Art. 4 EU AI Act: Was die KI-Kompetenz-Pflicht wirklich verlangt
Kurz beantwortet
Artikel 4 des EU AI Act verpflichtet alle Unternehmen, die KI-Systeme einsetzen, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz der damit befassten Personen zu unterstützen. Diese Fassung gilt seit dem 27. Juli 2026 und legt ausdrücklich fest, dass kein bestimmtes Kompetenzniveau garantiert werden muss; die Pflicht selbst besteht seit dem 2. Februar 2025, ohne Übergangsfrist und unabhängig von der Unternehmensgröße. Ein bestimmtes Format schreibt die Verordnung nicht vor.
Was sich am 27. Juli 2026 geändert hat
Die Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744 vom 8. Juli 2026, hat Art. 4 neu gefasst. Sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am dritten Tag danach in Kraft getreten, am 27. Juli 2026.
Bis dahin lautete Art. 4:
Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.
Seit dem 27. Juli 2026 lautet Art. 4 Abs. 1:
Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.
Geschuldet sind seitdem Maßnahmen, die die KI-Kompetenz der Beschäftigten entwickeln. Ob jede einzelne Person danach ein ausreichendes Niveau erreicht, muss das Unternehmen ausdrücklich nicht garantieren. Handeln muss es weiterhin.
Neu sind außerdem zwei Absätze, die sich an Behörden richten. Nach Abs. 2 unterstützen und fördern die Kommission und die Mitgliedstaaten die Unternehmen, insbesondere KMU, bei der Erfüllung dieser Pflicht, und die Kommission veröffentlicht dazu praktische Beispiele auf ihrer zentralen Informationsplattform. Nach Abs. 3 nimmt das KI-Gremium Empfehlungen an, die unter anderem gemeinsame Ziele für die Förderung der KI-Kompetenz festlegen.
Wen die Pflicht trifft
Artikel 4 richtet sich an Anbieter und Betreiber von KI-Systemen. Betreiber ist bereits, wer ein KI-System unter eigener Verantwortung im beruflichen Kontext einsetzt. Damit fällt praktisch jedes Unternehmen darunter, in dem Mitarbeitende ChatGPT, Microsoft Copilot, DeepL oder ein KI-gestütztes Bewerbermanagement nutzen.
Es gibt keine Ausnahme für kleine Unternehmen. Anders als bei der Pflicht zum Datenschutzbeauftragten existiert keine Schwelle bei der Beschäftigtenzahl. Auch ein Betrieb mit drei Personen ist betroffen, sobald KI betrieblich genutzt wird. Die Neufassung nennt KMU an einer einzigen Stelle, als Empfänger besonderer Unterstützung durch Kommission und Mitgliedstaaten (Art. 4 Abs. 2).
Was KI-Kompetenz bedeutet
Die Verordnung definiert KI-Kompetenz als die Fähigkeiten, Kenntnisse und das Verständnis, die einen sachkundigen Einsatz von KI-Systemen sowie die Wahrnehmung der Chancen und Risiken ermöglichen (Art. 3 Nr. 56, vom Digital Omnibus unverändert). Übersetzt in die Praxis:
- Funktionsweise im Grundsatz verstehen, dass ein Sprachmodell Wahrscheinlichkeiten fortschreibt und nicht in einer Datenbank nachschlägt
- Grenzen kennen, insbesondere Halluzinationen, veraltete Trainingsdaten und Verzerrungen
- Rechtliche Rahmenbedingungen kennen, welche Daten eingegeben werden dürfen und welche nicht
- Ergebnisse einordnen können, wann eine Ausgabe geprüft werden muss, bevor sie verwendet wird
- Den eigenen Anwendungsfall einschätzen, welche Risiken im konkreten Einsatz entstehen
Der Umfang darf sich am Kontext orientieren: Wer KI nur für Textentwürfe nutzt, braucht weniger Tiefe als wer ein System zur Bewerbervorauswahl betreut.
