Haftet der Geschäftsführer persönlich für fehlende KI-Kompetenz? Ehrliche Einordnung

Auf Konferenzen und in Compliance-Newsletter liest man immer öfter Varianten desselben Satzes: „Ohne KI-Schulung drohen Bußgelder bis 35 Millionen Euro – und der Geschäftsführer haftet persönlich." Dieser Satz ist – zumindest in dieser Pauschalform – falsch. Gleichzeitig unterschätzen viele Unternehmenslenker das reale Haftungsrisiko, das hinter Art. 4 EU AI Act steckt. Dieser Artikel räumt mit beiden Fehlern auf.

*Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Die folgenden Ausführungen dienen der allgemeinen Information und ersetzen keine individuelle rechtliche Beratung durch eine zugelassene Anwältin oder einen Anwalt.*

Was Art. 4 EU AI Act tatsächlich verlangt

Artikel 4 des EU AI Act ist seit dem 2. Februar 2025 in Kraft. Er verpflichtet Anbieter und Betreiber von KI-Systemen, „nach besten Kräften" sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt – angepasst an Kontext, Aufgabe und Risikoprofil der eingesetzten KI-Systeme.

Das klingt allgemein, weil es allgemein ist: Art. 4 schreibt keine bestimmte Schulungsform, keine Mindeststundenzahl und kein konkretes Zertifikat vor. Er fordert ein sorgfältiges Bemühen darum, dass Mitarbeitende, die mit KI arbeiten, das nötige Verständnis mitbringen. Dokumentierte Schulungsmaßnahmen sind die naheliegende Art, dieses Bemühen nachzuweisen.

Welche Unternehmen konkret betroffen sind, erläutert unser Artikel KI-Kompetenz-Pflicht – wen betrifft Art. 4 EU AI Act konkret?. Eine vollständige Erklärung der Norm liefert EU AI Act Artikel 4 einfach erklärt.

Klartext: Art. 4 ist kein eigenständiger Bußgeldtatbestand

Jetzt kommt der Teil, den viele Compliance-Angebote lieber weglassen: Artikel 4 EU AI Act enthält keinen eigenständigen Bußgeldtatbestand.

Die häufig zitierten Maximalstrafen von 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes beziehen sich ausschließlich auf Verstöße gegen Artikel 5 – die verbotenen KI-Praktiken wie Social Scoring, verdeckte Manipulation oder unzulässige Emotionserkennung. Dieser Sanktionsrahmen gilt seit dem 2. August 2025. Wer keine KI-Schulung durchführt, verletzt nicht Art. 5 und ist diesem Bußgeldrahmen daher nicht direkt ausgesetzt.

Der Sanktionsrahmen für Hochrisiko-KI-Anforderungen (Art. 99 ff.) sieht je nach Verstoßkategorie bis zu 15 Millionen Euro oder 3 % Jahresumsatz vor – auch dieser greift nicht automatisch bei fehlender KI-Kompetenzschulung.

Das bedeutet: Kein Unternehmen bekommt allein deshalb ein Bußgeld in Millionenhöhe, weil es keine KI-Schulung dokumentiert hat. Wer das behauptet, betreibt Angstmarketing auf falscher Rechtsgrundlage.

Dennoch ist fehlende Dokumentation kein risikoneutraler Zustand – aus Gründen, die wir im Folgenden erklären.

Wo das echte Haftungsrisiko liegt: §43 GmbHG und §93 AktG

Die Haftung für fehlende KI-Kompetenzmaßnahmen läuft nicht über den EU AI Act als direkten Bußgeldtatbestand – sondern über das allgemeine Gesellschaftsrecht.

Geschäftsführer einer GmbH haften nach § 43 Abs. 2 GmbHG persönlich gegenüber der Gesellschaft, wenn sie ihre Sorgfaltspflichten verletzen und dadurch ein Schaden entsteht. Vorstände einer AG unterliegen dem gleichen Maßstab nach § 93 Abs. 2 AktG. Es handelt sich dabei um eine Innenhaftung: Die Gesellschaft – vertreten z. B. durch die Gesellschafterversammlung oder einen Insolvenzverwalter – kann den Geschäftsführer persönlich in Regress nehmen.

