Die KI-Kompetenzpflicht nach Art. 4 der EU KI-Verordnung gilt seit dem 02.02.2025, und wenn du in den letzten Wochen irgendwo gelesen hast, sie käme erst im August 2026, dann ist das falsch. Dieser Artikel sortiert, was Art. 4 tatsächlich verlangt, was ab August 2026 bußgeldbewehrt ist, und warum du trotz fehlender direkter Strafe die Dokumentation heute anlegen solltest.

Das Wichtigste in Kürze

Die falsche Information zuerst, damit wir sie wegräumen

In LinkedIn-Posts, Webinar-Präsentationen und sogar einigen Beratungs-Flyern taucht seit Herbst 2025 immer wieder die Aussage auf, die KI-Kompetenzpflicht käme ab August 2026. Das stimmt nicht. Das ist eine Verwechslung von zwei unterschiedlichen Fristen aus der KI-Verordnung.

Die Kompetenzpflicht aus Art. 4 ist laut Art. 113 der KI-VO am 02.02.2025 wirksam geworden, zusammen mit den Verboten aus Art. 5. Der 02.08.2026 ist das Datum, ab dem Bußgeldvorschriften greifen, aber nur für einen festgelegten Katalog von Artikeln. Art. 4 steht nicht in diesem Katalog.

Die Verwechslung ist nachvollziehbar, weil die KI-Verordnung mehrere gestaffelte Fristen hat und die Kommunikation dazu nicht immer sauber ist. Trotzdem ist die rechtliche Lage eindeutig.

Was Art. 4 tatsächlich verlangt

Der Wortlaut von Art. 4 ist kompakt. Anbieter und Betreiber von KI-Systemen müssen "Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen".

Drei Elemente sind wichtig. Erstens, es geht um "ausreichendes Maß", also proportional zum Einsatzkontext. Eine Empfangskraft, die ChatGPT für Textvorlagen nutzt, braucht weniger Tiefe als ein Data-Science-Team, das Vorhersagemodelle für Kreditentscheidungen entwickelt. Zweitens, es umfasst Personal und Auftragnehmer, also auch Freelancer und Dienstleister, die in deinem Auftrag KI einsetzen. Drittens, die Verantwortung liegt sowohl beim Anbieter als auch beim Betreiber, in der Praxis also meistens beim einsetzenden Unternehmen.

Was konkret "ausreichende Kompetenz" heißt, ist nicht im Gesetz definiert. Das ist beabsichtigt, weil KI-Einsatz branchenübergreifend zu unterschiedlich ist, um eine einheitliche Stundenzahl oder Zertifikats-Liste vorzugeben. Die Messlatte ist die Sorgfalt, die man von einem ordentlichen Unternehmer in vergleichbarer Lage erwarten würde.

Warum "nicht bußgeldbewehrt" nicht heißt "folgenlos"

Dass Art. 4 nicht in Art. 99 aufgeführt ist, schützt dich nur vor dem direkten KI-Act-Bußgeld. Die indirekten Wirkungen sind real und in der deutschen Rechtstradition relevanter, als die meisten KMU-Geschäftsführer denken.

Erstens, die zivilrechtliche Sorgfaltspflicht. Wenn ein KI-System bei dir zu einem Schaden führt, zum Beispiel eine falsche Kundenentscheidung wegen fehlerhafter KI-Prognose oder einen Datenschutzvorfall durch unsachgemäße Nutzung eines LLMs, dann prüft das Gericht die Zurechenbarkeit. Eine zentrale Frage in dieser Prüfung ist, ob die beteiligten Mitarbeiter für die Aufgabe ausreichend qualifiziert waren. Wenn du keine Schulungsdokumentation vorlegen kannst, verschlechtert sich deine Position.

Zweitens, arbeitsrechtliche Folgen. Bei schwerwiegenden KI-bezogenen Fehlern stellt sich die Frage, ob der Arbeitgeber seiner Fürsorgepflicht nachgekommen ist. Wer Mitarbeiter ohne Vorbereitung an kritische KI-Anwendungen setzt, läuft Gefahr, dass arbeitsrechtliche Konsequenzen gegen den Mitarbeiter angreifbar werden.

