KI-Kompetenz nach Artikel 4: die Pflicht, die bereits gilt

Von allen Pflichten der KI-Verordnung ist die bereits bindende zugleich die am seltensten besprochene. Sie ist keine Hochrisiko-Anforderung, sie wartet auf keine Konformitätsbewertung, und sie gilt, ob eine Organisation KI baut oder sie lediglich einsetzt. In Kraft ist sie seit dem 2. Februar 2025.

Sie ist außerdem die Pflicht, zu der die meisten veröffentlichten Hinweise inzwischen veraltet sind – aus einem Grund, den man kennen sollte, bevor man eine Schulung beauftragt.

Worin die Pflicht besteht

Artikel 4 der KI-Verordnung betrifft KI-Kompetenz. Er bindet Anbieter und Betreiber, also Organisationen, die KI-Systeme entwickeln, und Organisationen, die sie einsetzen. Er gilt seit dem 2. Februar 2025 und ist nicht an den Hochrisiko-Zeitplan gekoppelt. Wer daraus, dass die Annex-III-Pflichten erst am 2. Dezember 2027 greifen, geschlossen hat, es sei bis dahin nichts zu tun, hat für diesen Artikel den falschen Schluss gezogen.

Die Pflicht besteht darin, Maßnahmen zur KI-Kompetenz für Beschäftigte und andere Personen zu ergreifen, die KI-Systeme im Auftrag der Organisation bedienen – angemessen zu ihrer Rolle, ihrem vorhandenen Wissen und dem Zusammenhang, in dem die Systeme eingesetzt werden.

Was sich geändert hat und warum es zählt

Der Digital Omnibus zur KI, in Kraft seit dem 27. Juli 2026, hat Artikel 4 geändert. Die Kommission beschreibt in ihrer eigenen Mitteilung, was geschehen ist: Die bisherige Anforderung an die KI-Kompetenz für Unternehmen wurde vereinfacht, wobei Kommission und Mitgliedstaaten eine stärkere Rolle bei deren Förderung übernehmen. Siehe Europäische Kommission: Inkrafttreten des KI-Omnibus.

Die Pflicht wurde nicht aufgehoben. Ihr Charakter hat sich geändert: von einer Pflicht, die auf ein Ergebnis abstellt, zu einer, die auf das Ergreifen von Maßnahmen abstellt. Praktisch wird die Organisation danach beurteilt, was sie vernünftigerweise getan hat, und nicht danach, ob sie ein erreichtes Niveau über die gesamte Belegschaft nachweist.

Diese Unterscheidung hat wirtschaftliche Folgen, weil sie ändert, welche Nachweise sich lohnen. Ein Programm, das ein Niveau über eine Belegschaft belegen soll, ist teuer und störanfällig. Ein Programm, das angemessene, rollengerechte Maßnahmen zeigt und dokumentiert, ist machbar – und es ist das, wonach die heutige Pflicht fragt.

Warum die meisten Hinweise weiterhin etwas anderes sagen

Eine eigene Beobachtung vom 16. September 2026: Die Seite des AI Act Service Desk der Europäischen Kommission zu Artikel 4 zeigt weiterhin den Text vor dem Omnibus, versehen mit einem ausdrücklichen Hinweis, dass die Bestimmung durch den Digital Omnibus geändert wurde und der angezeigte Text diese Änderungen noch nicht abbildet.

Die amtliche Quelle benennt die Lücke offen. Viele Sekundärhinweise tun das nicht und geben den überholten Maßstab weiter, als wäre er aktuell. Wenn ein Schulungsangebot, eine Richtlinienvorlage oder ein Compliance-Produkt Ihnen die alte Formulierung zurückspielt, sagt Ihnen das, wann es geschrieben wurde und ob es seither jemand geprüft hat.

Das ist der normale Zustand einer Verordnung, die sich noch setzt. Es ist zugleich ein brauchbarer Test für jede Beratung: Fragen Sie, was sich im Juli 2026 geändert hat und was daraufhin aktualisiert wurde.

Wie „Maßnahmen“ praktisch aussehen

Angemessenheit ist das maßgebliche Wort, und sie zielt auf Rollen, nicht auf Kopfzahlen. Fünf Gruppen decken die meisten Organisationen ab.

