Hinweis: Dieser Artikel ordnet die Rechtslage fachlich ein und ersetzt keine Rechtsberatung. Für die Bewertung Ihres Einzelfalls binden Sie bitte Ihre Datenschutzbeauftragten oder spezialisierten Rechtsbeistand ein. Stand: September 2026.
Das Wichtigste in Kürze
- Artikel 4 AI Act gilt seit dem 2. Februar 2025 und wurde mit dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) neu gefasst: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung von KI-Kompetenz zu unterstützen.
- Ein bestimmtes Kompetenzniveau einzelner Personen wird nicht mehr verlangt. Zertifikat, Wissenstest und eine eigene Beauftragtenrolle sind nicht vorgeschrieben; ein internes Verzeichnis der Maßnahmen genügt (EU-Kommission, AI-Literacy-FAQ, Stand 27. Juli 2026).
- Für Verstöße gegen Artikel 4 gibt es kein Bußgeld. Weder Artikel 99 der KI-Verordnung noch das deutsche KI-MIG (in Kraft seit 29. Juli 2026) sehen eines vor. Seit dem 2. August 2026 beaufsichtigen die nationalen Behörden, in Deutschland die Bundesnetzagentur, im Finanzsektor die BaFin.
- Der praktische Druck kommt von anderer Seite: Organisations- und Sorgfaltspflichten, Kundenanforderungen, Mitbestimmung und ab Dezember 2027 die Anforderung, dass Personen mit menschlicher Aufsicht über Hochrisiko-Systeme die nötige Kompetenz haben (Art. 26 Abs. 2).
- Die Praxis ist weiter als die Debatte: 70 % der deutschen Unternehmen schulen ihre Beschäftigten inzwischen im Umgang mit KI, 25 % gar nicht; im Vorjahr waren es noch 43 % ohne Schulung (Bitkom, September 2026).
Was verlangt Artikel 4 AI Act heute?
Artikel 4 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, die den Aufbau von KI-Kompetenz bei ihrem Personal und bei Personen unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Der Digital Omnibus hat die Vorschrift am 27. Juli 2026 abgeschwächt: Aus einer Pflicht, „nach besten Kräften" ein ausreichendes Maß an KI-Kompetenz sicherzustellen, ist eine Pflicht geworden, die Entwicklung dieser Kompetenz zu unterstützen. Ausdrücklich klargestellt ist, dass niemand ein bestimmtes Kompetenzniveau einer einzelnen Person garantieren muss (Einordnung der Neufassung).
Neu ist außerdem ein zweiter Absatz: Kommission und Mitgliedstaaten unterstützen die Bemühungen der Unternehmen, mit besonderem Blick auf kleine und mittlere Unternehmen. Praktische Beispiele stellt die Kommission über ihre Informationsplattform bereit.
Was ist KI-Kompetenz? Die Verordnung definiert sie in Artikel 3 Nummer 56 als die Fähigkeiten, Kenntnisse und das Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen, ihre Chancen und Risiken zu erkennen und mögliche Schäden zu vermeiden. Gemeint ist also nicht technisches Tiefenwissen, sondern Urteilsfähigkeit im eigenen Aufgabenbereich.
Fördern, nicht garantieren
Sie schulden Maßnahmen, kein Ergebnis je Person. Das senkt die Anforderung, macht sie aber nicht gegenstandslos: Wer nichts tut, erfüllt die Pflicht nicht.
Personal und Auftragnehmer
Erfasst sind alle, die in Ihrem Auftrag mit den Systemen arbeiten: Angestellte, Werkstudierende, freie Mitarbeitende, Dienstleister und Agenturen.
Rollen- und risikobasiert
Die Tiefe richtet sich nach Kontext und Risiko. Wer KI nur zur Recherche nutzt, braucht weniger als ein Team, das mit KI Angebote kalkuliert oder Bewerbungen vorsortiert.
Auch kleine Unternehmen
Eine Bagatellgrenze gibt es nicht. Der Omnibus weitet Erleichterungen für KMU aber auf kleine Mid-Cap-Unternehmen aus und verpflichtet Kommission und Mitgliedstaaten zur Unterstützung.
Gibt es eine KI-Schulungspflicht?
Nicht im Sinne eines vorgeschriebenen Kurses. Artikel 4 nennt weder Format noch Umfang noch Frequenz. Schulungen sind der naheliegende Weg, aber Einweisungen, Leitfäden, Vorlagen mit Hinweisen, begleitete Pilotphasen und interne Sprechstunden zählen genauso.
