KI-Kompetenz nach Artikel 4: Was die Pflicht nach der Neufassung verlangt

Artikel 4 ist kurz und deshalb leicht zu unterschätzen. Er richtet sich an Anbieter und Betreiber gleichermaßen und verlangt, dass die Personen, die mit KI-Systemen arbeiten, über ein zum Einsatz passendes Maß an Kompetenz verfügen. Maßgeblich sind dabei ausdrücklich technische Kenntnisse, Erfahrung, Ausbildung sowie der Kontext, in dem die Systeme eingesetzt werden.

Was Artikel 4 nicht enthält, ist ebenso bemerkenswert: kein vorgeschriebenes Curriculum, kein Stundenumfang, kein Prüfungsformat, kein Intervall und keine Zertifizierungspflicht. Die Verordnung beschreibt ein Ziel und überlässt den Weg dem Betrieb. Das ist bequem und tückisch zugleich — bequem, weil Sie die Umsetzung an Ihre Verhältnisse anpassen dürfen; tückisch, weil es keine Vorlage gibt, deren Abarbeitung Sie automatisch auf die sichere Seite bringt.

Die Pflicht hängt nicht an der Risikoklasse. Auch wer ausschließlich Systeme mit minimalem Risiko einsetzt, unterliegt ihr. Damit ist Artikel 4 die einzige Vorschrift der Verordnung, die praktisch jeden Betrieb trifft, der KI überhaupt nutzt.

Die Änderungsverordnung (EU) 2026/1744, veröffentlicht am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026, hat Artikel 4 vollständig neu gefasst. Der Unterschied lässt sich auf eine Formel bringen: Aus einer Ergebnispflicht wurde eine Bemühenspflicht.

Die ursprüngliche Fassung verlangte, ein ausreichendes Kompetenzniveau sicherzustellen. Die Neufassung verlangt, Maßnahmen zu ergreifen, die die Entwicklung dieser Kompetenz unterstützen — und stellt ausdrücklich klar, dass daraus keine Pflicht folgt, ein bestimmtes Kompetenzniveau einer einzelnen Person zu garantieren. Ergänzend sollen Kommission und Mitgliedstaaten insbesondere kleine und mittlere Unternehmen unterstützen und praktische Beispiele veröffentlichen.

Für Ihr Vorgehen folgt daraus wenig: Eine dokumentierte Schulung bleibt der naheliegende Weg, die Pflicht zu erfüllen. Ändern sollten Sie allerdings die Sprache in internen Unterlagen, Angeboten und Richtlinien. Formulierungen, wonach ein bestimmtes Kompetenzniveau nachzuweisen oder sicherzustellen sei, gehen seit dem 27. Juli 2026 über das hinaus, was die Verordnung verlangt — und wer sich selbst zu mehr verpflichtet, als das Gesetz fordert, wird daran gemessen.

Adressat ist der Betrieb, nicht die einzelne Person. Erfasst sind das eigene Personal und andere Personen, die im Auftrag des Betriebs KI-Systeme betreiben oder nutzen. Auf die Vertragsform kommt es dabei nicht an: Wer in Ihrem Auftrag mit einem KI-System arbeitet, gehört in den Adressatenkreis.

Der Umfang der Maßnahmen darf sich nach der Rolle richten, und er sollte es auch. Ein sinnvoll gestaffeltes Vorgehen unterscheidet mindestens drei Gruppen:

• Alle Mitarbeitenden mit KI-Berührung brauchen Grundlagen: was KI ist, welche Risiken bestehen, was im Betrieb erlaubt ist und was nicht.
• Personen mit Aufsicht über ein System brauchen zusätzlich Kenntnisse zu dessen Funktionsweise, Grenzen und Fehlermodi — sie sollen Fehlausgaben erkennen können.
• Geschäftsführung und Verantwortliche brauchen den Überblick über die Pflichtenlage, weil sie über Beschaffung und Freigabe entscheiden.

Wer diese Staffelung dokumentiert, hat nebenbei den Verhältnismäßigkeitsnachweis erbracht: Die Maßnahmen passen zum Einsatzkontext, wie Artikel 4 es verlangt.

Da die Verordnung kein Curriculum vorgibt, orientiert sich der Inhalt an den Risiken, die im Betrieb tatsächlich bestehen. Bewährt hat sich dieser Kern:

• Funktionsweise und Grenzen. Was ein Sprachmodell tut und was nicht — insbesondere, dass plausible Ausgaben falsch sein können.
• Die Pflichtenlage im Überblick. Warum es Regeln gibt und woraus sie folgen.
• Verbotene Praktiken. Artikel 5, mit Blick auf die im Betrieb realistischen Fälle. Seit Dezember 2026 gehören die beiden neuen Verbotstatbestände dazu.
• Datenschutz und Geschäftsgeheimnisse. Welche Daten in welches System dürfen — der Punkt, an dem Schatten-KI entsteht.
• Transparenz. Wann KI-Einsatz offenzulegen und wann erzeugter Inhalt zu kennzeichnen ist.
• Die betriebliche Richtlinie. Die eigenen Regeln, verbindlich und mit Ansprechpartner.
• Meldewege. Wohin mit Auffälligkeiten und Vorfällen.

Der letzte Punkt verbindet die Schulung mit der KI-Richtlinie: Die Richtlinie legt fest, was gilt, die Schulung sorgt dafür, dass es bekannt ist. Beides einzeln ist deutlich schwächer als beides zusammen.

Der Nachweis ist der Teil, an dem es im Mittelstand regelmäßig scheitert — nicht, weil nicht geschult würde, sondern weil niemand mitschreibt. Belastbar ist eine Dokumentation, die für jede Person erkennen lässt:

• wer teilgenommen hat,
• wann,
• mit welchen Inhalten in welchem Umfang,
• und dass die Kenntnisnahme der betrieblichen Regeln bestätigt wurde.

Eine Anwesenheitsliste auf Papier erfüllt das im Prinzip. Sie hat nur zwei Schwächen: Sie verschwindet, und sie lässt sich nicht auf Aktualität prüfen. Sobald mehr als eine Handvoll Personen betroffen ist, ist eine Lösung sinnvoll, die den Stand je Person führt und den Nachweis auf Knopfdruck ausgibt.

Ein Zertifikat ist nicht vorgeschrieben. Es ist aber die handlichste Form des Nachweises, wenn Kunden, Auditoren oder Partner danach fragen — vorausgesetzt, es ist überprüfbar und nicht bloß ein hübsches PDF.

• Nur die IT schulen. Die Pflicht knüpft an die Nutzung an, nicht an die Abteilung. Marketing, Vertrieb und Personalwesen nutzen KI meist intensiver als die IT.
• Einmal schulen und abhaken. Neue Mitarbeitende, neue Systeme und geänderte Rechtslage lassen den Nachweis veralten.
• Den Nachweis nicht führen. Eine Schulung ohne Dokumentation ist im Prüfungsfall nicht geschehen.
• Sich zu viel versprechen. Interne Unterlagen, die ein sicherzustellendes Kompetenzniveau behaupten, gehen seit Juli 2026 über die Verordnung hinaus.
• Schulung ohne Regeln. Ohne Richtlinie fehlt der Schulung der verbindliche Inhalt — die Teilnehmenden erfahren, was KI ist, aber nicht, was sie dürfen.