Der Gedankengang ist nicht kompliziert: Wenn ein Gesetz ausdrücklich verlangt, dass Mitarbeitende für KI-Nutzung geschult werden, und die Unternehmensleitung diese Anforderung ignoriert, verletzt sie ihre Sorgfaltspflicht als ordentliche Kauffrau bzw. ordentlicher Kaufmann. Entsteht dann ein Schaden – etwa durch einen KI-Fehler, eine Datenpanne oder einen regulatorischen Eingriff –, ist der Bogen zur persönlichen Haftung schnell geschlagen.

Diese Haftungskette setzt nicht voraus, dass die Behörde ein Bußgeld verhängt. Es reicht, dass fehlende Schulungsstrukturen kausal zu einem Schaden beigetragen haben.

Organisationsverschulden: Die strukturelle Dimension

Neben der direkten Sorgfaltspflichtverletzung kommt ein zweiter Mechanismus ins Spiel: das Organisationsverschulden. Unternehmensleiter sind nicht nur für ihre eigenen Entscheidungen verantwortlich – sie haften auch dafür, dass das Unternehmen so organisiert ist, dass gesetzliche Anforderungen strukturell erfüllt werden.

Konkret: Wer KI-Systeme im Unternehmen einsetzt, muss sicherstellen, dass dafür entsprechende Prozesse existieren – Schulungsstrukturen, klare Verantwortlichkeiten, Dokumentation. Fehlen diese Strukturen, kann das Organisationsverschulden begründen, auch wenn die Geschäftsführung selbst nie direkt mit dem betreffenden KI-System gearbeitet hat.

Für eine tiefergehende Darstellung der Verantwortlichkeitsstrukturen im KI-Kontext empfiehlt sich unser Artikel KI-Governance: Rollen und Verantwortlichkeiten nach Art. 4 EU AI Act.

Delegation: Ja – aber kein Freifahrtschein

Viele Geschäftsführer denken, sie seien aus der Verantwortung, sobald sie das Thema KI-Compliance an HR, IT oder die Rechtsabteilung delegiert haben. Das ist ein Irrtum.

Delegation entlastet rechtlich nur dann, wenn drei Bedingungen erfüllt sind:

• Ordnungsgemäße Auswahl: Die beauftragte Person oder Abteilung muss für die Aufgabe qualifiziert sein.
• Klare Anweisung: Die Delegation muss inhaltlich präzise sein – nicht „kümmert euch um KI" sondern konkrete Anforderungen, Ziele und Fristen.
• Aktive Überwachung: Die Unternehmensleitung muss kontrollieren, ob die delegierten Maßnahmen tatsächlich umgesetzt werden. Einmalige Beauftragung ohne Nachverfolgung genügt nicht.

Eine Delegation ohne Überwachung ist rechtlich keine Entlastung – sie verlagert das Problem nur auf eine andere Ebene, ohne die Verantwortung des Geschäftsführers zu beseitigen. Wer im Ernstfall behauptet, er habe delegiert, muss dokumentieren können, wie und mit welcher Kontrolle.

Das gilt auch für externe Dienstleister: Wer die KI-Schulung an einen Anbieter auslagert, muss sicherstellen, dass die Leistung erbracht wird, die Ergebnisse dokumentiert sind und die eigenen Mitarbeitenden die Inhalte tatsächlich absolviert haben. Die Verantwortung bleibt intern.

D&O-Versicherung: Was sie leistet – und was nicht

In der Praxis verweisen viele Geschäftsführer auf ihre D&O-Versicherung (Directors & Officers), wenn es um persönliche Haftungsrisiken geht. Das ist grundsätzlich richtig – aber der Schutz hat klare Grenzen.

Eine D&O-Versicherung deckt typischerweise Vermögensschäden, die aus fahrlässigen Pflichtverletzungen resultieren. Das kann bei einer Innenhaftung nach §43 GmbHG greifen, wenn die Sorgfaltspflichtverletzung im engeren Sinn fahrlässig und nicht vorsätzlich war.

Was D&O-Versicherungen nicht decken:

• Bußgelder und Ordnungswidrigkeiten: Behördliche Bußgelder sind höchstpersönliche Sanktionen und generell nicht versicherbar. Eine D&O-Police schützt hier nicht.
• Vorsätzliche Pflichtverletzungen: Wer wissentlich handelt oder untätig bleibt, obwohl er die Anforderungen kennt, kann sich nicht auf D&O-Schutz berufen.
• Reputationsschäden: Imageverluste durch Compliance-Versagen sind in D&O-Policen selten erfasst.

