KI-Kompetenz nach Artikel 4 der KI-Verordnung umsetzen

Die Verordnung (EU) 2024/1689, die KI-Verordnung, ist am 1. August 2024 in Kraft getreten. Ihre Pflichten gelten gestaffelt. Artikel 4 gehört zu den ersten Vorschriften, die anwendbar wurden: Seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen Maßnahmen für die KI-Kompetenz ihres Personals ergreifen. Die Pflicht betrifft nicht nur Softwarehersteller, sondern jedes Unternehmen, das ein KI-System beruflich nutzt, also auch den Betrieb, der einen KI-Assistenten für E-Mails, Angebote oder Recherchen einsetzt.

Nach einer Erhebung des Bitkom vom März 2026 nutzen 41 Prozent der Unternehmen ab 20 Beschäftigten in Deutschland bereits KI, weitere 48 Prozent planen oder diskutieren den Einsatz. Dieser Leitfaden ordnet die Rechtslage ein, benennt die Auslegung der EU-Kommission und beschreibt einen Weg zur Umsetzung.

Artikel 4 gilt seit dem 2. Februar 2025

Artikel 113 der KI-Verordnung legt fest, dass die Kapitel I und II ab dem 2. Februar 2025 gelten. Artikel 4 steht in Kapitel I. Die Pflicht besteht also seit über anderthalb Jahren, unabhängig davon, ob eine Behörde sie bereits kontrolliert.

Die ursprüngliche Fassung lautete: „Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind.“

Der Digital Omnibus hat den Wortlaut im Juli 2026 angepasst

Mit der Verordnung (EU) 2026/1744 vom 8. Juli 2026, dem „Digital Omnibus on AI“, hat der europäische Gesetzgeber die KI-Verordnung an mehreren Stellen geändert. Die Änderungsverordnung wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten.

Artikel 4 wurde neu gefasst. Anbieter und Betreiber müssen nach dem neuen Absatz 1 Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und der in ihrem Auftrag tätigen Personen zu unterstützen. Die Kriterien bleiben dieselben: technische Kenntnisse, Erfahrung, Ausbildung, Einsatzkontext und die betroffenen Personengruppen. Neu ist die ausdrückliche Klarstellung, dass die Pflicht nicht verlangt, ein bestimmtes Kompetenzniveau einzelner Personen zu garantieren. Zwei weitere Absätze verpflichten die Kommission und die Mitgliedstaaten, Anbieter und Betreiber, insbesondere kleine und mittlere Unternehmen, bei der Umsetzung zu unterstützen und praktische Beispiele auf einer zentralen Informationsplattform zu veröffentlichen.

Für die Praxis ändert das wenig an der Richtung, aber einiges am Maßstab. Die Pflicht ist eine Organisationspflicht: Sie schulden angemessene Maßnahmen, nicht das Prüfungsergebnis jedes Einzelnen. Wer bisher nichts unternommen hat, verstößt weiterhin gegen Artikel 4.

Die Pflicht trifft Anbieter und Betreiber

Artikel 3 der KI-Verordnung definiert beide Rollen. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System „in eigener Verantwortung verwendet“, sofern das nicht im Rahmen einer persönlichen, nicht beruflichen Tätigkeit geschieht.

Ein Unternehmen, das seinen Beschäftigten einen KI-Chat, eine Übersetzungsfunktion oder ein Werkzeug zur Dokumentenanalyse zur Verfügung stellt, ist Betreiber. Das gilt unabhängig von der Unternehmensgröße und unabhängig davon, ob das System als Hochrisiko-System eingestuft ist. Die Pflicht erfasst neben Angestellten auch Personen, die im Auftrag des Unternehmens mit dem System arbeiten, etwa freie Mitarbeitende oder Dienstleister.

KI-Kompetenz ist im Gesetz definiert

Artikel 3 Nr. 56 beschreibt KI-Kompetenz als „die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden.“

Drei Bestandteile lassen sich daraus ableiten: ein Grundverständnis, wie KI-Systeme arbeiten und wo ihre Grenzen liegen; die Kenntnis der eigenen Rolle und der damit verbundenen Pflichten; und ein Bewusstsein für Risiken wie falsche Ausgaben, Verzerrungen, Datenabfluss und den rechtlichen Rahmen, insbesondere den Datenschutz.

Die Kommission verlangt keine Zertifikate, aber ein nachweisbares Konzept

Die EU-Kommission hat im Mai 2025 einen Frage-Antwort-Katalog zur KI-Kompetenz veröffentlicht und ihn zuletzt am 27. Juli 2026 aktualisiert. Die wichtigsten Aussagen:

• Ein bestimmtes oder „ausreichendes“ Niveau ist nicht vorgeschrieben. Die Maßnahmen richten sich nach Vorkenntnissen, Erfahrung und Einsatzkontext.
• Als Mindestinhalt nennt die Kommission ein allgemeines Verständnis von KI in der Organisation, die Klärung der eigenen Rolle als Anbieter oder Betreiber, die Einschätzung der Risiken der eingesetzten Systeme und darauf aufbauende Maßnahmen, die die Unterschiede in Wissen und Ausbildung des Personals berücksichtigen.
• Ein Zertifikat ist nicht erforderlich. Organisationen können ein internes Verzeichnis der Schulungen und sonstigen Maßnahmen führen.
• Die Aufsicht beginnt am 2. August 2026 und liegt bei den nationalen Marktüberwachungsbehörden.

