EU AI Act Artikel 4: Die KI-Kompetenzpflicht — Vollständiger Leitfaden (2026)

Was verlangt Artikel 4 genau?

Nach dem geltenden Wortlaut ergreifen Anbieter und Betreiber nach besten Kräften Maßnahmen, um ein ausreichendes Niveau an KI-Kompetenz ihres Personals und sonstiger Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, sicherzustellen. Die Vorschrift verlangt Handeln, kein garantiertes Ergebnis, und schreibt keine bestimmte Form vor. Schulung, interne Richtlinie, Bedienungsanleitung und rollenbezogenes Briefing zählen gleichermaßen — vorausgesetzt, das Unternehmen hat tatsächlich etwas getan, und das Getane war den Umständen angemessen.

Die Bewertungskriterien liefert Artikel 4 selbst: das technische Wissen, die Erfahrung, die Ausbildung und Schulung der betroffenen Personen; der Kontext, in dem die Systeme eingesetzt werden; sowie die Personen, bei denen die Systeme zur Anwendung kommen. Daraus folgt: Es gibt keine absolute Schwelle — „ausreichendes Niveau" ist ein relativer, kontextabhängiger Begriff. Erwägungsgrund 20 nennt das Ziel: KI-Kompetenz soll Anbieter, Betreiber und betroffene Personen befähigen, fundierte Entscheidungen zu treffen.

Was bedeutet „KI-Kompetenz" genau?

Artikel 3 Nr. 56 definiert KI-Kompetenz als Fähigkeiten, Kenntnisse und Verständnis, die es Anbietern, Betreibern und betroffenen Personen ermöglichen, KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken und möglichen Schäden bewusst zu werden, die damit einhergehen können. Die Definition beschreibt eine Fähigkeit, kein Lehrprogramm — der Maßstab ist also nicht die Menge des vermittelten Stoffs, sondern ob die Person in ihrer Rolle eine sachkundige Entscheidung treffen kann.

Wer ist betroffen? Anbieter oder Betreiber — der Unterschied

Artikel 4 steht ohne Risikofilter bei den allgemeinen Bestimmungen des AI Act — er gilt daher für Anbieter und Betreiber gleichermaßen, unabhängig von der Risikoeinstufung des Systems. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System in eigener Verantwortung in einem beruflichen Kontext nutzt. Reine Nutzung, wie intensiv auch immer, macht ein Unternehmen für sich genommen noch nicht zum Anbieter — die meisten KMU sind Betreiber: Sie nutzen ein gekauftes oder abonniertes KI-Tool.

Die Pflicht endet nicht bei den eigenen Beschäftigten: Der Wortlaut erfasst auch „sonstige Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind" — nach den KI-Kompetenz-Fragen-und-Antworten der Kommission kann das Subunternehmer, Beauftragte und Leiharbeitskräfte einschließen. Das ist keine verbindliche Auslegung, doch die Aufsichtsbehörden orientieren sich daran. Da gegenüber solchen externen Personen kein Weisungsrecht besteht, ist die praktische Lösung eine vertragliche Klausel zur Kompetenzanforderung und deren Nachweis.

Gilt das auch für kleine Unternehmen — ein Fünf-Personen-Büro?

Ja. Der AI Act unterscheidet nicht nach Unternehmensgröße, und für Artikel 4 gibt es keine KMU-Ausnahme. Die einzige Ausnahme für rein persönliche, nicht berufliche Nutzung gilt für natürliche Personen, nicht für Unternehmen — nutzt ein Fünf-Personen-Büro ein KI-Tool in seiner beruflichen Tätigkeit, ist es Betreiber. Der praktische Aufwand ist jedoch deutlich geringer, als viele annehmen: Realistisch geht es nicht um eine Konformitätsbewertung, sondern im Kern um drei Dinge — ein KI-System-Inventar, eine interne Nutzungsrichtlinie und eine dokumentierte Kompetenzmaßnahme. Auch spielt es keine Rolle, ob es sich um ein kostenloses, öffentlich zugängliches Tool handelt (etwa eine kostenlose Chatbot-Version) — die berufliche Nutzung selbst begründet die Betreiber-Eigenschaft, nicht der Preis.

Seit wann gilt die Pflicht, und gibt es eine Übergangsfrist?

