Art. 4 EU AI Act: KI-Kompetenzpflicht praktisch umsetzen

Seit dem 2. Februar 2025 gilt Artikel 4 der EU-KI-Verordnung (EU AI Act). Er ist die erste Pflicht, die spürbar im Alltag jedes Unternehmens ankommt — und zugleich die am häufigsten unterschätzte. Seit dem 27. Juli 2026 gilt er in neuer Fassung: Der KI-Omnibus (Verordnung (EU) 2026/1744) hat die Pflicht umformuliert, aber nicht abgeschafft. Dieser Ratgeber erklärt, was Art. 4 heute konkret fordert, wer geschult werden muss, wie die Pflicht dokumentiert wird und wo die typischen Umsetzungsfallen liegen.

Der Gesetzestext in der aktuellen Fassung

Artikel 4 Abs. 1 der Verordnung (EU) 2024/1689 lautet in der Fassung der Verordnung (EU) 2026/1744:

Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.

Was sich geändert hat: Bis Juli 2026 mussten Unternehmen „im größtmöglichen Umfang sicherstellen“, dass ihr Personal über ein „ausreichendes Maß“ an KI-Kompetenz verfügt. Diese beiden Formulierungen sind gestrichen. Aus der Ergebnispflicht ist eine Bemühenspflicht geworden. Neu ist außerdem Abs. 2: Kommission und Mitgliedstaaten sollen Unternehmen, insbesondere KMU, bei der Umsetzung unterstützen, und die Kommission veröffentlicht Praxisbeispiele.

Was gleich bleibt: Die Pflicht trifft weiterhin alle Anbieter und Betreiber, und der Maßstab ist weiterhin der Kontext des Einsatzes. Wer nachweisen will, dass er die Kompetenzentwicklung unterstützt, braucht dafür dieselben Bausteine wie vorher: ein Schulungskonzept, durchgeführte Schulungen und eine Dokumentation.

Wer muss geschult werden?

Die Pflicht trifft zwei Rollen: Anbieter (wer ein KI-System in Verkehr bringt oder in Betrieb nimmt) und Betreiber (wer ein KI-System unter eigener Verantwortung nutzt). In der Praxis sind fast alle Unternehmen „Betreiber” — selbst wenn sie nur ChatGPT, Microsoft Copilot oder eine KI-Funktion in Salesforce nutzen.

Geschult werden müssen alle Personen, die mit KI-Systemen „befasst” sind. Das ist weit zu verstehen:

• Direkte Nutzer: Der Vertrieb mit ChatGPT für E-Mail-Entwürfe, HR mit KI-gestütztem Bewerberscreening, Marketing mit Bild-KI.
• Entscheider, die KI-Ergebnisse verwenden: Der Sachbearbeiter, der einer KI-Empfehlung folgt; die Teamleiterin, die einen KI-generierten Report freigibt.
• Administratoren und Einkäufer: Wer KI-Tools freigibt, konfiguriert oder einkauft, muss die Risiken beurteilen können.
• Auftragsverarbeiter und Dienstleister: Externe, die in Ihrem Namen mit KI arbeiten, fallen ebenfalls unter Ihre Pflicht.

Nicht erfasst sind reine Endnutzer öffentlicher KI-Produkte (eine Privatperson mit ChatGPT), und Personen, die mit KI-Ergebnissen gar nicht in Berührung kommen.

Wie viel Schulung ist angemessen?

Der EU AI Act definiert keine Stundenzahl, kein Curriculum, kein Prüfungsformat — und seit dem Omnibus auch kein Mindestniveau mehr. Das ist bewusst so — eine bürokratische Vereinheitlichung würde der Vielfalt der KI-Einsätze nicht gerecht. Stattdessen gilt ein risikoproportionaler Ansatz: Je höher das Risiko des konkreten KI-Einsatzes, desto tiefer die erforderliche Kompetenz.

In der Praxis bewährt hat sich eine dreistufige Schulungslogik:

Stufe 1 — Grundlagenschulung (alle Mitarbeiter, die mit KI in Berührung kommen): 60–120 Minuten. Inhalt: Was ist KI? Welche Systeme nutzen wir? Welche Risiken gibt es (Halluzinationen, Bias, Datenschutz)? Was darf man in KI-Tools eingeben und was nicht? Wie melde ich einen KI-Vorfall?

