Ratgeber
EU AI Act: Pflicht zur KI-Kompetenz nach Art. 4 — was Unternehmen jetzt tun müssen
Die EU-KI-Verordnung (AI Act) gilt gestaffelt. Eine Pflicht trifft aber schon heute praktisch jedes Unternehmen, das KI nutzt: die Pflicht zur KI-Kompetenz. Dieser Ratgeber erklärt, was sie verlangt, wie ihr sie umsetzt und wo die übrigen Pflichten der Verordnung ansetzen.
Kurz gesagt
Was verlangt Art. 4 des EU AI Act? Seit dem 2. Februar 2025 müssen Unternehmen, die KI-Systeme anbieten oder einsetzen, nach besten Kräften sicherstellen, dass ihre Beschäftigten und andere Personen, die in ihrem Auftrag mit KI arbeiten, über ausreichende KI-Kompetenz verfügen. Das gilt unabhängig von der Risikoklasse — also auch für ChatGPT, Copilot oder einen internen Assistenten. Praktisch heißt das: genutzte KI-Systeme erfassen, rollenbezogen schulen, eine KI-Richtlinie erlassen und alles dokumentieren.
Was Art. 4 verlangt
Nach Art. 4 ergreifen Anbieter und Betreiber von KI-Systemen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung und Schulung, der Kontext des Einsatzes und die Personen, bei denen die KI eingesetzt wird.
Betreiber ist jede Organisation, die ein KI-System in eigener Verantwortung beruflich verwendet (Art. 3 Nr. 4). Ein Unternehmen, das Mitarbeitenden einen Chat-Assistenten bereitstellt, ist damit Betreiber. Die Pflicht gilt seit dem 2. Februar 2025, ohne Ausnahme für kleine Unternehmen und unabhängig davon, ob das System als hochriskant gilt.
Für einen Verstoß gegen Art. 4 sieht die Verordnung selbst kein eigenes Bußgeld vor. Fehlende Schulung kann aber bei Schäden, in Haftungsfragen und bei der Bewertung anderer Verstöße eine Rolle spielen. Die EU-Kommission hat im November 2025 mit dem „Digital Omnibus“ Änderungen am AI Act vorgeschlagen, die auch Art. 4 und einzelne Fristen betreffen — maßgeblich ist der jeweils geltende Text.
Was „ausreichende KI-Kompetenz“ bedeutet
Die Verordnung definiert KI-Kompetenz als die Fähigkeiten, Kenntnisse und das Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen und sich der Chancen und Risiken sowie möglicher Schäden bewusst zu werden (Art. 3 Nr. 56). Einen festen Lehrplan oder ein Pflichtzertifikat gibt es nicht. Was ausreicht, hängt von Rolle und Einsatz ab.
- Grundlagen: wie generative KI Antworten erzeugt und warum sie überzeugend falsch liegen kann
- Grenzen: erfundene Fakten (Halluzinationen), veraltetes Wissen, Verzerrungen
- Recht: Datenschutz, Geschäftsgeheimnisse, Urheberrecht, Kennzeichnung
- Rollenbezogen: Wer Ergebnisse weitergibt, braucht eine Prüfroutine; wer Systeme konfiguriert, mehr Tiefe
Praktische Maßnahmen
- Bestandsaufnahme: Welche KI-Systeme werden genutzt — auch privat beschaffte Werkzeuge?
- Zielgruppen festlegen: alle Mitarbeitenden, Fachbereiche mit besonderem Risiko, Administratoren
- Schulung: ein Basismodul für alle, Vertiefungen je Rolle, Auffrischung bei neuen Werkzeugen
- KI-Richtlinie: freigegebene Werkzeuge, verbotene Eingaben, Prüfpflicht, Ansprechpartner
- Dokumentation: wer wann woran teilgenommen hat, mit Inhalten und Materialien
- Ansprechperson für Fragen und Vorfälle benennen
Die Risikokategorien im Überblick
Die übrigen Pflichten der Verordnung richten sich nach dem Risiko des Einsatzes und gelten gestaffelt:
- Verbotene Praktiken (Art. 5), seit 2. Februar 2025: etwa Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit Ausnahmen aus medizinischen oder Sicherheitsgründen) und das ungezielte Auslesen von Gesichtsbildern
- KI-Modelle mit allgemeinem Verwendungszweck (GPAI, Art. 51 ff.), seit 2. August 2025: Pflichten für die Anbieter solcher Modelle, etwa technische Dokumentation und eine Strategie zum Urheberrecht
- Hochrisiko-KI nach Anhang III, nach dem Zeitplan der Verordnung ab 2. August 2026: Bereiche wie Beschäftigung und Personalmanagement, Bildung, Zugang zu wesentlichen Diensten wie Kreditwürdigkeit, kritische Infrastruktur, Strafverfolgung, Migration und Justiz
- Transparenzpflichten (Art. 50), ab 2. August 2026: Hinweis, dass man mit einer KI interagiert, maschinenlesbare Kennzeichnung synthetischer Inhalte, Offenlegung von Deepfakes und von KI-Texten, die zur Information der Öffentlichkeit veröffentlicht werden
- Geringes Risiko: keine besonderen Pflichten — außer der KI-Kompetenz nach Art. 4
Pflichten als Betreiber
Für alle Betreiber gilt Art. 4. Dazu kommen die Transparenzpflichten nach Art. 50 Abs. 3 und 4: Wer Deepfakes erzeugt oder KI-Texte zur Information der Öffentlichkeit veröffentlicht, muss das offenlegen, soweit keine menschliche redaktionelle Kontrolle stattfindet.
