Artikel 4 der EU-KI-Verordnung: Vollständiger Leitfaden

Die Europäische KI-Verordnung (AI Act) führt mit Artikel 4 eine Querschnittsbestimmung ein, die Anbieter und Betreiber von KI-Systemen verpflichtet sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Diese seit Februar 2025 geltende Norm verlangt keine spezifischen Zertifizierungen und schreibt keine starren Governance-Strukturen vor, etabliert aber eine klare Verantwortlichkeit: Organisationen müssen intern die Maßnahmen dokumentieren, die sie zur Qualifizierung derjenigen ergreifen, die KI-Systeme betreiben, überwachen oder einsetzen. Die Verpflichtung ist nicht rein formaler Natur – sie zielt darauf ab, dass jeder Mitarbeiter die spezifischen Risiken des Systems versteht, mit dem er arbeitet, von algorithmischen Verzerrungen bis zu Halluzinationen in generativen Modellen, und entsprechend handeln kann. Für Unternehmen, die KI in Produktionsprozesse, Kundenservice oder automatisierte Entscheidungsfindung integrieren, stellt Artikel 4 einen Paradigmenwechsel dar: Technische Schulung ist nicht länger optional, sondern wird zu einer auditierbaren Compliance-Anforderung.

Was Artikel 4 des AI Act konkret vorschreibt

Der Text von Artikel 4 legt fest, dass Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen müssen, um sicherzustellen, dass ihr Personal und andere in ihrem Namen handelnde Personen über ausreichende KI-Kompetenz verfügen. Die bewusst flexible Formulierung der Verordnung schreibt keine konkreten Methoden vor – sie verlangt weder zertifizierte Kurse noch standardisierte Prüfungen oder Mindeststundenzahlen – legt aber vier Variablen fest, die Organisationen beim Design ihrer Schulungsprogramme berücksichtigen müssen: technische Vorkenntnisse des Personals, akkumulierte Erfahrung im Umgang mit ähnlichen Systemen, formale Ausbildung im Bereich KI oder Data Science sowie den spezifischen Nutzungskontext des Systems. Diese letzte Variable ist kritisch. Ein Bediener, der ein Hochrisiko-KI-System in der medizinischen Diagnostik überwacht, benötigt andere Kompetenzen als ein Mitarbeiter, der einen internen Niedrigrisiko-Chatbot für administrative Anfragen nutzt. Die Verordnung erkennt diese Heterogenität an und überträgt die Verantwortung zur Kalibrierung des Schulungsniveaus auf jede Organisation, entbindet sie aber nicht davon nachzuweisen, dass diese Analyse durchgeführt wurde.

Das Europäische KI-Büro hat klargestellt, dass Artikel 4 keine Verpflichtung zur formalen Messung des Mitarbeiterwissens durch quantitative Evaluierungen auferlegt, aber sehr wohl verlangt, dass Organisationen interne Aufzeichnungen über durchgeführte Schulungen und andere Orientierungsmaßnahmen führen. Diese Aufzeichnungen fungieren als auditierbare Nachweise im Inspektionsfall. Die Flexibilität des Artikels reagiert auf die Geschwindigkeit der technologischen KI-Evolution – ein starrer Rahmen wäre binnen Monaten obsolet – überträgt aber auf Unternehmen die Last zu interpretieren, was ein „ausreichendes Niveau" an Kompetenz für ihren operativen Kontext darstellt. In der Praxis bedeutet dies, dass zwei Unternehmen derselben Branche radikal unterschiedliche Schulungsprogramme implementieren können und beide Artikel 4 erfüllen, solange sie die Gründe für ihre Entscheidungen dokumentieren und Kohärenz zwischen Systemrisiko und Schulungstiefe nachweisen.

