KI-Kompetenz nach Art. 4 EU AI Act

Was Unternehmen jetzt umsetzen müssen

Seit dem 2. Februar 2025 gilt die Pflicht zur KI-Kompetenz nach Art. 4 der KI-Verordnung. Anbieter und Betreiber von KI-Systemen müssen sicherstellen, dass ihre Mitarbeitenden und die Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ein ausreichendes Maß an KI-Verständnis verfügen. Die Pflicht ist damit eine der ersten materiellen Anforderungen des EU AI Act, die bereits in Kraft sind – und sie betrifft praktisch jedes Unternehmen, das KI einsetzt.

Dennoch bleibt Art. 4 für viele Unternehmen eine der am wenigsten greifbaren Pflichten der KI-Verordnung. Weder Inhalte noch Formate sind vorgeschrieben. Der Gesetzgeber lässt bewusst Spielraum. Das schafft Flexibilität, aber auch Unsicherheit. Dieser Beitrag erläutert, was Art. 4 konkret verlangt, welche Orientierungshilfen bereits vorliegen und wie Unternehmen die Pflicht praktisch umsetzen können.

1. Was Art. 4 verlangt: Der Wortlaut und seine Reichweite

Art. 4 der KI-Verordnung formuliert die Pflicht bewusst offen: „Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz bei ihrem Personal und anderen Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind.“

Die Formulierung „nach besten Kräften“ signalisiert eine Bemühungspflicht, keine Erfolgspflicht. Unternehmen müssen nachweisen können, dass sie angemessene Maßnahmen ergriffen haben – nicht, dass jeder Mitarbeitende ein bestimmtes Kompetenzniveau erreicht hat. Das bedeutet: Dokumentation der Maßnahmen ist entscheidend.

Der personelle Anwendungsbereich ist weit gefasst. Er umfasst nicht nur eigene Mitarbeitende, sondern auch Auftragnehmer, Dienstleister und andere Personen, die im Auftrag des Unternehmens mit KI-Systemen arbeiten. Für Unternehmen mit externen IT-Dienstleistern oder Beratungsteams bedeutet das, dass auch deren KI-Kompetenz im Verantwortungsbereich liegt.

Die Definition von KI-Kompetenz findet sich in Art. 3 Nr. 56 der Verordnung: „Fähigkeiten, Kenntnisse und Verständnis, die es Anbietern, Betreibern und betroffenen Personen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, eine informierte Nutzung von KI-Systemen vorzunehmen und sich der Chancen und Risiken von KI sowie möglicher Schäden bewusst zu werden.“

Bei der Ausgestaltung der Maßnahmen müssen Unternehmen vier Faktoren berücksichtigen: die technischen Kenntnisse und die Erfahrung des Personals, den Ausbildungs- und Schulungshintergrund, den Nutzungskontext der KI-Systeme sowie die Personen oder Gruppen, die von den Systemen betroffen sind.

2. Orientierungshilfen: Was die Kommission empfiehlt

Die Europäische Kommission und das AI Office haben in den ersten Monaten nach Inkrafttreten der Pflicht praktische Orientierungshilfen bereitgestellt.

Zentral ist die von der Kommission veröffentlichte Sammlung bewährter Praktiken zur KI-Kompetenz (Repository of AI Literacy Practices). Diese enthält über 40 Initiativen aus Unternehmen und dem öffentlichen Sektor – darunter E-Learning-Plattformen, Präsenzschulungen, Bootcamps und Kooperationen zwischen Wirtschaft und Wissenschaft.

Ergänzend hat das AI Office in einer Fragen-und-Antworten-Dokumentation (AI Literacy Q&A) klargestellt, dass keine formalen Zertifizierungen vorgeschrieben sind. Entscheidend ist, dass Unternehmen ihre Schulungsmaßnahmen dokumentieren. Die Kommission betont ausdrücklich, dass es keinen einheitlichen Ansatz gibt: Unternehmen sollen allgemeine KI-Sensibilisierung mit rollen- und unternehmensspezifischen Schulungen kombinieren.

Dieser flexible Ansatz spiegelt die Haltung der Kommission wider, angesichts der schnellen Entwicklung im KI-Bereich keine starren Vorgaben zu machen. Für Unternehmen bedeutet das einerseits Gestaltungsfreiheit, andererseits die Verantwortung, einen auf die eigene Situation zugeschnittenen Ansatz zu entwickeln und zu dokumentieren.