Was die Verordnung nicht verlangt
| Verbreitete Annahme | Tatsächlich |
|---|---|
| Jede Person muss ein bestimmtes Niveau erreichen | Nein. Art. 4 Abs. 1 Satz 2 verlangt ausdrücklich keine Garantie |
| Es braucht eine Zertifizierung | Nein. Kein Zertifikat vorgeschrieben |
| Es braucht einen bestimmten Anbieter | Nein. Auch interne Schulungen sind zulässig |
| Es braucht eine Prüfung | Nein. Belegbare Maßnahmen genügen |
| Es gilt eine Mindeststundenzahl | Nein. Angemessenheit entscheidet |
| Es betrifft nur die IT-Abteilung | Nein. Alle, die KI einsetzen |
Die Pflicht ist damit deutlich niedrigschwelliger, als sie in vielen Beratungsangeboten dargestellt wird. Sie ist zugleich diejenige Pflicht des EU AI Act, die sich am schnellsten erfüllen lässt.
Wie der Nachweis aussieht
Art. 4 schreibt keine Dokumentation vor, und es gibt keine Meldepflicht gegenüber einer Behörde. Der Nachweis wird erst relevant, wenn geprüft wird, etwa nach einem Vorfall. Geschuldet sind Maßnahmen, also dokumentiert man die Maßnahmen. Sinnvoll dokumentiert sind:
- Inhaltsübersicht der Schulung, aus der die abgedeckten Themen hervorgehen
- Teilnahmeliste mit Datum und Namen
- KI-Richtlinie des Unternehmens, die den Rahmen für den Einsatz absteckt
- Auffrischungsintervall, üblicherweise jährlich oder bei wesentlichen Änderungen
Diese vier Dokumente reichen für den Regelfall. Wer darüber hinaus Wissenstests oder externe Zertifikate einsetzt, tut das freiwillig. Praktische Beispiele dafür, wie die Pflicht erfüllt wird, soll die Kommission nach Art. 4 Abs. 2 auf ihrer zentralen Informationsplattform veröffentlichen.
Zusammenhang mit den übrigen Pflichten
Art. 4 steht zeitlich am Anfang, weil er ohne Übergangsfrist gilt. Er ist aber auch inhaltlich der sinnvolle Einstieg: Eine Schulung zwingt dazu, sich einen Überblick über die tatsächlich eingesetzten KI-Systeme zu verschaffen und genau dieses Inventar ist die Grundlage für alle weiteren Schritte, insbesondere die Risikoklassifizierung.
Die Anforderungen an Hochrisiko-KI-Systeme hat der Digital Omnibus verschoben. Sie gelten für Systeme nach Anhang III ab dem 2. Dezember 2027 und für Systeme nach Anhang I ab dem 2. August 2028 (Art. 113 Buchst. c).
In der Praxis stellt sich dabei fast immer heraus, dass mehr KI im Einsatz ist als der Geschäftsführung bekannt war. Der Fachbegriff dafür ist Schatten-KI: Werkzeuge, die Mitarbeitende ohne Freigabe nutzen, meist über private Konten. Das ist datenschutzrechtlich kritisch und macht die Erfüllung der KI-Act-Pflichten unmöglich, solange es unbekannt bleibt.
Empfohlenes Vorgehen
- Bestandsaufnahme ohne Sanktionsandrohung, nur so werden auch inoffiziell genutzte Werkzeuge genannt
- Schulung für alle Personen, die KI einsetzen, gestaffelt nach Rolle
- KI-Richtlinie verabschieden: welche Werkzeuge sind freigegeben, welche Daten dürfen eingegeben werden
- Dokumentation ablegen und Wiedervorlage für die Auffrischung setzen
Der Aufwand für Schritt 1 bis 3 liegt bei einem mittelständischen Unternehmen typischerweise bei wenigen Tagen, deutlich weniger, als die verbreitete Aufregung um den EU AI Act vermuten lässt.
Quellen
Unterstützung dabei
Sie möchten das nicht selbst aufarbeiten? Sylc.ai übernimmt das als Dienstleistung.
EU AI Act Beratung →