Die EU-Kommission stellt in ihrer FAQ zur KI-Kompetenz (Stand 27. Juli 2026) ausdrücklich klar, was nicht verlangt ist:
- kein Zertifikat und keine externe Prüfung für Beschäftigte,
- keine verpflichtende Wissensmessung,
- keine vorgeschriebene Governance-Struktur und keine eigene Beauftragtenrolle,
- keine Anzeige oder Registrierung der Maßnahmen bei einer Behörde.
Erwartet wird stattdessen ein internes Verzeichnis der ergriffenen Maßnahmen. Wer Ihnen eine „Pflichtzertifizierung nach Artikel 4" verkaufen will, verkauft ein Produkt, keine Rechtspflicht. Ob eine eigene Rolle trotzdem sinnvoll ist, behandelt der Artikel zum KI-Beauftragten im Unternehmen.
Wer ist betroffen: Anbieter, Betreiber, Auftragnehmer?
Die meisten Unternehmen sind Betreiber, ohne es so zu nennen. Wer KI-Werkzeuge einkauft und im eigenen Haus einsetzt, ist Betreiber; wer KI-Systeme entwickelt oder unter eigenem Namen anbietet, ist Anbieter. Beides gleichzeitig ist möglich.
| Rolle | Wer darunter fällt | Was Artikel 4 bedeutet |
|---|---|---|
| Anbieter | Entwickelt KI-Systeme oder bringt sie unter eigenem Namen in Verkehr: Softwarehäuser mit KI-Funktion, Hersteller mit KI im Produkt. | Eigenes Personal und Auftragnehmer befähigen, Maßnahmen dokumentieren, Kompetenz in Entwicklung und Support sicherstellen. |
| Betreiber | Setzt KI-Systeme im eigenen Unternehmen ein: der Mittelständler mit Copilot, ChatGPT Enterprise oder einer eigenen KI-Plattform. | Personal und Auftragnehmer befähigen, Maßnahmen dokumentieren, bei Änderungen nachziehen. |
| Beides zugleich | Baut ein gekauftes System wesentlich um oder vertreibt es unter eigenem Namen weiter, etwa als Agentur mit White-Label-Lösung. | Beide Perspektiven abdecken und zusätzlich klären, wer die Kompetenz der Endkunden verantwortet. |
Drohen Bußgelder für Verstöße gegen Artikel 4?
Nein. Der Bußgeldrahmen der KI-Verordnung steht in Artikel 99, und dessen Absatz 4 zählt die sanktionierten Pflichten abschließend auf: Artikel 16, 22, 23, 24, 26, 31, 33, 34 und 50. Artikel 4 ist dort nicht genannt.
Auch das deutsche Durchführungsgesetz schließt die Lücke nicht. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22. Juli 2026 ist seit dem 29. Juli 2026 in Kraft. Es macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde, für KI-Systeme im direkten Zusammenhang mit regulierten Finanztätigkeiten die BaFin. Der Bußgeldtatbestand in § 15 erfasst Verstöße gegen die Artikel 21, 27, 45 und 86 der KI-Verordnung mit bis zu 50.000 € (Gesetzestext). Artikel 4 steht auch hier nicht.
Daraus folgt nicht, dass die Pflicht folgenlos wäre. Vier Hebel wirken:
- Aufsicht. Seit dem 2. August 2026 können die nationalen Behörden Verstöße verfolgen und Maßnahmen anordnen. Nachfragen kommen erfahrungsgemäß nicht aus dem Nichts, sondern nach einem Vorfall.
- Hochrisiko-Einsatz. Wer ein Hochrisiko-KI-System betreibt, muss die menschliche Aufsicht Personen übertragen, die über die nötige Kompetenz, Schulung und Befugnis verfügen (Artikel 26 Abs. 2). Für Systeme nach Anhang III gilt das ab dem 2. Dezember 2027, etwa in der Personalauswahl.
- Haftung und Organisation. Entsteht ein Schaden, weil niemand eingewiesen war, spielen Organisations- und Sorgfaltspflichten eine Rolle, unabhängig von Artikel 4. Lassen Sie das im Einzelfall prüfen.
- Kunden und Mitbestimmung. Ausschreibungen fragen Kompetenznachweise ab, und Schulungsmaßnahmen berühren die Mitbestimmung. Details im Artikel zu Betriebsrat und KI.
Vier Kompetenzstufen und was sie je Rolle bedeuten
Die Verordnung gibt keine Lehrpläne vor. In der Praxis hat sich ein vierstufiges Modell bewährt, das sich an der Rolle orientiert statt an der Hierarchie. Es hält den Aufwand klein, weil nicht jede Person alles lernen muss.
