EU AI Act: Was Artikel 4 vom Mittelstand verlangt

Seit Februar 2025 muss fast jedes Unternehmen, das ChatGPT, Copilot oder ähnliche Tools nutzt, für KI-Kompetenz im Team sorgen. Ein Bußgeld gibt es dafür nicht. Das eigentliche Risiko liegt woanders, und der neue Digital Omnibus ändert an dieser Pflicht wenig. In den meisten Betrieben taucht die KI-Verordnung als Sorge irgendwann 2026 oder 2027 auf – ein Hochrisiko-Thema, weit weg, etwas für Konzernjuristen. Bei einer einzigen Vorschrift ist diese Einschätzung schlicht falsch, und ausgerechnet die betrifft praktisch jeden.

Artikel 4 der Verordnung (EU) 2024/1689 verlangt seit dem 2. Februar 2025 von jedem Anbieter und jedem Betreiber eines KI-Systems, dass die beteiligten Mitarbeiter über ausreichende KI-Kompetenz verfügen. Wer im Vertrieb ChatGPT für Angebotstexte einsetzt oder im Backoffice Copilot laufen lässt, ist Betreiber im Sinne dieser Verordnung. Die Pflicht gilt somit aktuell, nicht ab einem zukünftigen Stichtag.

Artikel 4 der KI-Verordnung gilt bereits seit 2025

Der Gesetzestext ist kurz und bewusst offen gehalten. Anbieter und Betreiber müssen nach besten Kräften sicherstellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen. Was ausreichend ist, hängt vom Vorwissen der Leute ab, von ihrer Ausbildung und vom Einsatzkontext. Ein Entwickler, der ein Modell in eine Software einbindet, braucht anderes Wissen als eine Sachbearbeiterin, die eine KI-Zusammenfassung gegenliest und freigibt.

Entscheidend ist das Wort Bemühen. Artikel 4 ist als Bemühenspflicht angelegt. Kein Unternehmen muss beweisen, dass jeder Einzelne alles verstanden hat. Nachweisbar sein muss, dass sich das Unternehmen ernsthaft um Kompetenz gekümmert hat.

Die Verordnung definiert KI-Kompetenz in Artikel 3 Nr. 56 als die Fähigkeiten, Kenntnisse und das Verständnis, um KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken und möglichen Schäden bewusst zu sein. Ein Zertifikat, ein bestimmtes Format oder eine Mindestdauer schreibt der Gesetzgeber nicht vor. Das Büro für Künstliche Intelligenz der EU-Kommission stellt das ausdrücklich klar: Es gibt keine Einheitslösung, und eine Pflichtschulung mit Siegel verlangt niemand. Wer mit einem “zertifizierten Sachkundenachweis nach KI-Verordnung” wirbt, verkauft folglich etwas, das amtlicherseits so gar nicht definiert ist.

Warum für Artikel 4 kein eigenes Bußgeld droht

Sobald das Thema Verordnung fällt, kommt die Frage nach der Strafe. Und hier hält sich eine Zahl, die nicht stimmt. Die vielzitierten 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes stehen zwar im Gesetz, gelten aber für verbotene Praktiken nach Artikel 5, etwa für Social Scoring. Mit der Kompetenzpflicht haben sie nichts zu tun.

Für Artikel 4 sieht die Verordnung überhaupt kein eigenes Bußgeld vor. Der Sanktionskatalog in Artikel 99 zählt genau auf, welche Verstöße Geld kosten, und die Kompetenzpflicht fällt nicht darunter.

Rein auf das Bußgeldthema geschaut, kann man somit zunächst aufatmen. Dennoch ist dieses Aufatmen nicht ganz ungefährlich. Das eigentliche Kostenrisiko steckt nicht im Bußgeldkatalog der KI-Verordnung, sondern in der Haftung, wenn etwas schiefgeht. Gibt ein ungeschulter Mitarbeiter eine Kundenliste in ein frei zugängliches KI-Tool ein, wird daraus schnell ein Datenschutzverstoß, und der Bußgeldrahmen der DSGVO reicht bis 20 Millionen Euro oder 4 Prozent des Jahresumsatzes.

