Art. 4 EU AI Act: KI-Kompetenzpflicht praktisch umsetzen

Seit dem 2. Februar 2025 gilt Artikel 4 der EU-KI-Verordnung (EU AI Act). Er ist die erste Pflicht, die spürbar im Alltag jedes Unternehmens ankommt — und zugleich die am häufigsten unterschätzte. Dieser Ratgeber erklärt, was Art. 4 konkret fordert, wer geschult werden muss, wie die Pflicht dokumentiert wird und wo die typischen Umsetzungsfallen liegen.

Der Gesetzestext im Original

Artikel 4 der Verordnung (EU) 2024/1689 (EU AI Act) lautet sinngemäß:

Anbieter und Betreiber von KI-Systemen haben Maßnahmen zu ergreifen, um im größtmöglichen Umfang sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit der Nutzung und dem Betrieb der KI-Systeme befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind die technischen Kenntnisse, die Erfahrung, die Ausbildung und die Schulung dieser Personen sowie der Kontext, in dem die KI-Systeme eingesetzt werden sollen, und die Personen oder Personengruppen zu berücksichtigen, bei denen die KI-Systeme zum Einsatz kommen.

Drei Kernbegriffe lohnen Vertiefung: „im größtmöglichen Umfang”, „ausreichendes Maß an KI-Kompetenz” und „Kontext des Einsatzes”. Genau hier trennt die Praxis die gute Umsetzung von der Scheinlösung.

Wer muss geschult werden?

Die Pflicht trifft zwei Rollen: Anbieter (wer ein KI-System in Verkehr bringt oder in Betrieb nimmt) und Betreiber (wer ein KI-System unter eigener Verantwortung nutzt). In der Praxis sind fast alle Unternehmen „Betreiber” — selbst wenn sie nur ChatGPT, Microsoft Copilot oder eine KI-Funktion in Salesforce nutzen.

Geschult werden müssen alle Personen, die mit KI-Systemen „befasst” sind. Das ist weit zu verstehen:

• Direkte Nutzer: Der Vertrieb mit ChatGPT für E-Mail-Entwürfe, HR mit KI-gestütztem Bewerberscreening, Marketing mit Bild-KI.
• Entscheider, die KI-Ergebnisse verwenden: Der Sachbearbeiter, der einer KI-Empfehlung folgt; die Teamleiterin, die einen KI-generierten Report freigibt.
• Administratoren und Einkäufer: Wer KI-Tools freigibt, konfiguriert oder einkauft, muss die Risiken beurteilen können.
• Auftragsverarbeiter und Dienstleister: Externe, die in Ihrem Namen mit KI arbeiten, fallen ebenfalls unter Ihre Pflicht.

Nicht erfasst sind reine Endnutzer öffentlicher KI-Produkte (eine Privatperson mit ChatGPT), und Personen, die mit KI-Ergebnissen gar nicht in Berührung kommen.

Was heißt „ausreichendes Maß an KI-Kompetenz”?

Der EU AI Act definiert keine Stundenzahl, kein Curriculum, kein Prüfungsformat. Das ist bewusst so — eine bürokratische Vereinheitlichung würde der Vielfalt der KI-Einsätze nicht gerecht. Stattdessen gilt ein risikoproportionaler Ansatz: Je höher das Risiko des konkreten KI-Einsatzes, desto tiefer die erforderliche Kompetenz.

In der Praxis bewährt hat sich eine dreistufige Schulungslogik:

Stufe 1 — Grundlagenschulung (alle Mitarbeiter, die mit KI in Berührung kommen): 60–120 Minuten. Inhalt: Was ist KI? Welche Systeme nutzen wir? Welche Risiken gibt es (Halluzinationen, Bias, Datenschutz)? Was darf man in KI-Tools eingeben und was nicht? Wie melde ich einen KI-Vorfall?

