AI Literacy für externe Dienstleister: Wen Unternehmen nach Artikel 4 mitdenken sollten

Artikel 4 endet nicht automatisch an der eigenen Personalgrenze

Wenn Unternehmen über AI Literacy sprechen, denken sie meist zuerst an die eigenen Mitarbeitenden. Das ist verständlich – aber zu eng. Artikel 4 des EU AI Act spricht ausdrücklich von Beschäftigten und von weiteren Personen, die im Auftrag eines Anbieters oder Betreibers mit dem Betrieb und der Nutzung von KI-Systemen umgehen.

Die Europäische Kommission konkretisiert diese Formulierung in ihren aktuellen Fragen und Antworten. Mit „anderen Personen“ sind demnach nicht nur Arbeitnehmer gemeint, sondern Personen, die organisatorisch in den Verantwortungsbereich des Unternehmens fallen können. Als Beispiele nennt die Kommission unter anderem Contractors, Service Provider und in bestimmten Konstellationen auch Clients.

Für die Praxis ist das relevant: Viele Unternehmen haben längst externe Agenturen, Freelancer, IT-Dienstleister oder Beratungen eingebunden, die mit KI-Systemen arbeiten. Wenn diese Personen im Auftrag des Unternehmens KI nutzen, sollte ihre notwendige KI-Kompetenz nicht einfach als Problem des Dienstleisters abgehakt werden.

Gleichzeitig folgt daraus keine pauschale Pflicht, jeden Lieferanten durch denselben internen Schulungskurs zu schicken. Die Kommission betont den konkreten System- und Risikokontext. Genau darauf sollte ein pragmatischer Prozess aufbauen.

Welche externen Personen können relevant sein?

Nicht jeder Lieferant hat mit Artikel 4 im eigenen Unternehmen praktisch etwas zu tun. Entscheidend ist, ob eine externe Person tatsächlich im Auftrag des Unternehmens mit einem KI-System arbeitet oder dessen Nutzung in einen Unternehmensprozess eingebunden ist.

Typische Konstellationen sind beispielsweise:

• eine Marketingagentur erstellt mit generativer KI Texte oder Bilder für das Unternehmen,
• ein Freelancer arbeitet mit dem vom Unternehmen bereitgestellten Copilot- oder ChatGPT-Zugang,
• ein externer IT-Dienstleister betreibt oder konfiguriert ein KI-System,
• ein BPO- oder Support-Dienstleister nutzt KI zur Bearbeitung von Kundenanfragen,
• eine Personalberatung setzt im Auftrag des Unternehmens KI-gestützte Werkzeuge ein,
• externe Entwickler integrieren ein Modell in einen internen Workflow,
• ein Beratungsunternehmen nutzt KI bei Analysen auf Basis interner Unternehmensdaten.

Je enger der Dienstleister in den tatsächlichen KI-Prozess eingebunden ist, desto wichtiger wird die Frage, welches Wissen er für diesen konkreten Auftrag benötigt.

Der entscheidende Begriff lautet „im Auftrag“

Die AI-Literacy-Pflicht soll nicht dazu führen, dass ein Unternehmen die gesamte Weiterbildung seiner Lieferkette übernimmt. Der relevante Bezug entsteht dort, wo Personen mit KI-Systemen auf Seiten oder im Auftrag des Providers beziehungsweise Deployers umgehen.

Die Kommission formuliert in ihren Q&A ausdrücklich, dass Personen bei einem Service Provider oder Contractor die passenden KI-Fähigkeiten haben sollten, um die jeweilige Aufgabe erfüllen zu können – vergleichbar mit den Anforderungen an eigene Mitarbeitende in derselben Aufgabe. Ob daraus eine bestimmte vertragliche Regelung folgt, hängt laut Kommission vom konkreten KI-System und insbesondere vom Risiko ab.

Das ist eine wichtige Differenzierung: Ein externer Designer, der für eine interne Ideenskizze generative Bild-KI nutzt, braucht einen anderen Rahmen als ein Dienstleister, der personenbezogene Informationen verarbeitet oder KI-Ausgaben in einem sensiblen Prozess übernimmt.

1. Zuerst den tatsächlichen KI-Einsatz des Dienstleisters erfassen

Bevor Schulungen oder Vertragsklauseln entwickelt werden, sollte das Unternehmen wissen, wo externe Beteiligte überhaupt KI nutzen. Eine einfache Abfrage beim Onboarding oder bei der Auftragsvergabe kann bereits viel Transparenz schaffen.

Sinnvolle Fragen sind:

• Wird für die beauftragte Leistung ein KI-System eingesetzt?
• Welches System oder welche Systemkategorie wird genutzt?
• Arbeitet der Dienstleister mit Unternehmens-, Kunden- oder Personaldaten?
• Werden KI-Ausgaben direkt an Kunden oder andere externe Personen weitergegeben?
• Trifft oder unterstützt die KI Entscheidungen mit relevanten Auswirkungen?
• Nutzt der Dienstleister einen eigenen Account oder einen vom Unternehmen bereitgestellten Zugang?

