KI-Kompetenz nach Artikel 4 EU AI Act: was die Schulungspflicht konkret verlangt

Seit dem 2. Februar 2025 steht in der KI-Verordnung ein Satz, der in den meisten Unternehmen keine sichtbare Spur hinterlassen hat. Artikel 4 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen für die KI-Kompetenz ihres Personals zu ergreifen. Eine Behörde, die das hätte prüfen können, gab es in Deutschland zu diesem Zeitpunkt nicht — sie ist erst seit dem 2. August 2026 im Amt.

Zwischen diesen beiden Daten hat sich die Vorschrift selbst verändert. Der Digital Omnibus zur KI hat Artikel 4 Ende Juli 2026 neu gefasst und dabei ausgerechnet die Formulierung gestrichen, an der sich die Auslegung bisher festhielt: das „ausreichende Maß“ an KI-Kompetenz. Übrig bleibt eine Pflicht, die kein Ergebnis vorschreibt, sondern ein Bemühen. Die Folge ist unbequemer, als sie klingt.

Was Artikel 4 wörtlich verlangt — und was seit Juli 2026 nicht mehr darin steht

Die ursprüngliche Fassung der Verordnung (EU) 2024/1689 forderte von Anbietern und Betreibern, „nach besten Kräften sicherzustellen“, dass das Personal „über ein ausreichendes Maß an KI-Kompetenz verfügt“. Zwei Einschränkungen steckten schon damals im Satz: das Bemühen statt des Erfolgs und die ausdrückliche Rückbindung an technische Kenntnisse, Erfahrung, Ausbildung und den Einsatzkontext.

Die durch die Digital-Omnibus-Verordnung (EU) 2026/1744 geänderte Fassung verlangt nur noch, Maßnahmen zu ergreifen, „um die Entwicklung der KI-Kompetenz“ des Personals „zu unterstützen“. Angehängt ist ein Satz, der vorher fehlte: Die Verpflichtung zwinge Anbieter oder Betreiber nicht, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“. Neu sind außerdem zwei Absätze, die Kommission und Mitgliedstaaten in die Pflicht nehmen, Unternehmen — insbesondere KMU — praktisch zu unterstützen.

Wer heute im offiziellen Nachschlagewerk der Kommission liest, findet dort teilweise noch den alten Wortlaut. Der AI Act Service Desk weist auf der Seite zu Artikel 4 selbst darauf hin, dass die Bestimmung durch den Digital Omnibus geändert und der Text noch nicht aktualisiert wurde. Wer Textbausteine aus Ratgebern von 2025 übernimmt, arbeitet mit einer überholten Norm.

Anbieter und Betreiber: der zweite Begriff trifft fast jeden

Adressiert sind zwei Rollen. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt. Betreiber ist nach Artikel 3 Nummer 4, wer ein KI-System in eigener Verantwortung verwendet — ausgenommen ist allein die persönliche, nicht berufliche Nutzung. Ein Handwerksbetrieb, der ein Sprachmodell für Angebotstexte einsetzt, ist damit Betreiber. Eine Steuerkanzlei, die Belege automatisch vorsortieren lässt, ebenso.

Die Pflicht endet nicht an der Personalakte. Erfasst sind auch „andere Personen“, die im Auftrag des Unternehmens mit dem Betrieb und der Nutzung befasst sind. Die Kommission zählt dazu ausdrücklich Auftragnehmer, Dienstleister und je nach Risikolage sogar Kunden. Für externe Dienstleister heißt das: Deren Personal muss über die Kenntnisse verfügen, die für die konkrete Aufgabe nötig sind — vertraglich abbildbar, aber eben abzubilden.

Auch die schlichteste Nutzung fällt darunter. Auf die Frage, ob ein Unternehmen die Pflicht erfüllen muss, dessen Beschäftigte ein Sprachmodell nur zum Verfassen von Werbetexten oder zum Übersetzen verwenden, antwortet die Kommission in ihrem Frage-und-Antwort-Papier knapp mit „Ja“ — die Betroffenen sollten über spezifische Risiken wie Halluzinationen informiert sein.

