KI-Kompetenz: Die einzige Pflicht der KI-Verordnung, die Sie heute schon trifft

TL;DR

Was sagt Artikel 4 und wen genau verpflichtet er?

Die KI-Verordnung hat eine stufenweise Architektur: Je höher das Risiko, desto mehr Pflichten. Die meisten einschüchternden Artikel (technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Registrierung in der EU-Datenbank) werden nur ausgelöst, wenn Ihr System als hochriskant eingestuft ist, und diese Pflichten gelten erst ab Dezember 2027 oder August 2028, je nach Fall.

Artikel 4 ist die Ausnahme. Er steht in Kapitel I, «Allgemeine Bestimmungen», und Artikel 113 dritter Unterabsatz lit. a) legt fest, dass Kapitel I und II ab dem 2. Februar 2025 gelten – ohne Übergangszeit, ohne Abhängigkeit vom Risikoniveau und ohne Abhängigkeit von der Unternehmensgröße.

Er verpflichtet zwei in Artikel 3 definierte Figuren:

Dieser letzte Zusatz trennt das Unternehmen von der Privatperson. Einen Chatbot sonntags für ein Gedicht zu nutzen ist eine persönliche Tätigkeit. Ihn montags für das Verfassen von Geschäftsangeboten zu nutzen, nicht.

Was hat sich am 27. Juli 2026 geändert?

Der digitale KI-Omnibus, am 24. Juli 2026 im Amtsblatt veröffentlicht und drei Tage später in Kraft getreten, hat Artikel 4 vollständig ersetzt in Punkt 5 seines Artikels 1. Die neue Fassung hat drei Absätze. Der erste, im Wortlaut:

«1. Anbieter und Deployer von KI-Systemen ergreifen Maßnahmen zur Förderung der KI-Kompetenz ihres Personals und sonstiger Personen, die in ihrem Namen für die Bedienung und Nutzung von KI-Systemen zuständig sind, und berücksichtigen dabei deren technische Kenntnisse, Erfahrung, Ausbildung und Schulung sowie den vorgesehenen Verwendungskontext der KI-Systeme und die Personen oder Personengruppen, für die die Systeme verwendet werden. Diese Pflicht verlangt nicht, dass Anbieter oder Deployer ein bestimmtes Maß an KI-Kompetenz einer bestimmten Person sicherstellen.»

Was sich in der Praxis geändert hat:

Ursprüngliche Fassung (2. Feb. 2025 – 26. Jul. 2026) Geltende Fassung (ab 27. Jul. 2026)
Verb«ergreifen Maßnahmen zur Sicherstellung, dass … ein ausreichendes Niveau haben»«ergreifen Maßnahmen zur Förderung der KI-Kompetenz»
Umfang«soweit wie möglich»Diese Klausel wird gestrichen
Gefordertes NiveauNicht spezifiziertAusdrücklich klargestellt: Es ist nicht erforderlich, ein bestimmtes Niveau einer bestimmten Person sicherzustellen
Öffentliche UnterstützungIm Artikel nicht vorgesehenKommission und Mitgliedstaaten müssen unterstützen; praktische Beispiele auf der einheitlichen Informationsplattform

Erwägungsgrund 8 des Omnibus erklärt den Grund mit ungewöhnlicher Offenheit: Die Erfahrung der Interessengruppen zeigte, dass «eine Lösung, die strenge Pflichten zur Sicherstellung eines ausreichenden Niveaus an KI-Kompetenz auferlegt, nicht für alle Arten von Anbietern und Deployers geeignet wäre», und dass diese Pflichten «eine zusätzliche Compliance-Last, insbesondere für kleine Unternehmen», schaffen. Es fügt eine Idee hinzu, die nicht aus dem Blick geraten sollte: KI-Kompetenz «sollte eine strategische Priorität sein, unabhängig von Regulierungspflichten und möglichen Sanktionen».

Übersetzt für ein KMU: Die Pflicht ist vernünftiger geworden, nicht verschwunden.

Gilt es, wenn wir in unserem Unternehmen nur ChatGPT oder Copilot nutzen?

Ja. Und das ist das, was am schwersten zu akzeptieren ist.

