KI-Kompetenzpflicht: Was Artikel 4 verlangt und was nicht droht

Seit dem 2. August überwachen die Marktaufsichtsbehörden die Einhaltung des EU AI Act. In Deutschland ist seit dem 29. Juli das Durchführungsgesetz in Kraft, das festlegt, wer dafür zuständig ist. Eine der Pflichten, die damit prüfbar werden, gilt bereits seit anderthalb Jahren und ist in den meisten Unternehmen unbekannt: Wer KI einsetzt, muss dafür sorgen, dass die damit befassten Personen etwas davon verstehen.

Gleichzeitig kursieren zu dieser Pflicht Bußgeldzahlen, die nicht stimmen. Beides gehört zusammen betrachtet.

Das Wichtigste in Kürze: Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber seit dem 2. Februar 2025, ein ausreichendes Maß an KI-Kompetenz bei ihrem Personal sicherzustellen. Die Pflicht trifft jedes Unternehmen, das KI-Systeme im eigenen Namen nutzt, auch bei zugekauften Werkzeugen. Sie ist allerdings nicht bußgeldbewehrt: Artikel 4 steht in keiner der Sanktionslisten des Artikels 99. Folgenlos ist sie trotzdem nicht, weil fehlende Kompetenz bei der Prüfung anderer Verstöße als erschwerender Umstand gewertet wird und im Haftungsfall als Organisationsverschulden in Betracht kommt. Ein Curriculum schreibt die Verordnung nicht vor, eine Dokumentation braucht es dennoch.

Was verlangt Artikel 4 genau?

Dass Anbieter und Betreiber Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. So steht es im Verordnungstext, und mehr steht dort auch nicht.

Was KI-Kompetenz bedeutet, definiert Artikel 3 Nummer 56: die Fähigkeiten, die Kenntnisse und das Verständnis, die einen verantwortungsvollen Einsatz ermöglichen und ein Bewusstsein für Chancen, Risiken und mögliche Schäden schaffen.

Bemerkenswert an dieser Formulierung ist, was sie nicht enthält. Kein Stundenumfang, kein Zertifikat, keine Prüfung, kein vorgeschriebener Anbieter. Die Verordnung beschreibt ein Ziel und überlässt den Weg dem Unternehmen. Das ist eine Erleichterung und eine Zumutung zugleich: Man kann nichts falsch machen, indem man ein bestimmtes Format wählt, aber man kann auch nirgends nachschlagen, wann es genug ist.

Die Pflicht ist organisatorischer Natur. Sie richtet sich an das Unternehmen, nicht an einzelne Beschäftigte. Niemand muss eine Prüfung ablegen, aber die Geschäftsführung muss dafür sorgen, dass die Voraussetzungen vorliegen.

Wer ist betroffen, auch wenn nur ChatGPT genutzt wird?

Praktisch jedes Unternehmen, das KI-Systeme im eigenen Namen einsetzt. Die Verordnung unterscheidet zwischen Anbietern, die KI-Systeme entwickeln oder unter eigenem Namen bereitstellen, und Betreibern, die sie unter eigener Verantwortung verwenden. Der zweite Fall trifft die meisten Mittelständler.

Entscheidend ist dabei ein Punkt, der oft übersehen wird: Es macht keinen Unterschied, ob das System selbst entwickelt oder zugekauft wurde. Wer ein Sprachmodell eines fremden Anbieters im Unternehmen einsetzt, ist dafür Betreiber. Damit fallen auch die Fälle darunter, die niemand als KI-Projekt bezeichnen würde, etwa die Nutzung eines Chatassistenten in der Verwaltung oder ein KI-Werkzeug in der Angebotserstellung.

Der Kreis der Personen ist ebenfalls weiter gefasst als erwartet. Erfasst sind das eigene Personal und andere Personen, die im Auftrag des Unternehmens mit dem Betrieb oder der Nutzung befasst sind. Externe Dienstleister, die im Auftrag arbeiten, gehören dazu.