Artikel 4 kennt kein eigenes Bußgeld

An diesem Punkt liegen viele Darstellungen falsch. Die häufig zitierten 35 Millionen Euro beziehungsweise 7 Prozent des weltweiten Jahresumsatzes gehören zu Artikel 5, den verbotenen KI-Praktiken. Der zweite Rahmen — 15 Millionen Euro oder 3 Prozent — gilt für eine abschließend aufgezählte Liste von Pflichten. Artikel 4 steht in keiner dieser Aufzählungen.

Das bedeutet nicht Straffreiheit. Artikel 99 Absatz 1 verpflichtet die Mitgliedstaaten, für Verstöße gegen die Verordnung insgesamt Sanktionen und „andere Durchsetzungsmaßnahmen“ vorzusehen — dazu gehören ausdrücklich Verwarnungen und nichtmonetäre Maßnahmen. Die Kommission verweist für Artikel 4 genau darauf: Konsequenzen stützen sich auf nationales Recht, das die Mitgliedstaaten bis zum 2. August 2025 erlassen sollten. Und Artikel 99 Absatz 7 nennt als Zumessungskriterium ausdrücklich den „Grad an Verantwortung des Akteurs unter Berücksichtigung der von ihm ergriffenen technischen und organisatorischen Maßnahmen“. Fehlende Schulung wird so zum Verstärker eines anderen Verstoßes.

Wer prüft: die Bundesnetzagentur, seit dem 2. August 2026

Die Durchsetzung von Artikel 4 liegt nicht beim KI-Büro der Kommission, sondern bei den nationalen Marktüberwachungsbehörden. In Deutschland hat das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) diese Rolle geklärt: Der Bundestag beschloss es im Juni 2026, am 10. Juli 2026 passierte es den Bundesrat. Zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur, flankiert von einem Koordinierungs- und Kompetenzzentrum; für KI in regulierten Finanzdienstleistungen ist die BaFin zuständig, in etablierten Produktsektoren bleiben die dort vorhandenen Behörden.

Parallel dazu begann am 2. August 2026 die Durchsetzungsphase der Verordnung. Die Kommission hat das für diesen Stichtag ausdrücklich angekündigt: Von diesem Tag an setzen das Europäische KI-Büro und die nationalen Behörden gemeinsam durch. Zwischen dem Geltungsbeginn von Artikel 4 und der ersten realistischen Prüfmöglichkeit liegen damit rund achtzehn Monate — ein Zeitraum, in dem viele Unternehmen nichts dokumentiert haben, weil niemand fragte.

Warum die Dokumentation zum eigentlichen Prüfgegenstand wird

Eine Pflicht, die kein Kompetenzniveau vorschreibt, lässt sich nicht am Ergebnis messen. Man kann Beschäftigte nicht abprüfen, denn eine Pflicht zur Messung des Wissensstands besteht nach Aussage der Kommission ausdrücklich nicht. Man kann auch kein Zertifikat verlangen, denn keines ist vorgesehen. Was bleibt, ist die Frage, ob überhaupt Maßnahmen ergriffen wurden — und die beantwortet sich in der Praxis über Unterlagen.

Der Satz ist als Entlastung gemeint und wirkt als Verschärfung. Denn er benennt die Beweisform: interne Aufzeichnungen. Wer in einer Prüfung keine Aufzeichnungen vorlegt, hat kein Argument mehr — es gibt keine externe Stelle, die für ihn bezeugen könnte, dass etwas geschehen ist. Die Nachweisführung ist damit nicht der bürokratische Anhang der Pflicht, sondern ihr einziger sichtbarer Teil.

Die vier Schritte, die die Kommission als Mindestinhalt nennt

Das Frage-und-Antwort-Papier des KI-Büros wird an einer Stelle konkret. Es beschreibt vier Erwägungen, die ein Kompetenzprogramm mindestens berücksichtigen sollte. Sie taugen zugleich als Gliederung für die Akte, weil jede Erwägung ein prüfbares Zwischenergebnis erzeugt.

1. Grundverständnis herstellen Was ist KI, wie funktioniert sie, welche Systeme sind im eigenen Haus im Einsatz, welche Chancen und Gefahren bringen sie mit.
2. Eigene Rolle bestimmen Entwickelt die Organisation KI-Systeme selbst oder nutzt sie nur fremde? Anbieter und Betreiber haben unterschiedliche Pflichtenkataloge.
3. Risiko je System bewerten Was müssen Beschäftigte wissen, die mit diesem System arbeiten, welche Risiken müssen sie kennen und mindern können.
4. Maßnahmen daraus ableiten Zugeschnitten auf Vorkenntnisse, Erfahrung und Ausbildung der jeweiligen Gruppe sowie auf Branche und Einsatzzweck.