Stufe 1: Grundlagen für alle
Zielgruppe: alle mit Zugang zu KI-Funktionen, auch indirekt über Office-Anwendungen oder integrierte Funktionen in CRM und ERP.
- Was generative KI ist und wie sie zu Antworten kommt
- Typische Schwächen: falsche Angaben, Verzerrungen, veralteter Wissensstand
- Welche Daten hinein dürfen und welche nicht
- Verbotene Praktiken nach Artikel 5, kurz und konkret
- Wem Auffälligkeiten gemeldet werden
Aufwand: 30 bis 60 Minuten, als E-Learning oder Live-Format.
Stufe 2: Aktive Nutzerinnen und Nutzer
Zielgruppe: alle, die KI täglich einsetzen, etwa in Marketing, Vertrieb, Service oder Verwaltung.
- Aufgaben klar stellen, Kontext liefern, nachschärfen: die Grundlagen guter Prompts
- Prüfen vor dem Versenden, Vier-Augen-Prinzip für externe Kommunikation
- Umgang mit vertraulichen Daten und freigegebenen Datenquellen
- Falsche Angaben erkennen und Quellen prüfen
- Wann KI nicht eingesetzt wird, etwa bei Personalentscheidungen ohne Fachaufsicht
Aufwand: 2 bis 4 Stunden Workshop plus Übungsmaterial.
Stufe 3: Verantwortlich entscheidende Anwender
Zielgruppe: Teamleitungen, Power-User und alle, die mit KI-Unterstützung Entscheidungen treffen oder Ergebnisse verantworten.
- Modellfamilien und ihre Stärken einordnen, siehe aktueller Modellvergleich
- Eigene Wissensbasen anbinden: Grundlagen von Retrieval Augmented Generation (RAG) und ihre Grenzen
- Risikoklassen der KI-Verordnung verstehen und eigene Anwendungsfälle einordnen
- Verzerrungen erkennen, dokumentieren und abstellen
- Eskalationswege zu IT, Datenschutz und Compliance
Aufwand: ein bis zwei Workshoptage im Jahr plus kurze Updates.
Stufe 4: Führung und Governance
Zielgruppe: Geschäftsführung, IT-Leitung, Datenschutz, Compliance, Betriebsrat.
- Regulatorischer Rahmen: KI-Verordnung, DSGVO, Branchenrecht
- Pflichten als Anbieter und als Betreiber, Hochrisiko-Kategorien
- Plattformentscheidung statt Werkzeug-Wildwuchs, siehe Schatten-KI
- Betriebsmodell und Datenhoheit: EU-Betrieb, eigener Tenant, selbst gehostete Modelle
- Verantwortlichkeiten, Berichtswege und Reaktion auf Vorfälle
Aufwand: ein halber Tag zum Einstieg, danach kurze Lagebilder im Quartal.
Faustregel für die Zuordnung
Stufe 1 sollte jede Person durchlaufen, am besten im Onboarding und danach in einer jährlichen Auffrischung. Stufe 2 betrifft erfahrungsgemäß einen erheblichen Teil der Belegschaft, Stufe 3 und 4 zusammen eine kleine Gruppe. Wer zusätzlich je Abteilung eine geschulte Ansprechperson benennt, spart Schulungszeit und bekommt schnelleres Feedback aus der Praxis. Wie daraus eine dauerhafte Struktur wird, zeigt der Artikel zum KI-Kompetenzzentrum.
In vier Schritten zum belegbaren Kompetenzaufbau
-
1
KI-Inventur machen
1 bis 2 WochenAlle eingesetzten KI-Werkzeuge auflisten, auch die nicht freigegebenen. Je Werkzeug festhalten: Anbieter, Verarbeitungsort, Vertragsstatus, Nutzerkreis, Anwendungsfall, Risikoeinschätzung.
-
2
Rollen klassifizieren und Lernpfade zuordnen
wenige TageBelegschaft auf die vier Stufen abbilden. In der Regel entstehen drei bis vier Lernpfade für die gesamte Organisation, nicht zwanzig einzelne Curricula.
-
3
Formate festlegen und ausrollen
4 bis 8 WochenStufe 1 als kurzes E-Learning, Stufe 2 als Workshop je Bereich, Stufe 3 und 4 mit externer Expertise und eigenen Anwendungsfällen. Teilnahme und Inhalte mitschreiben.
-
4
Verantwortung verankern und nachschärfen
laufendEine Person führt das Verzeichnis der Maßnahmen und prüft es jährlich. Ändern sich Werkzeuge, Modelle oder Anwendungsfälle wesentlich, wird sofort nachgezogen statt zum Stichtag.