Stufe 2 — Vertiefung für Rollen mit KI-Verantwortung (Abteilungsleiter, Compliance, IT, Einkauf): 4–8 Stunden. Inhalt: Risikoklassifizierung nach EU AI Act, Anforderungen an Anbieter und Betreiber, KI-Register führen, Freigabeprozesse, Datenschutzimplikationen, Dokumentationspflichten.

Stufe 3 — Spezialisierung für den KI-Beauftragten: Je nach Branche und Komplexität 2–10 Tage. Inhalt: Technische Dokumentation nach Anhang IV, Konformitätsbewertung, Monitoring, Behördenkommunikation, branchenspezifische Schnittstellen (MDR, DORA, TISAX).

Wichtig: Eine Einmalschulung reicht nicht. Die Kompetenz muss gepflegt werden — bei Rollenwechsel, neuen KI-Einführungen, regulatorischen Änderungen und regelmäßig (wir empfehlen: jährlich) als Auffrischung.

Drei typische Praxis-Szenarien

Szenario 1: Das 40-Personen-Maschinenbauunternehmen

Das Unternehmen nutzt ChatGPT für Übersetzungen, Copilot in Microsoft 365, ein KI-gestütztes Warenwirtschaftssystem und eine Bewerbermanagement-Software mit KI-Ranking. Schulungsbedarf: Stufe 1 für alle 40 Mitarbeiter (90 Minuten Grundlagenschulung, einmalig plus jährliche Auffrischung). Stufe 2 für Geschäftsleitung, HR-Verantwortliche und IT (je 4 Stunden). Stufe 3 für den benannten KI-Beauftragten — entweder eine interne Person mit 2–3 Tagen Spezialausbildung oder ein externer Beauftragter, der die Rolle vertraglich übernimmt.

Szenario 2: Die Klinik mit KI-Diagnostik

Eine radiologische Praxis setzt KI zur Bildbefundung ein. Das ist ein Hochrisiko-System — Stufe 1 reicht nicht. Alle Ärzte und MTRAs, die mit dem System arbeiten, brauchen Stufe 2 (KI-Kompetenz plus medizinprodukte-spezifische Module). Die Qualitätsbeauftragte benötigt Stufe 3, ergänzt um MDR-spezifisches Compliance-Wissen. Zusätzlich ist die technische Dokumentation nach Anhang IV zu führen und das System laufend zu monitoren.

Szenario 3: Der Finanzdienstleister mit automatisierten Kreditentscheidungen

Ein Kreditvermittler nutzt KI für die Vorauswahl von Anträgen — eindeutig Hochrisiko, da algorithmische Entscheidungen mit finanziellen Auswirkungen getroffen werden. Schulungsbedarf nach Rolle: Kundenberater (Stufe 1 plus Modul „algorithmische Entscheidungen transparent kommunizieren”), Risikomanagement und Revision (Stufe 2 plus BaFin-spezifisch), KI-Beauftragter (Stufe 3 plus DORA-Querschnittsmodul).

Wie dokumentiert man die Kompetenzpflicht?

Hier scheitern viele Unternehmen: Die Schulung findet statt, aber die Dokumentation ist lückenhaft. Bei einer Behördenanfrage — etwa im Rahmen einer Marktaufsichtsprüfung — müssen folgende Belege vorliegen:

• Schulungsinhalte: Was genau wurde vermittelt? Welche Folien, welche Handouts, welches Trainingsmaterial?
• Teilnehmerliste: Wer hat wann teilgenommen? Idealerweise mit Unterschrift oder nachvollziehbarer Registrierung im Lern-Management-System.
• Kompetenznachweis: Wie wurde geprüft, ob die Schulung Wirkung hatte? Ein Quiz, ein Test, eine strukturierte Rückmeldung — irgendeine Form von Validierung.
• Auffrischungs-Zyklus: Wann ist die nächste Schulung? Wie wird sichergestellt, dass sie stattfindet?
• Neueinstellungen: Wie werden neue Mitarbeiter zeitnah geschult, bevor sie mit KI arbeiten?