Damit entsteht noch keine vollständige KI-Governance. Es wird aber sichtbar, wo überhaupt ein Kompetenz- und Regelungsbedarf bestehen kann.

2. Nicht automatisch die interne Standardschulung kopieren

Ein häufiger Reflex wäre, sämtlichen externen Personen einfach denselben Kurs wie den eigenen Mitarbeitenden zuzuweisen. Das kann sinnvoll sein, wenn beide Gruppen mit denselben Systemen, Daten und Regeln arbeiten. Oft ist es aber unnötig oder sogar unpraktisch.

Ein externer Entwickler benötigt möglicherweise deutlich mehr technisches Wissen als eine Fachabteilung, aber weniger Informationen zu internen HR-Prozessen. Eine Agentur muss vor allem wissen, welche Inhalte sie in generative Systeme eingeben darf, wie Fakten und Rechte geprüft werden und welche Tools für den Auftrag akzeptiert sind.

Der sinnvollere Ansatz ist modular:

• gemeinsame Grundlagen zu Chancen, Grenzen und typischen Fehlern von KI,
• auftragsbezogene Regeln zu Daten und freigegebenen Werkzeugen,
• rollenbezogene Inhalte für besonders relevante Tätigkeiten,
• klare Freigabe- und Eskalationswege.

Damit bleibt die Maßnahme proportional zum tatsächlichen Nutzungskontext.

3. Unternehmensregeln müssen auch für Externe verständlich sein

Eine interne KI-Richtlinie hilft wenig, wenn ein Dienstleister sie weder kennt noch auf seine Arbeit übertragen kann. Deshalb sollten externe Personen, die relevante KI-Systeme nutzen, die für ihren Auftrag entscheidenden Regeln in einer verständlichen Form erhalten.

Dazu können gehören:

• erlaubte und nicht erlaubte KI-Systeme,
• Regeln für vertrauliche und personenbezogene Daten,
• Anforderungen an Fakten- und Quellenprüfung,
• Kennzeichnungs- oder Transparenzregeln, wenn sie für den Prozess relevant sind,
• Vorgaben zur menschlichen Kontrolle,
• Ansprechpartner bei Unsicherheit oder einem möglichen Vorfall.

Wichtig ist, Regeln nicht nur vertraglich zu verstecken. Wer eine zehnseitige Anlage unterschreibt, hat dadurch noch nicht automatisch verstanden, wie er im konkreten Arbeitsablauf handeln soll.

4. Vertrag, Onboarding und Training sollten zusammenspielen

Die Kommission schreibt für Artikel 4 keine allgemeine Standardklausel vor, die jeder Dienstleister unterschreiben muss. Sie beantwortet die Frage nach einer vertraglichen Verpflichtung ausdrücklich kontextabhängig.

Trotzdem kann eine vertragliche Regelung sinnvoll sein, wenn externe Personen mit relevanten KI-Systemen arbeiten. Sie kann beispielsweise festhalten, welche Systeme eingesetzt werden dürfen, welche Daten ausgeschlossen sind, welche Unternehmensregeln gelten und ob ein bestimmtes Onboarding oder Lernmodul Voraussetzung für den Zugriff ist.

In der Praxis lässt sich der Prozess in drei Ebenen aufteilen:

• Vertraglich: Grundlegende Verantwortlichkeiten, zugelassene Nutzung und Informationspflichten festlegen.
• Operativ: Beim Onboarding konkrete Tools, Datenregeln, Freigaben und Ansprechpartner erklären.
• Lernbezogen: Nur die Module zuweisen, die für Rolle und Nutzungskontext wirklich relevant sind.

So wird aus AI Literacy kein zusätzlicher Papierprozess, sondern ein Teil des normalen Dienstleister-Onboardings.

5. Bei externem Zugriff auf eigene Systeme steigt die Relevanz

Besonders klar ist der Handlungsbedarf, wenn externe Personen direkt mit den KI-Systemen des Unternehmens arbeiten. Das kann ein Gastkonto in Microsoft 365 sein, ein Zugang zu einem internen Assistenten oder ein speziell für einen Dienstleister eingerichteter Workflow.

Hier kontrolliert das Unternehmen nicht nur den Auftrag, sondern häufig auch das technische System, die Datenquellen und die Berechtigungen. Deshalb sollte der Zugang nicht losgelöst von Kompetenz und Regeln vergeben werden.

Ein schlankes Muster wäre:

• Rolle und benötigte Berechtigungen definieren,
• relevantes AI-Literacy-Modul absolvieren lassen,
• Unternehmensregeln bestätigen lassen,
• Zugang freischalten,
• Änderungen an System oder Rolle später erneut bewerten.

Das ist zugleich ein guter Schutz gegen Schatten-KI: Externe müssen nicht auf eigene, ungeprüfte Werkzeuge ausweichen, wenn klar ist, welche Systeme für die Zusammenarbeit vorgesehen sind.

