KI-Schulung für Praxen: Pflicht, Inhalte, Nachweis

Was verlangt Artikel 4 der KI-Verordnung seit Juli 2026?

Artikel 4 gilt seit dem 02.02.2025 und wurde durch die Änderungsverordnung (EU) 2026/1744, in Kraft seit dem 27.07.2026, neu gefasst. Seither lautet die Pflicht im Kern: Anbieter und Betreiber von KI-Systemen „ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“. Zu berücksichtigen sind dabei nach dem Gesetz unter anderem die technischen Kenntnisse, die Erfahrung, die Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden. Die Vorschrift stellt zugleich klar, dass kein bestimmtes Kompetenzniveau je Person garantiert werden muss; praktische Umsetzungsbeispiele will die Kommission auf einer zentralen Informationsplattform veröffentlichen.

Aus einer Ergebnispflicht ist damit eine Handlungspflicht geworden. Entfallen ist sie nicht. Wer in der Praxis ein Diktat-Tool, einen Textassistenten oder eine KI-Funktion im Praxisverwaltungssystem einsetzt, ist Betreiber im Sinne der Verordnung und muss handeln. Die ehrlichste Kurzformel für die Einordnung lautet: gesetzlich gefordert, Form frei. Eine KI-Schulung ist also keine Pflichtunterweisung wie im Arbeitsschutz, wo § 12 ArbSchG feste Anlässe und eine bedarfsabhängige Wiederholung vorgibt, aber sie ist auch nicht freiwillig.

Warum zwei Zielgruppen und nicht eine?

Weil die Fragen verschieden sind. Eine medizinische Fachangestellte, die mit einem Textassistenten eine Patienteninformation formuliert, braucht anderes Wissen als die Inhaberin, die entscheidet, welche Tools in der Praxis überhaupt laufen dürfen. Wer beide Gruppen in dieselbe Schulung steckt, langweilt die eine und überfordert die andere, und der Nachweis wird angreifbar, weil er nicht erkennen lässt, dass die Maßnahme zur jeweiligen Rolle passt.

Sinnvoll ist deshalb eine Zweiteilung: ein Basismodul für alle, die mit KI arbeiten, und ein Zusatzmodul für die Leitung, das auf dem Basismodul aufbaut.

Womit fangen Sie an? Mit der Bestandsaufnahme

Bevor Sie schulen, müssen Sie wissen, was bei Ihnen läuft. Dazu gehören nicht nur die offiziell eingeführten Werkzeuge, sondern auch die, die niemand freigegeben hat: die private ChatGPT-App auf dem Diensthandy, das Diktat-Tool, das eine Mitarbeiterin sich selbst installiert hat, der KI-Assistent, der im Videokonferenz-Programm einfach mitkam. Diese ungeregelte Nutzung ist der Normalfall, nicht die Ausnahme, und sie ist der Grund, warum eine Schulung ohne Bestandsaufnahme ins Leere läuft.

Das Ergebnis ist eine schlichte Liste: Welches Werkzeug, wofür, mit welchen Daten, freigegeben oder nicht. Diese Liste ist zugleich der erste Baustein Ihrer Dokumentation.

Wer gibt frei, wer prüft, wohin werden Vorfälle gemeldet?

Artikel 4 verlangt Maßnahmen, keine Organisationslehre. Aber ohne drei geklärte Zuständigkeiten bleibt jede Schulung Theorie: Erstens braucht die Praxis eine Person, die neue KI-Werkzeuge freigibt, in kleinen Praxen ist das die Inhaberin oder der Inhaber selbst. Zweitens eine Regel, wer freigegebene Werkzeuge und ihre Einstellungen regelmäßig prüft. Drittens einen bekannten Weg, wohin Beschäftigte melden, wenn etwas schiefgeht, etwa wenn Patientendaten versehentlich in ein nicht freigegebenes Tool geraten sind. Das ist dann auch datenschutzrechtlich relevant: Eine solche Panne kann eine Meldepflicht nach Art. 33 DSGVO auslösen; die Meldung an die zuständige Aufsichtsbehörde muss unverzüglich erfolgen, möglichst binnen 72 Stunden nach Bekanntwerden.

