EU AI Act Artikel 4: die KI-Kompetenzpflicht

Was ist Artikel 4 der KI-Verordnung?

Artikel 4 der Verordnung (EU) 2024/1689, der sogenannten KI-Verordnung oder KI-VO, regelt die KI-Kompetenzpflicht. Jedes Unternehmen, das KI-Systeme entwickelt, bereitstellt oder einsetzt, muss dafür sorgen, dass seine Mitarbeiter über ausreichende Kenntnisse verfügen, um diese Systeme verantwortungsvoll zu nutzen. Der Gesetzgeber nennt das auf Englisch "AI literacy".

Die Pflicht klingt abstrakt, greift aber sehr konkret. Wer in seinem Betrieb ChatGPT für Angebotstexte einsetzt, eine KI-gestützte Bewerbersoftware nutzt oder einen Chatbot im Kundenservice betreibt, fällt unter Artikel 4. Es spielt keine Rolle, ob die KI selbst entwickelt oder nur eingekauft wurde. Bereits der reine Einsatz löst die Pflicht aus.

Ziel der Regelung: Mitarbeiter sollen die Grenzen eines KI-Systems kennen, typische Fehler erkennen, Ergebnisse kritisch prüfen und datenschutz- wie urheberrechtlich sensible Anwendungsfälle einordnen können. Die KI-Verordnung definiert keinen festen Umfang, sondern spricht von "ausreichender Kompetenz" im Verhältnis zu Risiko und Einsatzgebiet.

Rechtsgrundlage

Die Regelung steht in Artikel 4 der Verordnung (EU) 2024/1689. Der Gesetzestext lautet sinngemäß: Anbieter und Betreiber von KI-Systemen treffen Maßnahmen, um nach bestem Wissen sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag KI-Systeme betreiben oder nutzen, über ausreichende KI-Kompetenz verfügen. Dabei sind technisches Wissen, Erfahrung, Ausbildung und der Kontext des Einsatzes zu berücksichtigen.

Wichtig ist die zeitliche Einordnung. Artikel 4 gilt seit dem 2. Februar 2025, zusammen mit den verbotenen Praktiken aus Artikel 5. Im August 2026 treten die Pflichten für Hochrisiko-KI (Artikel 6 ff.) in Kraft, und erst im August 2027 ist die Verordnung in vollem Umfang anwendbar. Wer behauptet, Artikel 4 gelte "erst ab August 2026", verwechselt die zeitliche Staffelung.

Wer muss Artikel 4 umsetzen?

Die Pflicht trifft zwei Gruppen, die die Verordnung getrennt definiert:

• Anbieter (provider): Wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Typisch: Softwarehäuser, Tool-Anbieter, große Plattformen.
• Betreiber (deployer): Wer ein KI-System in eigener Verantwortung einsetzt, also praktisch jedes Unternehmen, jede Kanzlei, jede Arztpraxis, jede Behörde.

Ausnahmen für kleine Unternehmen gibt es bei Artikel 4 nicht. Selbst ein Handwerksbetrieb mit drei Mitarbeitern, der ChatGPT für Angebotstexte verwendet, ist betreiber im Sinne der Verordnung. Die Tiefe der Schulung darf allerdings angemessen zum Risiko sein. Wer KI nur für interne Brainstormings nutzt, braucht weniger als ein Unternehmen, das KI-Systeme in die Patientenversorgung integriert.

Höhe, Dauer, Konditionen: was "ausreichend" bedeutet

Die KI-Verordnung nennt keinen fixen Stundenumfang. Als Orientierung hat sich in der Praxis folgendes eingebürgert:

Inhaltlich gehört dazu: Funktionsweise von Large Language Models, typische Halluzinationen, datenschutzkonformes Prompting, Umgang mit vertraulichen Daten, Urheberrecht, Dokumentationspflichten, der Unterschied zwischen KI-Output und menschlicher Entscheidung. Wer eine ISO 42001-Zertifizierung anstrebt, deckt Artikel 4 automatisch mit ab.

Sanktionen: wirkt Artikel 4 überhaupt?

Artikel 4 steht nicht in der Bußgeldliste von Artikel 99 Absatz 1 bis 5 der KI-VO. Direkt drohen also keine der bis zu 35 Millionen Euro Bußgelder, die für verbotene Praktiken vorgesehen sind. Das heißt aber nicht, dass die Pflicht folgenlos ist.

Zivilrechtlich greift Artikel 4 über zwei Hebel:

• Sorgfaltspflichten nach § 276 BGB: Wer erkennbar unzureichend geschulte Mitarbeiter KI-Systeme bedienen lässt und dadurch Schaden verursacht, verletzt seine Sorgfaltspflicht.
• Beweislastumkehr in der KI-Haftungsrichtlinie: Bei Schäden durch KI muss der Betreiber nachweisen, dass er alle zumutbaren Vorkehrungen getroffen hat. Ohne Schulungsnachweis wird das schwer.

Die Aufsichtsbehörden können zudem im Rahmen anderer Verfahren auf fehlende KI-Kompetenz hinweisen, etwa wenn ein Datenschutzvorfall durch falsch bedienten KI-Prompt ausgelöst wurde. Artikel 4 entfaltet Wirkung also über Umwege, aber spürbar.

Beispielrechnung: typischer Mittelstandsbetrieb

Eine GmbH mit 25 Mitarbeitern nutzt Microsoft Copilot und ChatGPT Team. Sie setzt Artikel 4 so um:

• Einmaliger 4-Stunden-Grundkurs für alle Mitarbeiter: Themen KI-Basics, Datenschutz, Prompting, Halluzinationen.
• 2 Stunden Aufbaumodul für die 5 Rollen, die KI intensiver nutzen (Marketing, HR, Kundenservice).
• Schriftlicher Test am Ende mit 10 Fragen, ab 7 Punkten bestanden.
• Dokumentation: Teilnahmeliste, Schulungsinhalte, Testergebnisse in Personalakte.
• Jährliche Auffrischung (1 Stunde) plus schriftliches Update bei neuen Tools.

Aufwand gesamt: rund 130 Mitarbeiterstunden im ersten Jahr. Materialkosten je nach Anbieter 500 bis 2.500 Euro. Damit ist Artikel 4 sauber erfüllt und der Betrieb kann im Schadensfall einen Nachweis vorlegen.

Häufige Missverständnisse

Missverständnis 1: "Artikel 4 gilt erst ab August 2026." Falsch. Die KI-Kompetenzpflicht gilt seit dem 2. Februar 2025. Verwechselt werden die Hochrisiko-Pflichten (Art. 6 ff), die tatsächlich erst im August 2026 greifen.

Missverständnis 2: "Wir setzen keine eigene KI ein, wir nutzen nur ChatGPT." Genau das ist Einsatz im Sinne der Verordnung. Der Betreiberbegriff umfasst jede produktive Nutzung eines KI-Systems in beruflichem Kontext.

Missverständnis 3: "Ein IHK-KI-Grundkurs reicht als Nachweis." Ein Grundkurs kann Teil der Umsetzung sein, ersetzt aber keine strukturierte unternehmensinterne Dokumentation. Entscheidend ist, dass Deine Mitarbeiter für Deine Anwendungsfälle geschult sind.