6. Auch erfahrene KI-Spezialisten brauchen Kontextwissen

Ein weiterer Fehler wäre anzunehmen, dass ein externer Data Scientist oder KI-Entwickler automatisch alles Notwendige weiß. Die Kommission weist selbst darauf hin, dass vorhandene Ausbildung oder Erfahrung grundsätzlich relevant ist, aber immer zum konkreten Werkzeug und Nutzungskontext passen muss. Auch technische Experten müssen deshalb wissen, welche Regeln, Risiken und organisatorischen Grenzen im jeweiligen Unternehmen gelten.

Ein Spezialist braucht möglicherweise keine Einführung in maschinelles Lernen. Er muss aber trotzdem wissen, ob bestimmte Daten in ein Modell dürfen, welche Freigaben für produktive Änderungen gelten oder welche Auswirkungen ein Fehler auf betroffene Personen haben könnte.

AI Literacy ist damit nicht identisch mit technischem KI-Know-how. Sie verbindet technische Kenntnisse mit sicherer, informierter Nutzung im konkreten organisatorischen Kontext.

7. Wie lässt sich die Maßnahme für Externe dokumentieren?

Auch für externe Personen verlangt Artikel 4 kein bestimmtes Zertifikat. Die Kommission nennt interne Aufzeichnungen über Trainings und andere Leitmaßnahmen als mögliche Form der Dokumentation.

Für Dienstleister kann eine schlanke Dokumentation beispielsweise enthalten:

• Name oder eindeutige Zuordnung der externen Person beziehungsweise Organisation,
• Rolle und Auftrag,
• relevante KI-Systeme,
• vermittelte Regeln oder absolvierte Module,
• Datum und Version der Inhalte,
• gegebenenfalls Ergebnis eines kurzen Wissenschecks.

Bei großen Dienstleistern muss das nicht bedeuten, jede Person einzeln in einer Excel-Liste zu verwalten. Je nach Auftrag kann auch ein abgestimmter Prozess auf Ebene des Dienstleisters sinnvoll sein. Entscheidend bleibt, dass das Unternehmen plausibel organisiert, wie die für den Auftrag erforderlichen Kenntnisse vermittelt oder sichergestellt werden.

8. Welche externen Gruppen sollten zuerst betrachtet werden?

Wer viele Lieferanten hat, sollte nicht versuchen, sofort alle gleich zu behandeln. Eine Priorisierung nach tatsächlichem KI-Einsatz und möglicher Auswirkung ist meist sinnvoller.

Ein einfacher Startpunkt:

• Externe mit Zugriff auf interne KI-Systeme zuerst erfassen.
• Danach Dienstleister betrachten, die vertrauliche oder personenbezogene Daten mit KI verarbeiten.
• Anschließend externe Rollen mit Kundenkommunikation, Personalbezug oder automatisierten Entscheidungen prüfen.
• Reine Lieferanten ohne relevanten KI-Bezug nicht unnötig in denselben Prozess zwingen.

Dieser risikoorientierte Ansatz passt auch zu der grundsätzlichen Logik des AI Act und verhindert, dass AI Literacy zu einer pauschalen Lieferantenbürokratie wird.

Was Unternehmen jetzt praktisch tun können

Für viele Unternehmen reichen zunächst fünf konkrete Schritte:

• Externe KI-Nutzung bei neuen und wichtigen bestehenden Dienstleistern abfragen.
• Rollen und Risikokontext unterscheiden.
• Relevante Unternehmensregeln in das Dienstleister-Onboarding aufnehmen.
• Bei Bedarf kurze rollenbezogene Lernmodule bereitstellen.
• Maßnahmen und Zuständigkeiten nachvollziehbar dokumentieren.

Besonders effizient wird dieser Ansatz, wenn interne und externe Zielgruppen nicht in getrennten Schulungswelten gepflegt werden müssen. Die Grundlagen können identisch bleiben, während Rollen, Regeln und Praxisfälle je nach Zielgruppe ergänzt werden.

Wie LimaBravo AI Mastery dabei unterstützt

LimaBravo AI Mastery ist modular aufgebaut und kann deshalb nicht nur für die klassische Mitarbeiterschulung eingesetzt werden. Basispfad, Rollenmodule, Unternehmensregeln, Wissenschecks und Teilnahmeinformationen lassen sich so kombinieren, dass auch relevante externe Zielgruppen einen passenden Lernpfad erhalten können.

Das ist insbesondere dann sinnvoll, wenn Freelancer, Agenturen oder Service Provider regelmäßig mit den eigenen KI-Systemen oder Unternehmensdaten arbeiten. Statt für jede Gruppe eine separate Schulung zu organisieren, kann ein gemeinsamer Kern mit auftrags- und rollenbezogenen Inhalten verbunden werden.

Die Plattform kann damit ein Baustein einer strukturierten AI-Literacy-Strategie sein. Ob und welche externen Personen im konkreten Fall einzubeziehen sind, hängt vom tatsächlichen Auftrag, dem eingesetzten KI-System und dem Nutzungskontext ab; eine rechtliche Einzelfallprüfung ersetzt die Plattform nicht.