Umfassender Leitfaden zu Artikel 4 der KI-Verordnung: KI-Kompetenzpflicht

Inhaltsverzeichnis

• Was ist Artikel 4 der KI-Verordnung und warum trat er vor allen anderen in Kraft?
• Wen betrifft die KI-Kompetenzpflicht tatsächlich?
• Was bedeutet „ausreichendes Niveau" an KI-Kompetenz laut Verordnung?
• Wie Sie Compliance dokumentieren: die Nachweise, die Sie bereithalten müssen
• Sanktionen und Aufsicht: was passieren kann, wenn Sie nicht compliant sind
• Über Compliance hinaus: die Verpflichtung in Wettbewerbsvorteil verwandeln

Am 2. Februar 2025 veränderte sich die Rechtslandschaft für jedes deutsche Unternehmen, das KI-Tools einsetzt. An diesem Tag trat Artikel 4 der Verordnung (EU) 2024/1689, bekannt als AI Act, in Kraft und schreibt verpflichtende KI-Kompetenz für Mitarbeiter vor, die mit solchen Systemen arbeiten. Es stand nicht in den Schlagzeilen. Es gab keine Pressekonferenzen. Dennoch betrifft es jede Organisation mit ChatGPT, Copilot, automatisierten CRM-Systemen, Chatbots oder Empfehlungssystemen im Produktivbetrieb. Die Norm wartet nicht bis August 2026 oder eine nationale Umsetzung – sie gilt seit vier Monaten, und die meisten deutschen Unternehmen wissen nicht, dass sie existiert. Dies ist die erste durchsetzbare Verpflichtung der KI-Verordnung, und sie kam vor allen anderen, weil die Europäische Kommission sie als Voraussetzung dafür betrachtet, dass der Rest des Regulierungsrahmens funktioniert: Wenn Menschen nicht verstehen, was sie verwenden, wird keine technische Kontrolle ausreichen.

Was ist Artikel 4 der KI-Verordnung und warum trat er vor allen anderen in Kraft?

Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft, aber ihre materiellen Verpflichtungen folgen einem gestaffelten Zeitplan. Daher gingen die meisten Unternehmen davon aus, Spielraum bis 2026 oder 2027 zur Anpassung zu haben. Diese Annahme ist falsch. Artikel 4 mit dem Titel „Kompetenz im Bereich künstliche Intelligenz" begann sechs Monate nach Inkrafttreten der Verordnung zu gelten: am 2. Februar 2025. Keine andere substantielle Verpflichtung der KI-Verordnung ist so früh in Kraft getreten.

Warum hat dieser Artikel absolute Priorität? Die regulatorische Logik ist klar. Die KI-Verordnung klassifiziert Systeme nach Risiko (unzulässig, hoch, begrenzt, minimal) und setzt proportionale technische Kontrollen ein. Diese Kontrollen – Audits, Register, technische Dokumentation – funktionieren jedoch nur, wenn die Personen, die die Systeme bedienen, verstehen, was sie tun. Kompetenz ist keine optionale Schulungsergänzung. Sie ist die ermöglichende Bedingung des gesamten Regimes. Deshalb aktivierte die Kommission sie vor allem anderen.

Aus operativer Sicht bedeutet dies, dass seit Februar 2025 jedes europäische Unternehmen, das KI-Systeme nutzt, gewährleisten muss, dass sein Personal über „ein ausreichendes Niveau an KI-Kompetenz" verfügt. Die technische Definition erscheint in Artikel 3 Absatz 56 der Verordnung: eine Reihe von Fähigkeiten, Kenntnissen und Verständnis, die es Menschen ermöglichen, zu verstehen, wie die von ihnen genutzten Systeme funktionieren, deren Auswirkungen zu bewerten und informierte Entscheidungen über deren Verwendung zu treffen. Es reicht nicht aus, ChatGPT öffnen zu können. Zudem unterscheidet der Text nicht zwischen großen Unternehmen und KMU. Auch nicht zwischen Branchen. Wenn Sie KI in irgendeiner Funktion nutzen – Vertrieb, Kundenservice, Personal, Buchhaltung, Marketing –, gilt die Verpflichtung.