Wer zur Einhaltung der KI-Kompetenzpflicht verpflichtet ist

Artikel 4 unterscheidet zwischen zwei Kategorien Verpflichteter: Anbieter von KI-Systemen und Betreiber. Anbieter sind Organisationen, die KI-Systeme mit der Absicht entwickeln, diese zu vermarkten oder unter eigenem Namen in Betrieb zu nehmen, sei es auf dem europäischen Markt oder für interne Nutzung. Betreiber sind Einheiten, die von Dritten entwickelte KI-Systeme in Ausübung ihrer beruflichen Tätigkeit unter eigener Autorität nutzen. Diese Unterscheidung ist operativ, nicht bloß konzeptionell. Ein Anbieter, der ein Sprachverarbeitungsmodell zur Sentiment-Analyse in sozialen Medien entwickelt, muss sicherstellen, dass seine Machine-Learning-Ingenieure, Data Scientists und Qualitätskontrollpersonal die Risiken von Bias, Modelldrift und adversarialen Schwachstellen verstehen. Ein Betreiber, der dasselbe Modell in seine Kundenservice-Plattform integriert, muss seine Operations-Supervisoren, Support-Agenten und Systemadministratoren darin schulen, wie Modellausgaben zu interpretieren sind, wann Entscheidungen an Menschen zu eskalieren sind und wie anomales Verhalten zu erkennen ist.

Die Verpflichtung erstreckt sich zudem auf „andere Personen, die in ihrem Namen mit dem Betrieb und der Nutzung von KI-Systemen betraut sind". Diese Formulierung erfasst externe Auftragnehmer, Managed-Service-Provider, technische Berater und jeden Dritten, der KI-Systeme unter organisatorischem Mandat betreibt. Wenn ein Unternehmen die Verwaltung seiner KI-Infrastruktur an einen Cloud-Service-Provider auslagert, muss dieser Provider KI-Kompetenz für das Personal nachweisen, das die Systeme des Kunden administriert. Die letztendliche Verantwortung liegt bei der beauftragenden Organisation – sie kann sich nicht durch Verweis auf Delegation an Dritte entlasten – kann aber die Schulungsverpflichtung vertraglich auf den externen Provider übertragen. In der Praxis erzeugt dies eine dokumentarische Verantwortungskette: Der Vertrag muss spezifizieren, welche Partei die Schulung übernimmt, welche Aufzeichnungen als Compliance-Nachweis geteilt werden und in welcher Periodizität Schulungen bei System- oder Regulierungsänderungen aktualisiert werden.

Wie Schulungen nach Risikoklasse des Systems anzupassen sind

Der AI Act klassifiziert KI-Systeme in vier Risikokategorien: inakzeptabel, hoch, begrenzt und minimal. Artikel 4 legt keine nach Kategorien differenzierten Anforderungen fest, aber das KI-Büro hat bestätigt, dass die Risikoklasse Tiefe und Spezifität der geforderten Kompetenz informieren muss. Für Hochrisiko-Systeme – solche, die Grundrechte, Sicherheit oder Gesundheit von Personen beeinträchtigen können, wie biometrische Erkennungssysteme, automatisierte Kreditbewertung oder Verwaltung kritischer Infrastrukturen – muss die Schulung nicht nur die technische Funktionsweise des Systems adressieren, sondern auch dessen ethische, rechtliche und operative Implikationen. Ein Bediener eines Hochrisiko-Systems muss verstehen, was eine automatisierte Entscheidung ausmacht, wann menschliche Aufsicht gemäß Artikel 14 der Verordnung obligatorisch ist und wie manuelle Interventionen für spätere Audits zu dokumentieren sind.

Für Systeme mit begrenztem Risiko – wie Chatbots oder Generatoren synthetischer Inhalte, die Transparenz aber keine kontinuierliche Überwachung erfordern – kann sich die Kompetenzbildung darauf konzentrieren zu identifizieren, wann das System irreführende Ausgaben produziert, wie Endnutzern zu kommunizieren ist, dass sie mit KI interagieren, und welche Protokolle bei offensichtlichen Fehlfunktionen zu befolgen sind. Für Minimalsrisiko-Systeme – Spam-Filter, Produktempfehlungs-Engines, Programmierassistenten – kann sich die Schulung auf Grundkonzepte beschränken: Was ist ein maschinelles Lernmodell, wie wird es mit historischen Daten trainiert, warum kann es bei atypischen Eingaben versagen. Der Schlüssel liegt nicht in der Schulungsdauer, sondern in ihrer Ausrichtung auf die Entscheidungen, die das Personal treffen muss. Ein Ingenieur, der Hyperparameter eines Hochrisiko-Modells justiert, benötigt vertiefte technische Kompetenz zu Overfitting, Kreuzvalidierung und Fairness-Metriken. Ein Mitarbeiter, der nur Modellausgaben konsultiert, benötigt funktionale Kompetenz zur Interpretation von Konfidenzniveaus und wann eine automatisierte Empfehlung zu hinterfragen ist.

