# KI-Kompetenz nach Art. 4 AI Act: Was Unternehmen wirklich tun müssen

> Art. 4 verlangt seit dem KI-Omnibus vom Juli 2026 Maßnahmen, die die KI-Kompetenz von Personal und Dienstleistern fördern – kein Zertifikat und kein garantiertes Niveau. Pragmatisch heißt das: KI-Einsatz erfassen, rollenbasiert schulen, Regeln festlegen und alles dokumentieren.

Kanonische URL: https://www.ruebstudio.de/de/wissen/ki-recht/ki-kompetenz-art-4-ai-act  
Autor: Dr.-Ing. Marcus Rüb, Founder  
Veröffentlicht: 2026-10-14

Seit dem 2. Februar 2025 gilt Art. 4 der europäischen KI-Verordnung, die KI-Kompetenz-Pflicht. Im Juli 2026 hat der Gesetzgeber sie mit dem sogenannten KI-Omnibus deutlich abgeschwächt. Viele Unternehmen fragen sich deshalb, was davon übrig ist und ob sich der Aufwand noch lohnt. Dieser Überblick ordnet den aktuellen Stand ein (Oktober 2026) und zeigt, wie ein mittelständisches Unternehmen die Pflicht mit überschaubarem Aufwand erfüllt. Er ist eine Orientierung, keine Rechtsberatung.

## Was ist die KI-Kompetenz-Pflicht und wofür gibt es sie?

Die KI-Kompetenz-Pflicht verlangt von Unternehmen, die KI-Systeme entwickeln oder einsetzen, dass sie ihre Beschäftigten und beauftragte Dritte im sachkundigen Umgang mit KI unterstützen. Ziel ist, dass Menschen Chancen und Risiken von KI erkennen und Ergebnisse richtig einordnen, bevor sie darauf Entscheidungen bauen.

Was „KI-Kompetenz" bedeutet, definiert [Art. 3 Nr. 56 der KI-Verordnung](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R1689): Gemeint sind Fähigkeiten, Kenntnisse und Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken und möglichen Schäden bewusst zu werden. Es geht also nicht um Programmierkenntnisse, sondern um Urteilsvermögen im Arbeitsalltag.

Die Pflicht gilt für zwei Rollen:

- **Anbieter** entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr.
- **Betreiber** setzen ein KI-System in eigener Verantwortung beruflich ein.

Die meisten mittelständischen Unternehmen sind Betreiber. Wer Mitarbeitenden einen Chat-Assistenten, eine Übersetzungs-KI oder einen KI-Agenten für Angebote bereitstellt, fällt darunter. Die [Bundesnetzagentur](https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/7_Kompetenz/start.html) betont, dass die Pflicht unabhängig von Branche und Unternehmensgröße gilt und auch Systeme mit allgemeinem Verwendungszweck wie Chatbots erfasst.

## Was hat der KI-Omnibus an Art. 4 geändert?

Der KI-Omnibus hat aus einer Ergebnispflicht eine Bemühenspflicht gemacht. Vorher mussten Unternehmen Maßnahmen ergreifen, um nach besten Kräften ein „ausreichendes Maß" an KI-Kompetenz sicherzustellen. Jetzt müssen sie Maßnahmen ergreifen, die die Entwicklung dieser Kompetenz unterstützen. Ein bestimmtes Niveau für einzelne Personen ist ausdrücklich nicht mehr geschuldet.

Die Änderung steht in der [Verordnung (EU) 2026/1744](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32026R1744) vom 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026. Sie trat am dritten Tag nach der Veröffentlichung in Kraft, also am 27. Juli 2026. Der neue Art. 4 hat drei Absätze:

1. Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit Betrieb und Nutzung von KI-Systemen befasst sind. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Aus- und Fortbildung, der Einsatzkontext und die Personen, bei denen die Systeme eingesetzt werden. Ein bestimmtes Kompetenzniveau muss nicht garantiert werden.
2. Kommission und Mitgliedstaaten unterstützen die Unternehmen, insbesondere KMU. Die Kommission veröffentlicht dazu praktische Beispiele auf einer zentralen Informationsplattform.
3. Das KI-Gremium der EU nimmt Empfehlungen an, die unter anderem gemeinsame Ziele für die Förderung der KI-Kompetenz festlegen.

Die Begründung im Erwägungsgrund 8 des Omnibus nennt den Befolgungsaufwand gerade kleinerer Unternehmen als Anlass. Gleichzeitig hält der Gesetzgeber dort fest, dass KI-Kompetenz unabhängig von Pflichten und Sanktionen eine strategische Priorität sein sollte.