Der Digital Omnibus-Vorschlag zur KI, den die Kommission 2025 vorlegte, enthält Änderungen an Artikel 4. Solange diese Reform jedoch nicht im Amtsblatt der Europäischen Union veröffentlicht und in Kraft getreten ist, bleibt die aktuelle Fassung von Artikel 4 vollständig gültig. Ihr Unternehmen hat genau dieselbe Verpflichtung wie am 2. Februar 2025. Die AESIA, die spanische KI-Aufsichtsbehörde, kann die Einhaltung seit August 2025 kontrollieren, als das Sanktionsregime der KI-Verordnung in Kraft trat.

Wen betrifft die KI-Kompetenzpflicht tatsächlich?

Die KI-Verordnung unterscheidet zwei Hauptrollen: Anbieter (die KI-Systeme entwickeln oder vermarkten) und Betreiber (die solche Systeme unter eigener Verantwortung nutzen). Artikel 4 verpflichtet beide. Wenn Ihr Unternehmen also ein CRM mit automatischem Lead-Scoring kauft, sind Sie Betreiber. Wenn Sie einen Konversations-Chatbot für den Kundenservice beauftragen, sind Sie Betreiber. Wenn Ihre Vertriebsmitarbeiter Copilot zum Verfassen von E-Mails verwenden, sind Sie Betreiber. Das Label „Anbieter" beschränkt sich nicht auf OpenAI, Anthropic oder Google.

Darüber hinaus erstreckt sich die Verpflichtung auf alle Personen, die „im Namen" der Organisation handeln. Dies umfasst direkt Angestellte, Subunternehmer, externe Beauftragte, Praktikanten, Berater und generell jeden Fachmann mit Zugang oder Interaktionsmöglichkeit zu den eingesetzten KI-Systemen. Die Verordnung verfolgt einen ganzheitlichen Ansatz, weil sie anerkennt, dass das Risiko nicht nur von der Software ausgeht, sondern vom menschlichen Faktor, der sie bedient.

Welche KI-Systeme zählen? Die Definition in Artikel 3.1 der KI-Verordnung ist weit gefasst: maschinenbasiertes System, das darauf ausgelegt ist, mit verschiedenen Autonomiegraden zu operieren und Ausgaben wie Vorhersagen, Empfehlungen oder Entscheidungen generieren kann, die physische oder virtuelle Umgebungen beeinflussen. In der Praxis umfasst dies:

• Generative Modelle für Text, Bild oder Code (ChatGPT, Claude, Gemini, Copilot, Midjourney)
• Konversations-Chatbots auf Webseiten oder WhatsApp
• Empfehlungssysteme für Produkte oder Inhalte
• Engines für dynamische Preisgestaltung oder Angebotsindividualisierung
• Prädiktive Analyse-Tools in Vertrieb, Recruiting oder Logistik
• Automatisierungen mit komplexer bedingter Logik in n8n, Make oder Zapier

Selbst Systeme, die „einfach" erscheinen, können in den Anwendungsbereich fallen, wenn sie automatisierte Entscheidungen treffen, die Menschen betreffen. Beispielsweise fällt ein intelligenter Sprach-Agent wie SDR, der Vertriebsanrufe verwaltet, Produkte empfiehlt und Termine vereinbart, eindeutig unter die Definition: Er verarbeitet natürliche Sprache, trifft Echtzeitentscheidungen und repräsentiert das Unternehmen gegenüber dem Kunden. Jeder Mitarbeiter, der ein solches System überwacht, konfiguriert oder mit ihm interagiert, benötigt KI-Kompetenz – nicht nur um die KI-Verordnung zu erfüllen, sondern um zu verhindern, dass der Agent Fehler begeht, die die Geschäftsbeziehung schädigen oder sensible Daten offenlegen.

