EU AI Act Artikel 4: die KI-Kompetenzpflicht

Was ist Artikel 4 der KI-Verordnung?

Artikel 4 der Verordnung (EU) 2024/1689, der sogenannten KI-Verordnung oder KI-VO, regelt die KI-Kompetenzpflicht. Jedes Unternehmen, das KI-Systeme entwickelt, bereitstellt oder einsetzt, muss Maßnahmen ergreifen, um die Entwicklung ausreichender Kenntnisse seiner Mitarbeiter zu unterstützen, damit diese die Systeme verantwortungsvoll nutzen können. Der Gesetzgeber nennt das auf Englisch "AI literacy".

Die Pflicht klingt abstrakt, greift aber sehr konkret. Wer in seinem Betrieb ChatGPT für Angebotstexte einsetzt, eine KI-gestützte Bewerbersoftware nutzt oder einen Chatbot im Kundenservice betreibt, fällt unter Artikel 4. Es spielt keine Rolle, ob die KI selbst entwickelt oder nur eingekauft wurde. Bereits der reine Einsatz löst die Pflicht aus.

Ziel der Regelung: Mitarbeiter sollen die Grenzen eines KI-Systems kennen, typische Fehler erkennen, Ergebnisse kritisch prüfen und datenschutz- wie urheberrechtlich sensible Anwendungsfälle einordnen können. Die KI-Verordnung definiert keinen festen Umfang, sondern spricht von "ausreichender Kompetenz" im Verhältnis zu Risiko und Einsatzgebiet.

Rechtsgrundlage

Die Regelung steht in Artikel 4 der Verordnung (EU) 2024/1689. Der Gesetzestext lautet seit der Neufassung durch VO (EU) 2026/1744 vom 24.07.2026: Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Ein bestimmtes Kompetenzniveau muss dabei nicht garantiert werden. Dabei sind technisches Wissen, Erfahrung, Ausbildung und der Kontext des Einsatzes zu berücksichtigen.

Wichtig ist die zeitliche Einordnung. Artikel 4 gilt seit dem 2. Februar 2025, zusammen mit den verbotenen Praktiken aus Artikel 5. Durch den Digital Omnibus wurden die Pflichten für Hochrisiko-KI verschoben: Anhang-III-Systeme ab 02.12.2027, Anhang-I-Systeme (regulierte Produkte) ab 02.08.2028. Die Transparenzpflichten nach Artikel 50 gelten weiterhin ab 02.08.2026 mit einer Bestandsschutzfrist bis 02.12.2026. Wer behauptet, Artikel 4 gelte "erst ab August 2026", verwechselt die zeitliche Staffelung.

Wer muss Artikel 4 umsetzen?

Die Pflicht trifft zwei Gruppen, die die Verordnung getrennt definiert:

• Anbieter (provider): Wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Typisch: Softwarehäuser, Tool-Anbieter, große Plattformen.
• Betreiber (deployer): Wer ein KI-System in eigener Verantwortung einsetzt, also praktisch jedes Unternehmen, jede Kanzlei, jede Arztpraxis, jede Behörde.

Ausnahmen für kleine Unternehmen gibt es bei Artikel 4 nicht. Selbst ein Handwerksbetrieb mit drei Mitarbeitern, der ChatGPT für Angebotstexte verwendet, ist betreiber im Sinne der Verordnung. Die Tiefe der Schulung darf allerdings angemessen zum Risiko sein. Wer KI nur für interne Brainstormings nutzt, braucht weniger als ein Unternehmen, das KI-Systeme in die Patientenversorgung integriert.

Höhe, Dauer, Konditionen: was "ausreichend" bedeutet

Die KI-Verordnung nennt keinen fixen Stundenumfang. Als Orientierung hat sich in der Praxis folgendes eingebürgert:

Inhaltlich gehört dazu: Funktionsweise von Large Language Models, typische Halluzinationen, datenschutzkonformes Prompting, Umgang mit vertraulichen Daten, Urheberrecht, Dokumentationspflichten, der Unterschied zwischen KI-Output und menschlicher Entscheidung. Wer eine ISO 42001-Zertifizierung anstrebt, deckt Artikel 4 automatisch mit ab.

