KI-Kompetenz nach Artikel 4: Was die Pflicht nach der Neufassung verlangt

Artikel 4 ist kurz und deshalb leicht zu unterschätzen. Er richtet sich an Anbieter und Betreiber gleichermaßen und verlangt, dass die Personen, die mit KI-Systemen arbeiten, über ein zum Einsatz passendes Maß an Kompetenz verfügen. Maßgeblich sind dabei ausdrücklich technische Kenntnisse, Erfahrung, Ausbildung sowie der Kontext, in dem die Systeme eingesetzt werden.

Was Artikel 4 nicht enthält, ist ebenso bemerkenswert: kein vorgeschriebenes Curriculum, kein Stundenumfang, kein Prüfungsformat, kein Intervall und keine Zertifizierungspflicht. Die Verordnung beschreibt ein Ziel und überlässt den Weg dem Betrieb. Das ist bequem und tückisch zugleich — bequem, weil Sie die Umsetzung an Ihre Verhältnisse anpassen dürfen; tückisch, weil es keine Vorlage gibt, deren Abarbeitung Sie automatisch auf die sichere Seite bringt.

Die Pflicht hängt nicht an der Risikoklasse. Auch wer ausschließlich Systeme mit minimalem Risiko einsetzt, unterliegt ihr. Damit ist Artikel 4 die einzige Vorschrift der Verordnung, die praktisch jeden Betrieb trifft, der KI überhaupt nutzt.

Die Änderungsverordnung (EU) 2026/1744, veröffentlicht am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026, hat Artikel 4 vollständig neu gefasst. Der Unterschied lässt sich auf eine Formel bringen: Aus einer Ergebnispflicht wurde eine Bemühenspflicht.

Die ursprüngliche Fassung verlangte, ein ausreichendes Kompetenzniveau sicherzustellen. Die Neufassung verlangt, Maßnahmen zu ergreifen, die die Entwicklung dieser Kompetenz unterstützen — und stellt ausdrücklich klar, dass daraus keine Pflicht folgt, ein bestimmtes Kompetenzniveau einer einzelnen Person zu garantieren. Ergänzend sollen Kommission und Mitgliedstaaten insbesondere kleine und mittlere Unternehmen unterstützen und praktische Beispiele veröffentlichen.

Für Ihr Vorgehen folgt daraus wenig: Eine dokumentierte Schulung bleibt der naheliegende Weg, die Pflicht zu erfüllen. Ändern sollten Sie allerdings die Sprache in internen Unterlagen, Angeboten und Richtlinien. Formulierungen, wonach ein bestimmtes Kompetenzniveau nachzuweisen oder sicherzustellen sei, gehen seit dem 27. Juli 2026 über das hinaus, was die Verordnung verlangt — und wer sich selbst zu mehr verpflichtet, als das Gesetz fordert, wird daran gemessen.

Adressat ist der Betrieb, nicht die einzelne Person. Erfasst sind das eigene Personal und andere Personen, die im Auftrag des Betriebs KI-Systeme betreiben oder nutzen. Auf die Vertragsform kommt es dabei nicht an: Wer in Ihrem Auftrag mit einem KI-System arbeitet, gehört in den Adressatenkreis.

Der Umfang der Maßnahmen darf sich nach der Rolle richten, und er sollte es auch. Ein sinnvoll gestaffeltes Vorgehen unterscheidet mindestens drei Gruppen:

• Alle Mitarbeitenden mit KI-Berührung brauchen Grundlagen: was KI ist, welche Risiken bestehen, was im Betrieb erlaubt ist und was nicht.
• Personen mit Aufsicht über ein System brauchen zusätzlich Kenntnisse zu dessen Funktionsweise, Grenzen und Fehlermodi — sie sollen Fehlausgaben erkennen können.
• Geschäftsführung und Verantwortliche brauchen den Überblick über die Pflichtenlage, weil sie über Beschaffung und Freigabe entscheiden.

Wer diese Staffelung dokumentiert, hat nebenbei den Verhältnismäßigkeitsnachweis erbracht: Die Maßnahmen passen zum Einsatzkontext, wie Artikel 4 es verlangt.

Da die Verordnung kein Curriculum vorgibt, orientiert sich der Inhalt an den Risiken, die im Betrieb tatsächlich bestehen. Bewährt hat sich dieser Kern:

• Funktionsweise und Grenzen. Was ein Sprachmodell tut und was nicht — insbesondere, dass plausible Ausgaben falsch sein können.
• Die Pflichtenlage im Überblick. Warum es Regeln gibt und woraus sie folgen.
• Verbotene Praktiken. Artikel 5, mit Blick auf die im Betrieb realistischen Fälle. Ab dem 2. Dezember 2026 gehören die beiden neuen Verbotstatbestände dazu.
• Datenschutz und Geschäftsgeheimnisse. Welche Daten in welches System dürfen — der Punkt, an dem Schatten-KI entsteht.
• Transparenz. Wann KI-Einsatz offenzulegen und wann erzeugter Inhalt zu kennzeichnen ist.
• Die betriebliche Richtlinie. Die eigenen Regeln, verbindlich und mit Ansprechpartner.
• Meldewege. Wohin mit Auffälligkeiten und Vorfällen.