Der Geltungsbeginn von Artikel 4 ist der 2. Februar 2025, und der Digital Omnibus hat dafür keine Übergangsfrist eingeführt. Was der Omnibus geändert hat, ist nicht der Termin, sondern die Art der Pflicht. Eine Feinheit ist erwähnenswert: Das Sanktionsregime nach Artikel 99 gilt erst seit dem 2. August 2025, sodass für den Zeitraum vom 2. Februar bis 2. August 2025 die Rechtsgrundlage für ein Bußgeld umstritten ist — eine Feststellung des Verstoßes und Marktüberwachungsmaßnahmen waren in diesem Zeitraum aber bereits möglich. Die KI-Kompetenz-Fragen-und-Antworten der Kommission besagen zudem, dass die aufsichts- und vollzugsbezogenen Regeln zu Artikel 4 ab dem 3. August 2026 anwendbar sind — dieser Tag ist inzwischen verstrichen, ein behördliches Vorgehen steht damit grundsätzlich offen.

Reicht eine wenige Minuten dauernde Schulung? Gibt es eine vorgeschriebene Stundenzahl?

Weder Stundenzahl noch Häufigkeit noch Mindestdauer sind gesetzlich festgelegt — der Maßstab ist nicht die Dauer, sondern ob die ergriffene Maßnahme für die Rolle und das Risiko angemessen ist. Ein kurzes, gezielt auf die tatsächlich genutzten Systeme zugeschnittenes Modul zählt formal genauso als „Maßnahme" wie ein mehrstündiger Kurs — entscheidend ist, ob diese kurze Form das für die jeweilige Rolle nötige Niveau sachkundiger Entscheidungsfindung erreicht. Als ausdrücklich riskant bezeichnen die Fragen-und-Antworten der Kommission das bloße Versenden einer Bedienungsanleitung oder die Aufforderung „bitte lesen", ohne inhaltlich dokumentierten Abschluss.

Ist eine Prüfung oder ein Zertifikat erforderlich?

Nein. Die Verordnung schreibt weder Prüfung noch verpflichtenden Lehrplan, akkreditierte Schulung, individuelle oder organisatorische Zertifizierung, externe Schulungsanbieter-Pflicht noch eine Registrierungs- oder Meldepflicht vor — und es gibt kein Zertifikat, das eine Konformitätsvermutung begründet. Auch eine harmonisierte Norm existiert für Artikel 4 heute nicht. Eine intern, aus eigenen Ressourcen umgesetzte Vorbereitung erfüllt die Pflicht genauso wie ein gekaufter Kurs — der Unterschied liegt in der Nachweisbarkeit, nicht in der Form.

Welche Nachweise sind aufzubewahren? Was verlangt eine behördliche Prüfung?

Eine vorgeschriebene Dokumentationsform gibt es nicht, der Nachweis ist also formfrei — in der Praxis überzeugt jedoch, was den Bewertungsprozess und dessen Umsetzung gemeinsam zeigt, nicht eine bloße Anwesenheitsliste. Vier Ebenen zusammen ergeben eine belastbare Antwort: das KI-System-Inventar (welches System, zu welchem Zweck, mit welcher Risikoeinstufung), die Rollen-Risiko-Zuordnung (schriftliche Entscheidung, welche Rolle welches Kompetenzniveau braucht und warum — vermutlich das wichtigste Element, weil es die Sorgfaltsprüfung selbst dokumentiert), der Umsetzungsnachweis (datierte Schulungs- oder Briefing-Version, Teilnehmerliste, interne Richtlinie und deren Bekanntmachung) und die Pflegehistorie (Aktualisierung bei neuem System, Rollenwechsel oder nach einem Vorfall). Wenig beweiskräftig sind eine einmalige E-Mail mit Bedienungsanleitung, ein inhaltsleeres Zertifikat oder eine Schulung ohne Bezug zu den tatsächlich genutzten Systemen.

Welche Sanktion droht bei Nichterfüllung?

Unmittelbar keine. Die abschließende Liste bußgeldbewehrter Vorschriften in Artikel 99 Abs. 4 — Art. 16, 22, 23, 24, 26, 31, 33, 34 und 50 — enthält Artikel 4 nicht, weshalb dafür kein EU-weiter Bußgeldrahmen gilt. Wer eine Bußgeldandrohung von 15 Millionen Euro mit Artikel 4 verknüpft, widerspricht dem Wortlaut der Verordnung.

