KI-Kompetenz nach Art. 4 KI-Verordnung: Pflicht, Schulung, Nachweis

Was verlangt Art. 4 KI-Verordnung seit dem 27. Juli 2026?

Art. 4 verlangt, dass Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Bis zum 26. Juli 2026 mussten sie „nach besten Kräften sicherstellen“, dass ihr Personal über ein „ausreichendes Maß an KI-Kompetenz“ verfügt. Aus einer Pflicht zum Ergebnis ist damit eine Pflicht zum Bemühen geworden.

Die Änderung ist beschlossen und gilt; sie ist kein Entwurf mehr. Die Verordnung (EU) 2026/1744 („Digital-Omnibus zur KI“) stammt vom 8. Juli 2026, steht seit dem 24. Juli 2026 im Amtsblatt und ist am 27. Juli 2026 in Kraft getreten. Die Kommission hatte am 19. November 2025 vorgeschlagen, die Pflicht ganz auf Kommission und Mitgliedstaaten zu verlagern. Beschlossen wurde ein Mittelweg: Die Pflicht der Unternehmen bleibt, aber als Pflicht, sich zu bemühen. Die Begründung steht in Erwägungsgrund 8: Strenge Pflichten passten nicht für alle Unternehmen und belasteten besonders kleinere.

Wer muss für KI-Kompetenz sorgen?

Verpflichtet ist jedes Unternehmen, das ein KI-System anbietet oder beruflich einsetzt, unabhängig von Größe und Branche. Betreiber ist nach Art. 3 Nr. 4 KI-Verordnung, wer ein KI-System „in eigener Verantwortung verwendet“, es sei denn im Rahmen einer persönlichen und nicht beruflichen Tätigkeit. Wer ein Büro mit KI-Werkzeugen betreibt, ist also Betreiber; wie sich Anbieter und Betreiber abgrenzen, erklärt der Artikel zu den Fristen der KI-Verordnung.

• Beschäftigte, die KI-Werkzeuge nutzen, auch gelegentlich. Die Kommission bejaht die Pflicht ausdrücklich für ein Unternehmen, dessen Beschäftigte ChatGPT etwa für Werbetexte oder Übersetzungen verwenden: Sie sollten über die besonderen Risiken informiert werden, zum Beispiel erfundene Angaben.
• Andere Personen, die in Ihrem Auftrag KI-Systeme betreiben oder nutzen. Die Kommission nennt als Beispiele Auftragnehmer, Dienstleister und Kunden. Auch sie brauchen die Fähigkeiten, die ihre Aufgabe verlangt.
• Nicht erfasst ist die rein private Nutzung. Wer im Betrieb nicht mit KI-Systemen arbeitet, gehört nicht zum Personenkreis des Art. 4.

Strenger ist es bei Hochrisiko-Systemen: Betreiber müssen die menschliche Aufsicht Personen übertragen, die über die „erforderliche Kompetenz, Ausbildung und Befugnis“ verfügen (Art. 26 Abs. 2 KI-Verordnung). Für Systeme nach Anhang III, etwa in Personalauswahl oder Kreditvergabe, gilt das nach dem Omnibus ab dem 2. Dezember 2027.

Was gehört in eine KI-Schulung?

Welche Inhalte eine Schulung haben muss, legt die Verordnung nicht fest. Maßstab ist die Definition in Art. 3 Nr. 56, dazu nennt die Kommission vier Überlegungen, und die Bundesnetzagentur empfiehlt einen stufenweisen Aufbau.

• Allgemeines Verständnis: Was ist KI, wie funktioniert sie, welche KI wird im Unternehmen genutzt, welche Chancen und Gefahren hat sie?
• Rolle: Entwickelt das Unternehmen KI-Systeme, oder nutzt es Systeme anderer?
• Risiko: Was müssen Beschäftigte über das konkrete System wissen, und welche Risiken müssen sie kennen und vermeiden?
• Zuschnitt: Maßnahmen je nach Vorwissen, Erfahrung und Ausbildung der Personen und nach dem Einsatzzweck.

So fassen die Fragen und Antworten der Kommission (zuletzt aktualisiert am 27. Juli 2026) die Mindestüberlegungen zusammen. Die Bundesnetzagentur schlägt drei Stufen vor: Grundlagen für alle, fortgeschrittene Kompetenz zu den eingesetzten Systemen und rollenspezifische Vertiefung, etwa zu Technik, Recht oder Ethik. Die Bundesnetzagentur betont, dass ihre Vorschläge weder verpflichtend noch abschließend sind; die Kommission sagt, es gebe keine Einheitslösung und keine strikten Vorgaben.

Brauchen Sie ein Zertifikat oder eine bestimmte Schulung?

Nein. Die KI-Verordnung schreibt weder ein Zertifikat noch ein bestimmtes Format vor; die Maßnahmen können intern oder extern stattfinden, als Selbstlernprogramm, Workshop oder mehrstufige Fortbildung. Die Kommission sagt dazu knapp, es brauche kein Zertifikat; Unternehmen könnten Schulungen und andere Maßnahmen intern festhalten.