Ein praktisches Werkzeug dafür ist eine KI-Kompetenz-Matrix: eine Tabelle mit allen Mitarbeitern in Zeilen, allen genutzten KI-Systemen in Spalten, und in den Zellen das Datum der letzten Schulung plus Kompetenzstufe. Das ist kein bürokratischer Overhead — das ist Ihr Beweismittel gegenüber Aufsichtsbehörden.

Die fünf häufigsten Umsetzungsfehler

Aus unserer Beratungspraxis sehen wir fünf Fehler besonders oft:

Fehler 1: Schulung nur für IT und Datenschutz. Art. 4 gilt für alle, die mit KI arbeiten — und das ist heute praktisch jede Abteilung. Die Beschränkung auf technische Rollen ist die häufigste Nicht-Konformität.

Fehler 2: Einmalig ist genug. Die Regulatorik ändert sich, die KI-Systeme im Unternehmen ändern sich, die Mitarbeiter wechseln. Jährliche Auffrischung plus anlassbezogene Ergänzungen gehören zu jeder glaubwürdigen Umsetzung.

Fehler 3: Standard-Schulung ohne Kontextbezug. Eine generische „KI-Einführung” erfüllt Art. 4 nicht, wenn sie die konkret im Unternehmen eingesetzten Systeme nicht behandelt. Die Verordnung verlangt explizit den Bezug zum „Kontext des Einsatzes”.

Fehler 4: Dokumentation fehlt oder ist unsystematisch. Wer die Schulung nicht dokumentiert, kann sie im Zweifel nicht nachweisen. E-Mails mit Links auf YouTube-Videos sind keine Dokumentation.

Fehler 5: Schatten-KI ignorieren. Mitarbeiter nutzen ChatGPT, Claude oder Gemini oft eigenständig — ohne Freigabe, ohne Schulung, ohne Dokumentation. Wer seine KI-Landschaft nicht inventarisiert, kann auch seine Schulungspflicht nicht vollständig erfüllen. Deshalb ist die KI-Inventarisierung immer Voraussetzung für eine belastbare Art.-4-Umsetzung.

Was passiert bei Verstößen?

Art. 4 taucht in der Bußgeldsystematik des EU AI Act nicht auf. Die obersten Rahmen (35 Mio. € oder 7 % des weltweiten Umsatzes) gelten für verbotene KI-Praktiken nach Art. 5, die Rahmen von 15 Mio. € oder 3 % für die in Art. 99 Abs. 4 abschließend aufgezählten Pflichten, etwa die Betreiberpflichten nach Art. 26 oder die Transparenzpflichten nach Art. 50. Art. 4 ist dort nicht genannt. Ob ein Verstoß sanktioniert wird, hängt deshalb von den Vorschriften der Mitgliedstaaten ab (Art. 99 Abs. 1), die neben Geldbußen auch Verwarnungen und nichtmonetäre Maßnahmen vorsehen können. Das deutsche Durchführungsgesetz (KI-MIG, in Kraft seit 29. Juli 2026) sieht für Art. 4 keinen eigenen Bußgeldtatbestand vor; seine Bußgeldvorschrift (§ 15) erfasst andere Pflichten wie die Grundrechte-Folgenabschätzung.

Für die Mehrheit der mittelständischen Unternehmen wird die Sanktion nicht das Hauptrisiko sein. Praktisch bedeutsamer sind drei andere Konsequenzen:

• Haftungserweiterung: Ein KI-Schadensfall (fehlerhafte Empfehlung, Diskriminierung, Datenschutzverstoß) wird zivilrechtlich härter bewertet, wenn keine Schulung nachweisbar ist.
• Reputationsschaden: Wer öffentlich mit einem KI-Fehler auffällt und keine Compliance nachweisen kann, trägt einen Imageschaden, der nur schwer wiedergutzumachen ist.
• Vertragliche Ausfälle: Viele Unternehmen fordern inzwischen von Zulieferern den Nachweis der EU-AI-Act-Konformität als Voraussetzung für Aufträge. Fehlt der Nachweis, gehen Aufträge verloren.