Artikel 3 Punkt 1 definiert «KI-System» als «ein maschinenbasiertes System, das mit unterschiedlichen Graden an Autonomie betrieben wird und das nach seinem Einsatz eine Anpassungsfähigkeit zeigen kann und das für ausdrückliche oder implizite Ziele aus den empfangenen Eingaben ableitet, wie Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt werden, die physische oder virtuelle Umgebungen beeinflussen können».

Ein generativer Konversationsassistent passt ohne Diskussion darunter. Genauso das Modul, das Produktbeschreibungen in Ihrem Online-Shop schreibt, das Anrufzusammenfassungen im CRM erstellt, das E-Mail-Antworten vorschlägt oder das eingehende Rechnungen klassifiziert. Artikel 4 unterscheidet nicht nach Risiko: Er sagt «KI-Systeme», ohne Weiteres.

Was er unterscheidet, ist der vorgesehene Verwendungskontext. Die Maßnahme, die Sie für eine 5-Personen-Belegschaft ergreifen, die einen Chatbot für Entwürfe nutzt, muss einer Beratungskanzlei, die KI für die Vorklassifizierung von Kundenvorgängen einsetzt, nicht ähneln.

Was ist ein «ausreichendes» Maß an KI-Kompetenz?

Die Verordnung definiert den Begriff in Artikel 3 Punkt 56: «die Fähigkeiten, Kenntnisse und das Verständnis, die es Anbietern, Deployers und betroffenen Personen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Kontext dieser Verordnung ermöglichen, KI-Systeme informiert einzusetzen sowie ein Bewusstsein für die Chancen und Risiken, die KI mit sich bringt, sowie die Schäden, die sie verursachen kann, zu entwickeln».

Heruntergebrochen auf ein KMU bedeutet ein ausreichendes Maß, dass der Nutzer des Tools weiß:

Wenn Ihre Belegschaft das weiß und Sie nachweisen können, dass Sie es ihr beigebracht haben, haben Sie Sinn und Wortlaut von Artikel 4 erfüllt.

Was Artikel 4 NICHT verlangt

Es ist wichtig, das klar zu sagen, da es viel kommerziellen Lärm darum gibt.

Wie wird es in der Praxis nachgewiesen?

Mit datierten Dokumenten. Die Logik ist dieselbe wie beim Datenschutz oder der Arbeitssicherheit: Wenn es nicht dokumentiert ist, hat es nicht stattgefunden.

Vier Dokumente, und keines muss mehr als ein paar Seiten umfassen.

1. Inventar der KI-Systeme. Eine Tabelle mit: Tool, Anbieter, Verwendungszweck, wer es nutzt, welche Daten eingehen, wer es genehmigt hat und Datum. Das ist die Grundlage von allem und das Erste, was jeder Prüfer verlangen wird.

2. KI-Nutzungsrichtlinie. Das Dokument, das am Montag erstellt werden muss. Mindestinhalt:

3. Schulungsprotokoll. Datum, Dauer, Inhalte, Teilnehmer und Unterschrift oder Empfangsbestätigung. Eine interne 45-Minuten-Sitzung reicht. Was nicht reicht, ist kein Protokoll zu führen.

4. Nachweise. Die verwendeten Materialien, die E-Mail zur Mitteilung der Richtlinie an die Belegschaft, die Empfangsbestätigungen, die in Verträge mit Subunternehmern aufgenommenen Klauseln, die Systeme für Sie betreiben.

Fügen Sie ein Überprüfungsdatum hinzu. Die Verordnung wird sich weiterentwickeln und die Kommission hat den Auftrag, praktische Beispiele zu veröffentlichen.

Was passiert, wenn ich es nicht tue? Gibt es eine Geldbuße?

Hier muss man präzise sein und keine Angst schüren.

Artikel 99 Abs. 4 der KI-Verordnung zählt die mit bis zu 15.000.000 € oder 3 % des weltweiten Umsatzes bußgeldbewehrten Verstöße auf: Pflichten der Anbieter (Art. 16), bevollmächtigter Vertreter (Art. 22), Importeure (Art. 23), Händler (Art. 24), Deployer (Art. 26), notifizierte Stellen und Transparenz (Art. 50). Artikel 4 steht nicht in dieser Liste.

Allerdings beauftragt Abs. 1 desselben Artikels 99 die Mitgliedstaaten, das Sanktionsregime «für Verstöße gegen diese Verordnung» festzulegen. Das heißt: Die Tür für den nationalen Gesetzgeber bleibt offen.