Drittens, versicherungsrechtliche Konsequenzen. Viele Cyber- und Haftpflichtversicherungen haben in den letzten zwölf Monaten Klauseln zu KI-Einsatz aufgenommen. Die Obliegenheit, Mitarbeiter vor dem Einsatz kritischer Tools zu schulen, ist dort teilweise vertraglich fixiert. Ohne Dokumentation kann die Versicherung im Ernstfall die Leistung kürzen.

Wer das unterschätzt, unterschätzt die deutsche Haftungslogik. Im Schadensfall wird nicht gefragt, was die Mindestpflicht aus Art. 4 war, sondern was ein ordentlicher Geschäftsführer nach Stand der Technik hätte tun können.

Was eine Kompetenz-Dokumentation praktisch umfasst

Du brauchst keine zweihundertseitige Governance-Ordnung. Eine schlanke Struktur reicht, wenn sie konsequent geführt wird.

Für jede KI-Anwendung im Haus: Was ist das für ein System, wer nutzt es, wofür, und welche Qualifikation haben die Nutzer? Das kann eine Tabelle mit fünf Spalten sein. Für die Qualifikation: interner Workshop, externe Schulung, Selbststudium mit Lernzielkontrolle, formale Weiterbildung, Zertifikat. Alles drei davon kann ausreichen, wichtig ist die Nachvollziehbarkeit.

Ein jährlicher oder halbjährlicher Wiederholungstermin. KI-Tools ändern sich schnell, eine Schulung von Anfang 2025 ist Ende 2026 möglicherweise nicht mehr auf Stand. Ein kurzer Update-Termin pro Jahr, dokumentiert mit Teilnehmerliste, ist eine günstige Versicherung.

Eine kurze schriftliche Policy, was Mitarbeiter mit KI dürfen und nicht dürfen. Welche Tools sind freigegeben, welche nicht, welche Daten dürfen nicht in welche Systeme kommen, wie wird ein Vorfall gemeldet. Zwei Seiten reichen, und sie müssen einmal kommuniziert und unterschrieben sein.

Die Omnibus-Frage: Bleibt Art. 4 stabil?

Ja. Der Digital Omnibus, der seit Ende März 2026 im Trilog verhandelt wird, betrifft primär die Geltungsfristen für Hochrisiko-KI-Anwendungen nach Annex I und III. Die Ausführungen dazu findest du im Artikel zum EU AI Act Omnibus Trilog im April 2026.

Art. 4 steht dort nicht auf der Verschiebungsliste. Auch wenn der Omnibus im Juli 2026 veröffentlicht wird und die Hochrisiko-Deadlines auf Dezember 2027 und August 2028 rutschen, bleibt die Kompetenzpflicht seit Februar 2025 wirksam. Es gibt im Trilog-Prozess keine ernsthafte politische Bewegung, Art. 4 aufzuweichen oder zu verschieben.

Drei realistische Szenarien, wie Art. 4 in Deutschland relevant wird

Ein fiktives Beispiel aus dem Recruiting-Bereich. Ein KMU nutzt einen KI-gestützten Lebenslauf-Scan, ohne die HR-Mitarbeiter zu schulen. Ein abgelehnter Bewerber klagt wegen Diskriminierung und gewinnt. Die Schadenshöhe wird festgelegt unter Berücksichtigung, ob das Unternehmen die Sorgfaltspflichten beim KI-Einsatz erfüllt hat. Ohne Schulungsnachweis fällt dieser Punkt negativ aus.

Ein Szenario aus dem Kundenkontakt. Ein Chatbot gibt falsche rechtliche Auskunft, ein Kunde erleidet einen Schaden. Die Frage der Haftung hängt mitunter davon ab, ob der Chatbot mit angemessener menschlicher Kontrolle betrieben wurde. Wer nie geschult wurde, kann nicht sinnvoll kontrollieren.

Ein Fall aus dem Datenschutz. Ein Mitarbeiter füttert einen öffentlichen ChatGPT-Zugang mit Klarnamen und Diagnose eines Kunden. Die Datenschutzbehörde prüft und fragt nach Schulungsmaßnahmen. Die Bußgeldhöhe nach Art. 83 DSGVO bemisst sich unter anderem danach, welche Vorkehrungen getroffen wurden. Eine dokumentierte KI-Schulung wirkt mildernd.