3. Der Digital Omnibus und Art. 4: Abschwächung oder Bestandsschutz?

Die Zukunft von Art. 4 war Gegenstand der Verhandlungen zum Digital Omnibus on AI. Die Kommission hatte in ihrem Vorschlag vom 19. November 2025 eine deutliche Abschwächung vorgeschlagen: Die direkte Verpflichtung von Anbietern und Betreibern sollte zu einer institutionellen Förderungsaufgabe herabgestuft werden. Statt selbst die KI-Kompetenz ihres Personals sicherzustellen, sollten Kommission und Mitgliedstaaten Anbieter und Betreiber lediglich dazu ermutigen, entsprechende Maßnahmen zu ergreifen – etwa durch Schulungsangebote, Informationsmaterialien und den Austausch bewährter Praktiken.

Sowohl der EDPB als auch der EDPS lehnten diese Abschwächung in ihrer Gemeinsamen Stellungnahme 1/2026 vom 20. Januar 2026 ab. Sie argumentierten, dass KI-Kompetenz das Verständnis von KI-Konzepten sicherstelle, ethisches und soziales Bewusstsein schärfe und eine Schlüsselrolle dabei spiele, Betroffene über den gesamten KI-Lebenszyklus hinweg zu befähigen, Grundrechte zu schützen und die Einhaltung der Verordnung zu unterstützen. Die bestehende Verpflichtung der Anbieter und Betreiber dürfe daher nicht durch eine bloße Förderungsaufgabe der Institutionen ersetzt werden. Falls der Gesetzgeber eine neue Förderungspflicht für Kommission und Mitgliedstaaten einführen wolle, müsse diese die bestehende Pflicht ergänzen, nicht ersetzen.

Das Europäische Parlament folgte dieser Linie teilweise in seiner am 26. März 2026 mit 569 Stimmen verabschiedeten Verhandlungsposition. Art. 4 bleibt als Pflicht der Anbieter und Betreiber erhalten, allerdings mit einer substanziell abgesenkten Formulierung: Statt ein „ausreichendes Maß an KI-Kompetenz sicherzustellen“, sollen Unternehmen künftig die „Verbesserung der KI-Kompetenz unterstützen“. Ergänzend sieht die Parlamentsposition eine Pflicht der Kommission zur Bereitstellung praktischer Umsetzungsleitlinien vor und fördert öffentlich-private Partnerschaften für breitere Kompetenzentwicklung.

Der Rat ging in seiner am 13. März 2026 verabschiedeten Position weiter in Richtung der Kommission: Er übernahm die Verlagerung der Pflicht von den Unternehmen auf EU- und nationale Behörden weitgehend, ergänzte allerdings einen Verweis auf die bestehenden Schulungs- und Kompetenzpflichten für Betreiber von Hochrisiko-KI-Systemen nach anderen Vorschriften des AI Act.

Die endgültige Formulierung wird im Trilog festgelegt. Die interinstitutionellen Verhandlungen wurden noch am Tag der Plenarabstimmung am 26. März 2026 aufgenommen, mit dem Ziel einer Einigung bis Ende April 2026 – getrieben durch den Druck, die Änderungen vor dem allgemeinen Anwendungsdatum des AI Act am 2. August 2026 zu verabschieden. Die Richtung ist klar: Art. 4 wird in keiner der drei Positionen gestrichen. Das Pflichtenniveau wird sich aber voraussichtlich gegenüber dem ursprünglichen Wortlaut abschwächen. Unternehmen sollten sich nicht darauf verlassen, dass die Pflicht entfällt – wohl aber darauf einstellen, dass sich der geforderte Standard von „sicherstellen“ hin zu „unterstützen“ verschiebt.

4. Praktische Umsetzung: Rollenbasierter Ansatz

Die Erfahrung der ersten vierzehn Monate seit Inkrafttreten zeigt, dass ein rollenbasierter Ansatz sich als praktikabelstes Umsetzungsmodell durchsetzt. Nicht jeder Mitarbeitende benötigt das gleiche Kompetenzniveau. Entscheidend ist, dass die Schulungstiefe zum Risikoprofil und zur Rolle passt.

Ebene 1 – Grundlagenwissen (alle Mitarbeitenden): Allgemeines Verständnis von KI, Chancen und Risiken, grundlegende Kenntnisse des EU AI Act und der unternehmensspezifischen KI-Richtlinien. Umfang: 2-4 Stunden E-Learning oder Präsenzschulung.

Ebene 2 – Anwendungswissen (Mitarbeitende mit KI-Kontakt): Vertiefte Kenntnisse zu den eingesetzten KI-Systemen, Verständnis der Transparenz- und Aufsichtspflichten, Fähigkeit zur Erkennung von Fehlfunktionen und Bias. Umfang: 1-2 Tage rollenspezifische Schulung.