Ergänzend führt das Europäische KI-Büro seit Februar 2025 ein „Living Repository“ mit Praxisbeispielen von Unternehmen und Behörden. Die Kommission stellt klar, dass die Übernahme dieser Beispiele keine Vermutung der Konformität begründet. Als Orientierung für den Aufbau eines eigenen Programms sind sie dennoch nützlich.

Umsetzung in vier Schritten

Schritt 1: Bestandsaufnahme der KI-Nutzung

Erfassen Sie, welche KI-Systeme im Unternehmen tatsächlich im Einsatz sind. Dazu gehören zentral beschaffte Werkzeuge ebenso wie Funktionen in bestehender Software, etwa Assistenten in Office-Programmen, im CRM oder im Ticketsystem, und Werkzeuge, die einzelne Teams eigenständig nutzen. Halten Sie je System fest: Zweck, Nutzerkreis, verarbeitete Daten, Anbieter und die Frage, ob personenbezogene Daten oder Geschäftsgeheimnisse eingegeben werden. Die Bestandsaufnahme ist zugleich die Grundlage für die datenschutzrechtliche Prüfung.

Schritt 2: Rollen und Zielgruppen festlegen

Die Kommission verlangt, Unterschiede in Wissen und Ausbildung zu berücksichtigen. Sinnvoll ist eine Einteilung nach Rollen, deren Schulungsbedarf sich unterscheidet.

Rolle	Typische Personen	Inhalte
Alle Nutzenden	Beschäftigte, die KI-Werkzeuge im Alltag verwenden	Funktionsweise, Grenzen, Prüfung von Ausgaben, Umgang mit personenbezogenen Daten, interne Regeln
Verantwortliche	Geschäftsführung, Fachbereichsleitung, Datenschutz, IT	Rollen nach der KI-Verordnung, Risikoklassen, Auswahl und Freigabe von Systemen, Dokumentation
Fachanwender mit erhöhtem Risiko	Personal, Einkauf, Kundenservice, Compliance	Zusätzliche Anforderungen bei Entscheidungen über Personen, Transparenzpflichten, Eskalationswege
Entwicklung und Betrieb	Interne IT, Anwendungsentwicklung	Anbieterpflichten, technische Dokumentation, Protokollierung, Modellgrenzen

Schritt 3: Schulungsplan aufstellen

Legen Sie je Rolle fest, welche Inhalte vermittelt werden, in welchem Format, in welchem Rhythmus und durch wen. Eine Basisschulung für alle Nutzenden und eine vertiefte Schulung für Verantwortliche decken den Bedarf der meisten mittelständischen Unternehmen. Planen Sie die Einweisung neuer Beschäftigter sowie Auffrischungen bei neuen Systemen oder geänderten Regeln ein. Wenn Sie externe Anbieter einbinden, achten Sie darauf, dass die Inhalte auf Ihre konkreten Systeme und Einsatzkontexte eingehen. vector zero Learn bietet dafür eine Basisschulung für Mitarbeitende und eine Governance-Schulung für Verantwortliche an, jeweils mit Teilnahmenachweis.

Schritt 4: Dokumentation führen

Halten Sie fest, wer wann an welcher Maßnahme teilgenommen hat, welche Inhalte behandelt wurden und auf welcher Bestandsaufnahme und Risikoeinschätzung der Plan beruht. Eine einfache Tabelle oder ein Eintrag im Personalsystem genügt. Legen Sie die Unterlagen so ab, dass Sie sie auf Anfrage einer Behörde oder eines Auftraggebers zeitnah vorlegen können. Ergänzen Sie eine interne KI-Richtlinie, die den zulässigen Einsatz regelt, und verweisen Sie in der Schulung darauf.

Aufsicht und Sanktionen

In Deutschland regelt das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) die Zuständigkeiten. Es ist am 29. Juli 2026 in Kraft getreten. Die Bundesnetzagentur ist danach zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung; für einzelne Sektoren bleiben Fachbehörden zuständig, etwa die BaFin für Finanzdienstleistungen und die Datenschutzaufsichtsbehörden für ihren Bereich. Die Bundesnetzagentur betreibt zudem einen KI-Service-Desk, der nach eigener Darstellung auch Hilfestellung zum Aufbau von KI-Kompetenz gibt.

