Artikel 4 EU AI Act: Die KI-Kompetenz-Pflicht (AI Literacy) verständlich erklärt

Artikel 4 EU AI Act (KI-Kompetenz) verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, die die KI-Kompetenz ihres Personals fördern. Die Pflicht gilt seit 2. Februar 2025, betrifft alle Risikostufen und wird über dokumentierte, rollenbasierte Schulungen erfüllt. Einen eigenen Bußgeldrahmen hat Artikel 4 im AI Act nicht, die Sanktionen legen die Mitgliedstaaten fest.

Die KI-Kompetenz-Pflicht ist die am häufigsten unterschätzte Vorschrift der gesamten KI-Verordnung. Sie ist keine Hochrisiko-Sondernorm, sondern eine Basispflicht für jedes Unternehmen, das KI im Betrieb einsetzt, vom Marketing-Copilot bis zum agentischen Recherche-Tool.

• Wer? Anbieter (Provider) UND Betreiber (Deployer). Für fast jedes Unternehmen in Deutschland und Österreich greift die Deployer-Rolle. Schweizer Unternehmen erfasst der AI Act nur unter den Voraussetzungen von Art. 2 Abs. 1, etwa wenn sie KI-Systeme in der EU in Verkehr bringen oder der Output ihrer KI-Systeme in der EU verwendet wird.
• Seit wann? 2. Februar 2025, voll anwendbar. Der Digital Omnibus hat Artikel 4 nicht verschoben, aber im Juli 2026 neu gefasst.
• Wie erfüllen? Dokumentiertes, rollenbasiertes Schulungskonzept. Kein Zertifikat nötig, aber Nachweise erwartet.

Was Artikel 4 konkret verlangt

Seit der Neufassung durch den Digital Omnibus müssen Anbieter und Betreiber Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz ihres Personals und sonstiger Personen unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Bis Juli 2026 verlangte Artikel 4, nach besten Kräften ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen. Diese Zielgröße ist entfallen, ein bestimmtes Kompetenzniveau einzelner Personen verlangt die Neufassung nicht (Q&A der EU-Kommission).

Dabei sind die technischen Kenntnisse, die Erfahrung und die Aus- und Fortbildung der betreffenden Personen zu berücksichtigen, außerdem der Kontext, in dem die KI-Systeme eingesetzt werden sollen, und die Personen oder Personengruppen, bei denen sie eingesetzt werden sollen (Art. 4 Abs. 1 in der Fassung der VO (EU) 2026/1744).

Wichtig: Die Vorschrift schreibt kein Zertifikat und keine externe Zertifizierung vor. Erwartet wird jedoch die Dokumentation des Kompetenzprogramms. Auf diese Dokumentation stützt sich eine Behörde in der Regel, wenn sie die Einhaltung prüft. Wer keine nachweisbare Maßnahme vorlegen kann, hat im Prüfungsfall ein Problem, selbst wenn das Personal faktisch geschult ist.

Seit wann die Pflicht gilt und was der Digital Omnibus geändert hat

Artikel 4 gilt seit dem 2. Februar 2025, gemeinsam mit dem Verbotskatalog des Artikels 5. Damit gehört die KI-Kompetenz zu den allerersten anwendbaren Pflichten der KI-Verordnung.

Der Digital Omnibus ist als Verordnung (EU) 2026/1744 am 24. Juli 2026 im Amtsblatt erschienen und seit 27. Juli 2026 in Kraft. Er verschiebt den Großteil der Hochrisiko-Pflichten: Anhang III gilt nun ab 2. Dezember 2027, Anhang I ab 2. August 2028. Artikel 4 verschiebt er nicht. Die Kommission hatte im November 2025 vorgeschlagen, die Pflicht in einen bloßen Förderauftrag an Mitgliedstaaten und Kommission umzuwandeln (Q&A der EU-Kommission). Beschlossen wurde stattdessen die oben beschriebene Neufassung: Die Pflicht bleibt bei Anbietern und Betreibern.

Für die KI-Kompetenz heißt das unmissverständlich: Die Pflicht ist heute scharfgestellt. Es gibt keine Übergangsfrist mehr.

Wen die Pflicht trifft: Anbieter und Betreiber

Anders als die meisten Pflichten der KI-Verordnung unterscheidet Artikel 4 nicht nach Risikostufe. Er gilt über alle vier Risikostufen hinweg, auch für Minimal-Risiko-Anwendungen wie interne RAG-Agenten über nicht-sensible Dokumente oder Code-Generierungs-Copilots für den internen Gebrauch.