Ausdrücklich nicht ausreichend ist es, Beschäftigte auf die Gebrauchsanweisung des Systems zu verweisen. Die Kommission hält das in vielen Fällen für unwirksam und verlangt weitergehende Maßnahmen — eine der wenigen klaren Absagen im gesamten Papier.

Was Artikel 4 ausdrücklich nicht verlangt

Ein erheblicher Teil des Aufwands, den Unternehmen für Artikel 4 einplanen, ist rechtlich nicht gefordert. Die Kommission hat vier Punkte ausdrücklich verneint. Wer sie kennt, spart Geld und richtet den Aufwand auf das, was tatsächlich zählt.

Die Ausgangslage in Zahlen

Wie groß der Abstand zwischen Pflicht und Praxis ist, lässt sich beziffern. Nach der IKT-Erhebung des Statistischen Bundesamts nutzten 2025 gut ein Viertel der Unternehmen in Deutschland mit mindestens zehn Beschäftigten künstliche Intelligenz. Die Schulungsquote hält damit nicht Schritt: In einer repräsentativen Bitkom-Befragung von 1.005 Personen im Juli 2025 gaben 70 Prozent der Berufstätigen an, dass ihr Arbeitgeber überhaupt keine KI-Fortbildung anbietet.

Auf Unternehmensseite fällt das Bild ähnlich aus: Nach der Bitkom-Erhebung vom September 2025 bieten nur 8 Prozent der Unternehmen KI-Schulungen für alle Beschäftigten an, 43 Prozent haben kein entsprechendes Angebot. Zugleich sahen sich 32 Prozent als vom AI Act nicht betroffen und 30 Prozent prüften das noch — eine Selbsteinschätzung, die angesichts des weiten Betreiberbegriffs bei vielen nicht tragen dürfte.

Was eine tragfähige Aktenlage enthält

Aus der Systematik der Norm ergibt sich, welche Belege eine Prüfung übersteht. Erstens eine Bestandsaufnahme der eingesetzten KI-Systeme mit Zweck, Anbieter und Einsatzbereich — ohne sie lässt sich die risikoabhängige Abstufung nicht begründen. Zweitens eine Zuordnung, welche Personengruppen mit welchem System arbeiten, einschließlich externer Dienstleister. Drittens die Maßnahme selbst mit Inhalt, Datum und Teilnehmerkreis. Viertens eine interne Nutzungsregel, die den Umgang festlegt, und fünftens ein Datum für die Wiederholung, weil sich Systeme und Risiken schneller ändern als Schulungsunterlagen.

Diese Belege liegen in der Praxis über mehrere Systeme verstreut: das Systemverzeichnis im IT-Betrieb, die Teilnahmelisten in der Personalabteilung, die Nutzungsregel im Qualitätsmanagement. Werkzeuge, mit denen sich die Pflichten aus dem EU AI Act abarbeiten lassen, führen KI-Register, Risiko-Einstufung nach Anhang III, Nutzungsrichtlinie und die Schulungspflicht aus Artikel 4 des AI Act samt Nachweis an einer Stelle zusammen — der Hamburger Anbieter frag.hugo etwa bündelt diese sechs Bausteine in einem Produkt für 49 Euro im Monat, unabhängig von der Zahl der Beschäftigten (Stand: September 2026). Entscheidend ist nicht das Werkzeug, sondern dass die fünf Belege im Prüfungsfall zusammen an einem Ort liegen und ein Datum tragen.

Die Zeitschiene — und was zusätzlich gilt

Wer Hochrisiko-KI betreibt, erfüllt mit Artikel 4 nur den allgemeinen Teil. Artikel 26 verlangt zusätzlich, dass die Personen, die die menschliche Aufsicht ausüben, dafür praktisch geschult und befugt sind. Diese Pflicht ist bußgeldbewehrt und bleibt es auch nach dem Digital Omnibus — die Kommission hebt das in ihrem Papier eigens hervor. Die Anwendungsfristen der Hochrisiko-Vorgaben selbst wurden durch den Omnibus nach hinten verschoben; die Aufsichtspflicht für Betreiber gehört dagegen zum Kern, der bleibt.