Warum risikogerecht statt pauschal?

Artikel 4 schreibt kein bestimmtes Zertifikat und keinen starren Standardkurs vor. Entscheidend ist ein Kompetenzniveau, das zum Risiko der tatsächlichen Nutzung passt. Eine Formulierungshilfe für Anschreiben ist etwas anderes als ein System, das Menschen bewertet oder Behandlungsentscheidungen vorbereitet. Je näher ein Werkzeug an Diagnose, Triage oder Bewertung rückt, desto mehr Wissen und desto engere Regeln braucht, wer damit arbeitet. Für die meisten Praxen heißt das umgekehrt: Der Aufwand darf klein bleiben, solange die KI-Nutzung risikoarm ist, er muss nur zur Nutzung passen und wachsen, wenn die Nutzung wächst.

Eine Grenze ist wichtig: Ist ein KI-Werkzeug selbst ein Medizinprodukt, etwa als Diagnose-Unterstützung, gelten zusätzlich die Einweisungs- und Kenntnispflichten der Medizinprodukte-Betreiberverordnung (§ 4 Abs. 3 MPBetreibV). Dort ist die Form nicht mehr frei.

Was müssen Ihre Beschäftigten wissen?

Vier Dinge, die sich in einem Merksatz bündeln lassen: Prüfen. Schützen. Verantworten. Melden.

Prüfen heißt: KI-Ergebnisse sind Entwürfe, keine Wahrheiten. Wer einen KI-Text übernimmt, prüft ihn vorher, fachlich und sachlich. Schützen heißt: keine Patientendaten in Werkzeuge, die dafür nicht freigegeben sind. Das folgt nicht nur aus der DSGVO, sondern auch aus der Schweigepflicht des § 203 StGB: Seit der Neufassung von 2017 machen sich auch mitwirkende Personen strafbar, die ein fremdes Geheimnis unbefugt offenbaren (§ 203 Abs. 4 Satz 1 StGB), das Praxisteam eingeschlossen. Verantworten heißt: Die Verantwortung für das Ergebnis bleibt beim Menschen, der es verwendet, nicht beim Werkzeug. Und Melden heißt: Wer einen Fehler oder eine Panne bemerkt, meldet sie sofort über den vereinbarten Weg, ohne Schuldzuweisung.

Dazu gehört als Rahmen, dass Beschäftigte personenbezogene Daten nur auf Anweisung des Verantwortlichen verarbeiten (Art. 29, Art. 32 Abs. 4 DSGVO). Wer Gesundheitsdaten auf Grundlage von § 22 BDSG verarbeitet, und das ist in Praxen der Regelfall, muss zudem angemessene und spezifische Maßnahmen treffen; das Gesetz nennt dabei ausdrücklich die Sensibilisierung der an den Verarbeitungsvorgängen Beteiligten (§ 22 Abs. 2 Satz 2 Nr. 3 BDSG). Eine dokumentierte KI-Schulung zahlt also doppelt ein. Die Sensibilisierung und Schulung der Mitarbeitenden gehört außerdem zu den Aufgaben, in die ein Datenschutzbeauftragter eingebunden ist (Art. 39 Abs. 1 Buchst. b DSGVO); wenn Ihre Praxis einen hat, gehört die KI-Schulung auf seinen Tisch.

Was muss die Leitung zusätzlich wissen?

Auch hier vier Dinge und ein Merksatz: Verstehen. Freigeben. Kontrollieren. Nachweisen.

Verstehen heißt: die Grundlogik der eingesetzten Werkzeuge kennen, wo die Daten hinlaufen und was der Anbieter damit tun darf. Freigeben heißt: Es gibt eine Liste erlaubter Werkzeuge und erlaubter Zwecke, und neue Werkzeuge kommen nur über eine Freigabe hinein. Bindet die Praxis externe Dienstleister mit Zugang zu Patientengeheimnissen ein, muss die Leitung sie zur Geheimhaltung verpflichten, sonst macht sie sich selbst strafbar (§ 203 Abs. 4 Satz 2 Nr. 1 StGB). Kontrollieren heißt: Die Leitung prüft in Abständen, ob die Regeln gelebt werden, und passt sie an, wenn sich Werkzeuge oder Recht ändern. Nachweisen heißt: Alles davon steht in Dokumenten, nicht in Köpfen.