Bei den Sanktionen ist Vorsicht geboten. Artikel 99 der KI-Verordnung nennt in seinen Bußgeldtatbeständen konkrete Vorschriften, etwa Artikel 5 oder die Anbieter- und Betreiberpflichten für Hochrisiko-Systeme. Artikel 4 ist dort nicht aufgeführt. Nach Artikel 99 Absatz 1 legen die Mitgliedstaaten die Sanktionen für Verstöße fest; sie müssen wirksam, verhältnismäßig und abschreckend sein und die Interessen kleiner und mittlerer Unternehmen berücksichtigen. Die Kommission bestätigt in ihrem Frage-Antwort-Katalog, dass die nationalen Marktüberwachungsbehörden ab dem 2. August 2026 Sanktionen und andere Durchsetzungsmaßnahmen auf Grundlage des nationalen Rechts verhängen können.

Ob und in welcher Höhe ein Verstoß gegen Artikel 4 in Deutschland mit einem Bußgeld belegt wird, ergibt sich damit nicht aus der KI-Verordnung selbst, sondern aus dem KI-MIG und seiner Anwendung durch die Behörden. In den amtlichen Mitteilungen zum Inkrafttreten des Gesetzes ist ein eigener Bußgeldtatbestand für Artikel 4 nicht genannt. Eine belastbare Aussage über die Bußgeldhöhe lässt sich derzeit nicht treffen. Unabhängig davon kann fehlende KI-Kompetenz mittelbar Folgen haben: Wer ungeschulte Beschäftigte personenbezogene Daten in ungeeignete Systeme eingeben lässt, riskiert Verstöße gegen die Datenschutz-Grundverordnung, die eigenständig bußgeldbewehrt sind. Auch in Ausschreibungen wird zunehmend nach dokumentierten Maßnahmen gefragt.

Weitere Pflichten ab dem 2. August 2026

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 der KI-Verordnung, etwa die Kennzeichnung von KI-generierten Inhalten in bestimmten Fällen und die Information von Personen, die mit einem KI-System interagieren. Die Pflichten für Hochrisiko-Systeme nach Anhang III wurden durch den Digital Omnibus auf den 2. Dezember 2027 verschoben, für in regulierte Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028. Für die Schulungsplanung heißt das: Verantwortliche sollten die Risikoklassifizierung der eigenen Systeme kennen, um rechtzeitig festzustellen, ob weitergehende Pflichten auf sie zukommen.

Zusammenfassung

Artikel 4 verlangt seit dem 2. Februar 2025 dokumentierte Maßnahmen zur KI-Kompetenz von jedem Unternehmen, das KI-Systeme beruflich einsetzt. Seit Juli 2026 ist klargestellt, dass kein individuelles Kompetenzniveau garantiert werden muss; die Pflicht, angemessene Maßnahmen zu ergreifen, bleibt bestehen. Seit dem 2. August 2026 überwachen die nationalen Behörden die Einhaltung. Wer Bestandsaufnahme, Rollenmodell, Schulungsplan und Nachweise vorlegen kann, hat die Anforderung in der Regel erfüllt. Für Fragen zur Umsetzung in Ihrem Unternehmen erreichen Sie uns über das Kontaktformular.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 3, 4, 99 und 113, Europäisches Parlament und Rat, 13. Juni 2024, eur-lex.europa.eu
• Verordnung (EU) 2026/1744 zur Änderung der Verordnungen (EU) 2024/1689, (EU) 2018/1139 und (EU) 2023/1230 (Digital Omnibus on AI), Europäisches Parlament und Rat, 8. Juli 2026, veröffentlicht am 24. Juli 2026, eur-lex.europa.eu
• Art. 4 KI-Verordnung, konsolidierte Fassung mit Änderungshinweis, dejure.org, abgerufen am 2. September 2026, dejure.org
• AI Literacy, Questions & Answers, Europäische Kommission, zuletzt aktualisiert am 27. Juli 2026, digital-strategy.ec.europa.eu
• Living repository to foster learning and exchange on AI literacy, Europäische Kommission (KI-Büro), veröffentlicht am 4. Februar 2025, zuletzt aktualisiert am 10. August 2026, digital-strategy.ec.europa.eu
• Neues KI-Gesetz tritt in Kraft, Pressemitteilung des Bundesministeriums für Digitales und Staatsmodernisierung, 29. Juli 2026, bmds.bund.de
• Bundesnetzagentur übernimmt zentrale Rolle bei der Umsetzung der KI-Verordnung, Pressemitteilung der Bundesnetzagentur, 29. Juli 2026, bundesnetzagentur.de
• Digitalisierung der Wirtschaft: Fast jedes Unternehmen beschäftigt sich mit KI, Presseinformation des Bitkom e. V., 11. März 2026, bitkom.org
• Article 113: Entry into Force and Application, EU Artificial Intelligence Act Explorer (Future of Life Institute), abgerufen am 2. September 2026, artificialintelligenceact.eu