Sanktionen: wirkt Artikel 4 überhaupt?

Artikel 4 steht nicht in der Bußgeldliste von Artikel 99 Absatz 1 bis 5 der KI-VO. Direkt drohen also keine der bis zu 35 Millionen Euro Bußgelder, die für verbotene Praktiken vorgesehen sind. Das heißt aber nicht, dass die Pflicht folgenlos ist.

Zivilrechtlich greift Artikel 4 über zwei Hebel:

• Sorgfaltspflichten nach § 276 BGB: Wer erkennbar unzureichend geschulte Mitarbeiter KI-Systeme bedienen lässt und dadurch Schaden verursacht, verletzt seine Sorgfaltspflicht.
• Eine eigene EU-weite Beweislastumkehr bei KI-Schäden existiert derzeit nicht: Die EU-Kommission hat den Vorschlag für die KI-Haftungsrichtlinie im Februar 2025 zurückgezogen. Haftungsfragen bei KI-Schäden richten sich nach nationalem Recht, etwa den allgemeinen Sorgfaltspflichten nach § 276 hat. Ohne Schulungsnachweis wird das schwer.

Die Aufsichtsbehörden können zudem im Rahmen anderer Verfahren auf fehlende KI-Kompetenz hinweisen, etwa wenn ein Datenschutzvorfall durch falsch bedienten KI-Prompt ausgelöst wurde. Artikel 4 entfaltet Wirkung also über Umwege, aber spürbar.

Beispielrechnung: typischer Mittelstandsbetrieb

Eine GmbH mit 25 Mitarbeitern nutzt Microsoft Copilot und ChatGPT Team. Sie setzt Artikel 4 so um:

• Einmaliger 4-Stunden-Grundkurs für alle Mitarbeiter: Themen KI-Basics, Datenschutz, Prompting, Halluzinationen.
• 2 Stunden Aufbaumodul für die 5 Rollen, die KI intensiver nutzen (Marketing, HR, Kundenservice).
• Schriftlicher Test am Ende mit 10 Fragen, ab 7 Punkten bestanden.
• Dokumentation: Teilnahmeliste, Schulungsinhalte, Testergebnisse in Personalakte.
• Jährliche Auffrischung (1 Stunde) plus schriftliches Update bei neuen Tools.

Aufwand gesamt: rund 130 Mitarbeiterstunden im ersten Jahr. Materialkosten je nach Anbieter 500 bis 2.500 Euro. Damit ist Artikel 4 sauber erfüllt und der Betrieb kann im Schadensfall einen Nachweis vorlegen.

Häufige Missverständnisse

Missverständnis 1: "Artikel 4 gilt erst ab August 2026." Falsch. Die KI-Kompetenzpflicht gilt seit dem 2. Februar 2025. Verwechselt werden die Hochrisiko-Pflichten (Art. 6 ff), die durch den Digital Omnibus inzwischen erst ab 02.12.2027 (Anhang III) beziehungsweise 02.08.2028 (Anhang I) greifen.

Missverständnis 2: "Wir setzen keine eigene KI ein, wir nutzen nur ChatGPT." Genau das ist Einsatz im Sinne der Verordnung. Der Betreiberbegriff umfasst jede produktive Nutzung eines KI-Systems in beruflichem Kontext.

Missverständnis 3: "Ein IHK-KI-Grundkurs reicht als Nachweis." Ein Grundkurs kann Teil der Umsetzung sein, ersetzt aber keine strukturierte unternehmensinterne Dokumentation. Entscheidend ist, dass Deine Mitarbeiter für Deine Anwendungsfälle geschult sind.