Ausdrücklich nicht vorgeschrieben sind nach der Bundesnetzagentur:

• garantierte KI-Kompetenzniveaus bei einzelnen Personen
• formalisierte oder standardisierte Trainingsmaßnahmen
• externe Zertifizierungen der durchgeführten Maßnahmen
• die Einführung eines KI-Beauftragten

Umgekehrt reicht es nach Einschätzung der Kommission in vielen Fällen nicht, sich nur auf die Gebrauchsanweisung eines Werkzeugs zu verlassen oder Beschäftigte zu bitten, sie zu lesen. Ein Zertifikat eines Schulungsanbieters kann Teil Ihrer Dokumentation sein, mehr nicht: Ein bestimmtes Nachweisformat verlangt die Verordnung nicht.

Wie dokumentieren Sie die Maßnahmen?

Mit einer einfachen Tabelle: Die Bundesnetzagentur empfiehlt, mindestens die Art der Maßnahme, ihren inhaltlichen und zeitlichen Umfang und die teilnehmenden Personen festzuhalten, dazu regelmäßige Auswertung und Auffrischung nach Bedarf. Ein Mangel an KI-Kompetenz kann nach ihrer Einschätzung als Verletzung der Sorgfaltspflicht gelten, vor allem wenn ein Schaden entsteht; die Dokumentation ist dann Ihr Beleg.

Legen Sie Tabelle, Unterlagen und Teilnehmerlisten zusammen ab. Kommt ein neues Werkzeug, eine neue Aufgabe oder eine neue Person hinzu, folgt ein neuer Eintrag. Die Teilnehmerliste enthält personenbezogene Daten; halten Sie sie so knapp wie möglich.

Wer kontrolliert, und was droht bei Verstößen?

Zuständig ist in Deutschland die Bundesnetzagentur, und ein Bußgeld für Verstöße gegen Art. 4 gibt es am 23. September 2026 weder in der KI-Verordnung noch im deutschen Durchführungsgesetz. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22. Juli 2026 ist am 29. Juli 2026 in Kraft getreten.

• Aufsicht: Nach § 2 Abs. 1 KI-MIG ist die Bundesnetzagentur die für die Einhaltung der KI-Verordnung zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt; für beaufsichtigte Finanzunternehmen ist es die BaFin.
• Befugnisse: Die Behörden haben die Befugnisse nach Art. 14 und 16 der Marktüberwachungsverordnung (EU) 2019/1020 (§ 11 KI-MIG), können also Unterlagen anfordern, prüfen und Maßnahmen anordnen.
• Bußgelder: Art. 99 Abs. 3 bis 5 KI-Verordnung nennen Art. 4 nicht. § 15 KI-MIG erfasst nur bestimmte Informations-, Zugangs-, Folgenabschätzungs- und Erläuterungspflichten, mit Geldbußen bis zu 50.000 Euro.
• Haftung: Entsteht ein Schaden, kann fehlende KI-Kompetenz als Sorgfaltsverstoß gewertet werden; auch deshalb lohnt es sich, sauber zu dokumentieren.

Die Kommission betont, jede Sanktion müsse verhältnismäßig sein, und hält sie für wahrscheinlicher, wenn ein Vorfall nachweislich auf fehlende Schulung oder Anleitung zurückgeht. Nach ihren Fragen und Antworten beaufsichtigen die nationalen Marktüberwachungsbehörden Art. 4 seit August 2026.

Wie setzen Sie Art. 4 im Betrieb um?

In fünf Schritten, vom Bestand bis zur Auffrischung. Eine Standardlösung verlangt niemand, aber die Entscheidung soll laut Bundesnetzagentur „plausibel und nachvollziehbar“ sein: Halten Sie fest, warum die gewählten Maßnahmen zu Werkzeugen, Aufgaben und Vorwissen passen.

1. Bestand aufnehmen

   Welche Personen nutzen welche KI-Systeme wofür? Dazu zählen KI-Funktionen in bestehender Software und Werkzeuge, die Beschäftigte auf eigene Faust verwenden.

2. Rolle und Risiko klären

   Sind Sie nur Betreiber oder auch Anbieter? Gibt es Einsätze mit besonderem Risiko, etwa bei Personalentscheidungen oder mit Gesundheitsdaten?

3. Regeln festlegen

   Eine kurze KI-Richtlinie: freigegebene Werkzeuge, erlaubte Zwecke, verbotene Daten, Prüfpflicht, Meldeweg. Was datenschutzrechtlich hineingehört, steht im Artikel ChatGPT im Unternehmen.

4. Schulen

   Grundschulung für alle, die KI nutzen, Einweisung in das jeweilige Werkzeug für die, die es bedienen, und Vertiefung für Rollen mit besonderem Risiko.

5. Dokumentieren und auffrischen

   Die Tabelle führen, Maßnahmen einmal im Jahr auswerten und bei neuen Werkzeugen, Aufgaben oder Personen nachschulen.

Häufige Fragen