KI-Kompetenz nach Artikel 4 EU AI Act: Was für Unternehmen Pflicht ist – und was nicht

Seit dem 2. Februar 2025 gilt Artikel 4 der europäischen KI-Verordnung – und mit ihm die Pflicht, für ausreichende KI-Kompetenz im eigenen Unternehmen zu sorgen. Ab dem 2. August 2026 beginnt die behördliche Aufsicht: In Deutschland übernimmt die Bundesnetzagentur die Rolle der zentralen KI-Aufsichtsbehörde, das entsprechende Durchführungsgesetz hat am 10. Juli 2026 den Bundesrat passiert. Gleichzeitig kursieren am Markt Angebote, die eine „gesetzliche Zertifikatspflicht“ behaupten – und damit schlicht Angst verkaufen.

Zeit für eine ehrliche Bestandsaufnahme: Was verlangt Artikel 4 wirklich? Welche Unternehmen sind betroffen? Was ändert der Digital Omnibus 2026? Und was sollten Sie jetzt konkret tun – ohne Panik, aber auch ohne das Thema auf die lange Bank zu schieben?

Was Artikel 4 der KI-Verordnung tatsächlich verlangt

Die KI-Verordnung (Verordnung (EU) 2024/1689, oft „EU AI Act“ genannt) regelt in Artikel 4 die sogenannte KI-Kompetenz. Der Kern der Vorschrift:

Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen.

Drei Dinge fallen sofort auf: Erstens verlangt der Artikel Maßnahmen – keine Zertifikate, keine Prüfungen, kein bestimmtes Schulungsformat. Zweitens gilt der Maßstab „nach besten Kräften“: Es ist eine Bemühenspflicht, keine Garantie eines bestimmten Wissensstands jeder einzelnen Person. Drittens ist die Pflicht kontextabhängig: Technische Vorkenntnisse, Erfahrung, Ausbildung und der konkrete Einsatzzweck der KI-Systeme bestimmen, was „ausreichend“ bedeutet.

Was bedeutet „KI-Kompetenz“ überhaupt?

Die Verordnung definiert KI-Kompetenz in Artikel 3 Nr. 56 als die Fähigkeiten, Kenntnisse und das Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden bewusst zu werden. Konkret heißt das: Wer im Unternehmen mit KI arbeitet, sollte verstehen, wie die eingesetzten Werkzeuge grundsätzlich funktionieren, wo ihre Grenzen liegen (Stichwort: Halluzinationen), welche Daten man ihnen anvertrauen darf – und wie man KI-Ergebnisse kritisch prüft, statt sie blind zu übernehmen.

Anbieter und Betreiber – wer ist das?

• Anbieter: Unternehmen, die KI-Systeme entwickeln und unter eigenem Namen auf den Markt bringen.
• Betreiber: Jede Organisation, die ein KI-System in eigener Verantwortung beruflich verwendet. Und das ist der entscheidende Punkt: Betreiber ist bereits, wer ChatGPT, Microsoft Copilot, Gemini oder die KI-Funktionen in gängiger Software wie CRM-Systemen, Canva oder Photoshop im Arbeitsalltag einsetzt.

Damit betrifft Artikel 4 praktisch jedes Unternehmen, in dem Mitarbeitende beruflich mit KI-Werkzeugen arbeiten – also die große Mehrheit.

Welche Unternehmen sind betroffen? Größe und Rechtsform spielen keine Rolle

Anders als viele andere Regelwerke kennt die KI-Verordnung bei der KI-Kompetenz keine Schwellenwerte. Zum Vergleich: Ein Datenschutzbeauftragter wird in der Regel erst ab 20 Personen Pflicht, NIS2 greift ab 50 Mitarbeitenden bzw. 10 Millionen Euro Umsatz, das Lieferkettengesetz ab 1.000 Mitarbeitenden. Artikel 4 dagegen gilt für die Ein-Personen-GmbH genauso wie für den Konzern – und unabhängig von der Rechtsform: GmbH, GbR, eingetragener Kaufmann, Freiberufler, Verein oder Behörde, entscheidend ist allein die Rolle als Anbieter oder Betreiber.

