EU AI Act · Artikel 4

Seit Anfang August prüfen die Marktüberwachungsbehörden eine Pflicht, die seit anderthalb Jahren gilt und die in den meisten Unternehmen nie umgesetzt wurde: die KI-Kompetenz der eigenen Mitarbeitenden.

Artikel 4 der KI-Verordnung ist am 2. Februar 2025 in Kraft getreten. Er verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, damit ihr Personal und die in ihrem Auftrag handelnden Personen über KI-Kompetenz verfügen. Die Überwachungs- und Durchsetzungsvorschriften greifen seit dem 2. beziehungsweise 3. August 2026. Anders gesagt: Die Pflicht ist alt, die Kontrolle ist neu.

Parallel dazu kursiert seit Ende Juni eine Schlagzeile, die vieles verkompliziert: „Die KI-Schulungspflicht wird abgeschafft." Das ist falsch, aber nicht ganz aus der Luft gegriffen.

Pflicht gilt seit

2. Februar 2025

Artikel 4 ist seit anderthalb Jahren anwendbar. Es gibt keine Übergangsfrist mehr, die noch laufen würde.

Durchsetzung seit

August 2026

Die nationalen Marktüberwachungsbehörden haben mit Überwachung und Durchsetzung begonnen. In Deutschland ist das die Bundesnetzagentur.

Was der Digital Omnibus wirklich geändert hat

Die Änderungen an Artikel 4 sind Mitte Juli 2026 in Kraft getreten. Die Gewährleistung der KI-Kompetenz bleibt eine Verpflichtung für Anbieter und Betreiber von KI-Systemen. Entfallen ist die Vorgabe eines bestimmten, „ausreichenden" Niveaus in Absatz 1. Gleichzeitig soll der KI-Ausschuss nach Absatz 3 Empfehlungen annehmen, die Kommission und Mitgliedstaaten bei der Förderung der KI-Kompetenz unterstützen, unter Rückgriff auf bestehende europäische Kompetenzrahmen wie DigComp.

Für die Praxis heißt das: Der Maßstab ist weicher geworden, die Pflicht selbst nicht verschwunden.

Bleibt bestehen

Die Pflicht von Anbietern und Betreibern, Maßnahmen zur KI-Kompetenz zu ergreifen. Die Zuständigkeit der nationalen Marktüberwachung. Die Pflicht nach Art. 26 für Betreiber von Hochrisiko-Systemen, Personal für die menschliche Aufsicht zu schulen.

Ist entfallen

Die Vorgabe eines bestimmten oder „ausreichenden" Kompetenzniveaus in Absatz 1. Der Schwerpunkt der Förderung verlagert sich stärker auf Kommission und Mitgliedstaaten.

Häufiges Missverständnis

„Der Omnibus hat die Schulungspflicht gestrichen." Hat er nicht. Wer daraus ableitet, dass gar nichts zu tun ist, hat weiterhin eine geltende Pflicht im Haus, für die seit August die Aufsicht zuständig ist, und keinerlei Nachweis darüber.

Wen die Pflicht trifft, und zwar weiter als gedacht

Artikel 4 gilt unabhängig von der Unternehmensgröße. Einen Schwellenwert „erst ab X Mitarbeitenden" gibt es nicht. Und die Pflicht endet nicht an der Grenze der eigenen Belegschaft.

Eigene Beschäftigte

Alle Personen in der Organisation, die direkt mit einem KI-System befasst sind. Nicht nur Entwickler, sondern auch Marketing, HR, Support und Vertrieb.

Externe im eigenen Auftrag

Auftragnehmer, Dienstleister und Freelancer, die weitgehend in den organisatorischen Zuständigkeitsbereich fallen. Regelbar über Verträge.

In bestimmten Fällen Kunden

Je nach Risiko kann es sinnvoll sein, auch betroffene Personen in die Kompetenzmaßnahmen einzubeziehen. Das ist die Ausnahme, nicht die Regel.