Übernimmt jemand eine halluzinierte Vertragsklausel ungeprüft, haftet am Ende das Unternehmen. In solchen Fällen fragt jede Aufsichtsbehörde und jeder gegnerische Anwalt als Erstes: Hat der Betrieb seine Leute im Umgang mit dem System geschult? Wer das nicht belegen kann, steht spürbar schlechter da. Die fehlende Kompetenz wird dann zum Organisationsverschulden und kann ein Bußgeld wegen eines anderen Verstoßes sogar erhöhen.

Was der Digital Omnibus an Artikel 4 ändert

Im Frühjahr 2026 hat die EU nachgebessert. Der sogenannte Digital Omnibus, im Juni 2026 von Parlament und Rat final beschlossen, schiebt einen Teil der Pflichten nach hinten. Für Hochrisiko-KI, wie sie in der Personalauswahl oder in Medizinprodukten steckt, gelten die strengen Anforderungen nun erst ab Dezember 2027 beziehungsweise August 2028. Das verschafft vielen Unternehmen Luft.

Bei der Kompetenzpflicht ist diese Luft dünn. Die Kommission hatte ursprünglich vorgeschlagen, Artikel 4 für Unternehmen ganz zu streichen. Im finalen Text ist die Pflicht geblieben, nur etwas weicher formuliert: Anbieter und Betreiber müssen die KI-Kompetenz ihres Personals fördern, statt ein bestimmtes Niveau jeder einzelnen Person zu garantieren. Einen neuen Aufschub-Stichtag gibt es für Artikel 4 nicht. Die Pflicht gilt unverändert seit Februar 2025 weiter.

Parallel wird Deutschland gerade tätig. Das nationale Durchführungsgesetz hat Bundestag und Bundesrat im Sommer 2026 passiert und macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde für die KI-Verordnung. Ab dem 2. August 2026 können die Behörden die Kompetenzpflicht auch durchsetzen. Vorher bestand sie zwar, wurde aber von niemandem kontrolliert. Genau dieses Fenster schließt sich jetzt.

Wie viel KI-Kompetenz im Unternehmen ausreicht

Bleibt die Frage, die jeden Geschäftsführer umtreibt: Wie viel ist genug? Eine feste Stundenzahl gibt es nicht. Das Büro für Künstliche Intelligenz beschreibt in seinen Hinweisen einen Weg, der sich an Rolle und Risiko orientiert.

Vier Dinge sollte ein Betrieb dafür klären:

• Welche KI steckt überhaupt im Haus? Oft ist es mehr als gedacht, weil KI längst in E-Mail-Programmen, im CRM und in der Buchhaltung mitläuft.
• Wer nutzt sie und in welcher Rolle? Ein Marketingteam, das Texte generiert, braucht anderes Wissen als die IT, die Systeme auswählt und konfiguriert.
• Welche Risiken bringt der jeweilige Einsatz mit sich? Das fängt beim Datenschutz an und geht bis zu schlicht falschen Ergebnissen.
• Welche Maßnahme passt dazu? Das reicht von einer halbstündigen Einweisung bis zur mehrtägigen Weiterbildung.

Ein Punkt aus den Hinweisen der Kommission ist wichtig zu erwähnen, weil er in der Praxis gern übersehen wird. Es genügt nicht, den Mitarbeitenden das Handbuch des Tools hinzulegen. Die Behörde bezeichnet genau das ausdrücklich als unwirksam. Kompetenz heißt, die Grenzen eines Systems zu kennen und zu wissen, wann man seinen Ergebnissen nicht trauen darf.

Quellen:

1. “AI literacy – questions and answers”, Europäische Kommission, Büro für Künstliche Intelligenz
2. Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere Artikel 3, 4 und 99, Europäische Union, eur-lex.europa.eu (CELEX 32024R1689).
3. Hinweispapier “KI-Kompetenzen nach Artikel 4 der KI-Verordnung”, bundesnetzagentur.de, Juni 2025.
4. Artificial Intelligence. Council gives final green light to simplify and streamline rules. Council of the EU. 29.06.2026.

^{Bildnachweis: istockphoto.com/KENGKAT}