Die gute Nachricht: Die Norm skaliert von selbst. Gefordert ist ein Kompetenzniveau, das zu Vorbildung, Erfahrung und Einsatzkontext passt. Eine Drei-Personen-Agentur, die KI für Texte nutzt, braucht kein mehrstufiges Schulungscurriculum – eine dokumentierte KI-Richtlinie und eine solide Grundlagenschulung können hier bereits genügen. Ein Unternehmen mit 200 Mitarbeitenden und KI-gestützten HR-Prozessen braucht deutlich mehr.

Die eigentliche Grenze verläuft dabei nicht bei der Mitarbeiterzahl, sondern bei der Anwendung: Ein Personaldienstleister mit acht Beschäftigten, der Bewerbungen per KI vorsortiert, hat strengere Pflichten als ein Handwerksbetrieb mit 300 Mitarbeitenden, der ChatGPT nur für Angebotstexte nutzt.

Pflicht oder Mythos? Die wichtigsten Behauptungen im Faktencheck

Die EU-Kommission hat zu Artikel 4 einen offiziellen Fragen-und-Antworten-Katalog veröffentlicht, der viele Marketing-Mythen geraderückt:

Wer sich Anregungen für konkrete Maßnahmen holen möchte: Die EU-Kommission pflegt ein Living Repository mit Praxisbeispielen für KI-Kompetenz-Maßnahmen aus Unternehmen und öffentlichem Sektor – von Grundlagenschulungen über Workshops bis zu internen Multiplikatorenprogrammen.

Digital Omnibus 2026: Was sich gerade ändert – und was nicht

Mit dem sogenannten Digital Omnibus überarbeitet die EU derzeit mehrere Digitalgesetze, darunter die KI-Verordnung. Rat und Europäisches Parlament haben sich am 7. Mai 2026 im Trilog politisch geeinigt; die formale Annahme wird für Sommer 2026 erwartet. Die wichtigsten Änderungen im Überblick (eine ausführliche Analyse bietet u. a. activeMind.legal):

• Artikel 4 wird weicher formuliert: Anbieter und Betreiber sollen die Entwicklung von KI-Kompetenz künftig „unterstützen“ statt sie „nach besten Kräften sicherzustellen“. Ein bestimmtes Kompetenzniveau einzelner Personen muss nicht garantiert werden; die Kommission stellt Orientierungshilfen bereit.
• Hochrisiko-Fristen verschieben sich: Die Pflichten für Hochrisiko-KI nach Anhang III (z. B. KI in Bewerbungsverfahren oder bei der Kreditwürdigkeitsprüfung) rücken vom 2. August 2026 auf den 2. Dezember 2027. Für KI in regulierten Produkten (Anhang I, etwa Medizinprodukte) gilt neu der 2. August 2028.
• Bußgeld-Erleichterungen für KMU: Für kleine und mittlere Unternehmen gilt künftig durchgängig der jeweils niedrigere Wert aus Prozentsatz und Festbetrag.

Wichtig ist die richtige Einordnung: Artikel 4 wird nicht abgeschafft, sondern von einer strengen Bemühenspflicht zu einer Förderpflicht abgemildert. Die Erwartung des Gesetzgebers, dass Unternehmen ihre Mitarbeitenden für den KI-Einsatz qualifizieren, bleibt bestehen – sie wird nur realistischer formuliert. Einen Überblick über die arbeitsrechtliche Perspektive gibt auch Haufe.

Aufsicht und Haftung: Warum das Thema trotzdem ernst ist

Deutschland hat die Zuständigkeiten inzwischen geregelt: Mit dem Gesetz zur Durchführung der KI-Verordnung wird die Bundesnetzagentur zentrale Marktüberwachungsbehörde, Anlaufstelle und Kompetenzzentrum für KI. Der Bundesrat hat das Gesetz am 10. Juli 2026 gebilligt; die Aufsicht über die KI-Kompetenz-Regeln beginnt europaweit am 2. August 2026.