Wichtig für den Mittelstand: Wer im Arbeitsalltag ChatGPT, Copilot oder Gemini einsetzt, gilt in aller Regel als Betreiber und fällt damit unter die Vorschrift. Auch für einfache Anwendungsfälle wie Werbetexte oder Übersetzungen gilt, dass Beschäftigte über die spezifischen Risiken informiert sein sollten, etwa über Halluzinationen.

Was das AI Office als Mindestmaß beschreibt

Das AI Office hat bewusst keine starren Anforderungen aufgestellt und hält Flexibilität für erforderlich. Vier Punkte nennt es dennoch als Minimum.

Ein allgemeines KI-Verständnis in der Organisation sicherstellen

Was ist KI, wie funktioniert sie, welche KI wird bei uns eingesetzt und welche Chancen und Risiken bringt das mit sich?

Die eigene Rolle bestimmen

Entwickelt die Organisation KI-Systeme selbst oder nutzt sie nur Systeme anderer? Anbieter und Betreiber brauchen unterschiedliche Inhalte.

Das Risiko der eingesetzten Systeme berücksichtigen

Was müssen Mitarbeitende wissen, wenn sie mit genau diesem System arbeiten? Welche Risiken müssen sie kennen und mindern können?

Die Maßnahmen darauf aufbauen und differenzieren

Nach Vorkenntnissen, Erfahrung und Ausbildung der jeweiligen Gruppe sowie nach Sektor, Einsatzzweck und den Personen, auf die das System angewendet wird. Unterschiedliche Detailtiefen sind ausdrücklich zulässig.

Ein Punkt daraus verdient eigene Aufmerksamkeit: Es reicht nicht, Mitarbeitenden die Bedienungsanleitung des Systems hinzulegen und sie zum Lesen aufzufordern. Das wird als unwirksam und unzureichend eingeordnet.

Was ausdrücklich nicht verlangt wird

Hier räumen die offiziellen Angaben mit einigen teuren Annahmen auf, die im Markt gerade verkauft werden.

Kein Zertifikat

Ein Zertifikat ist nicht erforderlich. Interne Aufzeichnungen über Schulungen und andere Maßnahmen genügen.

Kein Wissenstest

Artikel 4 enthält keine Verpflichtung, den Kenntnisstand der Mitarbeitenden zu messen.

Kein KI-Beauftragter

Anders als bei der DSGVO ist keine eigene Rolle vorgeschrieben. Für die Einhaltung von Art. 4 ist keine bestimmte Governance-Struktur verpflichtend.

Keine Branchenvorgaben

Es gibt keine sektorspezifischen Anforderungen. Sektor und Einsatzzweck sind aber bei der Gestaltung zu berücksichtigen.

Dass keine Struktur vorgeschrieben ist, heißt allerdings nicht, dass sie schadet. Wer Zuständigkeiten und Nachweise ohnehin für den restlichen AI Act braucht, sollte sie nicht zweimal aufbauen.

Was passiert, wenn nichts passiert ist?

Artikel 4 hat keinen eigenen Bußgeldtatbestand im Sanktionskatalog des Artikels 99. Das ist der Grund, warum das Thema so oft nach unten priorisiert wird. Der Schluss „also folgenlos" trägt trotzdem nicht.

Nationales Sanktionsrecht

Die nationalen Marktüberwachungsbehörden können Sanktionen und andere Durchsetzungsmaßnahmen verhängen, gestützt auf nationale Vorschriften. Die Durchsetzung folgt einem verhältnismäßigen Ansatz.

Der Vorfall als Auslöser

Durchsetzung wird deutlich wahrscheinlicher, wenn es Belege für einen Vorfall gibt, der auf fehlende Schulung und Anleitung zurückgeht. Nicht die Lücke fällt auf, sondern der Schaden.