Was du konkret in den nächsten 30 Tagen tun kannst

Eine einfache Inventur ist der erste Schritt. Liste auf, welche KI-Tools bei dir im Einsatz sind, wer sie nutzt, und welche Datenarten sie verarbeiten. Das ist oft überraschend umfangreich, weil viele Mitarbeiter inzwischen eigenständig Tools nutzen, die dem Management nicht bekannt sind.

Eine kompakte Grundschulung planen. Zwei bis vier Stunden pro Zielgruppe sind ein realistischer Startpunkt. Zielgruppen sind typischerweise: allgemeine Office-Nutzer, Spezialrollen wie HR oder Marketing, und die Geschäftsführung selbst.

Eine schriftliche KI-Nutzungsrichtlinie erstellen oder aktualisieren. Muster gibt es inzwischen von Verbänden wie Bitkom, vom BSI, und in Standard-Compliance-Toolkits. Eigenes Wording ist trotzdem sinnvoll, weil generische Templates oft am Arbeitsalltag vorbeigehen.

Bei SkillSprinters decken wir den Art.-4-Teil im Digitalisierungsmanager-Kurs ab. Im Kurs-Compliance-Modul geht es explizit um Dokumentationspflichten und darum, wie eine pragmatische KI-Nutzungsrichtlinie für ein mittelständisches Unternehmen aussieht. Bei bewilligtem Bildungsgutschein zahlst du 0 Euro, eine Vermittlung können wir nicht garantieren, aber das Qualifikationsniveau der Teilnehmer nach Abschluss deckt Art. 4 für viele KMU-Rollen ab.

Die ehrliche Einordnung

In der Praxis sehen wir bei KMU-Mandanten drei typische Reaktionen. Die eine Gruppe macht nichts, weil sie davon ausgeht, dass die Pflicht unverbindlich ist. Das ist riskant, weil die Haftungslogik greift, nicht die Bußgeldlogik. Die zweite Gruppe kauft ein formelles Zertifikat aus dem Internet und hakt das Thema ab. Das erfüllt die Form, nicht das Substantielle. Die dritte Gruppe nimmt das Thema ernst, investiert moderat und baut eine tragfähige Struktur auf. Letzteres ist der mit Abstand günstigste Weg, wenn man ein Zwei-Jahres-Horizont betrachtet.

Art. 4 ist im Kern ein Weckruf. Die EU verlangt nicht, dass du promovierter KI-Forscher wirst. Sie verlangt, dass du mit der Sorgfalt an KI herangehst, die bei jeder anderen neuen Technologie selbstverständlich wäre. Das ist keine überzogene Anforderung, es ist vernünftige unternehmerische Praxis.

Mehr zu diesem Thema

FAQ

Muss ich ein bestimmtes Zertifikat für Art. 4 haben?

Nein. Das Gesetz nennt keine spezifische Zertifikatsform. Eine dokumentierte interne Schulung kann ausreichen, wenn sie inhaltlich passend ist. Formale Zertifikate wie vom TÜV oder von DEKRA zertifizierte Kurse sind nützlich für die Nachweisführung, aber nicht zwingend.

Gilt Art. 4 auch für sehr kleine Unternehmen?

Ja. Die KI-Verordnung macht bei Art. 4 keine Ausnahme für Kleinstunternehmen. Die Pflicht ist proportional, was bei einem Zweipersonen-Betrieb eine geringere Dokumentationslast heißt als bei einem 250-Personen-KMU, aber die Grundpflicht gilt.

Was ist, wenn ich nur externe Tools nutze und keine KI selbst entwickle?

Art. 4 trifft Anbieter und Betreiber. Als Betreiber, also Nutzer eines externen KI-Tools wie Microsoft Copilot oder ChatGPT im Betrieb, greifen die Pflichten vollumfänglich. Nicht-Entwickler sind also explizit nicht aus der Regelung ausgenommen.

Wie viele Schulungsstunden sind angemessen?

Es gibt keine gesetzliche Stundenzahl. Eine pragmatische Orientierung sind zwei bis vier Stunden Grundschulung pro Nutzergruppe, ergänzt um rollenspezifische Vertiefungen für HR, Marketing oder Data-Analysten und einen jährlichen Update-Termin. Branchen mit sensiblen Anwendungen wie Gesundheitswesen oder Finanzen brauchen deutlich mehr.

Bereit für deinen nächsten Karriereschritt?

Lass dich kostenlos beraten. Wir finden die passende Weiterbildung und Förderung für dich.

Weiterbildung ansehen WhatsApp