Wichtig für die Einordnung: Der ursprüngliche Kommissionsvorschlag vom November 2025 ging weiter. Nach Darstellung der [Kommission](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers) sollte die Förderung der KI-Kompetenz damals vor allem auf Kommission und Mitgliedstaaten übergehen. Im Gesetzgebungsverfahren blieb die Pflicht der Unternehmen jedoch bestehen, nur in weicherer Form.

## Wer zählt zu den Personen, die geschult werden müssen?

Erfasst sind das eigene Personal und alle Personen, die im Auftrag des Unternehmens KI-Systeme betreiben oder nutzen. Dazu zählen auch Auftragnehmer und Dienstleister, die mit den KI-Systemen des Unternehmens arbeiten. Es kommt also nicht auf einen Arbeitsvertrag an, sondern darauf, ob jemand im Auftrag des Unternehmens mit dessen KI-Systemen umgeht.

Die Kommission beschreibt den Kreis in ihren [Fragen und Antworten](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers) als Personen, die im weiteren Sinne in den organisatorischen Verantwortungsbereich fallen, und nennt Auftragnehmer und Dienstleister als Beispiele. Je nach Risiko können nach ihrer Lesart sogar Kundinnen und Kunden relevant werden, etwa wenn sie ein KI-System im Auftrag des Unternehmens bedienen. Die Bundesnetzagentur formuliert es ähnlich: eigenes Personal sowie Auftragnehmer und Dienstleister, die im Auftrag tätig sind.

Für die Praxis lohnt sich eine einfache Unterscheidung:

- **Wer bedient KI-Systeme regelmäßig?** Zum Beispiel der Innendienst, der Angebote mit einem KI-Agenten vorbereitet, oder der technische Service, der Störungsmeldungen per KI zusammenfasst.
- **Wer entscheidet auf Basis von KI-Ergebnissen?** Führungskräfte, Einkauf, Personalabteilung.
- **Wer betreibt und konfiguriert die Systeme?** IT, Entwicklung, externe Dienstleister.
- **Wer ist nur indirekt betroffen?** Beschäftigte, über die ein KI-System Daten verarbeitet. Sie fallen nicht unter Art. 4, aber der Kontext der Betroffenen fließt nach Abs. 1 in die Maßnahmen ein.

## Wie funktioniert die Umsetzung? Die Bausteine

Die Umsetzung besteht aus vier Bausteinen: einer Bestandsaufnahme der KI-Nutzung, rollenbezogenen Lernmaßnahmen, verbindlichen Nutzungsregeln und einer Dokumentation. Die Bundesnetzagentur empfiehlt denselben Dreiklang aus Bedarf ermitteln, Maßnahmen gestalten sowie dokumentieren, evaluieren und auffrischen.

**1. Bestandsaufnahme.** Welche KI-Systeme sind im Einsatz, offiziell und inoffiziell? Wer nutzt sie wofür, mit welchen Daten? Eine einfache Tabelle mit System, Zweck, Nutzergruppen, Datenarten und verantwortlicher Person genügt. Hier zeigt sich oft, dass mehr Werkzeuge im Einsatz sind als angenommen, etwa private Konten bei Chat-Diensten.

**2. Rollenbezogene Maßnahmen.** Nicht alle brauchen dasselbe. Die Kommission betont, dass Rolle, Risiko des Systems, Vorwissen und Einsatzkontext den Umfang bestimmen. Die Bundesnetzagentur schlägt einen stufenweisen Aufbau vor: Grundverständnis für alle, fortgeschrittene Kompetenzen für intensive Nutzer, rollenspezifische Trainings für besondere Aufgaben.

**3. Nutzungsregeln.** Eine kurze KI-Richtlinie legt fest, welche Werkzeuge erlaubt sind, welche Daten nicht hineingehören und wann ein Ergebnis von einem Menschen geprüft werden muss. Sie ist selbst eine Kompetenzmaßnahme, weil sie Wissen in Regeln übersetzt.

**4. Dokumentation.** Art, Umfang, Zeitraum und teilnehmende Personen festhalten. Die Bundesnetzagentur empfiehlt das ausdrücklich, damit Unternehmen die Erfüllung von Art. 4 nachweisen können.

## Welche Maßnahmen passen zu welcher Rolle?

Maßnahmen sollten sich nach der Frage richten, welche Fehler in einer Rolle tatsächlich passieren können. Wer Texte entwerfen lässt, muss Halluzinationen erkennen. Wer KI-Agenten konfiguriert, muss Berechtigungen und Datenflüsse verstehen. Wer auf Basis von KI-Auswertungen entscheidet, muss deren Grenzen kennen.

