KI-Kompetenz nach Art. 4 AI Act: was KMU jetzt tun müssen
Art. 4 AI Act gilt seit Februar 2025 und wurde im Juli 2026 neu gefasst. Was die Pflicht zur KI-Kompetenz für kleine Betriebe heißt, wer kontrolliert und was Sie dokumentieren.
Seit dem 2. Februar 2025 hat jede Firma, die KI einsetzt, eine Pflicht aus dem europäischen AI Act, die viele Geschäftsführer noch nicht kennen: Sie muss sich um die KI-Kompetenz ihrer Leute kümmern. Das steht in Art. 4 der Verordnung (EU) 2024/1689, und es betrifft auch den Betrieb, in dem „nur“ das Büro ChatGPT nutzt.
Im Juli 2026 wurde der Artikel neu gefasst. Die Pflicht ist geblieben, sie ist nur realistischer formuliert. Was das für einen kleinen oder mittleren Betrieb heißt, steht hier.
Was verlangt Art. 4 AI Act genau?
Anbieter und Betreiber von KI-Systemen müssen Maßnahmen treffen, die die KI-Kompetenz ihres Personals und anderer Personen fördern, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei sollen sie technisches Wissen, Erfahrung, Ausbildung und den Einsatzkontext berücksichtigen, und auch die Menschen, auf die die KI wirkt.
„Betreiber“ ist im AI Act jeder, der ein KI-System in eigener Verantwortung einsetzt, außer für rein private Zwecke (Art. 3 Nr. 4). Wenn Ihr Team ChatGPT, Copilot oder einen KI-Workspace für die Arbeit nutzt, sind Sie Betreiber.
„KI-Kompetenz“ definiert Art. 3 Nr. 56 als die Fähigkeiten, Kenntnisse und das Verständnis, um KI sachkundig einzusetzen und sich der Chancen, Risiken und möglichen Schäden bewusst zu sein. Programmieren gehört nicht dazu.
Und „andere Personen“ meint nicht nur Angestellte. Die EU-Kommission nennt als Beispiele Auftragnehmer, Dienstleister und sogar Kunden, soweit sie im Rahmen Ihrer Organisation mit Ihren KI-Systemen arbeiten. Die freie Mitarbeiterin, die für Sie Angebote schreibt, gehört also dazu.
Was hat sich im Juli 2026 geändert?
Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital-Omnibus zur KI, hat die EU Art. 4 umformuliert. Sie gilt seit dem 27. Juli 2026.
Vorher hieß es, Unternehmen müssen „nach besten Kräften“ sicherstellen, dass ihr Personal über ein „ausreichendes Maß“ an KI-Kompetenz verfügt. Jetzt geht es um Maßnahmen, die die Entwicklung von KI-Kompetenz fördern, und der Text stellt klar, dass niemand ein bestimmtes Niveau bei jeder einzelnen Person garantieren muss. Aus einer Ergebnispflicht wurde eine Pflicht, sich nachweisbar zu bemühen.
Die EU-Kommission fasst es so zusammen: KI-Kompetenz bleibt eine Pflicht für Anbieter und Betreiber, es wird nur kein bestimmtes oder „ausreichendes“ Niveau mehr vorgeschrieben. Wer das als Entwarnung liest, liest es falsch. Nichts tun ist weiterhin keine Maßnahme.
Wer kontrolliert das, und was droht?
Zuständig sind nicht Brüssel, sondern die nationalen Marktüberwachungsbehörden. Laut Kommission beaufsichtigen sie Art. 4 seit dem 2. August 2026.
Einen eigenen Bußgeldrahmen für Art. 4 enthält der AI Act nicht. Die Sanktionen legen die Mitgliedstaaten fest, und sie müssen verhältnismäßig sein. Die Kommission sagt aber deutlich, wann es ernst wird: wenn es einen Vorfall gibt, der auf fehlende Schulung und Anleitung zurückgeht. Ein Mitarbeiter, der Kundendaten in ein privates Konto kopiert, weil ihm niemand gesagt hat, dass er das nicht soll, ist genau so ein Fall.
Was müssen KMU jetzt konkret tun?
Kein Programm, keine neue Stelle. Die Kommission verlangt weder einen KI-Beauftragten noch ein Gremium. Für einen Betrieb mit zehn bis fünfzig Leuten reichen fünf Schritte:
- Feststellen, welche KI im Einsatz ist. Welche Tools, wer nutzt sie, wofür. Wenn Sie das nicht wissen, lesen Sie zuerst den Artikel über Schatten-KI im Unternehmen.
- Nach Rollen unterscheiden. Die Assistenz, die Mails formuliert, braucht etwas anderes als die Buchhaltung, die Belege auswerten lässt, oder die Geschäftsführung, die über Tools entscheidet.
- Schulen, was im Alltag zählt. Wie man brauchbare Ergebnisse bekommt. Welche Daten in welches Tool dürfen. Dass KI sich irrt und wichtige Aussagen geprüft werden. Welche Tools freigegeben sind.