Wie verbreitet die Betroffenheit ist, zeigt die Bitkom-Erhebung vom April 2026: 41 Prozent der deutschen Unternehmen setzen KI aktiv ein, weitere 48 Prozent planen es. Die Pflicht greift dabei ab dem ersten produktiv genutzten System, nicht ab einer bestimmten Unternehmensgröße.

Was kostet ein Verstoß gegen Artikel 4?

Nach der Verordnung selbst: nichts. Artikel 4 ist nicht bußgeldbewehrt, weil er in keiner der Sanktionslisten des Artikels 99 auftaucht. Diese Aussage widerspricht dem, was in vielen Angeboten zu KI-Schulungen steht, deshalb hier die Staffelung im Einzelnen.

Die häufig zitierten 35 Millionen Euro beziehen sich auf verbotene Praktiken nach Artikel 5, also etwa Social Scoring oder Emotionserkennung am Arbeitsplatz. Mit einer fehlenden Schulung hat das nichts zu tun. Auch die 15 Millionen Euro treffen andere Tatbestände.

Wer Ihnen eine Schulung mit dem Hinweis auf drohende Millionenbußgelder verkauft, argumentiert also mit Zahlen, die für diese Pflicht nicht gelten. Das ist kein Grund, die Pflicht zu ignorieren, aber ein guter Grund, das Angebot kritisch zu lesen.

Warum die Pflicht trotzdem nicht folgenlos ist

Weil sie auf drei anderen Wegen wirkt, und alle drei sind für ein mittelständisches Unternehmen relevanter als ein theoretisches Bußgeld.

Erstens als erschwerender Umstand. Prüft eine Aufsichtsbehörde einen anderen Verstoß, gehört die Frage nach der Kompetenz der Beteiligten zur Sachverhaltsaufklärung. In der Praxis verfolgen Behörden fehlende KI-Kompetenz kaum isoliert, werten sie aber als verschärfenden Faktor, wenn ohnehin etwas anderes im Raum steht.

Zweitens im Haftungsfall. Entsteht durch einen KI-Einsatz ein Schaden, stellt sich die Frage nach dem Organisationsverschulden. Wer nachweisen kann, dass die Beteiligten geschult und die Grenzen des Systems bekannt waren, steht deutlich besser da als jemand, der die Frage nicht beantworten kann. Die Beweislast liegt hier beim Unternehmen.

Drittens als Erwartung der Mitgliedstaaten. Die Kommission geht davon aus, dass nationale Marktaufsichtsbehörden Verstöße gegen Artikel 4 auf Grundlage nationaler Vorschriften ahnden können. Wie das in Deutschland konkret ausgestaltet wird, ist noch nicht abschließend geklärt; das Durchführungsgesetz regelt Zuständigkeiten und Sanktionsvorschriften, eine belastbare Praxis dazu gibt es zum jetzigen Zeitpunkt noch nicht. Bei der Ausgestaltung sind die Interessen von KMU und Start-ups zu berücksichtigen, seit dem 27. Juli 2026 zusätzlich die kleinerer Unternehmen mittlerer Kapitalisierung.

Wer überwacht das in Deutschland?

Die Bundesnetzagentur. Der Bundestag hat das Durchführungsgesetz zur KI-Verordnung am 11. Juni 2026 beschlossen, in Kraft ist es seit dem 29. Juli 2026. Es benennt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, soweit keine anderen Fachbehörden zuständig sind.

Unterstützt wird sie durch die neu eingerichtete Koordinierungs- und Kompetenzstelle KoKIVO, die die Zusammenarbeit der beteiligten Behörden bündelt, für eine einheitliche Auslegung sorgen soll und als Anlaufstelle gegenüber europäischen Institutionen dient. Für ihre jeweiligen Sektoren bleiben BaFin, BSI, BfArM und BfDI zuständig.

Für die Praxis heißt das: Es gibt seit wenigen Wochen einen benannten Adressaten. Wer wissen will, wer im Zweifel fragt, kennt jetzt die Antwort.

Was bedeutet ein ausreichendes Maß?

