Art. 4 KI-Verordnung: Die KI-Kompetenzpflicht — was KMU jetzt nachweisen müssen

Artikel 4 der EU-KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, für ein ausreichendes Maß an KI-Kompetenz bei allen Personen zu sorgen, die in ihrem Auftrag mit KI arbeiten. Die Pflicht gilt seit dem 2. Februar 2025 — und „Betreiber” ist dabei fast jedes Unternehmen, in dem Mitarbeitende beruflich KI-Werkzeuge nutzen, ChatGPT eingeschlossen. Es gibt keinen vorgeschriebenen Lehrplan und kein Pflicht-Zertifikat; verlangt sind angemessene, zum Einsatz passende Maßnahmen — die man im Zweifel belegen können muss. Dieser Beitrag ordnet ein, wen die Pflicht trifft, was „ausreichend” bedeutet und wie ein KMU sie mit vertretbarem Aufwand sauber erfüllt.

Rechtsstand: 5. August 2026. Die Aufsichtspraxis zu Art. 4 entwickelt sich noch; Angaben zu Behördenzuständigkeiten und Fristen sind entsprechend datiert. Keine Rechtsberatung im Einzelfall.

Wen die Pflicht trifft

Die KI-Verordnung unterscheidet Anbieter (die KI-Systeme entwickeln oder unter eigenem Namen auf den Markt bringen) und Betreiber (Art. 3 Nr. 4: wer ein KI-System in eigener Verantwortung beruflich verwendet). Die zweite Kategorie ist die, die den Mittelstand betrifft — und sie ist weit gefasst:

• Das Team nutzt ChatGPT, Copilot oder ein Übersetzungstool für Kundentexte? Betreiber.
• Die Buchhaltungssoftware hat eine KI-Funktion zur Belegerkennung, die Sie einsetzen? Betreiber.
• Ein einzelner Mitarbeiter nutzt beruflich regelmäßig einen KI-Chatbot? Ebenfalls.

Ausgenommen ist nur die rein private, nicht berufliche Nutzung. Eine Bagatellgrenze nach Unternehmensgröße gibt es nicht — Art. 4 kennt keine KMU-Ausnahme. Was die Norm allerdings einbaut, ist Verhältnismäßigkeit: Die Maßnahmen sollen zu technischem Kenntnisstand, Erfahrung, Ausbildung und Verwendungskontext passen. Ein Betrieb, in dem drei Personen gelegentlich Texte umformulieren lassen, schuldet etwas anderes als einer, der KI-gestützt Bewerbungen vorsortiert.

Zur Einordnung der Zeitschiene: Art. 4 gilt gemeinsam mit den verbotenen Praktiken des Art. 5 seit dem 2. Februar 2025; seit dem 2. August 2026 kommen die Transparenzpflichten des Art. 50 hinzu (Kennzeichnung von KI-Interaktionen und KI-generierten Inhalten). Die Kompetenzpflicht ist damit kein Vorgriff auf kommendes Recht — sie ist seit anderthalb Jahren geltende Rechtslage.

Was „ausreichende KI-Kompetenz” heißt

Die Verordnung definiert KI-Kompetenz (Art. 3 Nr. 56) als die Fähigkeiten und Kenntnisse, um KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken und möglichen Schäden bewusst zu sein. Einen festen Lehrplan oder eine Mindeststundenzahl gibt es nicht — die EU-Kommission hat in ihren Auslegungshinweisen klargestellt, dass weder ein bestimmtes Format noch ein Zertifikat vorgeschrieben ist. Das ist Freiheit und Falle zugleich: Es zählt, was zum tatsächlichen Einsatz passt, und genau das muss man begründen können.

In der Praxis hat sich eine Rollenstaffelung bewährt:

• Alle, die KI-Ergebnisse nutzen: Grundlagen — was Sprachmodelle können und was nicht (Stichwort erfundene Fakten), welche Daten in welche Werkzeuge dürfen, dass Ergebnisse vor Verwendung geprüft werden.
• Wer KI aktiv bedient: zusätzlich die Regeln des Hauses — freigegebene Tools und Tarife, Umgang mit Personendaten, die Grenzen des jeweiligen Werkzeugs.
• Wer den KI-Einsatz verantwortet: dazu das Regulatorische — die verbotenen Praktiken des Art. 5 (im Arbeitskontext etwa Emotionserkennung am Arbeitsplatz), Transparenzpflichten, das Zusammenspiel mit der DSGVO.

Der oft übersehene Punkt: Zur geforderten Kompetenz gehört seit Art. 5 und Art. 50 auch regulatorisches Grundwissen, nicht nur Bedienfertigkeit. „Wir haben mal gezeigt, wie man promptet” deckt die Pflicht nicht ab.