Auch wenn Artikel 4 selbst kein Bußgeld auslöst – die realen Risiken fehlender KI-Kompetenz liegen woanders:

Organisationsverschulden der Geschäftsführung

Nach § 130 OWiG haftet die Unternehmensleitung, wenn sie zumutbare Aufsichtsmaßnahmen unterlässt und es dadurch zu Pflichtverstößen im Betrieb kommt. Verursacht ein ungeschulter Mitarbeiter mit einem KI-Tool einen Schaden – etwa durch die Weitergabe vertraulicher Daten an einen öffentlichen Chatbot oder durch ungeprüft übernommene, fehlerhafte KI-Ausgaben –, kann die fehlende Schulung als Organisationsverschulden gewertet werden. Für GmbH-Geschäftsführer kommt die allgemeine Sorgfaltspflicht aus § 43 GmbHG hinzu. Der eigentliche Haftungsanker liegt damit nicht in der KI-Verordnung, sondern im ganz klassischen deutschen Haftungsrecht.

Datenschutz: Die DSGVO verlangt ohnehin geschulte Mitarbeiter

Sobald KI-Systeme personenbezogene Daten verarbeiten – und das ist bei E-Mails, Kundendaten oder Bewerbungen schnell der Fall –, greifen die Pflichten der DSGVO unabhängig vom AI Act: geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO) und die Sensibilisierung und Schulung der beteiligten Mitarbeiter als Aufgabe des Datenschutzbeauftragten (Art. 39 DSGVO). Eine unbedachte Eingabe von Kundendaten in ein öffentliches KI-Tool ist im Zweifel eine meldepflichtige Datenpanne.

Verträge, Ausschreibungen, Versicherer und Betriebsrat

• Lieferantenfragebögen und Ausschreibungen: Konzerne und öffentliche Auftraggeber fragen KI-Governance zunehmend systematisch ab. Wer als Zulieferer keine Antworten hat, verliert Aufträge – das ist im Mittelstand derzeit der stärkste praktische Treiber.
• Versicherungen: Cyber- und Vermögensschadenversicherer nehmen KI-Nutzung und Schulungsstand in ihre Risikofragebögen auf. Falsche Angaben gefährden den Versicherungsschutz.
• Betriebsrat: Die Einführung von KI-Systemen ist nach § 87 BetrVG mitbestimmungspflichtig; Schulungskonzepte werden regelmäßig Teil der Betriebsvereinbarung.
• Regulierte Branchen: Im Finanzsektor (BaFin-Anforderungen, DORA), bei Medizinprodukten (MDR), unter NIS2 sowie bei Berufsgeheimnisträgern wie Steuerberatern, Anwälten und Ärzten kommen eigene, teils deutlich härtere Kompetenz- und Governance-Anforderungen hinzu.
• Zertifizierungen: Wer nach ISO 27001 oder der neuen KI-Managementnorm ISO 42001 zertifiziert ist, muss Kompetenznachweise ohnehin im Audit belegen.

Sonderfall Hochrisiko-KI: Hier wird Kompetenz zur harten Pflicht

Eine wichtige Ausnahme von der „weichen“ Natur des Artikels 4 gibt es: Wer Hochrisiko-KI-Systeme betreibt, unterliegt ab dem 2. Dezember 2027 der Pflicht aus Artikel 26 Abs. 2 der KI-Verordnung. Danach muss die menschliche Aufsicht über solche Systeme Personen übertragen werden, die nachweislich über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen. Das ist keine Bemühens-, sondern eine Ergebnispflicht – und sie ist bußgeldbewehrt.

Hochrisiko-Anwendungen nach Anhang III betreffen im Mittelstand vor allem:

• Personalwesen: KI-gestützte Bewerberauswahl, automatisiertes CV-Screening, KI-basierte Leistungsbewertung – der mit Abstand häufigste Fall in der Praxis.
• Finanzdienstleistungen: Kreditwürdigkeitsprüfung und Risiko-Scoring bei Versicherungen.
• Bildung: KI bei Zulassungsentscheidungen oder Prüfungsbewertungen.
• Weitere Bereiche: Biometrie, kritische Infrastruktur, Migration und Justiz.