Etwas, das sich nur im Bezug auf den konkreten Einsatz bestimmen lässt. Die Verordnung verlangt eine Kompetenz, die zur Rolle und zum eingesetzten System passt. Daraus folgt eine Abstufung, die den Aufwand begrenzt.

Die letzte Zeile ist wichtig, weil sie den häufigsten Irrtum ausräumt: Die Pflicht bezieht sich auf Personen, die mit dem Betrieb und der Nutzung befasst sind, nicht auf die gesamte Belegschaft. Eine flächendeckende Schulung aller Mitarbeitenden ist nicht verlangt.

Für Unternehmen, die KI-Agenten mit Kundenkontakt betreiben, kommt eine zusätzliche inhaltliche Anforderung hinzu: Wer den Assistenten betreut, muss wissen, woher dessen Wissen stammt und wo es endet. Wie eine solche Wissensbasis aufgebaut wird, steht im Beitrag zur Wissensbasis von KI-Agenten.

Wie dokumentieren Sie die Erfüllung?

Mit Unterlagen, die zeigen, wer wann worüber unterrichtet wurde. Ein Zertifikat ist nicht vorgeschrieben, ein Nachweis im eigenen Interesse aber unverzichtbar, weil im Haftungsfall das Unternehmen die Erfüllung belegen muss.

Vier Bestandteile reichen für ein mittelständisches Unternehmen.

1. Eine KI-Richtlinie, die benennt, welche Werkzeuge freigegeben sind, welche Daten nicht eingegeben werden dürfen und wer über neue Werkzeuge entscheidet.
2. Eine Teilnehmerliste mit Datum, Inhalt und Unterschrift, auch bei einer einstündigen internen Unterweisung.
3. Rollenbezogene Kurzunterlagen, also je ein Blatt für die Gruppen aus der Tabelle oben, statt einer Schulung für alle.
4. Ein Wiederholungsintervall, üblicherweise jährlich, mit Nachtrag bei jedem neu freigegebenen System.

Wer bereits eine Richtlinie für den KI-Einsatz erstellt hat, etwa im Zuge der Transparenzpflichten, kann diese erweitern statt eine zweite anzulegen. Was seit dem 2. August 2026 zur Kennzeichnung gilt, steht im Beitrag zur KI-Kennzeichnungspflicht nach Artikel 50.

Was tun, wenn bisher nichts passiert ist?

Der Rückstand lässt sich in einem halben Tag aufholen, und das ist keine Untertreibung. Die Pflicht besteht seit Februar 2025, aber sie verlangt keine nachträgliche Rekonstruktion, sondern einen belegbaren Zustand ab jetzt.

Ein Vorgehen in vier Schritten:

1. Bestandsaufnahme. Aufschreiben, welche KI-Werkzeuge im Unternehmen tatsächlich genutzt werden. Die Liste ist erfahrungsgemäß länger als erwartet, weil Werkzeuge in Fachabteilungen einzeln eingeführt wurden.
2. Zuordnung. Für jedes Werkzeug festhalten, wer damit arbeitet und in welcher der vier Gruppen diese Personen stehen.
3. Unterweisung. Je Gruppe eine Unterlage erstellen und eine Besprechung durchführen. Für die größte Gruppe genügt in der Regel eine Stunde.
4. Festhalten. Richtlinie, Teilnehmerliste und Wiederholungstermin ablegen, an einer Stelle, die im Zweifel auffindbar ist.

Wer diesen Weg geht, erfüllt die Anforderung nicht nur formal. Der eigentliche Nutzen liegt darin, dass in den meisten Unternehmen zum ersten Mal jemand vollständig weiß, welche KI-Werkzeuge im Einsatz sind. Diese Liste ist auch für alles andere die Grundlage, von der Datenschutzprüfung bis zur Frage, wofür eigentlich bezahlt wird.