Private Durchsetzung

Wer einen Schaden erleidet und ihn auf eine Verletzung von Art. 4 zurückführt, kann nach nationalem Recht klagen. Die KI-Verordnung selbst schafft keinen eigenen Entschädigungsanspruch.

Dazu kommt der Punkt, der in der Diskussion um den Omnibus regelmäßig untergeht: Für Betreiber von Hochrisiko-KI-Systemen bleibt die Pflicht nach Artikel 26 unberührt, das mit dem System befasste Personal so zu schulen, dass die menschliche Aufsicht tatsächlich funktioniert. Das ist keine Förderaufgabe der Mitgliedstaaten, sondern eine harte Betreiberpflicht.

Ein Fahrplan, der in vier Wochen machbar ist

KI-Inventar als Ausgangspunkt

Ohne die Liste der eingesetzten Systeme lässt sich keine risikoangemessene Schulung planen. Wer nicht weiß, was im Haus läuft, kann auch nicht bestimmen, wer was wissen muss. Schatten-KI gehört ausdrücklich dazu.

Zielgruppen bilden statt alle gleich schulen

Drei Ebenen reichen meist: Grundlagen für alle Beschäftigten mit KI-Kontakt, vertiefte Inhalte für Power-User in Marketing, HR und Support, technische und rechtliche Tiefe für Entwicklung und Compliance.

Externe vertraglich einbeziehen

Dienstleister und Auftragnehmer, die in Ihrem Auftrag mit KI arbeiten, brauchen die passende Kompetenz für die konkrete Aufgabe. Eine Klausel im Rahmenvertrag ist der einfachste Weg.

Dokumentieren, was stattgefunden hat

Wer wurde wann zu welchen Inhalten geschult, mit welchem Bezug zu welchen Systemen, und wer war verantwortlich? Interne Aufzeichnungen genügen, aber sie müssen existieren.

Auffrischung einplanen

Eine einmalige Pflichtveranstaltung ohne erkennbaren Lerneffekt wird der Anforderung kaum gerecht. Ein jährlicher Rhythmus ist angesichts des Tempos der Technologie realistisch.

Kostenlose Angebote nutzen: Für KMU gibt es Wege ohne Budget. Die EU-KI-Kompetenzakademie hat im Mai 2026 ihren Betrieb aufgenommen, die 251 European Digital Innovation Hubs bieten Schulungen und Workshops an, und die Kommission pflegt ein öffentliches Repository mit Beispielen aus anderen Organisationen. Das Nachahmen dieser Praktiken begründet allerdings keine automatische Konformitätsvermutung.

Der eigentliche Punkt

Artikel 4 ist die Pflicht mit der schwächsten Sanktion und der größten praktischen Wirkung. Fast jeder KI-Vorfall im Unternehmen, von sensiblen Daten im offenen Tool bis zur veröffentlichten Halluzination, geht auf fehlendes Verständnis bei den Menschen zurück, die das System bedienen. Genau darauf zielt Artikel 4.

Und er zwingt zu derselben Vorarbeit wie alles andere in der KI-Verordnung. Eine risikoangemessene Schulung setzt voraus, dass Sie wissen, welche Systeme im Einsatz sind, welche Rolle Sie dabei einnehmen und wer sie bedient. Wer das für Artikel 4 aufbaut, hat es für Artikel 50 und für die Hochrisiko-Pflichten ab Dezember 2027 bereits erledigt.

Mit SimpleAct

Schulung braucht ein Inventar. Sonst schulen Sie ins Blaue.

EU AI Act und DSGVO in einer Plattform: KI-Systeme zentral erfassen, regelbasiert einstufen, Verantwortlichkeiten festlegen und jederzeit audit-fähige Nachweise exportieren. Made in Germany, gehostet in Deutschland.

KI-Systeme jetzt erfassen →

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Stand: 6. August 2026.

KI-Kompetenz nach Artikel 4: Die Pflicht, die seit Februar 2025 gilt und jetzt kontrolliert wird