Stufe 2 — Vertiefung für Rollen mit KI-Verantwortung (Abteilungsleiter, Compliance, IT, Einkauf): 4–8 Stunden. Inhalt: Risikoklassifizierung nach EU AI Act, Anforderungen an Anbieter und Betreiber, KI-Register führen, Freigabeprozesse, Datenschutzimplikationen, Dokumentationspflichten.

Stufe 3 — Spezialisierung für den KI-Beauftragten: Je nach Branche und Komplexität 2–10 Tage. Inhalt: Technische Dokumentation nach Anhang IV, Konformitätsbewertung, Monitoring, Behördenkommunikation, branchenspezifische Schnittstellen (MDR, DORA, TISAX).

Wichtig: Eine Einmalschulung reicht nicht. Die Kompetenz muss gepflegt werden — bei Rollenwechsel, neuen KI-Einführungen, regulatorischen Änderungen und regelmäßig (wir empfehlen: jährlich) als Auffrischung.

Drei typische Praxis-Szenarien

Szenario 1: Das 40-Personen-Maschinenbauunternehmen

Das Unternehmen nutzt ChatGPT für Übersetzungen, Copilot in Microsoft 365, ein KI-gestütztes Warenwirtschaftssystem und eine Bewerbermanagement-Software mit KI-Ranking. Schulungsbedarf: Stufe 1 für alle 40 Mitarbeiter (90 Minuten Grundlagenschulung, einmalig plus jährliche Auffrischung). Stufe 2 für Geschäftsleitung, HR-Verantwortliche und IT (je 4 Stunden). Stufe 3 für den benannten KI-Beauftragten — entweder eine interne Person mit 2–3 Tagen Spezialausbildung oder ein externer Beauftragter, der die Rolle vertraglich übernimmt.

Szenario 2: Die Klinik mit KI-Diagnostik

Eine radiologische Praxis setzt KI zur Bildbefundung ein. Das ist ein Hochrisiko-System — Stufe 1 reicht nicht. Alle Ärzte und MTRAs, die mit dem System arbeiten, brauchen Stufe 2 (KI-Kompetenz plus medizinprodukte-spezifische Module). Die Qualitätsbeauftragte benötigt Stufe 3, ergänzt um MDR-spezifisches Compliance-Wissen. Zusätzlich ist die technische Dokumentation nach Anhang IV zu führen und das System laufend zu monitoren.

Szenario 3: Der Finanzdienstleister mit automatisierten Kreditentscheidungen

Ein Kreditvermittler nutzt KI für die Vorauswahl von Anträgen — eindeutig Hochrisiko, da algorithmische Entscheidungen mit finanziellen Auswirkungen getroffen werden. Schulungsbedarf nach Rolle: Kundenberater (Stufe 1 plus Modul „algorithmische Entscheidungen transparent kommunizieren”), Risikomanagement und Revision (Stufe 2 plus BaFin-spezifisch), KI-Beauftragter (Stufe 3 plus DORA-Querschnittsmodul).

Wie dokumentiert man die Kompetenzpflicht?

Hier scheitern viele Unternehmen: Die Schulung findet statt, aber die Dokumentation ist lückenhaft. Bei einer Behördenanfrage — etwa im Rahmen einer Marktaufsichtsprüfung — müssen folgende Belege vorliegen:

• Schulungsinhalte: Was genau wurde vermittelt? Welche Folien, welche Handouts, welches Trainingsmaterial?
• Teilnehmerliste: Wer hat wann teilgenommen? Idealerweise mit Unterschrift oder nachvollziehbarer Registrierung im Lern-Management-System.
• Kompetenznachweis: Wie wurde geprüft, ob die Schulung Wirkung hatte? Ein Quiz, ein Test, eine strukturierte Rückmeldung — irgendeine Form von Validierung.
• Auffrischungs-Zyklus: Wann ist die nächste Schulung? Wie wird sichergestellt, dass sie stattfindet?
• Neueinstellungen: Wie werden neue Mitarbeiter zeitnah geschult, bevor sie mit KI arbeiten?