Die Verpflichtung ist nicht binär. Das erforderliche Kompetenzniveau muss proportional zur Rolle und zum Systemrisiko sein. Ein Ingenieur, der Modelle trainiert, benötigt tiefes technisches Wissen über Architektur, algorithmische Verzerrungen und Datenvalidierung. Ein Vertriebsmitarbeiter, der einen Konversations-Assistenten nutzt, muss verstehen, was das System tut, welche Daten es verarbeitet, wann einzugreifen ist und wie Vorfälle zu dokumentieren sind. Eine Führungskraft, die den Kauf eines KI-Tools genehmigt, muss rechtliche, ethische und Governance-Implikationen verstehen. Kompetenz ist keine einheitliche Schulung für alle.

Was bedeutet „ausreichendes Niveau" an KI-Kompetenz laut Verordnung?

Artikel 4 spezifiziert keine konkreten Schulungsinhalte oder Mindeststunden. Er verwendet den Ausdruck „ausreichendes Niveau", was Interpretationsspielraum lässt, aber auch Verantwortung beim Unternehmen belässt. Ausreichend wofür? Um die Rechte und Pflichten der Verordnung zu erfüllen, Systeme informiert einzusetzen und sich Chancen, Risiken und potenzieller Schäden bewusst zu sein. Das ist der Maßstab.

In praktischer Hinsicht haben die Europäische Kommission und Behörden wie die AESIA Bereiche genannt, die jeder Kompetenzplan abdecken muss. Die Tiefe variiert je nach tatsächlicher KI-Nutzung in der Organisation, aber die Struktur lautet:

Technisches Basiswissen: verstehen, was ein KI-System ist, wie es auf konzeptioneller Ebene funktioniert (maschinelles Lernen, natürliche Sprachverarbeitung, neuronale Netze), welche Arten von Systemen existieren (diskriminativ, generativ, überwacht, unüberwacht) und was sie können und nicht können. Dies erfordert kein Programmieren, aber das Verständnis, dass eine KI nicht „denkt" oder „versteht" wie ein Mensch.

Verzerrungen und Einschränkungen: erkennen, dass KI-Systeme Verzerrungen aus ihren Trainingsdaten erben, Diskriminierung fortsetzen und Fehler machen können. Wissen, wann eine Ausgabe falsch, unplausibel oder verzerrt erscheint. Konzepte wie Halluzinationen (bei generativen Modellen), Scheinkorrelationen, Überanpassung und Genauigkeitsverlust bei Verteilungen außerhalb des Trainingssets verstehen.

Datenschutz und Privatsphäre: wissen, welche personenbezogenen Daten das System verarbeitet, wie sie gespeichert werden, wer Zugriff hat und welche Rechte Betroffene haben (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch). Verstehen, dass sensible Daten nicht ohne vertragliche Garantien in Drittanbieter-Tools eingegeben werden dürfen. Den Unterschied zwischen Verarbeitung in öffentlicher Cloud, privater Cloud und On-Premise kennen.

Transparenz und Erklärbarkeit: verstehen, wann das Gesetz verlangt, Personen zu informieren, dass sie mit KI interagieren (Artikel 50 der KI-Verordnung). Wissen, welche Informationen über die Funktionsweise des Systems bereitzustellen sind. Den Unterschied zwischen Black-Box-Systemen und erklärbaren Systemen erkennen.

Menschliche Aufsicht: identifizieren, wann menschliches Eingreifen erforderlich ist (human-in-the-loop, human-on-the-loop, human-in-command). Wissen, wann eine automatisierte Entscheidung gestoppt oder aufgehoben werden muss. Verstehen, dass bestimmte Hochrisikosysteme (Personalauswahl, Kreditscoring, Bildungsbewertung) verpflichtende menschliche Prüfung erfordern.

Geistiges Eigentum: wissen, dass generative Modelle urheberrechtlich geschützte Inhalte ohne Warnung reproduzieren können. Verstehen, dass von KI generierte Inhalte in einigen Ländern möglicherweise nicht als Originalwerk registrierbar sind. Die Implikationen der Verwendung von KI zur Erstellung kommerzieller oder redaktioneller Inhalte verstehen.

Sicherheit und Vertraulichkeit: Risiken wie Prompt Injection, Data Poisoning, Extraktion von Trainingsinformationen oder Lecks von Geschäftsgeheimnissen erkennen. Wissen, dass Passwörter, API-Schlüssel, Kundendaten oder vertrauliche Strategien nicht in Prompts öffentlicher Tools eingegeben werden dürfen.