Eine pragmatische Aufteilung für ein mittelständisches Unternehmen:

| Rolle | Schwerpunkt | Typisches Format |
|---|---|---|
| Alle Nutzenden | Funktionsweise, Grenzen, Datenregeln, Prüfpflicht | 60 bis 90 Minuten Grundlagen plus Richtlinie |
| Fachbereiche mit intensiver Nutzung | Prompting, Ergebnisprüfung, Prozessintegration | Praxisworkshop am eigenen Prozess |
| Geschäftsführung und Führungskräfte | Risiken, Verantwortung, Einsatzentscheidungen | Kompaktes Briefing mit Fallbeispielen |
| IT und Entwicklung | Konfiguration, Berechtigungen, Protokollierung, Sicherheit | Technische Schulung, Herstellerdokumentation |

Die Zeitangaben in der Tabelle sind Erfahrungswerte, keine gesetzlichen Vorgaben. Die Verordnung schreibt weder Dauer noch Format vor. Auch Lernpfade in vorhandenen Plattformen, Lunch-and-Learn-Formate oder dokumentierte Einweisungen am Arbeitsplatz sind Maßnahmen im Sinne des neuen Art. 4.

Ein Punkt verdient besondere Aufmerksamkeit: Die Kommission hält es nach ihren Fragen und Antworten in der Regel nicht für ausreichend, nur auf die Gebrauchsanweisung des Herstellers zu verweisen. Ein reiner Link auf die Hilfeseiten eines Chat-Dienstes erfüllt die Pflicht also kaum.

In unserem eigenen Betrieb hat sich bewährt, Schulungen direkt an realen Vorgängen aufzuhängen, also an einem echten Angebot, einem echten Servicefall oder einer echten Recherche. Abstrakte Folien über neuronale Netze bleiben weniger hängen als die Erfahrung, dass ein Modell eine Artikelnummer selbstbewusst erfunden hat.

## Welche Voraussetzungen braucht es im Unternehmen?

Die Voraussetzungen sind organisatorisch, nicht technisch. Sie brauchen eine verantwortliche Person, einen Überblick über die eingesetzten KI-Systeme, eine abgestimmte Richtlinie und einen Ort, an dem Nachweise gesammelt werden. Ein eigenes Budget für externe Schulungen ist hilfreich, aber nicht zwingend.

**Zuständigkeit.** Einen KI-Beauftragten schreibt Art. 4 nicht vor, das bestätigt die Bundesnetzagentur. Trotzdem sollte eine Person verantwortlich sein, in vielen Unternehmen in der IT, im Qualitätsmanagement oder bei der Personalentwicklung.

**Mitbestimmung.** Gibt es einen Betriebsrat, unterliegt die Einführung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen, der Mitbestimmung nach [§ 87 Abs. 1 Nr. 6 BetrVG](https://www.gesetze-im-internet.de/betrvg/__87.html). Viele KI-Werkzeuge protokollieren Nutzungsdaten und können darunter fallen. Für die Schulungsplanung lohnt es sich, den Betriebsrat früh einzubinden, auch wenn Art. 4 selbst dazu nichts regelt.

**Datenschutz.** KI-Kompetenz und Datenschutz überschneiden sich stark. Die Regel, welche personenbezogenen Daten in welches Werkzeug dürfen, gehört in jede Grundschulung. Wer KI-Systeme datenschutzkonform betreibbar aufsetzen will, etwa auf eigener Infrastruktur, findet Hintergründe im Bereich [souveräne KI](https://www.ruebstudio.de/de/souveraene-ki).

**Ablage.** Eine Liste in der Personalentwicklung oder im Lernmanagementsystem genügt, solange sie vollständig und aktuell ist.

## Vorgehen in fünf Schritten

Ein mittelständisches Unternehmen kann die Pflicht in wenigen Wochen strukturiert aufsetzen. Entscheidend ist nicht der Umfang, sondern dass jede Maßnahme zur tatsächlichen Nutzung passt und dokumentiert ist. Die folgenden Schritte bauen aufeinander auf und lassen sich mit vorhandenen Mitteln umsetzen.

