KI-Kompetenz-Pflicht nach Art. 4 AI Act: Was Unternehmen nach dem Digital Omnibus tun müssen

Was steht in Art. 4 AI Act?

Die KI-Verordnung der EU (Verordnung (EU) 2024/1689, kurz AI Act) regelt die KI-Kompetenz in Art. 4. Seit der Änderung durch den Digital Omnibus lautet der Kern von Absatz 1:

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind […]. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“

Welche Maßnahmen passen, bestimmt die Vorschrift nicht abstrakt. Zu berücksichtigen sind die technischen Kenntnisse, die Erfahrung und die Aus- und Fortbildung der Beschäftigten, der Kontext, in dem die KI eingesetzt wird, und die Personen, bei denen die KI zum Einsatz kommt. Eine Sachbearbeiterin, die Texte glättet, braucht anderes Wissen als ein Recruiter, der KI bei der Vorauswahl von Bewerbungen nutzt.

Neu sind die Absätze 2 und 3: Die Kommission und die Mitgliedstaaten sollen Unternehmen, insbesondere kleine und mittlere Unternehmen (KMU), bei der Umsetzung unterstützen. Die Kommission veröffentlicht dazu praktische Beispiele auf einer zentralen Informationsplattform. Das KI-Gremium der EU gibt Empfehlungen zu gemeinsamen Zielen ab.

KI-Kompetenz selbst definiert der AI Act in Art. 3 Nr. 56 sinngemäß als die Fähigkeiten, Kenntnisse und das Verständnis, KI-Systeme sachkundig einzusetzen und sich ihrer Chancen, Risiken und möglichen Schäden bewusst zu sein.

Was hat der Digital Omnibus an Art. 4 geändert?

Die Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744 vom 8. Juli 2026, ABl. L vom 24. Juli 2026) hat Art. 4 neu gefasst. Sie ist am 27. Juli 2026 in Kraft getreten und gilt seitdem ohne Übergangsfrist.

Der Gesetzgeber begründet die Änderung in Erwägungsgrund 8 der Omnibus-Verordnung: Strenge Pflichten, ein ausreichendes Maß an KI-Kompetenz sicherzustellen, passten nicht für alle Anbieter und Betreiber und belasteten vor allem kleinere Unternehmen. KI-Kompetenz solle unabhängig von gesetzlichen Pflichten und Sanktionen eine strategische Priorität sein.

Die Pflicht ist damit enger geworden, aber nicht entfallen. Aus der früheren Pflicht, ein ausreichendes Kompetenzniveau nach besten Kräften sicherzustellen, ist eine Pflicht zum Handeln geworden: Unternehmen müssen geeignete Maßnahmen ergreifen, schulden aber keinen messbaren Lernerfolg bei jeder einzelnen Person. Die EU-Kommission fasst es in ihren Fragen und Antworten zu Art. 4 so zusammen: KI-Kompetenz bleibt eine Pflicht von Anbietern und Betreibern, ein bestimmtes oder „ausreichendes“ Niveau wird aber nicht mehr verlangt.

Beliebig ist die Pflicht damit nicht. Der Maßstab ist unverändert geblieben: Die Maßnahmen müssen die Kenntnisse und Erfahrung der Beschäftigten, den Einsatzkontext und die Personen berücksichtigen, bei denen die KI eingesetzt wird. Wer KI bei Bewerbungen oder in der Kundenkommunikation einsetzt, wird mit einer allgemeinen Rundmail deshalb selten auskommen. Und weil nicht mehr das Ergebnis, sondern das Handeln zählt, kommt es im Zweifel darauf an, welche Maßnahmen ein Unternehmen belegen kann.

Seit wann gilt die Pflicht überhaupt? Art. 4 gilt seit dem 2. Februar 2025. Der Omnibus hat daran nichts geändert. Für die Zeit bis zum 26. Juli 2026 gilt die frühere, strengere Fassung.

Betrifft das auch Ihr Unternehmen?

Sehr wahrscheinlich ja. Betreiber im Sinne des AI Act ist jede natürliche oder juristische Person, die ein KI-System in eigener Verantwortung verwendet, ausgenommen die rein private, nicht berufliche Nutzung (Art. 3 Nr. 4). Wer KI nur nutzt und nicht selbst entwickelt, ist also nicht außen vor. Der Omnibus hat den Kreis der Verpflichteten nicht verkleinert.

Typische Fälle, in denen Art. 4 eine Rolle spielt:

• Mitarbeitende formulieren E-Mails, Angebote oder Berichte mit ChatGPT, Gemini oder Claude.
• Microsoft Copilot fasst Besprechungen zusammen oder durchsucht interne Dokumente.
• Die Personalabteilung nutzt KI beim Sichten von Bewerbungen oder beim Formulieren von Stellenanzeigen.
• Die Entwicklung arbeitet mit KI-Assistenten im Quellcode.
• Das Marketing erstellt Bilder, Texte oder Videos mit generativer KI.

Erfasst sind nicht nur Angestellte. Der Wortlaut nennt auch andere Personen, die im Auftrag des Unternehmens mit KI-Systemen arbeiten, etwa Freelancer, Leiharbeitnehmer oder externe Dienstleister.

Und wenn Beschäftigte ohne Freigabe private KI-Konten für berufliche Aufgaben nutzen, sogenannte Schatten-KI? Die EU-Kommission bejaht die Pflicht nach Art. 4 ausdrücklich für Unternehmen, deren Beschäftigte ChatGPT etwa für Werbetexte oder Übersetzungen nutzen. Ob das auch gilt, wenn das Unternehmen von der Nutzung nichts weiß, ist bislang nicht geklärt; die Fragen und Antworten der Kommission äußern sich dazu nicht. Für eine Zurechnung spricht, dass die Beschäftigten im Rahmen ihrer Arbeit handeln und Art. 3 Nr. 4 nur die persönliche, nicht berufliche Nutzung ausnimmt.