Die zentrale Einordnung für den Mittelstand in Deutschland und Österreich: Fast jedes Unternehmen ist Deployer, nicht Provider. Wer Microsoft 365 Copilot, Google Gemini for Workspace, ChatGPT Enterprise, Anthropic Claude for Work oder spezialisierte Vendor-Tools nutzt, ist Betreiber und damit nach Artikel 4 verpflichtet. Ein weit verbreiteter Trugschluss lautet: "Wir nutzen nur Microsoft 365 Copilot, also sind wir nicht im Anwendungsbereich." Falsch: Der Mittelstands-Deployer ist der verantwortliche Operator, und die KI-Kompetenz-Pflicht trifft ihn unabhängig vom Tool.

Wie man die Pflicht praktisch erfüllt: das Schulungskonzept

Das Q&A der EU-Kommission zur KI-Kompetenz (erstmals Mai 2025, aktualisiert Juli 2026) nennt als Minimum: ein allgemeines Verständnis von KI im Unternehmen, die eigene Rolle als Anbieter oder Betreiber, das Risiko der eingesetzten Systeme und Maßnahmen, die auf dieser Analyse aufbauen und zu Vorkenntnissen und Einsatzkontext passen. Daraus folgt ein rollenbasierter und risikoproportionaler Ansatz. Darauf aufbauend empfehlen wir folgende Inhalte:

• Bewusstsein dafür, was KI ist und wie sie sich von konventioneller Software unterscheidet (gemäß den Definitions-Leitlinien vom 6. Februar 2025).
• Die vier Risikostufen und die für die konkreten Anwendungen des Unternehmens geltenden Grundpflichten.
• Wie man eine verbotene Praktik nach Artikel 5 erkennt.
• Erkennen von Transparenz-Auslösern nach Artikel 50 (Chatbots, synthetische Inhalte, Deepfakes).
• Für Personal mit operativer Verantwortung für Hochrisiko-Systeme: Erwartungen an die menschliche Aufsicht (Art. 14, Art. 26(2)), Meldepflichten bei Vorfällen (Art. 26(5), Art. 73) und die Informationspflicht nach Art. 26(7) gegenüber Arbeitnehmervertretung und betroffenen Beschäftigten, bevor Hochrisiko-KI am Arbeitsplatz eingesetzt wird. Mitbestimmungsrechte des Betriebsrats ergeben sich aus nationalem Arbeitsrecht: in Österreich etwa bei Kontrollmaßnahmen und technischen Systemen zur Kontrolle der Arbeitnehmer, sofern sie die Menschenwürde berühren (§ 96 Abs. 1 Z 3 ArbVG), in Deutschland bei technischen Einrichtungen, die Verhalten oder Leistung der Beschäftigten überwachen sollen (§ 87 Abs. 1 Nr. 6 BetrVG).
• Für Entwickler und Einkauf: Vendor-Due-Diligence und die Falle der wesentlichen Änderung (Art. 25).
• Für Führungskräfte: Bußgeldrisiko (Art. 99) und Governance-Verantwortung.

Rollen auf Kompetenzstufen abbilden

Die praktische Umsetzung beginnt mit einer Rollen-Matrix. Empfohlen wird eine Abbildung auf die Stufen Führungsebene, Management, operativ, technisch und Endnutzer. Ein 200-Personen-Mittelstand kommt typischerweise mit 3 bis 5 unterschiedlichen Kompetenzmodulen aus; ein DAX-/ATX-/SMI-Konzern mit 5.000+ Mitarbeitenden benötigt eher 10+ Module.

Dokumentation, Lokalisierung und Verzahnung

Für die belastbare Erfüllung gelten vier praktische Leitplanken:

• Schulungen dokumentieren: Teilnahmenachweise, Versionierung der Inhalte, periodische Auffrischung.
• Inhalte lokalisieren: Deutsch für DE/AT, Deutsch/Französisch/Italienisch für die CH, unter Berücksichtigung der jeweils geltenden Antidiskriminierungs- und Datenschutzrahmen.
• Mit dem Betriebsrat abstimmen: Setzt du KI am Arbeitsplatz ein, besprich das Schulungsprogramm früh mit ihm. Artikel 4 verlangt das nicht, es erleichtert aber die Einführung.
• Auf autoritative Quellen verweisen: den KI-Service Desk der BNetzA (Bonn), die KI-Servicestelle der RTR (Wien) sowie die Risk-Monitor-Materialien der FINMA (für Beschäftigte im Finanzsektor).

Das Bußgeldrisiko

Artikel 4 hat im AI Act keinen eigenen Bußgeldrahmen: Artikel 99 nennt ihn in keiner seiner drei Bußgeldstufen. Die Sanktionen für Verstöße gegen Artikel 4 legen die Mitgliedstaaten nach Art. 99(1) fest. Seit 2. August 2026 sind die nationalen Marktüberwachungsbehörden für Aufsicht und Durchsetzung zuständig. Jede Sanktion muss verhältnismäßig sein und sich am Einzelfall orientieren (Q&A der EU-Kommission).

