Die EU setzt Artikel 4 des AI Act jetzt durch. Was Organisationen wissen müssen

Irgendwo in Ihrer Organisation nutzt gerade jemand ein KI-Tool, um eine E-Mail an einen Kunden zu entwerfen, einen Lebenslauf zu sichten oder ein Compliance-Risiko zu markieren, und vertraut dem Ergebnis mehr als angebracht oder weniger als nötig.

Das ist eine Lücke bei der KI-Kompetenz, und sie ist seit Februar 2025 im EU-Recht verankert.

Artikel 4 des AI Act verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, die bei ihrem Personal ein ausreichendes Maß an KI-Kompetenz fördern. Am 2. August 2026 erhielten die nationalen Marktüberwachungsbehörden in der gesamten EU, darunter die deutsche BNetzA und das neu gegründete AI Office of Ireland, offiziell die Befugnis zu prüfen, ob Organisationen diese Pflicht erfüllen.

Was Artikel 4 tatsächlich verlangt

Artikel 4 wird oft in zwei entgegengesetzte Richtungen missverstanden: Entweder gehen Organisationen davon aus, dass er sie gar nicht betrifft, oder sie stellen sich auf eine strenge Hürde ein, die man entweder besteht oder nicht. Beides trifft nicht zu.

Artikel 4 reicht weiter, als viele erwarten. Er gilt für Anbieter und Betreiber gleichermaßen und für jedes erfasste KI-System, nicht nur für Hochrisiko-Systeme. Einen einheitlichen Schulungsstandard schreibt er nicht vor. Stattdessen müssen Organisationen eine KI-Kompetenz fördern, die zur Rolle der jeweiligen Person und zu den Risiken der genutzten Systeme passt.

Ein Finanzteam, das ein eigenes Kreditscoring-Modell betreibt, braucht ein anderes Maß an Verständnis als ein Büro, das mit einem Chatbot interne Notizen entwirft. In der Praxis heißt das: Ein einziger pauschaler KI-Kurs für das gesamte Unternehmen reicht allein nicht aus, um die Pflicht zu erfüllen. Schulungen müssen darauf abgestimmt sein, was jede Rolle tatsächlich mit KI macht und wie viel Risiko diese Nutzung mit sich bringt.

Die Messlatte liegt dagegen niedriger, als eine strenge Lesart vermuten lässt. Der Digital Omnibus, im Juni 2026 vom Europäischen Parlament gebilligt und im selben Monat vom Rat angenommen, hat den Wortlaut geändert: Aus der Pflicht, KI-Kompetenz sicherzustellen, wurde die Pflicht, ihre Entwicklung zu fördern. Juristisch ist das der Wechsel von einer Erfolgspflicht zu einer Bemühenspflicht. Organisationen müssen nicht garantieren, dass jede einzelne Person eine feste Kompetenzschwelle erreicht. Sie müssen aber echtes, fortlaufendes Bemühen nachweisen und dokumentieren.

Ist die Pflicht zur KI-Kompetenz mit einem Bußgeld verbunden?

Auch in anderer Hinsicht fällt die Pflicht leichter aus als erwartet. Artikel 99, der Sanktionsrahmen des AI Act, führt Artikel 4 nicht als eigenständig bußgeldbewehrte Vorschrift auf. Artikel 99 legt aber auch die erschwerenden und mildernden Umstände fest, die Behörden abwägen, sobald sie an anderer Stelle einen Verstoß festgestellt haben. Und eine dokumentierte Lücke bei der KI-Kompetenz ist genau die Art von Umstand, die dort ins Gewicht fällt. Verursacht ein Hochrisiko-KI-System einen Schaden und zeigt eine Untersuchung, dass das zuständige Personal nicht verstanden hat, was das System tut, braucht die fehlende Schulung keine eigene Klausel, um das daraus folgende Bußgeld zu verschärfen.

Wichtig ist außerdem: Die Mitgliedstaaten können für Verstöße, die von den Sanktionsstufen auf EU-Ebene nicht erfasst werden, weiterhin eigene nationale Sanktionen festlegen. „Kein EU-weites Bußgeld“ heißt also nicht „nirgendwo ein Bußgeld“. Bevor man vom Gegenteil ausgeht, sollte man deshalb die nationalen Durchführungsgesetze prüfen. 

