Was verlangt Art. 4 AI Act heute?
Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag tätiger Personen unterstützen. Dabei berücksichtigen sie technische Kenntnisse, Erfahrung, Aus- und Fortbildung, den Einsatzkontext und die Personen, bei denen die Systeme eingesetzt werden. Der Artikel stellt ausdrücklich klar, dass niemand für eine Person ein bestimmtes Niveau garantieren muss.
KI-Kompetenz definiert Art. 3 Nr. 56 als Fähigkeiten, Kenntnisse und Verständnis, um KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken und möglichen Schäden bewusst zu werden.
Was hat sich 2026 geändert?
Bis Juli 2026 mussten Anbieter und Betreiber nach besten Kräften sicherstellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat diesen Wortlaut ersetzt. Sie erschien am 24. Juli 2026 im Amtsblatt und trat am dritten Tag danach in Kraft, also am 27. Juli 2026. Zur Begründung nennt sie unter anderem den zusätzlichen Aufwand für kleinere Unternehmen.
Die Pflicht ist damit nicht entfallen. Sie verlangt jetzt Maßnahmen und kein bestimmtes Ergebnis. Texte, die noch von ausreichender KI-Kompetenz sprechen, geben den alten Stand wieder. Neu ist auch Absatz 2: Kommission und Mitgliedstaaten unterstützen Anbieter und Betreiber, insbesondere kleine und mittlere Unternehmen, und die Kommission veröffentlicht praktische Beispiele. In Deutschland bietet die Bundesnetzagentur dazu einen KI-Service-Desk an.
Wer seit 2025 bereits geschult hat, muss nichts zurückbauen. Prüfen Sie stattdessen, ob Ihre Maßnahmen und Nachweise die Werkzeuge abdecken, die Ihr Team heute tatsächlich nutzt.
Wen betrifft die Pflicht?
Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, außer bei rein persönlicher, nicht beruflicher Nutzung. Laut Bundesnetzagentur gilt die Pflicht unabhängig von Branche und Größe und auch beim Einsatz von Chatbots. Nutzt Ihr Team solche Werkzeuge beruflich, sind Sie also in der Regel betroffen.
Erfasst sind auch Auftragnehmer und Dienstleister, die in Ihrem Auftrag KI-Systeme betreiben oder nutzen. Die EU-Kommission schreibt außerdem, dass Mitarbeitende, die ChatGPT nutzen, über konkrete Risiken wie erfundene Antworten informiert werden sollten.
Was verlangt Art. 4 nicht?
Eine Pflicht zu einer bestimmten Schulung steht nicht im Artikel. Schulung ist ein naheliegendes Mittel, aber nicht das einzige. Im Einzelnen:
- Kein Zertifikat: Die Kommission hält keines für nötig, die Bundesnetzagentur sieht keine Zertifizierungspflicht.
- Kein festes Format: Die Verordnung legt laut Bundesnetzagentur kein Format fest, Maßnahmen können intern oder extern laufen.
- Kein KI-Beauftragter: Auch er ist laut Bundesnetzagentur nicht vorgeschrieben.
- Kein garantiertes Niveau: Das stellt Art. 4 Abs. 1 Satz 2 klar.
Was sollten Sie konkret tun?
Die Bundesnetzagentur nennt drei Grundsteine zur Orientierung und betont, dass ihre Inhaltsbeispiele weder verpflichtend noch abschließend sind:
- Bedarf ermitteln: Wer nutzt welche KI-Systeme wofür, mit welchen Vorkenntnissen?
- Maßnahmen gestalten: vom Grundverständnis von Daten und KI bis zu rollenspezifischen Trainings.
- Dokumentieren, evaluieren und auffrischen: Art, inhaltlichen und zeitlichen Umfang sowie Teilnehmende festhalten.
Was gehört aus meiner Sicht dazu?
Die Kommission rät, mindestens das allgemeine Verständnis von KI im Unternehmen, die eigene Rolle als Anbieter oder Betreiber und die Risiken der eingesetzten Systeme zu klären und die Maßnahmen an Vorkenntnisse und Kontext anzupassen. Ich ergänze eine kurze schriftliche Nutzungsregel: welche Werkzeuge mit welchen Daten erlaubt sind. Art. 4 verlangt sie nicht, sie macht eine Schulung aber erst konkret.
Drohen Bußgelder wegen Art. 4?
Einen eigenen Bußgeldtatbestand finde ich derzeit nicht: Weder Art. 99 Abs. 4 der KI-Verordnung noch § 15 KI-MIG nennt Art. 4. Folgenlos ist die Pflicht deshalb nicht. Die Aufsichtsregeln gelten laut Kommission seit dem 2. August 2026, und nationale Marktüberwachungsbehörden könnten danach Sanktionen und andere Maßnahmen verhängen. In Deutschland ist grundsätzlich die Bundesnetzagentur zuständig, das KI-MIG gilt seit dem 29. Juli 2026. Die Behörde weist darauf hin, dass fehlende KI-Kompetenz als Verletzung der Sorgfaltspflicht gelten kann, insbesondere wenn ein Schaden entsteht.
Was gilt zusätzlich bei Hochrisiko-KI?
Art. 4 ist die Grundpflicht. Betreiber von Hochrisiko-KI müssen zusätzlich die menschliche Aufsicht Personen übertragen, die über die nötige Kompetenz, Ausbildung und Befugnis verfügen (Art. 26 Abs. 2). Diese Hochrisiko-Pflichten gelten nach der Änderung ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I. Datenschutz und die Mitbestimmung des Betriebsrats regelt Art. 4 nicht, sie gelten daneben.
Dieser Artikel ist keine Rechtsberatung. Ich berate zu Organisation, Informationssicherheit und Technik. Für eine verbindliche Einschätzung ziehen Sie bitte Ihren Datenschutzbeauftragten oder eine Kanzlei hinzu.