Wer heute bereits KI im Recruiting einsetzt oder das plant, sollte die Zeit bis Dezember 2027 nicht als Aufschub verstehen, sondern als Vorbereitungsfenster – die Anforderungen an Dokumentation, Aufsicht und Schulung sind hier erheblich.

Was Unternehmen jetzt konkret tun sollten: 5 Schritte

Unabhängig von Unternehmensgröße und Branche hat sich ein pragmatisches Vorgehen bewährt:

1. KI-Inventar erstellen: Welche KI-Werkzeuge werden im Unternehmen genutzt – offiziell und inoffiziell? Wofür, von wem, mit welchen Daten? Ohne Inventar keine Risikoeinschätzung. Denken Sie auch an KI-Funktionen in Bestandssoftware.
2. Risiken einordnen: Prüfen Sie jedes System gegen die Risikokategorien der KI-Verordnung: Verbotene Praktiken (seit Februar 2025 untersagt), Hochrisiko (Anhang III), Transparenzpflichten (z. B. Chatbots, KI-generierte Inhalte) oder minimales Risiko.
3. KI-Richtlinie einführen: Eine kurze, verständliche Richtlinie regelt, welche Tools erlaubt sind, welche Daten niemals in öffentliche KI-Dienste gehören und wie KI-Ergebnisse vor der Verwendung geprüft werden. Das ist die wirksamste Einzelmaßnahme – und zugleich Ihr wichtigstes Dokument gegenüber Behörden, Auftraggebern und Versicherern.
4. Rollenbasiert schulen: Eine Grundlagenschulung für alle, die mit KI arbeiten (Funktionsweise, Grenzen, Datenschutz, kritischer Umgang mit Ergebnissen); vertiefte Maßnahmen für Power-User und Fachbereiche mit sensiblen Anwendungen; eine eigene Session für die Geschäftsleitung zu Haftung und Governance.
5. Dokumentieren und aktuell halten: Führen Sie interne Aufzeichnungen über Richtlinie, Schulungen und Teilnehmer – formlos, aber nachvollziehbar. KI entwickelt sich schnell; ein jährlicher Überprüfungszyklus ist realistisch und angemessen.

Wie sich der Aufwand nach Unternehmensgröße und Einsatzintensität staffelt:

Fazit: Keine Panik – aber auch kein Freifahrtschein

Artikel 4 der KI-Verordnung ist keine Zertifikatspflicht und kein Bußgeld-Damoklesschwert – wer Ihnen das erzählt, verkauft Angst. Er ist aber auch kein Papiertiger: Die Erwartung, dass Unternehmen ihre Mitarbeitenden für den KI-Einsatz qualifizieren, bleibt auch nach dem Digital Omnibus bestehen, die Aufsicht durch die Bundesnetzagentur beginnt im August 2026, und die eigentlichen Risiken – Geschäftsführerhaftung, Datenschutzverstöße, verlorene Ausschreibungen, gefährdeter Versicherungsschutz – existieren völlig unabhängig davon, wie weich oder hart Artikel 4 am Ende formuliert ist.

Ein KI-Inventar, eine klare Richtlinie und rollenbasierte Schulungen sind keine Bürokratie, sondern gelebtes Risikomanagement – und in Zeiten, in denen KI-Kompetenz über Produktivität entscheidet, ohnehin eine Investition, die sich doppelt auszahlt. Wie wir das Thema selbst handhaben, dokumentieren wir transparent auf unserer EU-AI-Act-Seite.

Sie möchten wissen, wo Ihr Unternehmen steht und welche Maßnahmen in Ihrem Fall wirklich notwendig sind? Kontaktieren Sie uns – wir schauen gemeinsam auf Ihre KI-Nutzung und priorisieren, was Pflicht, was sinnvoll und was verzichtbar ist. Einen strukturierten Weg mit Live-Schulung, KI-Richtlinie und komplettem Nachweis-Paket bietet unsere KI-Kompetenz-Schulung.