Bußgelder sind aber nicht der Hauptgrund, warum sich Organisationen mit KI-Kompetenz befassen sollten. 

Warum KI-Kompetenz zählt, ganz unabhängig von Sanktionen

Im Kern bedeutet KI-Kompetenz, beurteilen zu können, wann man dem Ergebnis einer KI trauen kann und wann es geprüft werden muss. Dieses Argument kommt ganz ohne Aufsichtsbehörde aus. Wer nicht versteht, dass ein Modell mit voller Überzeugung falschliegen kann, behandelt eine erfundene Zahl wie eine Tatsache. Wer nicht weiß, womit ein Screening-Tool trainiert wurde, vertraut seiner Shortlist, ohne zu prüfen, wen es stillschweigend aussortiert hat.

Deshalb ziehen derzeit nicht die Organisationen mit den ausgefeiltesten Tools den echten Nutzen aus KI, sondern jene, in denen die Menschen genug wissen, um zu beurteilen, wann sie einem Ergebnis vertrauen und wann sie es prüfen sollten. Genau das schützt KI-Kompetenz: nicht eine Compliance-Akte, sondern die Qualität jeder Entscheidung, an der KI beteiligt ist.

Der wirtschaftliche Druck kommt vermutlich früher als der regulatorische

Dass eine Marktüberwachungsbehörde wegen einer Lücke bei der KI-Kompetenz vor der Tür steht, ist für die meisten Mittelständler ein fernes Szenario. Dass ein Kunde in seinem Due-Diligence-Fragebogen Nachweise dazu verlangt, dagegen nicht. 

Das Muster kennt jeder, der miterlebt hat, wie SOC 2 oder ISO 27001 zu kommerziellen statt regulatorischen Voraussetzungen wurden: Die Anforderung tauchte im Einkauf auf, lange bevor sich jemand Gedanken über eine Behörde machte, weil Kunden die Gewissheit wollten, dass die Mitarbeitenden des Anbieters wissen, was sie mit sensiblen Systemen tun. KI-Kompetenz scheint denselben Weg zu nehmen. Ob sie in einem bestimmten Vertrag schon verlangt wird oder nicht: Wer an Kunden verkauft, die bereits nach ISO oder SOC 2 fragen, tut gut daran, damit zu rechnen.

Wie Nachweise für KI-Kompetenzschulungen aussehen

In einem Punkt sind sich die Leitlinien zur Durchsetzung einig: Ein Richtliniendokument, das in einem Ordner liegt, gilt nicht als Nachweis. Was Behörden und zunehmend auch Einkaufsteams erwarten, sind zeitnah geführte, prüfbare Schulungsnachweise: wer wann zu welchem Thema geschult wurde und wie das Verständnis überprüft wurde. Das ist ebenso eine Frage der Dokumentation wie der Schulungsinhalte. Und es ist dieselbe Dokumentationsaufgabe, die Organisationen bereits für ISO 9001 Abschnitt 7.2, SOC 2 oder branchenspezifische Zertifizierungen lösen: nachweisen, wer welche Qualifikation besitzt und wann sie zuletzt überprüft wurde.

Organisationen, die bereits Zertifikats- und Kompetenznachweise für andere Standards erfassen, haben hier einen Vorsprung: Die Infrastruktur für Nachweise zur KI-Kompetenz ist dieselbe, nur auf ein neues Thema ausgerichtet. Sie reiht sich ein in weitere mitarbeiterbezogene Pflichten, die in diesem Jahr auf demselben Schreibtisch landen, darunter die enger gefassten, aber verwandten Berichtspflichten nach ESRS S1 der CSRD.

Das Fazit

Artikel 4 hat diese Woche nicht so sehr schärfere Zähne bekommen, sondern vor allem einen funktionierenden Durchsetzungsmechanismus. Ob es schon bald einen Fall gibt, der Schlagzeilen macht, ist dabei fast nebensächlich. Die Nase vorn haben werden die Organisationen, die KI-Kompetenz als lebendige Fähigkeit begreifen, KI gut zu nutzen, und nicht als Compliance-Posten wie einen abgeschlossenen Schulungskurs. Und die die Nachweise dafür dokumentieren, bevor überhaupt jemand danach fragt. Wenn Sie bereits Zertifikats- und Kompetenznachweise für andere Standards erfassen, lohnt es sich, auch dieses Thema dort zu bündeln.