Ein kostenloses Kit für die Entscheidung, was euer Team in ein KI-Tool geben darf, und für den Nachweis, dass ihr sie darin geschult habt. Sieben Teile: Vorlagen, ein ausgefülltes Beispiel, ein Schulungsaufbau, eine Nachweismappe und ein kleines Skript.
Nützlich, wenn ihr in einer EU-Organisation arbeitet, dort schon KI-Tools benutzt werden und niemand aufgeschrieben hat, was wohin darf. Besonders dann, wenn Schulung und der Papierkram drumherum auf eurem Tisch gelandet sind.
Nichts für dich, wenn du KI allein nutzt und keine Kollegen hast, oder wenn eure Organisation Hochrisiko-KI nach Anhang III betreibt. Dafür braucht es deutlich mehr als das hier.
ZIP, rund 25 KB. Markdown, eine Tabelle, eine Python-Datei. Nichts zu installieren.
Zum Hintergrund: Artikel 4 EU AI Act verlangt das seit dem 02.02.2025, und diesen Monat haben die nationalen Behörden die Aufsicht übernommen. Das Kit erklärt, was das heißt und was nicht.
Die eine Entscheidung, an der alles hängt: Welches Material darf auf welchen Weg. Etwa eine Stunde, einmal gemacht, mit den Leuten, die das Risiko wirklich tragen. Danach ist die Frage für jeden im Team beantwortet.
Dieselbe Entscheidung, auf einer Seite, die Leute tatsächlich lesen. Geschrieben, um neben dem Laptop zu liegen, nicht im Richtlinienordner (da liegt die andere ja schon).
Der Artikel vollständig zitiert, was wirklich verlangt wird, und die drei Dinge, die Leuten fälschlich als Pflicht verkauft werden. Dazu ein Schulungsformat, das zur Verhältnismäßigkeitsklausel passt.
Ein Skript, das „darf das dahin" beantwortet, bevor irgendetwas rausgeht. Keine Abhängigkeiten, Exit-Codes, die ihr in einen echten Aufruf hängen könnt, und ein Selbsttest, der die eigene Konfiguration absichtlich kaputtmacht.
Jede Vorlage von oben, ausgefüllt für eine erfundene Firma mit 140 Leuten: samt der Diskussion, die am längsten gedauert hat, und dem Schritt, den sie falsch gemacht haben.
Der Fall, den jede Richtlinie auslässt. Was in den ersten 30 Minuten zu tun ist, was auf keinen Fall, und der Absatz, den ihr heute in eure Richtlinie schreiben könnt.
Der Teil, der entscheidet, ob der Rest überhaupt zählt. Fünf Stellen, an denen die Klassenfrage sitzen kann, die billigste zuerst, und der Test, der euch ehrlich sagt, ob ihr fertig seid. Enthält die Korrektur, die fast niemand macht: Das Skript ist ein Checker, kein Türsteher, und nichts, was ihr herunterladet, kann eine Richtlinie durchsetzen.
Nachweise je Person, mit Auffrischungsterminen, die sich selbst ausrechnen. Gelb 60 Tage vorher, rot wenn überfällig. Ihr tragt ein, das Blatt rechnet. Dazu die Begründung je Stufe auf einem eigenen Blatt, das fast niemand schreibt.
$ python3 gate.py --data-class CONFIDENTIAL --lane public_ai DENY Schaden beim Leak wiegt schwerer als Bequemlichkeit. Bleibt auf deinem Rechner. $ python3 gate.py --selftest 12 / 12 grün
Es klassifiziert absichtlich nicht für euch. Das Einordnen ist eine menschliche Entscheidung, und ein Skript, das sie errät, gibt euch eine falsche Sicherheit. Das ist schlimmer als gar kein Gate. Genau hier muss ein Mensch stehen, an genau einer Stelle.
Keine Blackbox, das wäre bei einer Datei, die ihr euch installiert, auch eine merkwürdige Zumutung. Hier steht jeder Schritt, den es ausführt, was es speichert, wo das liegt, und was es bewusst nicht tut. Wenn ihr einer Regel vertrauen sollt, müsst ihr sie vorher von vorn bis hinten lesen können.
Die Karte lässt sich seitlich wischen.
Ein Test ist nicht vorgeschrieben. Es gibt keine Pflicht, den Wissensstand eurer Leute zu messen. Nützlich kann es trotzdem sein. Eine Pflicht ist es einfach nicht.
Zertifikate sind nicht vorgeschrieben. Keine bestimmte Qualifikation weist die Erfüllung nach. Wer euch eins verkauft, verkauft ein Produkt und keine Pflichterfüllung.
Artikel 4 enthält keine Aufzeichnungspflicht. Da steht, dass ihr Maßnahmen ergreifen sollt. Nachweise sind der Weg, das zu zeigen, und deshalb liegt im Kit eine Mappe dafür. Lasst euch Dokumentation trotzdem nicht als gesetzliche Pflicht verkaufen.