Dieses Wissen wird nicht in einem 30-minütigen Webinar erworben. Es erfordert strukturierte, kontinuierliche und rollenkontextualisierte Schulung. Die Verpflichtung aus Artikel 4 ist nicht punktuell: Kompetenz muss aktuell gehalten werden, während sich Systeme und Vorschriften weiterentwickeln. Wenn Ihr Unternehmen im März 2026 ein neues KI-Modell implementiert, muss das relevante Personal vor dem Einsatz geschult werden, nicht danach.

Wie Sie Compliance dokumentieren: die Nachweise, die Sie bereithalten müssen

Die AESIA kann jederzeit Nachweise anfordern, dass Ihr Unternehmen Artikel 4 erfüllt. Es reicht nicht aus zu behaupten, dass „die Leute wissen, wie man KI verwendet". Sie benötigen formale Dokumentation, die Folgendes belegt:

KI-Systemverzeichnis: Auflistung aller Tools, Plattformen oder KI-Modelle, die die Organisation nutzt, mit Beschreibung ihrer Funktion, Anbieter, Rolle (Anbieter oder Betreiber) und vorläufiger Risikoeinstufung. Dieses Verzeichnis muss aktualisiert werden, sobald ein System hinzugefügt oder entfernt wird.

Bedarfsanalyse für Schulungen: Bewertung, welche Profile im Unternehmen mit KI interagieren, in welchem Kontext und mit welcher Verantwortung. Dies bestimmt die erforderliche Kompetenztiefe für jede Gruppe. Beispielsweise benötigt das Vertriebsteam, das ein prädiktives CRM nutzt, andere Schulungen als das technische Team, das Automatisierungs-Workflows in n8n mit Claude-API-Integrationen entwickelt.

Schulungsplan: strukturiertes Programm, das Lernziele, Inhalte, Methodik (Präsenz, online, gemischt), Dauer, Häufigkeit und Verantwortliche spezifiziert. Der Plan muss mit den in der vorherigen Analyse identifizierten Rollen übereinstimmen. Er muss Erstschulung und regelmäßige Auffrischung umfassen.

Teilnahme- und Bewertungsnachweise: Nachweis, dass das Personal die Schulung abgeschlossen hat. Dies kann ein Teilnahmeregister, Abschlusszertifikate, Ergebnisse von Wissenstests oder jeder Mechanismus sein, der die effektive Teilnahme belegt. Die bloße Einladung zu einem Kurs zählt nicht als Compliance.

Interne KI-Nutzungsrichtlinien: Dokument, das klare Regeln festlegt, welche Systeme verwendet werden dürfen, zu welchen Zwecken, mit welchen Einschränkungen, welche Daten verarbeitet werden dürfen und was bei Vorfällen zu tun ist. Diese Richtlinien müssen zugänglich sein, in klarer Sprache verfasst und regelmäßig überprüft werden.

Überwachungs- und Aktualisierungsverfahren: Mechanismus zur Erkennung neuer KI-Nutzung im Unternehmen (manchmal übernehmen Mitarbeiter Tools ohne formale Genehmigung), zur Überprüfung der Angemessenheit der Schulung und zur Aktualisierung von Inhalten, wenn sich Vorschriften, Systeme oder identifizierte Risiken ändern.

Die Dokumentation muss proportional zur Unternehmensgröße und zum Systemrisiko sein. Ein Start-up mit 8 Personen, das Notion AI zum Zusammenfassen von Besprechungen nutzt, benötigt weniger Formalisierung als eine Versicherung mit 500 Mitarbeitern und automatisiertem Schadenscoring. Dennoch muss selbst das Start-up nachweisen können, dass sein Team weiß, was das Tool tut, welche Daten es verarbeitet und wann es nicht verwendet werden sollte.