Was das für die Praxis bedeutet: Eine D&O-Versicherung kann ein Baustein im Risikomanagement sein – aber sie ersetzt keine Compliance. Wer die D&O als Argument nutzt, um auf Schulungsmaßnahmen zu verzichten, hat die Logik umgedreht. Die Versicherung greift erst, wenn etwas schiefgegangen ist. Primäres Ziel muss sein, dass es nicht so weit kommt.

Außerdem gilt: Versicherungsschutz setzt in der Regel voraus, dass die versicherte Person ihre Sorgfaltspflichten nicht grob verletzt hat. Wer bei bekanntem gesetzlichen Gebot völlig untätig bleibt, riskiert, dass die Versicherung im Schadensfall die Leistung verweigert oder kürzt.

Was Dokumentation konkret leistet

Fehlende Dokumentation ist das eigentliche operative Risiko. Selbst wenn im Unternehmen intern Schulungsmaßnahmen stattgefunden haben – ohne Nachweis existieren sie im Streitfall kaum.

Bei einer Behördenprüfung durch die Bundesnetzagentur (seit 2025 nationale Marktaufsichtsbehörde), bei einem Haftungsstreit oder bei der Abwicklung eines D&O-Schadens gilt: Was dokumentiert ist, kann verteidigt werden. Was nicht dokumentiert ist, kann bestritten werden.

Ein strukturierter Schulungsnachweis mit Teilnehmerliste, Prüfungsergebnis, Datum und personalisierten Zertifikaten erfüllt mehrere Funktionen gleichzeitig:

• Er belegt gegenüber der Aufsichtsbehörde, dass Art. 4 ernst genommen wurde.
• Er entlastet die Geschäftsführung im Haftungsfall (wir haben gehandelt, hier ist der Beleg).
• Er ist Grundlage für die Delegation: Kontrolle lässt sich nur dokumentieren, wenn die Schulungsdurchführung dokumentiert ist.
• Er ermöglicht die Überprüfung, ob delegierte Maßnahmen tatsächlich abgeschlossen wurden.

Für Unternehmen, die mehrere Mitarbeitende gemeinsam schulen wollen, bietet das Firmenportal von ki-zertifizieren.de eine zentrale Lösung: Sitzplatzkauf, Verwaltung der Teilnehmer und Zertifikate auf Knopfdruck – mit Verifizierungs-ID pro Person.

Fazit: Kein Millionen-Bußgeld für Art. 4 – aber reale Haftungsrisiken

Die ehrliche Zusammenfassung:

Art. 4 EU AI Act ist kein Bußgeldtatbestand. Die oft zitierten 35 Millionen Euro beziehen sich auf Verstöße gegen verbotene KI-Praktiken (Art. 5) – nicht auf fehlende Schulungen.

Gleichzeitig besteht eine reale gesellschaftsrechtliche Haftung der Unternehmensleitung: über §43 GmbHG, §93 AktG und das Organisationsverschulden. Wer die KI-Kompetenzpflicht ignoriert, öffnet eine Angriffsfläche – besonders dann, wenn daraus ein konkreter Schaden entsteht.

Delegation entlastet nur bei ordnungsgemäßer Auswahl, Anweisung und Überwachung. Die D&O-Versicherung hilft bei fahrlässigen Vermögensschäden – aber nicht bei Bußgeldern und nicht bei vorsätzlichem Unterlassen.

Die Lösung ist keine aufwendige Apparatur: strukturierte Schulungen, ein Test, ein dokumentierter Nachweis – und die Sorgfaltspflicht ist erfüllt.

*Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für Ihre konkrete rechtliche Situation wenden Sie sich bitte an eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.*

Noch nicht sicher, wo Ihr Unternehmen steht?

Der kostenlose KI-Kompetenz-Schnellcheck gibt Ihnen in unter 5 Minuten eine erste Einschätzung – ohne Anmeldung.

→ Zum kostenlosen Schnellcheck

Wenn Sie den nächsten Schritt gehen möchten: Das KI-Kompetenz-Zertifikat nach Art. 4 umfasst 5–7 Lernmodule, eine Abschlussprüfung und ein personalisiertes PDF-Zertifikat mit Verifizierungs-ID – für 47 € pro Person, in unter 60 Minuten.

→ Jetzt KI-Kompetenz-Zertifikat erwerben (47 €)