Ebene 3 – Steuerungswissen (Führungskräfte und Governance-Verantwortliche): Verständnis der regulatorischen Anforderungen, Fähigkeit zur Risikobewertung, Kenntnis der Compliance-Pflichten und Sanktionen, Verantwortung für die KI-Governance-Struktur. Umfang: 1 Tag Executive Training plus fortlaufende Updates.

Ebene 4 – Fachwissen (KI-Entwickler und Datenwissenschaftler): Technische Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation und Konformitätsbewertung. Kenntnis relevanter Normen (insbesondere ISO/IEC 42001 für KI-Managementsysteme). Umfang: Fortlaufende fachliche Weiterbildung.

5. ISO 42001 als Rahmenwerk für die KI-Kompetenz

Die internationale Norm ISO/IEC 42001 für KI-Managementsysteme bietet einen strukturierten Rahmen, der die Umsetzung von Art. 4 unterstützt. Insbesondere Klausel 7.2 der Norm adressiert die Kompetenzanforderungen an Personen, die innerhalb des KI-Managementsystems tätig sind.

Die Überschneidung zwischen ISO 42001 und den Anforderungen des EU AI Act ist erheblich. Unternehmen, die ein KI-Managementsystem nach ISO 42001 aufbauen, schaffen damit gleichzeitig eine Grundlage für die Erfüllung der KI-Kompetenzpflicht. Im Finanzsektor wird ISO 42001 zunehmend als Orientierungsrahmen für die KI-Governance herangezogen.

Allerdings ersetzt eine ISO-42001-Zertifizierung nicht die spezifische Compliance mit Art. 4. Die Norm liefert das „Wie“ – das Managementsystem und die Prozesse. Die KI-Verordnung definiert das „Was“ – die regulatorischen Anforderungen und Mindeststandards. Beide ergänzen sich, sind aber nicht deckungsgleich.

6. Durchsetzung und Sanktionen: Was droht bei Nicht-Einhaltung?

Die Pflicht nach Art. 4 gilt seit Februar 2025. Die Mitgliedstaaten waren verpflichtet, ihre zuständigen nationalen Aufsichtsbehörden bis zum 2. August 2025 zu benennen. Die Durchsetzung kann ab diesem Zeitpunkt erfolgen – in der Praxis hängt sie vom Stand der nationalen Umsetzung ab. In Deutschland wird die Bundesnetzagentur als zentrale KI-Aufsichtsbehörde fungieren; das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) befindet sich derzeit im parlamentarischen Verfahren.

Verstöße gegen Art. 4 fallen unter die zweite Sanktionsstufe der KI-Verordnung (Art. 99). Die möglichen Bußgelder betragen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Für KMU und Startups sieht die Verordnung eine Berücksichtigung der Unternehmensgröße bei der Bemessung vor.

In der Praxis dürfte Art. 4 selten als eigenständiger Verstoß verfolgt werden. Wahrscheinlicher ist, dass mangelnde KI-Kompetenz als erschwerender Faktor bei Verstößen gegen andere Pflichten der Verordnung gewertet wird – etwa bei unzureichender menschlicher Aufsicht über Hochrisiko-KI-Systeme oder bei Verstößen gegen Transparenzpflichten. Umgekehrt kann eine dokumentierte und angemessene KI-Kompetenzstrategie als mildernder Faktor wirken.

Fazit: Eine Pflicht, die sich auszahlt

Art. 4 ist keine bürokratische Übung. KI-Kompetenz ist die Voraussetzung dafür, dass alle weiteren Pflichten der KI-Verordnung sinnvoll umgesetzt werden können – von der Risikoklassifizierung über die menschliche Aufsicht bis zur Transparenz. Unternehmen, die jetzt einen strukturierten, rollenbasierten Ansatz aufbauen und dokumentieren, erfüllen nicht nur die gesetzliche Pflicht, sondern schaffen die Grundlage für eine verantwortungsvolle KI-Nutzung.

Die Richtung ist klar: Auch nach dem Digital Omnibus bleibt Art. 4 als verbindliche Pflicht bestehen. Die gewonnene Zeit bis zur vollen Durchsetzung sollte genutzt werden, um Schulungsprogramme zu entwickeln, Verantwortlichkeiten zu klären und die Maßnahmen zu dokumentieren. Die regulatorische Erwartungshaltung ist eindeutig – und die Investition in KI-Kompetenz ist eine, die sich unabhängig vom genauen Zeitplan auszahlt.

Lesen Sie mehr zum Thema!

• EU AI Act – Die vier Risikoklassen im Überblick
• Compliance-Strategien für Hochrisiko-KI im Unternehmen