Drei mittelbare Kanäle bleiben dennoch bestehen. Erstens können die Mitgliedstaaten nach Artikel 99 Abs. 1 eigene, nicht monetäre Maßnahmen — einschließlich Verwarnungen — für nicht anderweitig bußgeldbewehrte Verstöße vorsehen; nationale Marktüberwachungsbehörden können laut den Fragen-und-Antworten der Kommission damit auch gegen Verstöße gegen Artikel 4 vorgehen. Zweitens kann ein fehlendes Kompetenzprogramm als mittelbarer Nachweis für einen Verstoß gegen Artikel 26 Abs. 2 dienen, der bei Hochrisikosystemen eine kompetente menschliche Aufsicht verlangt — und dieser Verstoß ist über Artikel 99 Abs. 4 Buchst. e bußgeldbewehrt. Drittens kann das Fehlen als erschwerender Umstand bei der Bemessung eines anderen Bußgelds gewertet werden und fließt in die allgemeinen zivil- und arbeitsrechtlichen Sorgfaltsmaßstäbe ein; in der Praxis ist der stärkste tatsächliche Druck vertraglich und vergabebezogen — eine Erklärung zur KI-Kompetenz wird in B2B-Verträgen zunehmend häufiger verlangt.

Das Verhältnis von Artikel 4 zur menschlichen Aufsicht (Art. 14, 26)

Die drei Vorschriften sind konzentrisch aufgebaut. Artikel 4 ist die allgemeine Grundlage für jedes KI-System und jede betroffene Person im Personal. Artikel 26 Abs. 2 verlangt darüber hinaus, nur bei Hochrisikosystemen, von der konkret mit der Aufsicht betrauten Person Kompetenz, Schulung und Befugnis — und das ist bußgeldbewehrt. Artikel 14 betrifft die Anbieterseite: Ein Hochrisikosystem muss so gestaltet sein, dass natürliche Personen es tatsächlich beaufsichtigen können. Die Erfüllung von Artikel 4 allein erfüllt Artikel 26 Abs. 2 nicht; umgekehrt zählt die Vorbereitung nach Artikel 26 Abs. 2 auch für Artikel 4.

Was hat der Digital Omnibus an Artikel 4 geändert?

Er ersetzte den normativen Kern — „ein ausreichendes Niveau an KI-Kompetenz sicherstellen" — durch „Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz zu unterstützen", und stellte ausdrücklich klar, dass die Vorschrift niemanden verpflichtet, ein bestimmtes Kompetenzniveau einer einzelnen Person zu garantieren. Die Pflicht selbst blieb bestehen, der Geltungsbeginn unverändert am 2. Februar 2025. Der Vorschlag der Kommission vom 19. November 2025 (COM(2025) 836 final) hatte ursprünglich die vollständige Streichung von Artikel 4 vorgesehen; der Kompromiss des Europäischen Parlaments stellte die Pflicht wieder her, senkte aber den Maßstab. Der Gesetzgeber hat sich also bewusst dafür entschieden, die Norm zu erhalten und nur ihre Strenge abzuschwächen.

Der Unterschied zwischen Erfolgspflicht und Bemühenspflicht (Sorgfaltspflicht) ist in der Praxis bedeutsam. Bei einer Erfolgspflicht haftet der Verpflichtete für den zugesagten Zustand, der Entlastungsspielraum ist eng. Bei einer Bemühenspflicht haftet er für ein angemessen sorgfältiges Vorgehen, und ein Verstoß liegt nur vor, wenn dieses Vorgehen das in der jeweiligen Situation allgemein erwartete Niveau nicht erreicht hat — günstiger für den Verpflichteten, aber nicht folgenlos: „Wir haben nichts getan" bleibt auch unter einer Bemühenspflicht ein Verstoß. Der Digital Omnibus on AI, (EU) 2026/1744, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft — das ist geltendes Recht, kein Entwurf.

Wie verhält sich das zur DSGVO?