Praktisch ist die Frage weniger wichtig, als sie scheint. Wer Schatten-KI nicht ausschließen kann, sollte ohnehin schulen und klare Regeln aufstellen, schon wegen Datenschutz und Geschäftsgeheimnissen.

Was droht bei Verstößen?

In Deutschland ist ein Verstoß gegen Art. 4 derzeit nicht mit einem Bußgeld bedroht. Das deutsche Durchführungsgesetz zum AI Act, das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22. Juli 2026, nennt Art. 4 in seinen Bußgeldvorschriften (§ 15) nicht. Auch der EU-weite Bußgeldkatalog in Art. 99 Abs. 4 AI Act erfasst Art. 4 nicht.

Folgenlos ist die Pflicht damit nicht:

• Aufsicht: Zuständige Marktüberwachungsbehörde ist grundsätzlich die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG); für einzelne Bereiche wie den Finanzsektor sind andere Behörden zuständig. Die nationalen Behörden überwachen die Einhaltung des AI Act seit August 2026.
• Spielraum für später: Nach Art. 99 Abs. 1 AI Act regeln die Mitgliedstaaten Sanktionen für jeden Verstoß, ausdrücklich auch Verwarnungen und nichtmonetäre Maßnahmen. Der deutsche Gesetzgeber kann den Katalog also erweitern.
• Mittelbare Folgen: Fehlende Maßnahmen können eine Rolle spielen, wenn zu beurteilen ist, ob ein Unternehmen seine Sorgfalts- und Organisationspflichten erfüllt hat, etwa nach einer Datenpanne mit einem KI-Tool oder wenn Schadensersatz im Raum steht.

Unabhängig von einem Bußgeld zeigt die Praxis: Die meisten Schäden entstehen nicht durch den AI Act selbst, sondern durch das, was ungeschulte Nutzung auslöst, zum Beispiel Kundendaten in einem nicht freigegebenen Tool, ungeprüfte KI-Antworten in einem Vertrag oder vertrauliche Informationen in öffentlichen Chatverläufen. Daran ändert die abgeschwächte Fassung von Art. 4 nichts.

Wie lässt sich KI-Kompetenz nachweisen?

Art. 4 enthält keine ausdrückliche Dokumentationspflicht. Nach der neuen Fassung kommt es gerade darauf an, welche Maßnahmen ein Unternehmen ergriffen hat. Wer das später gegenüber einer Behörde, einem Kunden oder im Streitfall darlegen will, braucht Unterlagen. Bewährt haben sich:

• eine Übersicht der eingesetzten KI-Tools und der Abteilungen, die sie nutzen,
• eine Zuordnung, welche Rollen welches Wissen brauchen,
• Inhalte, Datum und Teilnehmende der durchgeführten Schulungen,
• eine KI-Richtlinie oder Nutzungsregeln, auf die sich die Schulung bezieht,
• ein Vermerk, wann die Maßnahmen überprüft oder wiederholt werden.

Eine Teilnahmebestätigung beschreibt die durchgeführte Maßnahme. Sie ist kein amtliches Art.-4-Zertifikat und belegt nicht für sich allein, dass alle gesetzlichen Anforderungen erfüllt sind. Eine behördlich anerkannte Zertifizierung sieht der AI Act für Art. 4 nicht vor.

Was Art. 4 nicht verlangt

Die Vorschrift nennt keine bestimmte Dauer, kein verbindliches Schulungsformat, keine feste Wiederholungsfrist und keine behördlich anerkannte Zertifizierung. Seit dem Omnibus stellt sie außerdem ausdrücklich klar, dass kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss. Eine allgemeine Basisschulung kann deshalb ein geeigneter Einstieg sein. Ob zusätzliche rollen- oder systemspezifische Maßnahmen sinnvoll sind, hängt vom konkreten KI-Einsatz ab.

Vorsicht bei Angeboten, die ein „Art.-4-Zertifikat“ oder eine „gesetzeskonforme Pflichtschulung“ versprechen: Beides gibt es in dieser Form nicht.

In fünf Schritten zur Umsetzung

1. KI-Einsatz erfassen. Welche Tools werden genutzt, auch ohne offizielle Freigabe, und wofür? Der kostenlose KI-Schnellcheck gibt eine erste Orientierung.
2. Rollen einordnen. Wer nutzt KI gelegentlich, wer regelmäßig, wer trifft damit Entscheidungen über Menschen?
3. Schulen. Eine gemeinsame Basis für alle, Vertiefung für Rollen mit höherem Risiko, etwa HR, Führungskräfte oder Entwicklung.
4. Regeln festlegen. Welche Tools sind erlaubt, welche Daten tabu, wer ist Ansprechpartner? Das regelt eine KI-Richtlinie; für einzelne Tools hilft der KI-Tool-Freigabecheck.
5. Dokumentieren und wiederholen. Maßnahmen festhalten und bei neuen Tools, neuen Aufgaben oder Rechtsänderungen nachschulen.

Was eine Schulung abdecken sollte

• Grundverständnis von KI-Systemen und Grenzen generativer KI
• Datenschutz, Geschäftsgeheimnisse und vertrauliche Informationen
• Halluzinationen, Fehlerkontrolle und menschliche Verantwortung
• Rollenbezogene Regeln für HR, Vertrieb, Marketing, Entwicklung und Management
• Unternehmensinterne Freigabeprozesse und erlaubte Tools