Der letzte Punkt verbindet die Schulung mit der KI-Richtlinie: Die Richtlinie legt fest, was gilt, die Schulung sorgt dafür, dass es bekannt ist. Beides einzeln ist deutlich schwächer als beides zusammen.

Der Nachweis ist der Teil, an dem es im Mittelstand regelmäßig scheitert — nicht, weil nicht geschult würde, sondern weil niemand mitschreibt. Belastbar ist eine Dokumentation, die für jede Person erkennen lässt:

• wer teilgenommen hat,
• wann,
• mit welchen Inhalten in welchem Umfang,
• und dass die Kenntnisnahme der betrieblichen Regeln bestätigt wurde.

Eine Anwesenheitsliste auf Papier erfüllt das im Prinzip. Sie hat nur zwei Schwächen: Sie verschwindet, und sie lässt sich nicht auf Aktualität prüfen. Sobald mehr als eine Handvoll Personen betroffen ist, ist eine Lösung sinnvoll, die den Stand je Person führt und den Nachweis auf Knopfdruck ausgibt.

Ein Zertifikat ist nicht vorgeschrieben. Es ist aber die handlichste Form des Nachweises, wenn Kunden, Auditoren oder Partner danach fragen — vorausgesetzt, es ist überprüfbar und nicht bloß ein hübsches PDF.

Wer im Prüfungsfall nach dem Nachweis gefragt wird, braucht nicht ein Dokument, sondern eine kleine Mappe. Diese fünf Unterlagen beantworten zusammen alles, was Artikel 4 aufwirft:

1. Das Maßnahmenkonzept. Welche Gruppen erhalten welche Maßnahmen, und warum passt das zum Einsatzkontext? Das ist die Unterlage, die am häufigsten fehlt — und die einzige, die die Verhältnismäßigkeit belegt.
2. Die Inhalte. Foliensatz, Kursübersicht oder Lektionsverzeichnis, aus dem hervorgeht, was vermittelt wurde.
3. Die Teilnahmenachweise je Person mit Datum und Umfang.
4. Die Kenntnisnahme der betrieblichen Regeln. Die Brücke zur KI-Richtlinie: Die Schulung vermittelt, die Richtlinie verpflichtet, und die Bestätigung verbindet beides.
5. Der Fortschreibungsplan. Wann wird aufgefrischt, und was löst eine Auffrischung aus — neue Mitarbeitende, neue Systeme, geänderte Rechtslage?

Ein Zertifikat ist in dieser Mappe die dritte Zeile, nicht die ganze Mappe. Die KI-Verordnung kennt für Artikel 4 weder eine Zertifizierungspflicht noch eine Stelle, die zertifiziert; ein Zertifikat ist deshalb eine Nachweisform, keine gesetzliche Anerkennung. Nützlich wird es durch eine einzige Eigenschaft: dass ein Dritter seine Echtheit prüfen kann, ohne Sie fragen zu müssen.

Zwei Randfragen, die regelmäßig aufkommen. Die Pflicht trifft den Betrieb, nicht die einzelne Person — ein Personenzertifikat einer Mitarbeiterin erfüllt sie nicht für alle anderen. Und die Kompetenz nach Artikel 4 deckt das Datenschutzrecht nicht mit ab: Was beim Einsatz von KI-Werkzeugen zusätzlich aus der DSGVO folgt, steht auf der Seite KI und DSGVO.

• Nur die IT schulen. Die Pflicht knüpft an die Nutzung an, nicht an die Abteilung. Marketing, Vertrieb und Personalwesen nutzen KI meist intensiver als die IT.
• Einmal schulen und abhaken. Neue Mitarbeitende, neue Systeme und geänderte Rechtslage lassen den Nachweis veralten.
• Den Nachweis nicht führen. Eine Schulung ohne Dokumentation ist im Prüfungsfall nicht geschehen.
• Sich zu viel versprechen. Interne Unterlagen, die ein sicherzustellendes Kompetenzniveau behaupten, gehen seit Juli 2026 über die Verordnung hinaus.
• Schulung ohne Regeln. Ohne Richtlinie fehlt der Schulung der verbindliche Inhalt — die Teilnehmenden erfahren, was KI ist, aber nicht, was sie dürfen.