Art. 4 AI Act – Die Pflicht, die fast niemand kennt
Wenn ich in Unternehmen frage, ob sie die KI-Verordnung betrifft, höre ich häufig: „Wir bauen doch keine KI, wir nutzen nur ChatGPT.“ Das ist ein Missverständnis, das teuer werden kann. Die Verordnung unterscheidet zwischen Anbietern, die KI-Systeme entwickeln, und Betreibern, die sie einsetzen. Wer ChatGPT, Copilot oder einen KI-Chatbot im Unternehmen nutzt, ist Betreiber. Und für Betreiber gilt seit dem 2. Februar 2025 eine Pflicht, von der die wenigsten wissen: Artikel 4, KI-Kompetenz.
Was Artikel 4 verlangt
Der Text ist kurz. Anbieter und Betreiber müssen sicherstellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über ein ausreichendes Maß an KI-Kompetenz verfügen. Berücksichtigt werden sollen technische Kenntnisse, Erfahrung, Ausbildung und Schulung sowie der Kontext, in dem die Systeme eingesetzt werden.
Das klingt harmlos. Es bedeutet aber: Wer seinen Mitarbeitern ein KI-Werkzeug in die Hand gibt – oder duldet, dass sie es nutzen –, muss dafür sorgen, dass sie wissen, was sie tun. Was das Werkzeug kann, was es nicht kann, wo die Risiken liegen. Und er muss das im Zweifel belegen können.
Was „ausreichend“ heißt
Das Gesetz nennt keine Stundenzahl und kein Zertifikat. Das ist Absicht: Die Kompetenz, die eine Sachbearbeiterin braucht, die mit einem Textassistenten Briefe formuliert, ist eine andere als die eines Personalers, der ein Bewerber-Screening-Tool bedient. Der Maßstab ist der Kontext.
Aus meiner Praxis als Datenschutzbeauftragter und CISO hat sich ein dreistufiges Modell bewährt:
Stufe 1 – Grundkompetenz für alle: Was ist ein Sprachmodell? Warum halluziniert es? Welche Daten dürfen hinein, welche nicht? Wie erkenne ich, dass ein Ergebnis geprüft werden muss? Das ist in 60 bis 90 Minuten vermittelbar und gehört in die Einarbeitung wie die Datenschutzunterweisung.
Stufe 2 – Fachkompetenz für Anwender spezifischer Systeme: Wer ein KI-System in einem bestimmten Prozess einsetzt, braucht Kenntnisse über genau dieses System: Grenzen, typische Fehler, Kontrollmechanismen, Eskalationswege.
Stufe 3 – Verantwortungskompetenz für Entscheider: Wer über den Einsatz entscheidet, muss Risiken bewerten können. Das ist keine Technikschulung, sondern Urteilsfähigkeit.
Was Sie dokumentieren sollten
Der Digital Omnibus hat die Kompetenzpflicht 2026 in Teilen entschärft, insbesondere für kleinere Unternehmen. Er hat sie aber nicht abgeschafft. Und unabhängig vom AI Act gilt: Wenn ein Mitarbeiter mit einem KI-System einen Schaden verursacht, wird die erste Frage lauten, ob er dafür geschult war. Wer dann nichts vorlegen kann, hat ein Problem – haftungsrechtlich, arbeitsrechtlich, gegenüber Versicherungen.
Ich empfehle drei Dokumente: ein Schulungskonzept, das beschreibt, wer welche Stufe braucht; Teilnahmenachweise mit Datum und Inhalt; und eine Liste der im Unternehmen eingesetzten KI-Systeme mit Zuordnung der Verantwortlichen. Zusammen ist das eine Seite Konzept und eine Tabelle. Mehr braucht es nicht, um aus einer unbekannten Pflicht eine erfüllte zu machen.
Warum das mehr ist als eine Pflicht
Ich halte Artikel 4 für die sinnvollste Vorschrift der gesamten Verordnung. Nicht, weil er Bürokratie schafft, sondern weil er die richtige Frage stellt: Wissen die Menschen, die den Hammer halten, wie man ihn hält? Die meisten KI-Schäden, die ich sehe, entstehen nicht durch böse Absicht und nicht durch technisches Versagen. Sie entstehen, weil jemand nicht wusste, was er da tut. Eine Schulungspflicht ist die Antwort darauf.
Sie brauchen ein Schulungskonzept, das zu Ihrem Unternehmen passt? Ich erstelle es mit Ihnen – und halte die Schulung auf Wunsch selbst: Kostenfreies Erstgespräch vereinbaren.
Dieser Beitrag stellt keine Rechtsberatung dar und ersetzt sie nicht. Stand: September 2026.
SHARE