Der Ablauf liefert keine Rechtssicherheit auf Knopfdruck, aber eine nachvollziehbare Grundlage für Aufsicht, Kunden und interne Audits. Und er hat einen Nebeneffekt, der in der Compliance-Diskussion oft untergeht: Die Inventur deckt regelmäßig Werkzeuge auf, die niemand freigegeben hat.
Was Sie dokumentieren sollten
Ein Format ist nicht vorgeschrieben, eine Aufbewahrungsfrist auch nicht. Sinnvoll ist, was eine Behörde, ein Kunde oder ein Auditor in einer halben Stunde nachvollziehen kann. Sieben Unterlagen reichen dafür in der Regel aus.
Verzeichnis der Maßnahmen: das Mindestpaket
- KI-Nutzungsrichtlinie als unternehmensweit gültiges Dokument, ein bis vier Seiten genügen meist
- KI-Inventur mit Anbieter, Verarbeitungsort, Risikoeinschätzung und verantwortlicher Person je Werkzeug
- Zuordnung der Lernpfade: welche Rolle welche Stufe braucht, als Tabelle
- Teilnahmeübersicht mit Datum, Inhalt, Dauer und Format je Person oder Gruppe
- Schulungsmaterial selbst: Folien, Lerninhalte, Leitfäden, Vorlagen
- Nachweis der Überprüfung: wann zuletzt geprüft wurde und was daraufhin geändert wurde
- Vorfallnotizen: falsche Ausgaben mit Wirkung, Datenabflüsse, Verzerrungen, jeweils mit Lerneffekt für die nächste Runde
Was Sie sich sparen können
Kein Pflichtzertifikat für Beschäftigte, keine verpflichtende Wissensprüfung, keine eigene Beauftragtenrolle allein wegen Artikel 4, keine Anzeige bei einer Behörde. Freiwillige Tests sind erlaubt und oft nützlich, um die Wirksamkeit zu messen, aber sie sind kein Nachweis, den jemand von Ihnen verlangt.
Typische Stolperfallen
Pflichtveranstaltung ohne Bezug zur Arbeit
90 Minuten Frontalvortrag, in denen niemand eine Frage stellt, ändern nichts am Verhalten. Wirksamer sind kurze Formate mit echten Aufgaben aus dem eigenen Bereich.
Auftragnehmer vergessen
Externe Beratung, Werkstudierende und Agenturen fallen unter Artikel 4, wenn sie in Ihrem Auftrag mit den Systemen arbeiten. Regeln Sie vertraglich, wer sie einweist.
Eingebaute KI übersehen
KI-Funktionen erscheinen unbemerkt in Office-Anwendungen, CRM und Ticketsystemen. Diese Personen nutzen KI, ohne es so zu nennen, und brauchen mindestens Stufe 1.
Veraltetes Material
Schulungsunterlagen mit Modellständen von vorgestern wirken wie ein Nachweis dafür, dass niemand hinsieht. Nennen Sie Modellfamilien statt Versionsnummern und prüfen Sie jährlich.
Betriebsrat zu spät einbinden
Nutzungsregeln und Schulungsmaßnahmen berühren die Mitbestimmung, unter anderem nach § 97 Abs. 2 BetrVG. Frühe Abstimmung spart Wochen.
Keine verantwortliche Person
„Macht die IT" und „macht HR" führen zum selben Ergebnis: Es passiert nichts. Eine benannte Person mit Quartalsstatus genügt, eine eigene Rolle ist nicht nötig.
Wie viel Aufwand ist realistisch?
Der Erstaufbau ist kleiner, als die Diskussion vermuten lässt, die Pflege dafür dauerhaft. Die folgenden Szenarien sind Beispiele mit angenommenen Werten, keine Erhebung; sie sollen die Größenordnung einordnen.
| Beispielszenario | Vorgehen | Angenommener Aufwand |
|---|---|---|
| Maschinenbauer, rund 280 Beschäftigte | Kurzes E-Learning für alle, Workshops je Abteilung für aktive Nutzerinnen und Nutzer, ein halber Tag für Power-User, Quartalsupdate für die Geschäftsleitung. | Erstaufbau im niedrigen dreistelligen Stundenbereich, danach deutlich weniger für Pflege und Auffrischung. |
| B2B-Dienstleister, rund 35 Beschäftigte | Ein gemeinsamer Workshop für Grundlagen und Praxis, zweiseitige Nutzungsrichtlinie, externer Tag für Geschäftsführung und Fachverantwortung. | Erstaufbau in wenigen Personentagen, jährliche Auffrischung in einer Stunde je Person. |
| Konzern, mehrere Standorte | Pflichtlernpfad im Lernsystem mit Erinnerungen, Workshops in Wellen, eigene Programme je Anwendungsfall, Lagebild für den Vorstand. | Programmcharakter mit eigenem Budget, eingebettet in die KI-Governance. |
Wie eine zentrale Plattform den Aufwand senkt
Kompetenzaufbau hängt direkt an der Frage, wie viele verschiedene Werkzeuge im Einsatz sind. Zehn Werkzeuge bedeuten zehn Oberflächen, zehn Regelsätze und zehn Erklärungen, was mit den Daten passiert. Eine Plattform bedeutet einen Lernpfad und eine Stelle, an der Regeln technisch greifen.