1. **KI-Inventar anlegen.** Alle eingesetzten KI-Systeme erfassen, inklusive Funktionen in bestehender Software wie Office-Paketen, CRM oder ERP. Für jedes System die Nutzergruppen und Datenarten notieren.
2. **Rollen und Bedarf zuordnen.** Je Nutzergruppe festhalten, was sie können muss. Das ist die Grundlage für die Auswahl der Maßnahmen und zugleich der erste Teil der Dokumentation.
3. **Richtlinie verabschieden.** Erlaubte Werkzeuge, verbotene Daten, Prüfpflichten, Ansprechperson. Zwei bis drei Seiten reichen meist.
4. **Maßnahmen durchführen.** Grundlagen für alle, vertiefende Formate für intensive Nutzergruppen und Verantwortliche. Externe Workshops und interne Formate lassen sich kombinieren; ein Beispiel ist ein [Workshop zum KI-Einsatz](https://www.ruebstudio.de/de/workshop) am eigenen Prozess.
5. **Dokumentieren und auffrischen.** Teilnahmen, Inhalte und Datum festhalten. Bei neuen Systemen, neuen Rollen oder wesentlichen Modellwechseln nachschulen. Ein jährlicher Abgleich des Inventars hält den Stand aktuell.

Wer mehrere KI-Vorhaben plant, verbindet diese Schritte sinnvollerweise mit der übergeordneten Planung; Hinweise dazu stehen im Bereich [KI-Aufbau](https://www.ruebstudio.de/de/ki-aufbau).

## Wie wird die Pflicht durchgesetzt?

Die Aufsicht liegt bei den nationalen Marktüberwachungsbehörden, in Deutschland grundsätzlich bei der Bundesnetzagentur. Ein eigenes Bußgeld für Verstöße gegen Art. 4 sieht weder die KI-Verordnung noch das deutsche Durchführungsgesetz vor. Relevanter sind indirekte Folgen, etwa bei Vorfällen oder in Haftungsfragen.

Die Einzelheiten:

- **Zeitpunkt.** Art. 4 gilt nach [Art. 113 der KI-Verordnung](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R1689) seit dem 2. Februar 2025. Die Regeln zu Aufsicht und Durchsetzung gelten laut [Kommission](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers) ab August 2026.
- **Behörde.** Das [KI-MIG](https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html) vom 22. Juli 2026 bestimmt in § 2 die Bundesnetzagentur als Marktüberwachungsbehörde, soweit nichts anderes geregelt ist; für bestimmte Bereiche wie Finanzdienstleistungen gelten Sonderzuständigkeiten.
- **Bußgelder.** Art. 99 Abs. 4 der KI-Verordnung listet die bußgeldbewehrten Pflichten auf, Art. 4 gehört nicht dazu. Auch § 15 KI-MIG nennt Art. 4 nicht.
- **Indirekte Folgen.** Die Kommission weist darauf hin, dass fehlende Schulung bei einem Vorfall eher zu Sanktionen führen kann. Die Bundesnetzagentur stuft einen Mangel an KI-Kompetenz als mögliche Sorgfaltspflichtverletzung ein, was etwa für Haftungsfragen relevant werden kann.

## Was gilt zusätzlich bei Hochrisiko-KI?

Für Hochrisiko-KI-Systeme kommen eigene Kompetenzanforderungen hinzu, die über Art. 4 hinausgehen. Betreiber müssen die menschliche Aufsicht Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis übertragen. Diese Pflicht gilt nach dem KI-Omnibus für Systeme nach Anhang III ab dem 2. Dezember 2027.

Geregelt ist das in Art. 26 Abs. 2 der KI-Verordnung. Der [KI-Omnibus](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32026R1744) hat den Geltungsbeginn der Hochrisiko-Pflichten verschoben: auf den 2. Dezember 2027 für Systeme nach Anhang III (etwa bestimmte KI im Personalbereich) und auf den 2. August 2028 für Systeme nach Anhang I, die Teil regulierter Produkte sind. Die abgeschwächte Formulierung von Art. 4 ändert an diesen Anforderungen nichts; die Kommission betont, dass die Schulungspflicht für die menschliche Aufsicht bestehen bleibt.

Für die meisten Mittelständler, die Chat-Assistenten, Textgeneratoren oder KI-Agenten für Angebote und Service nutzen, bleibt es beim allgemeinen Art. 4. Wer aber KI etwa zur Bewerberauswahl oder Leistungsbewertung einsetzt, sollte die Hochrisiko-Einstufung gesondert prüfen.

## Grenzen und Risiken

Die abgeschwächte Pflicht verführt dazu, das Thema ganz liegen zu lassen. Das ist riskant, weil die eigentlichen Schäden nicht aus der Verordnung kommen, sondern aus falscher Nutzung: vertrauliche Daten in öffentlichen Diensten, ungeprüft übernommene Zahlen, Entscheidungen auf Basis erfundener Quellen.