Für die Leitung kommt seit diesem Sommer ein Punkt dazu: Deutschland hat die nationale KI-Aufsicht geregelt. Der Bundestag hat das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) am 11.06.2026 beschlossen, der Bundesrat hat es am 10.07.2026 gebilligt, in Kraft ist es seit dem 29.07.2026. Zentrale Marktüberwachungsbehörde ist seither die Bundesnetzagentur, soweit nicht andere Fachbehörden zuständig sind. Es gibt also erstmals eine konkrete Stelle, die bei Verstößen zuständig ist und bei der auch Patientinnen und Patienten Verstöße gegen die KI-Verordnung melden können.

Wie sieht ein Nachweis aus, der einer Nachfrage standhält?

Artikel 4 nennt keine Formvorgaben für die Dokumentation. Ein brauchbarer Nachweis beantwortet fünf Fragen: Wer wurde geschult (Zielgruppe und Teilnehmende), was war Inhalt (Themen, nicht nur ein Titel), wann fand die Maßnahme statt, wie wurde teilgenommen (Präsenz, Video, Selbstlernmodul) und was gilt ergänzend für besondere Anwendungen, etwa das Diktat-Tool oder den Telefonassistenten. Dazu gehört die Wiederholungslogik: Artikel 4 schreibt keinen Rhythmus vor, aber neue Mitarbeitende, neue Werkzeuge und Veränderungen im Aufgabenbereich sind natürliche Anlässe, die Maßnahme zu wiederholen oder zu ergänzen, ähnlich dem Gedanken, den der Arbeitsschutz in § 12 ArbSchG für Unterweisungen formuliert; dazu kommen Änderungen der Rechtslage wie zuletzt im Juli 2026.

Für Ärztinnen und Ärzte kommt eine berufsrechtliche Pflicht hinzu: Das Personal ist über die Verschwiegenheitspflicht zu belehren, und die Belehrung ist schriftlich festzuhalten (§ 9 Abs. 2 der Musterberufsordnung; maßgeblich ist die Berufsordnung der jeweiligen Landesärztekammer). Beides lässt sich mit der KI-Schulung in einem Termin erledigen. Denken Sie zudem daran: Die Teilnahmedokumentation enthält selbst Beschäftigtendaten; führen Sie sie sparsam und informieren Sie Ihr Team darüber.

Bewahren Sie die Unterlagen dort auf, wo auch Ihre übrigen Datenschutz-Dokumente liegen. Bei einer Anfrage der Aufsicht oder einem Vorfall ist die Frage nie nur, ob geschult wurde, sondern ob Sie es belegen können.

Was verlangt das Gesetz ausdrücklich nicht?

Drei Dinge, die in Werbung und Beratung oft anders klingen: Artikel 4 verlangt kein bestimmtes Zertifikat und keinen bestimmten Kursanbieter. Er verlangt kein garantiertes Kompetenzniveau je Person; das stellt die Fassung seit dem 27.07.2026 ausdrücklich klar. Und er ist nicht direkt bußgeldbewehrt: Der Bußgeldkatalog des Artikels 99 der KI-Verordnung führt Artikel 4 nicht auf (Stand August 2026). Wer Ihnen mit einem Bußgeld direkt aus Artikel 4 droht, argumentiert am Gesetz vorbei.

Das heißt nicht, dass Untätigkeit folgenlos wäre. Die Maßnahmenpflicht besteht, die Aufsicht kann sie abfragen, und wenn durch unsachgemäße KI-Nutzung Patientendaten in falsche Hände geraten, drohen Konsequenzen aus der DSGVO und aus § 203 StGB, unabhängig von Artikel 4.