Die Beziehung zwischen Risiko und Schulung ist nicht linear. Ein im großen Maßstab eingesetztes Niedrigrisiko-System kann anspruchsvollere Kompetenz erfordern als ein Hochrisiko-System in kontrollierten Umgebungen mit konstanter Expertenaufsicht. Artikel 4 delegiert die kontextuelle Bewertung an jede Organisation, etabliert aber eine implizite Erwartung: Je größer die potenzielle Auswirkung eines Systemfehlers, desto umfassender muss die Schulung des bedienenden Personals sein. Compliance-Audits werden die Kohärenz zwischen dokumentierter Risikoanalyse und implementiertem Kompetenzprogramm bewerten, nicht die Existenz generischer KI-Schulungszertifikate.

Featured: Flap Academy

Artikel 4 des AI Act verlangt, dass Ihr Team die spezifischen Risiken jedes KI-Systems versteht, das es betreibt – von algorithmischen Verzerrungen bis zu Halluzinationen in generativen Modellen. Flap Academy bietet strukturierte und auditierbare Schulungen zum AI Act, konzipiert für technische und nicht-technische Teams, die Dokumentationsanforderungen erfüllen müssen, ohne bei Null anzufangen. Ideal für Organisationen, die KI-Kompetenz in ihre Compliance-Prozesse integrieren möchten.

View product

Welche Mindestinhalte ein Kompetenzprogramm umfassen muss

Das KI-Büro hat keinen präskriptiven Lehrplan veröffentlicht, aber die interpretativen Leitlinien legen drei Inhaltsebenen nahe, die jedes Kompetenzprogramm abdecken sollte. Die erste Ebene ist allgemeines KI-Verständnis: Was ist ein KI-System, wie unterscheidet es sich von traditioneller deterministischer Software, was bedeutet es, dass ein Modell aus Daten lernt, und welche Haupttypen von KI gibt es (überwachtes, unüberwachtes, verstärkendes, generatives Lernen). Diese Ebene ist universal – sie gilt für jeden Mitarbeiter, der mit KI-Systemen interagiert, unabhängig von seiner technischen Rolle. Die zweite Ebene ist Risikobewusstsein: algorithmische Verzerrungen aus nicht-repräsentativen Trainingsdaten, Halluzinationen in generativen Modellen, die falsche Informationen mit plausiblem Anschein produzieren, Modelldrift bei sich ändernden Datenverteilungen über Zeit, und adversariale Schwachstellen, bei denen böswillig gestaltete Eingaben das System täuschen. Jedes Risiko muss mit konkreten Beispielen des von der Organisation genutzten Systems verknüpft werden, nicht mit theoretischen Abstraktionen.

Die dritte Ebene ist operative Kompetenz: Was zu tun ist, wenn das System versagt, wie Vorfälle für spätere Analyse zu dokumentieren sind, wann Entscheidungen an menschliche Supervisoren zu eskalieren sind und wie Transparenzverpflichtungen aus Artikel 13 zu erfüllen sind. Für technisches Personal – Ingenieure, Data Scientists, Systemadministratoren – muss diese Ebene zusätzlich Kenntnisse über Modellmonitoring in Produktion, Anomalieerkennung, Versionsverwaltung und Nachvollziehbarkeit automatisierter Entscheidungen umfassen. Für nicht-technisches Personal – Produktmanager, Compliance-Verantwortliche, Kundenservice-Mitarbeiter – konzentriert sich die operative Ebene auf Interpretation von Systemausgaben, Kommunikation von Limitationen an Endnutzer und Erkennung, wann eine automatisierte Entscheidung menschliche Überprüfung erfordert. Der Inhalt muss nicht vom ersten Tag an erschöpfend sein. Artikel 4 erlaubt progressive Implementierung, solange die Organisation einen Plan kontinuierlicher Schulung dokumentiert, der mit dem System und regulatorischen Änderungen evolviert.

Für Unternehmen, die Kompetenzprogramme strukturieren möchten, die mit dem AI Act konform sind, ohne bei Null anzufangen, bietet Flap Consulting spezifische Module zu Artikel 4 und seinen operativen Implikationen, konzipiert für technische und nicht-technische Teams, die auditierbare Dokumentationsanforderungen erfüllen müssen.