Sanktionen und Aufsicht: was passieren kann, wenn Sie nicht compliant sind

Das Sanktionsregime der KI-Verordnung trat am 2. August 2025 in Kraft. Seit diesem Datum hat die AESIA die Befugnis, die Einhaltung von Artikel 4 zu kontrollieren und gegebenenfalls Sanktionen zu verhängen. Artikel 99 der Verordnung sieht Bußgelder bis zu 35 Millionen Euro oder 7% des weltweiten konsolidierten Jahresumsatzes des Vorjahres vor, wobei der jeweils höhere Betrag gilt. Das ist die Höchstgrenze, anwendbar auf sehr schwere Verstöße.

Für die Nichteinhaltung der Kompetenzpflicht ist das Sanktionsschema abgestuft. Die Behörden wenden Verhältnismäßigkeit an: Sie bewerten Art, Schwere und Dauer des Verstoßes, ob er vorsätzlich oder fahrlässig war, Maßnahmen zur Schadensbegrenzung, Grad der Verantwortung, Kooperation mit der Behörde, Vorgeschichte und finanzielle Lage des Zuwiderhandelnden.

In der Praxis bedeutet dies:

• Leichte Verstöße: Verwarnung, Aufforderung zur Einführung von Korrekturmaßnahmen innerhalb einer bestimmten Frist, reduziertes Bußgeld (Zehntausende oder Hunderttausende Euro je nach Unternehmensgröße).
• Schwere Verstöße: Bußgelder von mehreren Millionen Euro, insbesondere wenn der Verstoß konkrete Schäden an Personen ermöglicht oder die Erkennung anderer Verstöße gegen die KI-Verordnung verhindert hat.
• Wiederholte Verstöße oder solche mit schwerwiegenden Folgen: Bußgelder nahe der gesetzlichen Höchstgrenze, Ausschluss von öffentlichen Vergabeverfahren, Veröffentlichung der Sanktion mit Reputationsschaden.

Die AESIA hat noch keine detaillierten Überwachungskriterien für Artikel 4 veröffentlicht, hat aber bereits signalisiert, dass sie Hochrisikosektoren (Gesundheit, Finanzen, Bildung, Personal) und Unternehmen priorisieren wird, die Systeme mit erheblichen Auswirkungen auf Grundrechte einsetzen. Darüber hinaus können Kontrollen durch Beschwerden von Mitarbeitern, Betroffenen automatisierter Entscheidungen oder Warnungen anderer Behörden (Spanische Datenschutzbehörde, Arbeitsinspektion) ausgelöst werden.

Das Risiko ist nicht nur das Bußgeld. Ein Sanktionsverfahren nach der KI-Verordnung verursacht Rechtskosten, lähmt Betriebsabläufe, schadet der Reputation und erschwert die Beziehung zu institutionellen Kunden, die Compliance-Zertifikate verlangen. Viele öffentliche Ausschreibungen und B2B-Verträge in regulierten Sektoren enthalten bereits Compliance-Klauseln zur KI-Verordnung. Die Nichteinhaltung von Artikel 4 kann Sie von diesen Märkten ausschließen.

Über Compliance hinaus: die Verpflichtung in Wettbewerbsvorteil verwandeln

Die vorherrschende Erzählung über die KI-Verordnung ist defensiv: Bußgelder vermeiden, Anforderungen erfüllen, für Kontrollen dokumentieren. Diese Perspektive ist korrekt, aber unvollständig. KI-Kompetenz ist nicht nur regulatorische Kosten – sie ist Investition in organisatorische Fähigkeit. Unternehmen, die dies verstehen, wie Flap Consulting, verwandeln die Verpflichtung in Wettbewerbsdifferenzierung.

Erstens, weil Mitarbeiter, die KI verstehen, weniger kostspielige Fehler machen. Sie wissen, wann sie einer Modellausgabe nicht vertrauen sollten, wann eine menschliche Prüfung erforderlich ist, welche Daten niemals in einen Prompt eingegeben werden dürfen. Dies reduziert Datenschutzvorfälle, vermeidet verzerrte Entscheidungen und verringert rechtliche Risiken. Jeder vermiedene Fehler ist eingespartes Geld bei Beschwerden, Reputation und Verwaltungszeit.