Ein praktisches Werkzeug dafür ist eine KI-Kompetenz-Matrix: eine Tabelle mit allen Mitarbeitern in Zeilen, allen genutzten KI-Systemen in Spalten, und in den Zellen das Datum der letzten Schulung plus Kompetenzstufe. Das ist kein bürokratischer Overhead — das ist Ihr Beweismittel gegenüber Aufsichtsbehörden.

Die fünf häufigsten Umsetzungsfehler

Aus unserer Mandatspraxis bei über 500 Compliance-Mandaten sehen wir fünf Fehler besonders oft:

Fehler 1: Schulung nur für IT und Datenschutz. Art. 4 gilt für alle, die mit KI arbeiten — und das ist heute praktisch jede Abteilung. Die Beschränkung auf technische Rollen ist die häufigste Nicht-Konformität.

Fehler 2: Einmalig ist genug. Die Regulatorik ändert sich, die KI-Systeme im Unternehmen ändern sich, die Mitarbeiter wechseln. Jährliche Auffrischung plus anlassbezogene Ergänzungen sind Pflicht, nicht Empfehlung.

Fehler 3: Standard-Schulung ohne Kontextbezug. Eine generische „KI-Einführung” erfüllt Art. 4 nicht, wenn sie die konkret im Unternehmen eingesetzten Systeme nicht behandelt. Die Verordnung verlangt explizit den Bezug zum „Kontext des Einsatzes”.

Fehler 4: Dokumentation fehlt oder ist unsystematisch. Wer die Schulung nicht dokumentiert, kann sie im Zweifel nicht nachweisen. E-Mails mit Links auf YouTube-Videos sind keine Dokumentation.

Fehler 5: Schatten-KI ignorieren. Mitarbeiter nutzen ChatGPT, Claude oder Gemini oft eigenständig — ohne Freigabe, ohne Schulung, ohne Dokumentation. Wer seine KI-Landschaft nicht inventarisiert, kann auch seine Schulungspflicht nicht vollständig erfüllen. Deshalb ist die KI-Inventarisierung immer Voraussetzung für eine belastbare Art.-4-Umsetzung.

Was passiert bei Verstößen?

Art. 4 ist in der Bußgeldsystematik des EU AI Act nicht in der obersten Kategorie (35 Mio. € oder 7 % des weltweiten Umsatzes — das gilt für verbotene KI-Praktiken nach Art. 5). Verstöße gegen Art. 4 sind typischerweise als „sonstige Verstöße” klassifiziert und können mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden — je nachdem, was höher ist.

Für die Mehrheit der mittelständischen Unternehmen wird die Sanktion nicht das Hauptrisiko sein. Praktisch bedeutsamer sind drei andere Konsequenzen:

• Haftungserweiterung: Ein KI-Schadensfall (fehlerhafte Empfehlung, Diskriminierung, Datenschutzverstoß) wird zivilrechtlich härter bewertet, wenn keine Schulung nachweisbar ist.
• Reputationsschaden: Wer öffentlich mit einem KI-Fehler auffällt und keine Compliance nachweisen kann, trägt einen Imageschaden, der nur schwer wiedergutzumachen ist.
• Vertragliche Ausfälle: Viele Unternehmen fordern inzwischen von Zulieferern den Nachweis der EU-AI-Act-Konformität als Voraussetzung für Aufträge. Fehlt der Nachweis, gehen Aufträge verloren.

Checkliste: Art. 4 in 30 Tagen umsetzen

Für mittelständische Unternehmen, die gerade erst starten, bewährt sich folgender 30-Tage-Plan:

• Woche 1: Bestandsaufnahme aller im Unternehmen genutzten KI-Systeme (offene Runde mit allen Abteilungen, inkl. Schatten-IT-Audit).
• Woche 2: Risikobewertung je System, Identifikation von Hochrisiko-Einsätzen, Definition der drei Schulungsstufen für Ihr Unternehmen.
• Woche 3: Entwicklung oder Einkauf der Schulungsinhalte, Planung der Durchführung, Aufbau der Dokumentationsstruktur.
• Woche 4: Start der Schulungen (Stufe 1 für alle, terminierte Stufen 2 und 3 für Schlüsselrollen), Implementierung des Kompetenz-Registers.