Checkliste: Art. 4 in 30 Tagen umsetzen

Für mittelständische Unternehmen, die gerade erst starten, bewährt sich folgender 30-Tage-Plan:

• Woche 1: Bestandsaufnahme aller im Unternehmen genutzten KI-Systeme (offene Runde mit allen Abteilungen, inkl. Schatten-IT-Audit).
• Woche 2: Risikobewertung je System, Identifikation von Hochrisiko-Einsätzen, Definition der drei Schulungsstufen für Ihr Unternehmen.
• Woche 3: Entwicklung oder Einkauf der Schulungsinhalte, Planung der Durchführung, Aufbau der Dokumentationsstruktur.
• Woche 4: Start der Schulungen (Stufe 1 für alle, terminierte Stufen 2 und 3 für Schlüsselrollen), Implementierung des Kompetenz-Registers.

Dauerhaft daneben: Ein definierter Prozess für neue KI-Einführungen (Schulung vor Freigabe) und für Neueinstellungen (Onboarding-Modul binnen 4 Wochen).

Wie DATUREX unterstützt

Unser Team übernimmt Art.-4-Schulungen in vier Formaten, je nach Ihrer Präferenz (Preise netto):

• E-Learning / Schulungsunterlagen (149 €): Foliensatz mit Sprechernotizen, Praxis-Checkliste, Wissenstest und Zertifikatsvorlage — ideal, wenn Sie intern selbst schulen.
• Live-Online-Schulung (349 €): 2 Stunden per Videokonferenz für bis zu 20 Teilnehmende, mit Frage-Antwort-Runde und personalisierten Zertifikaten.
• Inhouse nach Maß (150 € pro Stunde bzw. 1.200 € pro Tag): vor Ort oder per Video, zugeschnitten auf Ihre konkret eingesetzten KI-Systeme und Ihre Branche.
• Laufende Übernahme: Als externer KI-Beauftragter kümmern wir uns nicht nur um die Erstschulung, sondern auch um die jährliche Auffrischung, Neueinstellungs-Onboarding und Dokumentationsführung — ab Paket M als Teil der monatlichen Pauschale.

Alle Formate mit Bestellmöglichkeit finden Sie auf der Seite KI-Kompetenz-Schulung. Welches Format für Sie passt, klären wir in einem kostenlosen 15-Minuten-Erstgespräch. Die konkreten Pakete und Preise finden Sie auf der Preisseite.

---

Fazit: Art. 4 ist keine Formalie, aber auch kein Monster. Mit strukturierter Inventarisierung, klarer Schulungslogik und sauberer Dokumentation ist die Pflicht in einem mittelständischen Unternehmen in 30 Tagen umgesetzt und mit ein paar Stunden pro Monat dauerhaft lebendig zu halten. Die meisten unserer Mandanten merken nach der ersten Umsetzung: Der Aufwand ist überschaubar, der Nutzen — Klarheit über die eigene KI-Landschaft und ihre Risiken — beträchtlich.

Häufige Fragen

Seit wann gilt Art. 4 EU AI Act? +

Die KI-Kompetenzpflicht nach Art. 4 der Verordnung (EU) 2024/1689 gilt seit dem 2. Februar 2025. Sie ist die erste scharf gestellte Pflicht der EU-KI-Verordnung und trifft alle Unternehmen, die KI-Systeme einsetzen — unabhängig vom Risikolevel des Systems oder der Unternehmensgröße. Seit dem 27. Juli 2026 gilt sie in der durch den KI-Omnibus (Verordnung (EU) 2026/1744) geänderten Fassung.

Welche Mitarbeiter müssen geschult werden? +

Geschult werden müssen alle Personen, die mit KI-Systemen 'befasst' sind. Das umfasst direkte Nutzer (z. B. Vertrieb mit ChatGPT, HR mit KI-Screening), Entscheider, die KI-Ergebnisse verwenden (Sachbearbeiter, Teamleiter), Administratoren und Einkäufer, die KI-Tools freigeben, sowie Auftragsverarbeiter und externe Dienstleister, die in Ihrem Namen mit KI arbeiten. Die Pflicht wird bewusst weit ausgelegt.