Unberührt bleibt außerdem alles, was nicht in der KI-Verordnung steht. Wo personenbezogene Daten in ein KI-System fließen, gelten Rechtsgrundlage, Informationspflichten und Artikel 32 DSGVO unverändert. Wo eine Anwendung Verhalten oder Leistung von Beschäftigten erfassen kann, ist der Betriebsrat nach § 87 Absatz 1 Nummer 6 BetrVG zu beteiligen. Artikel 4 ersetzt keine dieser Prüfungen — er kommt hinzu.

Häufige Fragen

Gilt die Schulungspflicht aus Artikel 4 AI Act auch für kleine Unternehmen?

Ja. Artikel 4 der KI-Verordnung kennt keine Mitarbeiterschwelle und keine Bagatellgrenze. Adressiert ist jeder Betreiber, also jede natürliche oder juristische Person, die ein KI-System in eigener Verantwortung beruflich verwendet. Ausgenommen ist allein die rein persönliche, nicht berufliche Nutzung. Kommission und Mitgliedstaaten sind allerdings nach Artikel 4 Absatz 2 verpflichtet, gerade kleine und mittlere Unternehmen bei der Erfüllung zu unterstützen, unter anderem mit praktischen Beispielen auf der zentralen Informationsplattform.

Drohen für einen Verstoß gegen Artikel 4 Bußgelder von bis zu 35 Millionen Euro?

Nein. Die 35 Millionen Euro beziehungsweise 7 Prozent des weltweiten Jahresumsatzes gelten ausschließlich für die verbotenen KI-Praktiken nach Artikel 5. Artikel 99 der KI-Verordnung, der die Bußgeldtatbestände abschließend aufzählt, nennt Artikel 4 in keinem seiner Absätze. Konsequenzen können sich nur aus den allgemeinen nationalen Durchsetzungsvorschriften ergeben, zu denen auch Verwarnungen und nichtmonetäre Maßnahmen zählen. Fehlende Kompetenzmaßnahmen wirken zudem als erschwerender Umstand bei der Bemessung anderer Bußgelder.

Reicht eine einmalige Online-Schulung für alle Beschäftigten aus?

Das hängt vom Einsatzkontext ab. Die Kommission verlangt ausdrücklich keine Einheitslösung und hält abgestufte Detailtiefen für zulässig: Wer ein Sprachmodell für Textentwürfe nutzt, braucht anderes Wissen als wer ein risikoreicheres System bedient. Eine pauschale Schulung ohne Bezug zu den tatsächlich eingesetzten Systemen erfüllt die vier von der Kommission genannten Erwägungen jedoch nicht. Der bloße Verweis auf die Gebrauchsanweisung eines Systems reicht laut Kommission in vielen Fällen ebenfalls nicht.

Wer kontrolliert die Einhaltung von Artikel 4 in Deutschland?

Zuständig sind die nationalen Marktüberwachungsbehörden, nicht das KI-Büro der Europäischen Kommission. In Deutschland ist die Bundesnetzagentur nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz die zentrale Marktüberwachungsbehörde, soweit keine sektorspezifische Zuständigkeit greift; für KI in regulierten Finanzdienstleistungen ist die BaFin zuständig. Das Gesetz passierte am 10. Juli 2026 den Bundesrat. Die Überwachung und Durchsetzung der KI-Verordnung hat am 2. August 2026 begonnen.

Was ändert der Digital Omnibus konkret an Artikel 4?

Die Verordnung (EU) 2026/1744 hat Artikel 4 zum 27. Juli 2026 neu gefasst. Die Pflicht bleibt bestehen, aber der Maßstab entfällt: Ein bestimmtes oder „ausreichendes“ Kompetenzniveau ist nicht mehr vorgeschrieben, und die Norm stellt ausdrücklich klar, dass niemand ein bestimmtes Niveau garantieren muss. Neu hinzugekommen sind Unterstützungspflichten für Kommission und Mitgliedstaaten sowie ein Auftrag an das KI-Gremium, Empfehlungen mit gemeinsamen Zielen zu verabschieden. Für Betreiber von Hochrisiko-Systemen bleibt die Schulungspflicht aus Artikel 26 unverändert.