Zweitens, weil Kompetenz die effektive KI-Einführung beschleunigt. Eine Organisation, in der Menschen verstehen, was die Technologie macht, wofür sie dient und wo ihre Grenzen liegen, übernimmt neue Tools schneller und nutzt sie besser. Sie muss keine kulturellen Widerstände überwinden, die auf Angst oder Unwissen basieren. Schulung ist keine Bremse – sie ist der Katalysator, der Technologieinvestitionen in operative Ergebnisse verwandelt.

Drittens, weil internes Wissen bessere Verhandlungen mit Anbietern und Beratungen ermöglicht. Wenn Ihr technisches Team RAG-Architektur, Claude-API-Integration und Workflow-Logik in n8n versteht, wird Ihnen kein Blendwerk verkauft. Sie können Angebote mit Sachverstand bewerten, unnötige Mehrkosten erkennen und Lösungen fordern, die auf Ihren tatsächlichen Anwendungsfall zugeschnitten sind, nicht auf generische Vorlagen.

Viertens, weil Kompetenz interne Innovation ermöglicht. Ein Team, das KI-Automatisierungsfähigkeiten versteht, kann Kandidatenprozesse für Automatisierung identifizieren, operative Verbesserungen vorschlagen und schnelle Prototypen entwerfen. Es muss nicht darauf warten, dass eine externe Beratung die Chancen „entdeckt". Innovation entsteht aus verteiltem Wissen, nicht von externen Gurus.

Schließlich, weil die Einhaltung von Artikel 4 ein kommerzielles Argument ist. In B2B-Sektoren und öffentlichen Ausschreibungen signalisiert der Nachweis formaler KI-Kompetenz organisatorische Reife. Sie differenziert seriöse Unternehmen von Wettbewerbern, die KI ohne Kontrolle oder Verständnis einsetzen. Viele institutionelle Kunden fragen bereits in der Due Diligence nach KI-Richtlinien. Bereite Dokumentation zu haben, vermeidet nicht nur Sanktionen – sie öffnet kommerzielle Türen.

KI-Kompetenz ist keine bürokratische Checkbox. Sie ist Wissensinfrastruktur, die bestimmt, ob Ihr Unternehmen die disruptivste technologische Welle des letzten Jahrzehnts nutzt oder verschwendet. Die KI-Verordnung zwingt Sie, diese Infrastruktur aufzubauen. Das Kluge ist, es mit Blick auf Wettbewerbsvorteile zu tun, nicht nur um Bußgelder zu vermeiden.

Artikel 4 ist der erste Baustein der KI-Verordnung – und der, den die meisten Unternehmen ignorieren

Zwei Jahre nachdem die KI-Verordnung in Kraft getreten ist, denken die meisten deutschen Unternehmen immer noch, dass die Verordnung ein Problem von 2026 oder 2027 ist. Sie irren sich. Artikel 4 gilt seit Februar 2025 und ist heute vollständig durchsetzbar. Kontrollen warten nicht auf den vollständigen Verpflichtungskalender. Die AESIA kann jederzeit überprüfen, ob Ihr Personal über ausreichende KI-Kompetenz verfügt. Wenn die Antwort nein lautet, beginnt das Sanktionsverfahren.

Die gute Nachricht ist, dass Compliance keine millionenschweren Budgets oder dreimonatige Beratungen erfordert. Sie erfordert eine ehrliche Diagnose, welche Systeme Sie nutzen, welche Rollen mit ihnen interagieren und welche Kenntnisse fehlen. Sie erfordert kontextualisierte, nicht generische Schulung. Sie erfordert klare Dokumentation und vernünftige Nutzungsrichtlinien. Sie erfordert, es als Investition in Fähigkeiten zu behandeln, nicht als rechtliche Formalität. Unternehmen, die es richtig machen, erleben es nicht als Last – sie erleben es als Beschleuniger, der Technologie mit weniger Risiko und mehr Kontrolle in Ergebnisse verwandelt. Die KI-Verordnung stoppt Innovation nicht. Sie zwingt dazu, zu innovieren, während man weiß, was man tut. Das ist der Unterschied zwischen KI zu nutzen und dass KI Ihnen um die Ohren fliegt.