Was hat der KI-Omnibus an Art. 4 geändert? +

Bis Juli 2026 mussten Anbieter und Betreiber 'im größtmöglichen Umfang' sicherstellen, dass ihr Personal über ein 'ausreichendes Maß' an KI-Kompetenz verfügt. Seit dem 27. Juli 2026 müssen sie Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz zu unterstützen; ein bestimmtes Kompetenzniveau müssen sie ausdrücklich nicht garantieren. Die Pflicht bleibt also bestehen, ist aber eine Bemühenspflicht. Rollenbasierte Schulungen mit Bezug zum Einsatzkontext und eine saubere Dokumentation bleiben der Nachweis.

Wie wird die KI-Kompetenzpflicht dokumentiert? +

Minimal erforderlich: Schulungskonzept mit Zielgruppen und Inhalten, Teilnahmeliste mit Datum, Schulungsmaterial (Folien, Videos, Scripts), Prüfungs- oder Verständnisnachweis. Empfohlen: jährliche Auffrischung, Dokumentation in einem KI-Register (parallel zum Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO), Revisionssicherheit für mindestens 5 Jahre.

Welche Bußgelder drohen bei Nicht-Umsetzung? +

Art. 99 Abs. 4 und 5 zählen die mit festen Bußgeldrahmen belegten Pflichten abschließend auf — Art. 4 ist nicht darunter. Ob und wie Verstöße sanktioniert werden, richtet sich nach den Vorschriften der Mitgliedstaaten (Art. 99 Abs. 1), die neben Geldbußen auch Verwarnungen und nichtmonetäre Maßnahmen vorsehen können; das deutsche KI-MIG enthält für Art. 4 keinen Bußgeldtatbestand. Praktisch bedeutsamer sind Haftungs-, Vertrags- und Reputationsfolgen.

Wer ist Anbieter, wer Betreiber im Sinne des EU AI Act? +

Anbieter (Art. 3 Nr. 3) ist, wer ein KI-System entwickelt oder entwickeln lässt und in Verkehr bringt bzw. unter eigenem Namen in Betrieb nimmt. Betreiber (Art. 3 Nr. 4) ist, wer ein KI-System unter eigener Verantwortung nutzt. In der Praxis sind fast alle Unternehmen Betreiber — selbst wenn sie nur SaaS-Tools wie ChatGPT, Microsoft Copilot oder eine KI-Funktion in Salesforce einsetzen. Art. 4 trifft beide Rollen gleichermaßen.

Muss ich wirklich jeden Mitarbeiter schulen — auch Reinigungskraft und Pförtner? +

Nein. Die Pflicht trifft nur Personen, die „mit dem Betrieb und der Nutzung von KI-Systemen befasst“ sind. Wer keinen Kontakt mit KI hat, braucht keine Schulung. In der Praxis ist das heute aber in fast allen Büro-Rollen gegeben, weil ChatGPT, Copilot und Co. längst überall sind.

Reicht eine generische Online-Schulung als Nachweis? +

Als Grundlage ja, als alleiniges Mittel nein. Die Verordnung verlangt den Bezug zum Einsatzkontext — das kann eine Standard-Schulung nicht leisten. Mindestens ergänzende Module zu Ihren konkret eingesetzten Systemen sind erforderlich.

Was, wenn ein Mitarbeiter die Schulung ablehnt? +

Die KI-Nutzung ist eine Arbeitsanweisung; wer sich der Schulung entzieht, darf das System nicht nutzen. In der Praxis ist Ablehnung selten, wenn die Schulung relevant und gut gestaltet ist. Wichtiger: Freistellungsansprüche der Mitarbeitervertretung nach BetrVG §87 berücksichtigen, wenn die Schulung während der Arbeitszeit stattfindet.

Müssen auch Auszubildende und Praktikanten geschult werden? +

Ja, sobald sie mit KI-Systemen arbeiten. Für sie ist typischerweise die Grundlagenschulung (Stufe 1) ausreichend.

Was, wenn wir nur Standard-Tools wie ChatGPT nutzen und keine eigene KI haben? +

Art. 4 gilt auch dann. „Betreiber“ ist jeder, der KI unter eigener Verantwortung einsetzt — auch als SaaS. Der Schulungsumfang ist aber typischerweise niedriger, weil kein Hochrisiko-Einsatz vorliegt.