Der Nachweis — warum eine Rundmail nicht reicht

Art. 4 verlangt Maßnahmen „nach besten Kräften” — aber wer im Streitfall (Behördenanfrage, Schadensfall, Kundenaudit) nichts vorlegen kann, hat faktisch nichts unternommen. Belegbar ist eine Maßnahme, wenn drei Dinge dokumentiert sind:

1. Inhalt: Was wurde geschult — nachvollziehbar, mit Bezug zum tatsächlichen KI-Einsatz im Haus.
2. Teilnahme: Wer hat wann teilgenommen — pro Person, nicht als Sammelbehauptung.
3. Verständnis: Ein bestandener Wissenscheck mit Abschlussnachweis ist der Unterschied zwischen „Mail gelesen” und „verstanden”.

Eine Rundmail mit Verhaltensregeln erfüllt keinen der drei Punkte. Ein Präsenz-Workshop erfüllt die ersten beiden, wenn eine Teilnahmeliste geführt wird — der dritte fehlt meist. Eine strukturierte Online-Schulung mit Wissenscheck und personenbezogenem Zertifikat erfüllt alle drei und skaliert auch für neue Mitarbeitende, die nach dem Workshop-Termin anfangen. Genau so ist die Schulung „KI sicher nutzen im Betrieb” in meinem Schulungs- und Assessment-Portal aufgebaut: Lernmodule inklusive der Art.-5- und Art.-50-Inhalte, Wissenscheck, druckbares Zertifikat pro Person — als dokumentierter Art.-4-Nachweis.

Der pragmatische Fahrplan für KMU

Vier Schritte, in dieser Reihenfolge — die ersten beiden kosten nur Arbeitszeit:

1. Bestandsaufnahme: Welche KI-Werkzeuge sind tatsächlich im Einsatz — auch die selbst installierten? Eine kurze, sanktionsfreie Team-Umfrage fördert regelmäßig mehr zutage, als die Leitung vermutet. Ohne diese Liste schult man am realen Einsatz vorbei. Einen schnellen ersten Befund liefert der kostenlose KI-DSGVO-Schnellcheck — Frage 8 ist exakt die Schulungsfrage.
2. KI-Richtlinie festlegen: Eine Seite genügt für den Anfang — erlaubte Werkzeuge und Tarife, was an Daten hinein darf, wer Ergebnisse prüft. Die Richtlinie ist zugleich Schulungsinhalt: Sie definiert, was die Belegschaft können muss.
3. Schulung mit Nachweis durchführen: rollengerecht, dokumentiert, mit Wissenscheck und Zertifikat je Person. Neue Mitarbeitende durchlaufen sie im Onboarding.
4. Jährlich auffrischen: Werkzeuge, Rechtslage und die eigene Nutzung ändern sich; die Wiederholung hält den Nachweis aktuell — und gehört terminiert, nicht dem Zufall überlassen.

Häufige Fragen

Gibt es schon Bußgelder für fehlende KI-Schulungen?

Ehrliche Antwort: Art. 4 taucht im Bußgeldkatalog der KI-Verordnung (Art. 99) nicht als eigener Tatbestand auf, und uns sind bislang keine Bußgelder speziell wegen fehlender KI-Kompetenz bekannt (Stand August 2026; die deutsche Durchführungsgesetzgebung mit der Bundesnetzagentur als vorgesehener zentraler Marktüberwachungsbehörde war zum Redaktionszeitpunkt noch nicht abgeschlossen). Verbindlich ist die Pflicht trotzdem — und sie wirkt indirekt: Ein Verstoß gegen die scharf sanktionierten Verbote des Art. 5 (bis 35 Mio. € oder 7 % des Weltumsatzes) ist mit ungeschultem Personal deutlich wahrscheinlicher, im Schadensfall wiegt fehlende Schulung als Organisationsverschulden, und Kundenaudits fragen den Nachweis bereits heute ab.

Reicht es, wenn die Mitarbeitenden sich selbst schlau machen?

Selbstlernen ist wertvoll, ersetzt aber den Nachweis nicht: Es fehlt an dokumentiertem Inhalt, belegter Teilnahme und geprüftem Verständnis. Wer auf Eigeninitiative setzt, sollte sie mindestens strukturieren — kuratierte Inhalte, verbindliche Bearbeitung, kurzer Wissenscheck. Damit ist man praktisch bei einer Schulung, nur selbst gebaut.

Was hat Art. 4 mit der DSGVO zu tun?

Formal nichts — es sind getrennte Rechtsakte mit getrennten Aufsichtsstrukturen. Praktisch fast alles: Die häufigsten KI-Fehler im Betrieb sind Datenschutzfehler (Personendaten im falschen Werkzeug), und dieselbe Schulung, die Art. 4 erfüllt, verhindert genau diese. Wer beides zusammen denkt — KI-Kompetenz und Datenschutz —, erledigt zwei Pflichten mit einer Maßnahme statt zwei Dienstleister zu koordinieren.