Dauerhaft daneben: Ein definierter Prozess für neue KI-Einführungen (Schulung vor Freigabe) und für Neueinstellungen (Onboarding-Modul binnen 4 Wochen).

Wie DATUREX unterstützt

Unser Team übernimmt Art.-4-Schulungen in drei Formaten, je nach Ihrer Präferenz:

• Schulungen vor Ort oder als Webinar: Wir kommen ins Unternehmen oder führen die Grundlagen-Schulung remote durch — zugeschnitten auf Ihre konkret eingesetzten KI-Systeme und Ihre Branche.
• Train-the-Trainer: Wir qualifizieren einen Ihrer Mitarbeiter so, dass er oder sie die Schulungen selbst halten kann — mit fortlaufendem Support von unserer Seite.
• Laufende Übernahme: Als externer KI-Beauftragter kümmern wir uns nicht nur um die Erstschulung, sondern auch um die jährliche Auffrischung, Neueinstellungs-Onboarding und Dokumentationsführung — als Teil der monatlichen Pauschale.

Welches Format für Sie passt, klären wir in einem kostenlosen 15-Minuten-Erstgespräch. Die konkreten Pakete und Preise finden Sie auf der Preisseite.

Häufig gestellte Fragen

Muss ich wirklich jeden Mitarbeiter schulen — auch Reinigungskraft und Pförtner? Nein. Die Pflicht trifft nur Personen, die „mit der Nutzung und dem Betrieb der KI-Systeme befasst” sind. Wer keinen Kontakt mit KI hat, braucht keine Schulung. In der Praxis ist das heute aber in fast allen Büro-Rollen gegeben, weil ChatGPT, Copilot und Co. längst überall sind.

Reicht eine generische Online-Schulung als Nachweis? Als Grundlage ja, als alleiniges Mittel nein. Die Verordnung verlangt den Bezug zum Einsatzkontext — das kann eine Standard-Schulung nicht leisten. Mindestens ergänzende Module zu Ihren konkret eingesetzten Systemen sind erforderlich.

Was, wenn ein Mitarbeiter die Schulung ablehnt? Die KI-Nutzung ist eine Arbeitsanweisung; wer sich der Schulung entzieht, darf das System nicht nutzen. In der Praxis ist Ablehnung selten, wenn die Schulung relevant und gut gestaltet ist. Wichtiger: Freistellungsansprüche der Mitarbeitervertretung nach BetrVG §87 berücksichtigen, wenn die Schulung während der Arbeitszeit stattfindet.

Müssen auch Auszubildende und Praktikanten geschult werden? Ja, sobald sie mit KI-Systemen arbeiten. Für sie ist typischerweise die Grundlagenschulung (Stufe 1) ausreichend.

Was, wenn wir nur Standard-Tools wie ChatGPT nutzen und keine eigene KI haben? Art. 4 gilt auch dann. „Betreiber” ist jeder, der KI unter eigener Verantwortung einsetzt — auch als SaaS. Der Schulungsumfang ist aber typischerweise niedriger, weil kein Hochrisiko-Einsatz vorliegt.

---

Fazit: Art. 4 ist keine Formalie, aber auch kein Monster. Mit strukturierter Inventarisierung, klarer Schulungslogik und sauberer Dokumentation ist die Pflicht in einem mittelständischen Unternehmen in 30 Tagen umgesetzt und mit ein paar Stunden pro Monat dauerhaft lebendig zu halten. Die meisten unserer Mandanten merken nach der ersten Umsetzung: Der Aufwand ist überschaubar, der Nutzen — Klarheit über die eigene KI-Landschaft und ihre Risiken — beträchtlich.