Wer ein Hochrisiko-System einsetzt, hat nach Art. 26 deutlich mehr zu tun: Verwendung gemäß Betriebsanleitung, menschliche Aufsicht durch kompetente Personen, Kontrolle der Eingabedaten, Überwachung des Betriebs, Aufbewahrung der Protokolle für mindestens sechs Monate und Information der Beschäftigten und ihrer Vertretung vor dem Einsatz am Arbeitsplatz. Wer ein System wesentlich verändert oder für einen Hochrisiko-Zweck umwidmet, kann selbst zum Anbieter werden (Art. 25).
Wie ein Assistenz- oder RAG-System in der Regel eingestuft wird
Ein internes Assistenzsystem, das Fragen zu Unternehmensdokumenten beantwortet, Texte entwirft oder recherchiert, fällt in der Regel nicht unter Anhang III und ist damit kein Hochrisiko-System. Es bleiben die KI-Kompetenz nach Art. 4 und, je nach Verwendung, die Transparenzpflichten nach Art. 50 — etwa wenn Kunden direkt mit dem System sprechen.
Entscheidend ist der Zweck, nicht die Technik: Wird dasselbe System genutzt, um Bewerbungen zu sichten, Beschäftigte zu bewerten oder über Kredite zu entscheiden, kann der Einsatz in einen Hochrisiko-Bereich fallen. Die Einstufung des konkreten Einsatzes liegt beim Betreiber.
Vryne ist ein solches Assistenzsystem für Wissen und Recherche. Antworten sind als KI-Antworten erkennbar und mit Quellen belegt, die Nutzung steht im Aktivitätsprotokoll.
Zum Herunterladen
Ohne Anmeldung und ohne E-Mail-Adresse: als PDF zum Ausdrucken und Abhaken, als Markdown zum Weiterbearbeiten in jedem Editor, in Word oder im Wiki.
Häufige Fragen
Gilt die Pflicht zur KI-Kompetenz auch für kleine Unternehmen?
Ja. Art. 4 AI Act kennt keine Ausnahme nach Unternehmensgröße. Er gilt für jedes Unternehmen, das KI-Systeme beruflich einsetzt. Wie umfangreich die Maßnahmen sein müssen, richtet sich aber nach Kontext und Risiko des Einsatzes — für ein kleines Büro mit einem Chat-Assistenten genügt weniger als für einen Konzern mit eigener KI-Entwicklung.
Muss man für die KI-Kompetenz ein Zertifikat nachweisen?
Nein. Die Verordnung schreibt weder ein Zertifikat noch einen bestimmten Kurs vor. Sinnvoll ist eine Dokumentation, wer wann mit welchen Inhalten geschult wurde, damit ihr die getroffenen Maßnahmen bei Bedarf belegen könnt.
Was passiert bei Verstößen gegen Art. 4 AI Act?
Die Verordnung sieht für Art. 4 kein eigenes Bußgeld vor. Fehlende KI-Kompetenz kann aber bei Schadensfällen, in Haftungsfragen und bei der Bewertung anderer Verstöße gegen den Betreiber sprechen.
Ist ChatGPT ein Hochrisiko-KI-System?
In der Regel nicht. Das zugrunde liegende Modell ist ein KI-Modell mit allgemeinem Verwendungszweck, für dessen Anbieter eigene Pflichten gelten. Ob ein Einsatz hochriskant ist, entscheidet der Zweck: Wer einen Chat-Assistenten zur Bewerberauswahl einsetzt, kann in den Hochrisiko-Bereich nach Anhang III geraten.
Ab wann gelten die Transparenzpflichten nach Art. 50 AI Act?
Nach dem Zeitplan der Verordnung ab dem 2. August 2026. Dann muss etwa erkennbar sein, dass man mit einer KI interagiert, und Deepfakes sowie KI-Texte zur Information der Öffentlichkeit müssen offengelegt werden, soweit keine redaktionelle Kontrolle stattfindet.
Keine Rechtsberatung: Dieser Ratgeber gibt einen allgemeinen Überblick zum genannten Stand und ersetzt nicht die Prüfung des Einzelfalls durch eure Datenschutzbeauftragten oder eine Rechtsberatung.
KI einführen, ohne die Daten aus der Hand zu geben
Vryne beantwortet Fragen aus euren eigenen Dokumenten, belegt jede Aussage mit der Fundstelle und läuft mit Anwendung, Daten und Sprachmodellen in Deutschland. Der Einstieg ist kostenlos.
Weitere Ratgeber
DSGVO-konforme KI im Unternehmen einführen: Schritt für Schritt
Zehn Schritte von Zweck und Rechtsgrundlage über Anbieterauswahl, AVV, DSFA und Betriebsrat bis zum Rollout.
Lesen
KI-Richtlinie für Mitarbeitende: Vorlage zum Anpassen
Was in eine KI-Richtlinie gehört — und die vollständige Vorlage mit Platzhaltern zum Übernehmen.
Lesen