Die erste Fassung dieses Kits hatte den ersten Punkt selbst falsch. Er ist korrigiert, und jede Aussage nennt jetzt die Fundstelle im Verordnungstext oder im Material der Kommission.
Recherchiert am 02.08.2026 gegen den Verordnungstext und Material der Kommission. Prüft alles nach, bevor ihr euch darauf stützt.
| Datum | Was gilt |
|---|---|
| 02.02.2025 | EU AI Act Artikel 4. Ein ausreichendes Maß an KI-Kompetenz sicherstellen, für alle, die in eurem Auftrag KI-Systeme bedienen. |
| 02.08.2026 | Artikel 99 Absatz 3: 35 Millionen EUR oder 7 Prozent gelten nur für Artikel 5, verbotene Praktiken. |
| 02.08.2026 | Artikel 99 Absatz 4: 15 Millionen EUR oder 3 Prozent gelten für die Artikel 16, 22, 23, 24, 26, 31, 33 Absatz 1, 3 und 4, 34 sowie Artikel 50 unter Buchstabe g. |
| 02.08.2026 | Artikel 99 Absatz 5: 7,5 Millionen EUR oder 1 Prozent gelten für falsche oder irreführende Angaben gegenüber Behörden. |
| 02.08.2026 | Die Transparenzpflichten aus Artikel 50 gelten. Artikel 4 taucht in Artikel 99 nicht auf und trägt hier keinen Bußgeldrahmen. |
| 02.12.2026 | Übergangsfrist, ausschließlich für Anbieter generativer Systeme, die vor dem 02.08.2026 bereits auf dem Markt waren: Kennzeichnungspflicht nach Artikel 50 Absatz 2. |
| 02.12.2027 | Hochrisiko-Systeme, Anhang III. |
| 02.08.2028 | Hochrisiko-Systeme, eingebettet in regulierte Produkte, Anhang I. |
Der Digital Omnibus gilt seit dem 27.07.2026 und hat an Artikel 50 nichts geändert.
Keine Rechtsberatung, und keine Beratung zu eurem Fall. Alles hier ist für typische Situationen geschrieben, so wie ein Formularbuch. Es sieht sich eure Umstände nicht an, es kann das nicht, und es soll es auch nicht. Wenn jemand auf eure tatsächliche Lage schauen soll, ist das die Aufgabe eines Anwalts, und dafür ist das hier kein Ersatz.
Ich bin kein Anwalt. Ich bin Trainingsmanager und habe die technische Hälfte selbst gebaut. Wo dieses Kit die Verordnung zitiert, zitiert es. Wo es auslegt, schreibt es das dazu. Prüft beides, bevor ihr euch auf eins davon stützt.
Es macht euch nicht rechtskonform. Das kann nichts, was ihr herunterladet. Es gibt euch eine Entscheidungsstruktur und eine Papierform, und beides braucht trotzdem die Prüfung durch jemanden, der in eurer Rechtsordnung qualifiziert ist.
Es deckt keine Hochrisiko-Nutzung nach Anhang III ab, und es deckt keinen Datenschutz ab. Wenn personenbezogene Daten eure Organisation verlassen haben, läuft das nach seiner eigenen Uhr und nach Regeln, die dieses Kit nicht berührt.
Hier spricht nicht mein Arbeitgeber. Das ist ein privates Projekt über meinen eigenen Rechner, in meiner eigenen Zeit geschrieben. Kein Arbeitgeber von mir hat davon irgendetwas geprüft, genehmigt oder unterstützt.
Dieses Kit wird unentgeltlich bereitgestellt. Bei unentgeltlicher Überlassung beschränkt das deutsche Recht meine Haftung auf Vorsatz und grobe Fahrlässigkeit (Maßstab des § 521 BGB). In diesem Rahmen übernehme ich keine Haftung für Richtigkeit, Vollständigkeit oder Aktualität der Inhalte oder für Entscheidungen, die auf ihrer Grundlage getroffen werden.
Die Haftung für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie die Haftung für Vorsatz und grobe Fahrlässigkeit bleiben unberührt und werden nicht ausgeschlossen. Gesetzliche Haftung, die vertraglich nicht beschränkt werden kann, bleibt bestehen.
Die hier beschriebene Rechtslage gibt Quellen wieder, die am 02.08.2026 recherchiert wurden, und kann sich ändern. Nichts davon wird gepflegt, und es besteht für mich keine Pflicht zur Aktualisierung.
Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, mein im Impressum angegebener Sitz.
Verordnung (EU) 2024/1689, Artikel 4 und Artikel 113 · Europäische Kommission, Fragen und Antworten zur KI-Kompetenz · AI Act Service Desk · PagerDuty Shadow-AI-Umfrage, Juni 2026
Macht damit ziemlich genau, was ihr wollt. Passt es an, benennt es um, setzt euer eigenes Logo drauf, gebt es eurem Team. Keine Namensnennung nötig, keine Erlaubnis nötig. Wenn es euch einen Tag spart, war genau das der Punkt.