Plotdesk verbindet eine KI-Plattform mit einem Umsetzungsteam für den Mittelstand. Für den Kompetenzaufbau zählen drei Dinge. Erstens: Leitplanken statt Merksätze. Vorlagen und organisationsweite Verhaltensregeln (Instructions) legen fest, wie mit bestimmten Aufgaben und Daten umgegangen wird; Modelle und Datenquellen werden je Team freigegeben, aus mehr als 100 Modellvarianten von zehn Provider-Typen. Zweitens: Lernen am Arbeitsplatz. Der Learning Hub der Plattform trägt Lernpfade dort aus, wo gearbeitet wird, statt in einem separaten Portal. Drittens: ein Betriebsmodell, das sich erklären lässt — dedizierte Instanz in der EU oder im eigenen Tenant, Rollen und mehr als 40 Berechtigungen. Wer das einmal schult, muss es nicht je Werkzeug wiederholen.
Eine Grenze gehört dazu: Nutzungsanalysen zeigen, wie intensiv gearbeitet wird, und lassen sich bis auf einzelne Personen auswerten. Als Schulungsnachweis taugen sie nicht, und personenbezogene Auswertungen sind mitbestimmungspflichtig. Vereinbaren Sie deshalb vorab, welche Auswertungen mit welchem Zweck entstehen.
Artikel 4 verlangt nicht, dass Sie aus jeder Person eine Datenwissenschaftlerin machen. Er verlangt, dass Sie den Aufbau von Kompetenz ernsthaft angehen. Eine konsolidierte Plattform mit klaren Rollen und Vorlagen bringt dabei mehr als jedes einzelne Schulungs-PDF.
Häufige Fragen
Gibt es ein Bußgeld für Verstöße gegen Artikel 4 AI Act?
Muss jede Person eine KI-Schulung absolvieren?
Was hat der Digital Omnibus an Artikel 4 geändert?
Gilt Artikel 4 auch für kleine Unternehmen?
Zählen externe Dienstleister und Werkstudierende mit?
Reicht eine einmalige Schulung?
Fazit: Was Sie jetzt tun sollten
Artikel 4 ist nach dem Digital Omnibus keine Drohkulisse mehr, aber auch nicht verschwunden. Die Pflicht bleibt, sie ist nur ehrlicher formuliert: Unternehmen sollen den Kompetenzaufbau unterstützen, nicht Prüfungen abnehmen.
- Inventur machen. Ohne Liste der eingesetzten Werkzeuge ist jede Schulung geraten.
- Rollen zuordnen. Drei bis vier Lernpfade genügen fast immer.
- Kurz schulen, dafür regelmäßig. Ein gutes Stunden-Format schlägt einen ungelesenen Leitfaden.
- Maßnahmen mitschreiben. Ein Verzeichnis in Ihrem bestehenden System reicht, ein Zertifikat brauchen Sie nicht.
- Werkzeuge konsolidieren. Jede abgeschaffte Insellösung senkt den Schulungs- und Nachweisaufwand dauerhaft.
Die 25 % der Unternehmen, die laut Bitkom gar nicht schulen, haben damit weniger ein Compliance- als ein Wirksamkeitsproblem: Werkzeuge ohne Einweisung liefern schlechtere Ergebnisse und mehr Zwischenfälle. Der Aufwand für Stufe 1 ist dagegen überschaubar.
Quellen und weiterführende Links
- Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex: eur-lex.europa.eu
- AI-Literacy-FAQ der Europäischen Kommission, Stand 27. Juli 2026: digital-strategy.ec.europa.eu
- Europäische Kommission zum Inkrafttreten des Digital Omnibus: digital-strategy.ec.europa.eu
- KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22. Juli 2026: gesetze-im-internet.de
- Bitkom, Presseinformation vom 14. September 2026 zur KI-Nutzung und zu Schulungen: bitkom.org