• Menschen, die entscheiden. Führungskräfte, die den KI-Einsatz freigeben, brauchen genug, um brauchbare Fragen zu stellen: Was tut das System, wofür ist es nicht gedacht, welche Belege für seine Funktionsfähigkeit gibt es, was passiert im Fehlerfall, und wer verantwortet die Antwort?
• Menschen, die bedienen. Beschäftigte, die KI täglich nutzen, müssen die Grenzen des Werkzeugs kennen, eine falsche oder nicht belegte Ausgabe erkennen, wissen, wann zu eskalieren ist, und was sie nicht hineingeben dürfen.
• Menschen, die bauen oder konfigurieren. Technische Rollen brauchen Bewertungspraxis, Datenhandhabung, Protokollierung und Änderungssteuerung – also den Arbeitsinhalt des NIST AI Risk Management Framework und keine Sensibilisierungsstunde.
• Menschen, die einkaufen. Einkauf und Recht müssen wissen, welche Fragen darüber entscheiden, ob ein System sicher betrieben und sauber beendet werden kann.
• Menschen, die beraten oder prüfen. Risiko, Compliance, Revision und Datenschutz brauchen genug Sicherheit, um ein System zu beurteilen, ohne das Urteil an das bauende Team auszulagern.

Zweierlei folgt daraus. Erstens kann eine einzige unternehmensweite Veranstaltung nicht alle fünf Gruppen bedienen, weil ihre Fragen verschieden sind. Zweitens verlangt nichts davon ein Zertifizierungsschema; Artikel 4 benennt keines.

Welche Nachweise zu führen sind

Eine Pflicht zum Bemühen wird durch einen Nachweis des Bemühens belegt. Vier Artefakte genügen, und alle vier will eine gut geführte Organisation ohnehin haben.

• Eine Rollenkarte, die zeigt, welche Gruppen welchen Systemen ausgesetzt sind – sie folgt unmittelbar aus einem Verzeichnis dessen, was tatsächlich betrieben wird.
• Eine Beschreibung dessen, was jede Gruppe erhalten hat, mit Datum und Inhalt, so bescheiden es auch sei.
• Das Material selbst, versioniert, damit sich sagen lässt, was wann vermittelt wurde.
• Ein Überprüfungsdatum, denn ein Programm, das einmal zutrifft und nie wieder angesehen wird, hört still auf, überhaupt eine Maßnahme zu sein.

ISO/IEC 42001, die Managementsystemnorm für KI, behandelt Kompetenz und dokumentierte Verantwortlichkeiten als gewöhnliche Bestandteile eines Managementsystems. Wer diese Struktur übernimmt, erzeugt die Artikel-4-Nachweise nebenbei statt in einer eigenen Übung.

Der Teil, der nichts mit Compliance zu tun hat

Es gibt einen schlichten betrieblichen Grund, der auch ohne Artikel 4 trüge.

Die größte veröffentlichte Feldstudie zu KI in der Servicearbeit, Brynjolfsson, Li und Raymond: Generative AI at Work, fand, dass sich der Nutzen eines KI-Assistenten bei weniger erfahrenen Kräften konzentrierte – dort rund 34 % –, während erfahrene Kräfte nahezu nichts gewannen. Der von den Autoren beschriebene Mechanismus ist die Verbreitung guter Praxis. Ob diese Verbreitung eintritt, hängt davon ab, ob Menschen verstehen, was das Werkzeug tut, und wann sie ihm widersprechen sollten.

Andersherum: Der Unterschied zwischen einer Belegschaft, die KI gut nutzt, und einer, die es schlecht tut, ist weitgehend der Unterschied, den Artikel 4 adressieren lässt. Der Stanford HAI AI Index Report 2026 beziffert die organisatorische Verbreitung auf 88 % und hält fest, dass die Ergebnisse uneinheitlich bleiben – und Uneinheitlichkeit dieser Art ist selten ein Modellproblem.

Womit anfangen

Beginnen Sie bei der Liste der tatsächlich eingesetzten Systeme, nicht bei einem Schulungskatalog. Die Expositionskarte ergibt sich aus dem Verzeichnis, die Rollengruppen aus der Expositionskarte, die Inhalte aus den Rollen. In dieser Reihenfolge entsteht in Wochen ein belastbares Programm; in umgekehrter Reihenfolge entsteht ein Kurs, den niemand gebraucht hat.

Wenn Sie die Pflicht auf Ihre Organisation abgebildet und das Programm um das gebaut haben möchten, was Sie tatsächlich betreiben: Das ist Governance- und Prüfarbeit, üblicherweise als Bestandsaufnahme zugeschnitten oder als Arbeitssitzung geliefert.

Dieser Beitrag ist eine Adaption des englischen Originals. Im Zweifel gilt die englische Fassung.