- Dokumentieren. Wer hat wann was gelernt, welche Regeln gelten. Ein Zertifikat braucht es laut Kommission nicht, ein internes Verzeichnis genügt.
- Nachziehen. Neue Mitarbeiter, neue Tools, neue Funktionen: Die Schulung ist kein einmaliges Ereignis.
Wichtig für Schritt 3: KI-Kompetenz und Datenschutz hängen zusammen. Wer weiß, was die DSGVO beim Einsatz von KI verlangt, macht weniger Fehler. Der Artikel Ist ChatGPT DSGVO-konform für Firmen? ist dafür eine gute Grundlage für die Schulung.
Was gehört in die Dokumentation?
Eine Tabelle reicht. Wichtig ist, dass sie jemand pflegt und dass sie bei einer Nachfrage in zehn Minuten auf dem Tisch liegt. Pro Maßnahme halten Sie fest:
- Datum, Dauer und Form (Workshop, Online-Kurs, Einweisung durch die Teamleitung)
- wer teilgenommen hat, mit Rolle im Betrieb
- welche Inhalte behandelt wurden, in Stichworten
- welche KI-Tools zu diesem Zeitpunkt freigegeben waren
- welche interne Regel gilt, mit Datum der aktuellen Fassung
- wann die nächste Auffrischung geplant ist
Dazu gehört der Teilnahmenachweis jeder Person, wenn es einen gibt. Mehr verlangt die Kommission nicht, und weniger sollte es auch nicht sein.
Wie sieht eine Schulung aus, die im Alltag hängen bleibt?
Die meisten Schulungen scheitern nicht am Inhalt, sondern am Abstand zur Arbeit. Ein Vortrag über neuronale Netze ändert nichts daran, wie jemand morgen um neun ein Angebot schreibt.
Was funktioniert: mit den echten Aufgaben des Teams üben. Das Angebot, die Kundenmail, die Zusammenfassung eines Vertrags. An diesen Beispielen lernt jeder, wie man fragt, wo die Grenze bei den Daten liegt und woran man eine erfundene Antwort erkennt. Und am Ende steht eine kurze Regel, die alle kennen.
Der Workshop von Verselo ist so gebaut. Zwei bis drei Stunden, bis zu 15 Personen, an Ihren eigenen Aufgaben: gutes Prompting, sicherer Umgang mit Firmendaten, Ergebnisse prüfen. Jede Person bekommt einen Teilnahmenachweis für Ihre Dokumentation. Wenn Sie Verselo nutzen, richten wir die Prompts und Assistenten aus dem Workshop danach in Ihrem Workspace ein.
Der Workshop hilft, die Pflicht aus Art. 4 zu erfüllen. Eine Garantie gibt es nicht, weil das Gesetz keine kennt: Ob Ihre Maßnahmen insgesamt angemessen sind, hängt davon ab, welche KI Sie wofür einsetzen.
Häufige Fragen
Gilt Art. 4 AI Act auch für kleine Unternehmen?
Ja. Art. 4 kennt keine Größenschwelle. Er gilt für jede Firma, die ein KI-System im Rahmen ihrer beruflichen Tätigkeit einsetzt, also auch für einen Betrieb mit acht Leuten, in dem das Büro ChatGPT für Angebote nutzt. Ausgenommen ist nur die rein private Nutzung. Was angemessen ist, hängt aber vom Einsatz ab: Ein Handwerksbetrieb braucht kein Programm wie ein Konzern.
Braucht man ein Zertifikat für KI-Kompetenz?
Nein. Die EU-Kommission schreibt in ihren Fragen und Antworten zu Art. 4, dass kein Zertifikat nötig ist. Es genügt, intern festzuhalten, welche Schulungen und Hilfestellungen es gab. Praktisch heißt das: wer wann teilgenommen hat, was Inhalt war und welche Regeln gelten.
Was passiert, wenn wir nichts tun?
Seit dem 2. August 2026 können die nationalen Marktüberwachungsbehörden Art. 4 durchsetzen. Einen festen Bußgeldrahmen nennt der AI Act für Art. 4 nicht, die Sanktionen regeln die Mitgliedstaaten, und sie müssen verhältnismäßig sein. Die Kommission weist darauf hin, dass Sanktionen wahrscheinlicher werden, wenn es nachweislich einen Vorfall wegen fehlender Schulung gab.
Erfüllt der Workshop von Verselo die Pflicht aus Art. 4?
Der Workshop von Verselo hilft, die Pflicht zu erfüllen, eine Garantie gibt es nicht. In zwei bis drei Stunden lernt ein Team von bis zu 15 Personen gutes Prompting, den sicheren Umgang mit Firmendaten und das Prüfen von Ergebnissen. Jeder bekommt einen Teilnahmenachweis für Ihre Dokumentation. Welche Maßnahmen für Ihren Betrieb insgesamt reichen, hängt von Ihrem Einsatz ab.