In Spanien ist diese Tür noch nicht geschlossen. Der Organgesetz-Entwurf zum verantwortungsvollen Einsatz und zur Governance von künstlicher Intelligenz wurde am 12. Juni 2026 im BOCG veröffentlicht. In seinem Kapitel über Verstöße und Sanktionen (Artikel 13 bis 29) erfasst der veröffentlichte Text den Verstoß gegen Artikel 4 nicht als Tatbestand. Es ist ein Entwurf, der Änderungsanträgen unterliegt und nicht in Kraft ist, sodass sich das noch ändern kann.

Operativer Schluss: Es gibt heute keine nominelle Geldbuße für die Nichtschulung der Belegschaft. Es gibt jedoch zwei praktische Gründe, es trotzdem zu tun. Erstens: Wenn ein Mitarbeiter Kundendaten an ein öffentliches Tool weitergibt, liegt das Problem nicht an der KI-Verordnung, sondern an der DSGVO, und die Nutzungsrichtlinie ist Ihre Verteidigung. Zweitens: Jeder Unternehmenskunde oder jede öffentliche Ausschreibung, die KI-Governance-Nachweise verlangt, wird mit demselben zufrieden sein, was Artikel 4 fordert.

Wie mache ich das in vier Wochen?

Woche Was Sie tun Was schriftlich bleibt
1Sie fragen schriftlich jeden Bereich, welche KI-Tools sie nutzen, einschließlich der nicht genehmigtenInventar der KI-Systeme, Version 1
2Sie verfassen die Nutzungsrichtlinie auf Basis des Inventars: autorisierte Tools, verbotene Daten, menschliche Überprüfung, VorfälleKI-Nutzungsrichtlinie, genehmigt und datiert
3Interne Sitzung von 45–60 Minuten mit echten Fällen aus Ihrem Geschäft: ein Tool-Fehler, ein Datum, das nicht hinausgehen darf, eine zu überprüfende AusgabeSchulungsprotokoll mit Teilnehmern und Materialien
4Sie kommunizieren die Richtlinie, sammeln Empfangsbestätigungen, prüfen Verträge mit Subunternehmern, die Systeme für Sie betreiben, und legen ein Überprüfungsdatum festArchivierte Nachweise und Überprüfungsdatum notiert

Vier Wochen im Rhythmus eines Nachmittags pro Woche. Das ist das tatsächliche Ausmaß des Problems.

Häufig gestellte Fragen

Gilt Artikel 4 auch für Selbstständige?

Ja, wenn sie KI-Systeme in ihrer beruflichen Tätigkeit einsetzen. Die Deployer-Definition umfasst natürliche Personen und schließt nur den Einsatz «im Rahmen einer persönlichen, nicht beruflichen Tätigkeit» aus.

Wenn mein Softwareanbieter bereits mein Team schult, bin ich abgedeckt?

Das kann als Teil der Maßnahme dienen, aber der verpflichtete Akteur ist weiterhin Ihr Unternehmen. Bewahren Sie die Teilnahmebescheinigung, das Programm und die Daten auf und fügen Sie sie in Ihr Schulungsprotokoll ein.

Muss ich das gesamte Personal oder nur die KI-Nutzer schulen?

Artikel 4 bezieht sich auf das Personal «und sonstige Personen, die in Ihrem Namen für die Bedienung und Nutzung von KI-Systemen zuständig sind». Verhältnismäßig ist es, diejenigen zu schulen, die die Tools nutzen, und dem Rest eine kurze Informationsnotiz zu geben, besonders wenn sie irgendwann damit anfangen könnten.

Ändert sich etwas, wenn mein Unternehmen seine eigene KI entwickelt statt sie zu kaufen?

Es ändert sich viel, aber nicht wegen Artikel 4. Sie werden auch zum Anbieter mit den entsprechenden Pflichten je nach Risikoniveau des Systems. Artikel 4 gilt in beiden Fällen.

Kann ich mich mit dem Omnibus entspannen und nichts tun?

Nein. Die Pflicht besteht weiterhin, und ihr Anwendungsdatum hat sich nicht verändert: 2. Februar 2025. Was sich geändert hat, ist die Messlatte, die jetzt vernünftiger Aufwand ist und nicht garantiertes Ergebnis.

Quellen