Wie lösen Sie das mit vertretbarem Aufwand?

Sie können die Schulung selbst zusammenstellen: Bestandsaufnahme, zwei kurze Termine für Team und Leitung, ein Dokumentationsblatt nach dem Muster oben. Alles, was dieser Artikel beschreibt, funktioniert ohne gekauftes Produkt.

Wenn Sie es fertig haben wollen: physicon OS enthält zwei aufeinander aufbauende KI-Module, ein Basismodul für alle Mitarbeitenden (5:44 Minuten) und ein Zusatzmodul für die Leitung (5:58 Minuten), zusammen rund zwölf Minuten plus Dokumentation. Die Teilnahme wird je Person festgehalten; das dokumentiert Ihre KI-Kompetenz-Maßnahmen nach Artikel 4, und Sie können sie auf Nachfrage vorlegen. Mehr dazu auf der Seite KI-Kompetenz oder direkt über das Kontaktformular.

Häufige Fragen zur KI-Schulung in der Praxis

Ist eine KI-Schulung für Praxen Pflicht?

Wenn Ihre Praxis KI-Systeme einsetzt: ja, als Handlungspflicht. Artikel 4 der KI-Verordnung verlangt seit dem 02.02.2025 Maßnahmen zur Förderung der KI-Kompetenz, seit dem 27.07.2026 in der justierten Fassung der Verordnung (EU) 2026/1744. Die Form der Maßnahmen ist frei, ihre Existenz nicht.

Gibt es ein Bußgeld, wenn wir keine KI-Schulung machen?

Nicht direkt aus Artikel 4: Der Bußgeldkatalog des Artikels 99 der KI-Verordnung führt Artikel 4 nicht auf (Stand August 2026). Risiken entstehen aber mittelbar, etwa über die DSGVO oder § 203 StGB, wenn ungeschulte Nutzung zu einer Datenpanne führt.

Brauchen wir ein Zertifikat?

Nein. Artikel 4 schreibt kein Zertifikat und keinen bestimmten Kurs vor. Entscheidend ist eine Dokumentation, die Zielgruppe, Inhalte, Zeitpunkt und Teilnahme festhält und zum Risiko Ihrer KI-Nutzung passt.

Wie oft muss die Schulung wiederholt werden?

Die KI-Verordnung nennt keinen Rhythmus. Natürliche Anlässe sind neue Mitarbeitende, neue Werkzeuge und geänderte Regeln oder Rechtslage. Wer diese Anlässe dokumentiert nutzt, ist besser aufgestellt als mit einem starren Jahrestermin ohne Bezug zur Praxis.

Wer in der Praxis muss geschult werden?

Alle, die mit KI-Systemen arbeiten oder deren Ergebnisse verwenden, vom Empfang bis zur Behandlung. Die Leitung braucht zusätzlich Wissen zu Freigabe, Kontrolle und Nachweis. Wer nachweislich gar nicht mit KI in Berührung kommt, muss nicht geschult werden; diese Abgrenzung sollte dann aber ebenfalls dokumentiert sein.

Reicht ein kurzes Online-Modul überhaupt aus?

Bei risikoarmer Nutzung kann es ausreichen, wenn es die Kerninhalte abdeckt und die Teilnahme dokumentiert wird. Artikel 4 verlangt zum Risiko passende Maßnahmen, keine Stundenzahl. Je näher Ihre KI-Nutzung an Diagnostik oder Bewertung rückt, desto mehr muss die Maßnahme leisten.

Quellen

Dieser Artikel gibt den Rechtsstand von August 2026 wieder und ersetzt keine Rechtsberatung im Einzelfall.

Daniel Rankl

Betriebswirt und Prozessberater mit über zehn Jahren Beratungserfahrung und fünf Jahren als Geschäftsführer eines Gesundheitsunternehmens. Autorisierter INQA-Coach. physicon berät und coacht Gesundheitsunternehmen in Compliance, Prozessen und KI.

KI-Schulung für Praxen: wer muss was wissen und wie Sie es nachweisen