Wie Compliance für Audits zu dokumentieren ist

Artikel 4 verlangt keine externen Zertifizierungen, erlegt aber eine dokumentarische Last auf, die Organisationen systematisch managen müssen. Interne Schulungsaufzeichnungen müssen mindestens umfassen: Identifikation des geschulten Personals, Datum und Dauer jeder Schulungssitzung, behandelte Inhalte mit ausreichendem Detailgrad zur Demonstration der Ausrichtung auf Systemrisiken, und verwendete Methodik (Präsenz, online, betreute Selbstschulung). Diese Aufzeichnungen sind nicht bloße administrative Formulare – sie fungieren als Nachweis, dass die Organisation ihrer Verpflichtung zur Sicherstellung ausreichender Kompetenz nachgekommen ist. Im Auditfall wird die zuständige Behörde nicht nur die Existenz von Aufzeichnungen bewerten, sondern deren Kohärenz mit der Risikoanalyse des Systems und die Angemessenheit der Inhalte für die Rolle jedes Mitarbeiters.

Die Dokumentation muss zudem die kontextuelle Analyse widerspiegeln, die das gewählte Schulungsniveau rechtfertigt. Wenn eine Organisation entscheidet, dass ihre Bediener eines Hochrisiko-Systems 40 Stunden technische Schulung benötigen, muss sie dokumentieren, warum 40 Stunden und nicht 20 oder 60 – welche spezifischen Systemrisiken diese Investition rechtfertigen, welche Vorkenntnisse des Personals angenommen wurden, welche Wissenslücken identifiziert wurden. Wenn eine andere Organisation schlussfolgert, dass 8 Stunden Grundlagenschulung für ein Niedrigrisiko-System ausreichen, muss sie die Begründung ebenfalls dokumentieren. Die Flexibilität von Artikel 4 ist keine Lizenz zur Willkür – sie ist eine Verpflichtung zur begründeten Rechtfertigung. Audits werden nach Proportionalität zwischen Risiko und Schulungsaufwand suchen, nicht nach Erfüllung arbiträrer Schwellenwerte.

Die Dokumentation muss bei drei Ereignissen aktualisiert werden: wesentliche Änderungen am KI-System (neue Funktionalitäten, Modellmodifikationen, Integration mit anderen Systemen), Personaländerungen (Neueinstellungen, Rollenwechsel, Beförderungen mit neuen Verantwortlichkeiten für KI-Systeme), und regulatorische Änderungen oder Anpassungen der interpretativen Leitlinien des KI-Büros. Die Aktualisierungsperiodizität ist nicht vorgeschrieben, aber die entstehende Rechtsprechung legt nahe, dass statische Schulungen ohne jährliche Überprüfung für kontinuierlich produktive Systeme als unzureichend betrachtet werden. Die Erfüllung von Artikel 4 ist kein einmalig erreichter Meilenstein – sie ist ein kontinuierlicher Prozess von Schulung, Dokumentation und Anpassung, der in die operativen Zyklen der Organisation integriert werden muss.

Warum KI-Kompetenz nicht nur regulatorische Compliance ist

Artikel 4 des AI Act etabliert einen regulatorischen Mindeststandard, aber Organisationen, die ihn als bloße rechtliche Verpflichtung interpretieren, verpassen eine strategische Chance. Gut implementierte KI-Kompetenz reduziert operative Vorfälle – Mitarbeiter, die die Grenzen des Systems verstehen, begehen weniger Interpretationsfehler, eskalieren kritische Entscheidungen mit besserem Urteilsvermögen und erkennen Anomalien, bevor sie zu systemischen Ausfällen werden. Sie reduziert zudem die rechtliche Risikofläche – in Transparenzanforderungen aus Artikel 13 und menschlicher Aufsicht aus Artikel 14 geschultes Personal erzeugt robustere Dokumentation, was Audits erleichtert und die Wahrscheinlichkeit von Sanktionen verringert. KI-Kompetenz ist kein Compliance-Kostenfaktor – sie ist eine Investition in operative Resilienz, die Dividenden in Entscheidungsqualität, Reaktionsgeschwindigkeit bei Vorfällen und Anpassungsfähigkeit an künftige regulatorische Änderungen zahlt. Unternehmen, die Artikel 4 in ihre Organisationskultur integrieren, nicht nur in ihre Compliance-Prozesse, bauen Teams auf, die besser vorbereitet sind, in einem Umfeld zu operieren, in dem KI aufhört, ein Hilfswerkzeug zu sein, und zu kritischer Geschäftsinfrastruktur wird.