Beide gelten parallel und unabhängig voneinander. Artikel 2 Abs. 7 des AI Act stellt ausdrücklich klar, dass die Verordnung das Datenschutzrecht der Union nicht berührt — zwischen Artikel 4 und den datenschutzrechtlichen Schulungselementen der DSGVO (Art. 29, 32 Abs. 4, 39) besteht also kein Verdrängungsverhältnis, auch wenn sie sich inhaltlich überschneiden. Beide Schulungsstränge lassen sich in einem Programm zusammenführen, in der Dokumentation sollte aber erkennbar bleiben, welches Element welche Rechtsgrundlage erfüllt hat.

Es gibt auch einen arbeitsrechtlichen Bezug. Artikel 2 Abs. 11 erlaubt es den Mitgliedstaaten, für Arbeitnehmer günstigere Vorschriften beizubehalten oder einzuführen — Artikel 4 ist damit ein Mindeststandard, den nationales Arbeitsrecht oder Kollektivvereinbarungen übertreffen können. Eine gesonderte Regel, Artikel 26 Abs. 7, verlangt von einem als Arbeitgeber handelnden Betreiber, vor Inbetriebnahme eines Hochrisikosystems am Arbeitsplatz die Arbeitnehmervertretung und die betroffenen Arbeitnehmer zu informieren — ein Informationsrecht, kein Mitbestimmungsrecht.

Interne Schulung oder externer Anbieter?

Das Recht bevorzugt keine der beiden Formen. Das von der KI-Behörde gepflegte „living repository" mit Praxisbeispielen — E-Learning-Plattformen, Präsenzschulungen, Bootcamps, Kooperationen zwischen Industrie und Hochschulen — stellt ausdrücklich klar, dass die Veröffentlichung einzelne Praktiken weder bewertet noch billigt, und dass das Übernehmen eines Beispiels keine Konformitätsvermutung für Artikel 4 begründet. Funktional handelt es sich um eine Benchmarking-Ressource — sie zeigt, was die Branche als angemessenen Aufwand betrachtet, nicht ein rechtliches Minimum.

In der Praxis ist die Wahl zwischen internem Briefing und gekauftem Kurs eine organisatorische, keine rechtliche Frage: Teamgröße, wie schnell sich die genutzten Tools ändern, und wie stark der Inhalt auf interne Prozesse zugeschnitten sein muss. Was das Recht tatsächlich verlangt — dokumentierte Bewertung, Rollenbezug und Umsetzungsnachweis — gilt für beide Wege gleichermaßen.

Schritt für Schritt: So wird Artikel 4 umgesetzt

1. KI-System-Inventar erstellen

   Erfassen Sie, welche KI-Systeme Ihr Unternehmen nutzt oder in Verkehr bringt, zu welchem Zweck und in welcher Risikokategorie. Ohne diese Grundlage lässt sich „ausreichendes Niveau" nicht beurteilen.

2. Rollen-Risiko-Zuordnung dokumentieren

   Halten Sie schriftlich fest, welche Rolle welches KI-Kompetenzniveau braucht und warum — das ist das wichtigste Element, weil es die Sorgfaltsprüfung selbst dokumentiert.

3. Niveau anhand der Kriterien aus Artikel 4 festlegen

   Berücksichtigen Sie technisches Wissen, Erfahrung, Ausbildung und Schulung der Betroffenen, den Nutzungskontext sowie die Personen, auf die sich die Ergebnisse des Systems auswirken.

4. Maßnahme umsetzen und mit Datum dokumentieren

   Schulung, interne Richtlinie, Bedienungsanleitung oder rollenbezogenes Briefing — die Form ist frei, die Durchführung (wer, wann, welcher Inhalt) muss aber nachvollziehbar sein.

5. Externe vertraglich einbinden

   Die Pflicht erstreckt sich auf Personen, die in Ihrem Auftrag handeln, ohne dass ein Arbeitsverhältnis besteht — mangels Weisungsrecht wird dies vertraglich geregelt.

6. Programm aktuell halten

   Bei Einführung eines neuen KI-Systems, einem Rollenwechsel oder nach einem Vorfall sollte das Kompetenzprogramm überprüft und die Aktualisierung dokumentiert werden.

Anbieter vs. Betreiber — welche Pflicht wen betrifft

Häufig gestellte Fragen