In einer Prüfung zählt, was du belegen kannst. Eine eigene Dokumentationspflicht enthält Artikel 4 nicht, das Q&A nennt interne Aufzeichnungen über Schulungen und andere Maßnahmen als möglichen Nachweis. Eine Sanktion ist laut Q&A eher zu erwarten, wenn sich ein Vorfall auf unzureichende Schulung oder Anleitung des Personals zurückführen lässt.

Teuer wird fehlende KI-Kompetenz, wenn sie zu Verstößen gegen bußgeldbewehrte Pflichten führt. Artikel 99 kennt drei Stufen, maßgeblich ist jeweils der höhere Betrag:

• Art. 99(3): verbotene Praktiken nach Artikel 5, bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.
• Art. 99(4): abschließend aufgezählte Pflichten von Anbietern, Betreibern und weiteren Akteuren, vor allem Art. 16 und Art. 26 für Hochrisiko-Systeme (etwa die menschliche Aufsicht nach Art. 26(2)) sowie die Transparenzpflichten nach Art. 50, bis zu 15 Mio. Euro oder 3 %.
• Art. 99(5): falsche, unvollständige oder irreführende Auskünfte an Behörden oder notifizierte Stellen, bis zu 7,5 Mio. Euro oder 1 %.

Für KMU und Start-ups gilt nach Artikel 99(6) der jeweils niedrigere der beiden Werte (absoluter Betrag oder Prozentsatz), nicht der höhere. Der Digital Omnibus weitet diesen Schutz mit dem neuen Art. 99 Abs. 6a auf kleine Mid-Cap-Unternehmen (SMCs) aus, allerdings nur für die Geldbußen nach Art. 99(4) und (5), nicht für verbotene Praktiken.

Rechenbeispiel mit Zahlen

Ein österreichischer Industrie-Mittelstand mit 180 Mitarbeitenden und 40 Mio. Euro Jahresumsatz setzt einen agentischen Recherche- und Angebots-Copilot ein (Minimal-Risiko). Die Geschäftsführung hält die KI-Kompetenz für "nicht relevant, weil kein Hochrisiko-System".

Rechtlich ist das ein Fehlschluss: Artikel 4 gilt risikostufenübergreifend. Einen Bußgeldbetrag aus dem AI Act kann man für den reinen Artikel-4-Verstoß aber nicht ausrechnen, die Sanktion richtet sich nach nationalem Recht. Rechnen lässt sich ein Folgeverstoß. Angenommen, das Unternehmen baut später einen eigenen Kunden-Chatbot. Weil im Projektteam niemand die Hinweispflicht kennt, erfahren Kunden nicht, dass sie mit einer KI sprechen. Das verletzt Art. 50(1) und fällt unter Art. 99(4): bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes. Weil das Unternehmen mit weniger als 250 Beschäftigten und unter dem Umsatzschwellenwert ein KMU ist, gilt nach Art. 99(6) der niedrigere Wert, hier 3 % von 40 Mio. Euro = 1,2 Mio. Euro. Diese Obergrenze gilt für den Folgeverstoß, ein Artikel-4-Bußgeld ist das nicht. Dem gegenüber steht ein konformes Schulungskonzept: 4 Module für rund 180 Personen, jährliche Auffrischung, dokumentierte Teilnahme im LMS. Der Aufwand liegt im niedrigen vier- bis fünfstelligen Eurobereich. Das Verhältnis von Umsetzungsaufwand zu Risikoexposition macht die Priorisierung eindeutig.

Für Agenturen und B2B-Entscheider

Marketing-Agenturen sind doppelt betroffen: als Betreiber eigener KI-Tools (Copywriting-Agenten, Bild- und Videogeneratoren) und als Berater ihrer Kundschaft, die selbst KI-Kompetenz nachweisen muss. Wer ein dokumentiertes, rollenbasiertes Kompetenzprogramm aufsetzt, deckt die eigene Artikel-4-Pflicht ab und schafft zugleich ein verkaufbares Beratungsmodul, inklusive Verzahnung mit den Transparenzpflichten (Art. 50) und der Information der Arbeitnehmervertretung (Art. 26(7)). Für B2B-Entscheider ist die KI-Kompetenz der pragmatische Einstieg in die gesamte AI-Act-Compliance: Sie ist verpflichtend, sofort fällig und mit überschaubarem Aufwand belastbar erfüllbar.

Wir unterstützen DACH-Unternehmen und Agenturen beim Aufbau eines prüfungsfesten KI-Kompetenz-Programms: von der Rollen-Matrix über lokalisierte Module bis zur Dokumentationsstruktur.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für die verbindliche Bewertung deines konkreten Einzelfalls zieh bitte qualifizierten Rechtsrat hinzu.