.

Wen sie in der Schweiz trifft

Die Schweiz hat, Stand Juli 2026, kein eigenes KI-Gesetz. Der EU AI Act gilt hier nicht direkt. Er hat aber extraterritoriale Reichweite über seinen Artikel 2: Ein Schweizer Unternehmen fällt darunter, sofern es als Anbieter oder Betreiber ein KI-System auf dem EU-Markt in Verkehr bringt, oder sofern der Output seines KI-Systems in der EU genutzt wird. Das ist eine Bedingung, keine Pauschale. Wer ausschliesslich innerhalb der Schweiz und ohne EU-Bezug arbeitet, wird von Artikel 4 nicht erfasst.

Praktisch heisst das: Prüf zuerst, ob eine deiner KI-Anwendungen den EU-Markt berührt, etwa über Kunden, Produkte oder Datenflüsse in der EU. Wenn ja, ist die Kompetenzpflicht seit Februar 2025 einschlägig.

FINMA: eine Erwartung, kein Gesetz

Für den beaufsichtigten Finanzplatz kommt ein zweiter Faden dazu. Die FINMA hat am 18. Dezember 2024 die Aufsichtsmitteilung 08/2024 “Governance und Risikomanagement beim Einsatz von künstlicher Intelligenz” publiziert (Quelle: finma.ch, News 2024/12/20241218). Wichtig zur Einordnung: Das ist eine Aufsichtserwartung an beaufsichtigte Institute, kein Statut.

Die Mitteilung folgt einem risikobasierten Ansatz und benennt operationelle, Daten-, IT- und Cyber-, Rechts- und Reputationsrisiken sowie die Abhängigkeit von Drittanbietern für Modelle und Cloud und die Zuordnung von Verantwortung bei Fehlern. Von den Instituten erwartet die FINMA, dass sie KI-Risiken identifizieren, beurteilen, überwachen, steuern und kontrollieren, ob eigenentwickelt oder ausgelagert. Zwei konkrete Erwartungen stechen heraus: ein Inventar aller KI-Anwendungen führen und diese nach Risiko klassifizieren, sowie die Entscheidungswege der Modelle nachvollziehbar dokumentieren.

Kompetenz ist hier kein Selbstzweck. Ein Institut kann KI-Risiken nur dann steuern, wenn die Menschen, die diese Systeme betreiben und beaufsichtigen, verstehen, was sie tun. Ein Inventar füllt sich nicht von selbst, und eine Risikoklassifizierung ist nur so gut wie das Urteil der Person, die sie vornimmt.

Wie angemessene Massnahmen aussehen

Weder Artikel 4 noch die FINMA-Mitteilung schreiben ein bestimmtes Curriculum vor. Artikel 4 verlangt ein Mass, das dem Vorwissen, der Erfahrung und dem Kontext der jeweiligen Rolle angemessen ist. Das bedeutet abgestufte statt uniforme Massnahmen. Drei Ebenen sind in der Praxis tragfähig:

• Grundlagen für alle, die KI bedienen. Was ein KI-System kann, wo es zuverlässig scheitert, und welche Eingaben und Ausgaben sicher sind. Das deckt die Breite der Artikel-4-Pflicht ab.
• Risikoklassifizierung für Verantwortliche. Wer eine Anwendung ins Inventar aufnimmt und einstuft, braucht ein belastbares Urteil darüber, welches Risiko ein Use Case trägt. Das ist der Kern der FINMA-Erwartung an beaufsichtigte Institute.
• Sicherer und nachvollziehbarer Einsatz für Teams, die KI in Prozesse einbauen. Hier entscheidet sich, ob Entscheidungswege dokumentierbar bleiben oder ob das System zur Blackbox wird.

Der Mechanismus dahinter ist einfacher, als er klingt. KI beschleunigt, worauf man sie richtet. Richtet ein kompetentes Team sie auf einen sauberen, verstandenen Prozess, kumuliert sich Qualität. Richtet ein unvorbereitetes Team sie auf einen unklaren Prozess, kumuliert sich das Problem, schneller und im grösseren Massstab. Kompetenz ist der Unterschied zwischen diesen beiden Kurven.

Was du jetzt tun kannst

Drei Schritte sind ohne Rechtsabteilung machbar. Erstens: Prüf, ob eine deiner KI-Anwendungen den EU-Markt berührt und ob du unter FINMA-Aufsicht stehst. Das entscheidet, welcher der beiden Fäden für dich gilt. Zweitens: Erstell ein Inventar deiner KI-Anwendungen und ordne jeder ein Risiko zu. Für beaufsichtigte Institute ist das eine benannte FINMA-Erwartung, für alle anderen die Grundlage jeder sinnvollen Kompetenzmassnahme. Drittens: Stufe deine Schulung nach Rolle ab, statt allen dasselbe zu geben.

Ob eine Organisation eine konkrete regulatorische Anforderung erfüllt, bleibt eine Frage an die Rechtsberatung und die jeweilige Aufsichtsbehörde. Der gemeinsame Nenner all dieser Anforderungen bleibt derselbe: die Kompetenz der Menschen, die KI bedienen.