Typische Schwachstellen in der Praxis:

- **Schulung ohne Bezug zur Nutzung.** Eine allgemeine Online-Schulung ohne Bezug zu den tatsächlich eingesetzten Werkzeugen erfüllt formal etwas, verändert aber kaum Verhalten.
- **Fehlende Nachweise.** Wer schult, aber nichts dokumentiert, kann die Maßnahmen später nicht belegen.
- **Schatten-KI.** Werkzeuge, die niemand freigegeben hat, tauchen im Inventar nicht auf und werden auch nicht geschult.
- **Einmalaktion.** KI-Werkzeuge und Modelle ändern sich schnell. Eine Schulung von Anfang 2025 deckt Funktionen wie eigenständig handelnde KI-Agenten unter Umständen nicht ab.
- **Überdimensionierung.** Umgekehrt sind teure Zertifikatsprogramme für alle Beschäftigten rechtlich nicht nötig. Die Mittel sind besser bei den Gruppen eingesetzt, die KI intensiv nutzen.

Dieser Text gibt den Stand Oktober 2026 wieder und ersetzt keine Rechtsberatung. Leitlinien der Kommission, Empfehlungen des KI-Gremiums und die Praxis der Bundesnetzagentur werden die Auslegung weiter prägen.

## Wie fange ich an?

Beginnen Sie mit dem KI-Inventar, denn ohne Überblick lässt sich weder sinnvoll schulen noch dokumentieren. Danach folgen Richtlinie, eine Grundschulung für alle und vertiefende Formate für die Gruppen, die KI täglich nutzen. Alles, was Sie tun, halten Sie in einer einfachen Liste fest.

Für die nächsten zwei Wochen reicht ein kleiner Plan:

- Eine verantwortliche Person benennen.
- Mit den Abteilungsleitungen alle KI-Werkzeuge erfassen, auch die inoffiziellen.
- Eine Richtlinie im Entwurf schreiben und abstimmen, bei Bedarf mit dem Betriebsrat.
- Eine erste Grundschulung terminieren und die Teilnahme festhalten.
- Für die zwei bis drei intensivsten Nutzergruppen ein praxisnahes Format planen.

Weitere Artikel zu Recht und Strategie rund um KI finden Sie im [Wissensbereich](https://www.ruebstudio.de/de/wissen); Begriffe wie Betreiber oder Hochrisiko-KI erklärt das [Lexikon](https://www.ruebstudio.de/de/lexikon).

## Häufige Fragen

### Brauchen Mitarbeitende ein Zertifikat über ihre KI-Kompetenz?

Nein. Die Europäische Kommission schreibt in ihren Fragen und Antworten ausdrücklich, dass kein Zertifikat nötig ist; Unternehmen können Schulungen und andere Maßnahmen intern dokumentieren.

### Gilt die Pflicht auch, wenn wir nur ChatGPT, Copilot oder Claude nutzen?

Ja. Wer ein KI-System im eigenen Betrieb einsetzt, ist Betreiber im Sinne der Verordnung, unabhängig von Branche und Unternehmensgröße.

### Gibt es ein Bußgeld, wenn wir nichts tun?

Art. 99 Abs. 4 der KI-Verordnung und § 15 KI-MIG führen Art. 4 nicht als eigenen Bußgeldtatbestand auf. Fehlende Maßnahmen können aber bei Vorfällen und in Haftungsfragen als Sorgfaltspflichtverletzung gewertet werden.

### Müssen wir einen KI-Beauftragten benennen?

Nein. Die Bundesnetzagentur stellt klar, dass Art. 4 weder eine Zertifizierungspflicht noch die Benennung eines KI-Beauftragten verlangt. Eine klare Zuständigkeit im Unternehmen ist trotzdem sinnvoll.

### Hat der KI-Omnibus die Pflicht abgeschafft?

Nein. Er hat sie abgeschwächt: Statt ein ausreichendes Kompetenzniveau sicherzustellen, müssen Anbieter und Betreiber nun Maßnahmen zur Förderung der KI-Kompetenz ergreifen.

## Quellen

- [Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), ABl. L vom 24.7.2026](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32026R1744)
- [Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 3 Nr. 56, Art. 26, Art. 99, Art. 113](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32024R1689)
- [Europäische Kommission: AI Literacy – Questions & Answers](https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers)
- [Bundesnetzagentur: KI-Kompetenz](https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/7_Kompetenz/start.html)
- [Betriebsverfassungsgesetz, § 87 Mitbestimmungsrechte](https://www.gesetze-im-internet.de/betrvg/__87.html)
- [KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) vom 22. Juli 2026](https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html)