Häufige Fragen

Seit wann gilt die KI-Kompetenzpflicht? Seit dem 2. Februar 2025. Sie ist damit eine der ersten Bestimmungen der KI-Verordnung, die wirksam wurden. Seit dem 2. August 2026 überwachen die Marktaufsichtsbehörden die Einhaltung, in Deutschland auf Grundlage des Durchführungsgesetzes, das seit dem 29. Juli 2026 in Kraft ist.

Drohen Bußgelder, wenn wir niemanden geschult haben? Nicht nach der Verordnung selbst. Artikel 4 ist in keiner der Sanktionslisten des Artikels 99 aufgeführt. Die häufig genannten 35 Millionen Euro betreffen verbotene Praktiken nach Artikel 5, die 15 Millionen Euro andere Pflichten. Relevant wird fehlende Kompetenz als erschwerender Umstand bei anderen Verstößen und im Haftungsfall als Organisationsverschulden.

Müssen wir alle Mitarbeitenden schulen? Nein. Die Pflicht betrifft Personen, die mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Wer damit nicht arbeitet, fällt nicht darunter. Sinnvoll ist eine Abstufung nach Rolle: Überblick für die Geschäftsführung, ausführlich für die tägliche Nutzung, kurz und schriftlich für gelegentliche Nutzung.

Gilt die Pflicht auch bei zugekauften Werkzeugen? Ja. Wer ein KI-System unter eigener Verantwortung einsetzt, ist Betreiber im Sinne der Verordnung, unabhängig davon, wer es entwickelt hat. Die Nutzung eines fremden Sprachmodells im Unternehmen fällt darunter.

Welche Behörde ist in Deutschland zuständig? Die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, soweit keine anderen Fachbehörden zuständig sind. Unterstützt wird sie durch die Koordinierungs- und Kompetenzstelle KoKIVO. Für ihre Sektoren bleiben BaFin, BSI, BfArM und BfDI zuständig.

Brauchen wir ein Zertifikat oder eine bestimmte Schulung? Nein. Die Verordnung schreibt weder ein Curriculum noch ein Format noch einen Anbieter vor. Anerkannt sind Schulungen ebenso wie interne Richtlinien und Multiplikatorenprogramme. Entscheidend ist, dass die Kompetenz zur Rolle passt und dass sich die Erfüllung belegen lässt.

Fazit

Die KI-Kompetenzpflicht ist ein ungewöhnlicher Fall: eine Vorschrift, die seit anderthalb Jahren gilt, kaum bekannt ist, seit wenigen Wochen überwacht wird und kein eigenes Bußgeld kennt. Genau diese Kombination führt zu zwei entgegengesetzten Fehlern. Die einen ignorieren sie, weil nichts droht. Die anderen kaufen teure Programme gegen ein Bußgeld, das es für diesen Fall nicht gibt.

Angemessen ist der mittlere Weg. Der Aufwand für ein mittelständisches Unternehmen liegt bei einem halben Tag und drei Dokumenten. Was danach vorliegt, ist nicht nur ein Nachweis gegenüber einer Behörde, die vielleicht nie fragt, sondern eine vollständige Liste der eingesetzten Werkzeuge und eine klare Regel, wer damit was darf. Beides fehlt in den meisten Unternehmen, und beides ist unabhängig von jeder Aufsicht nützlich.

Dieser Beitrag gibt den Informationsstand vom 21. August 2026 wieder und ersetzt keine Rechtsberatung.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4 (KI-Kompetenz, anwendbar seit 2. Februar 2025), Artikel 3 Nummer 56 (Begriffsbestimmung), Artikel 5 (verbotene Praktiken), Artikel 99 (Sanktionen)
• Gesetz zur Durchführung der KI-Verordnung, vom Bundestag beschlossen am 11. Juni 2026, in Kraft seit 29. Juli 2026: Bundesnetzagentur als zentrale Marktüberwachungsbehörde, Koordinierungs- und Kompetenzstelle KoKIVO, Fachzuständigkeit von BaFin, BSI, BfArM und BfDI
• Bitkom, KI-Studie April 2026: 41 Prozent der deutschen Unternehmen mit aktivem KI-Einsatz, 48 Prozent in Planung