Was die Neufassung tatsächlich verlangt
Art. 4 Abs. 1 richtet sich an Anbieter und Betreiber von KI-Systemen. Sie müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und weiterer Personen zu unterstützen, die in ihrem Auftrag mit Betrieb oder Nutzung der Systeme befasst sind. Die Pflicht ist damit maßnahmenbezogen. Sie verlangt organisatorisches Handeln, formuliert aber keine Garantie, dass jede einzelne Person ein identisches Ergebnis erreicht.
Bei Auswahl und Ausgestaltung sind technisches Wissen, Erfahrung, Ausbildung und Schulung der betroffenen Personen zu berücksichtigen. Hinzu kommen der Nutzungskontext der KI-Systeme und die Personen oder Personengruppen, auf die sich deren Einsatz auswirkt. Ein Unternehmen muss daher vom realen Einsatz ausgehen. Ein allgemeiner Onlinekurs ohne Bezug zu Rollen, Systemen und Risiken kann für sich genommen unzureichend sein.
- Anbieter- oder Betreiberrolle feststellen
- Befasste Personen und konkrete Systeme zuordnen
- Vorwissen, Kontext und betroffene Gruppen berücksichtigen
Adressaten und Reichweite richtig bestimmen
Art. 4 erfasst nicht automatisch jede beschäftigte Person eines Unternehmens. Im Fokus stehen Beschäftigte und andere Personen, die im Auftrag des Anbieters oder Betreibers mit Betrieb oder Nutzung von KI-Systemen befasst sind. Dazu können abhängig von Organisation und Auftrag externe Dienstleister gehören. Kunden oder die allgemeine Öffentlichkeit werden dadurch nicht pauschal zu Schulungsadressaten des Unternehmens.
Die interne Abgrenzung sollte trotzdem nicht zu eng sein. Wer Systeme freigibt, beschafft, administriert, mit Daten versorgt, Ergebnisse prüft oder Vorfälle bearbeitet, kann relevante Aufgaben haben, auch wenn die Person nicht täglich Prompts eingibt. Das Rollenmodell muss Funktionen, Entscheidungsbefugnisse und tatsächliche Tätigkeiten betrachten. Bezeichnungen wie „IT“, „Fachbereich“ oder „Nutzer“ allein liefern noch keine ausreichende Zuordnung.
- Tatsächliche Aufgaben statt Stellenbezeichnungen prüfen
- Interne und beauftragte externe Personen einbeziehen
- Leitung, Beschaffung, Technik, Nutzer und Kontrolle unterscheiden
Kein Zertifikat und keine Einheitsstundenzahl
Die geänderte Fassung verlangt weder eine bestimmte Schulungsform noch ein unionsweit vorgegebenes Zertifikat. Ebenso enthält Art. 4 keine Mindeststundenzahl. Unternehmen dürfen Schulungen einsetzen, müssen aber nicht jede Kompetenzmaßnahme als Kurs organisieren. Je nach Situation kommen etwa Nutzungshinweise, Übungen, Sprechstunden oder betreute Pilotphasen in Betracht. Technische Schutzmechanismen und Freigaberegeln können diese Maßnahmen ergänzen, fördern für sich allein aber nicht notwendig die Kompetenzentwicklung.
Auch ein bestimmtes Kompetenzniveau jeder einzelnen Person muss nicht garantiert werden. Das entbindet Unternehmen nicht von der Pflicht, angemessene Maßnahmen tatsächlich zu treffen. Die Entscheidung sollte anhand Rolle, Vorwissen, Systemkomplexität und möglichen Schäden begründet werden. Ein Zertifikat kann Teilnahme oder Prüfung dokumentieren, erzeugt jedoch keine automatische Vermutung, dass die Maßnahme für den konkreten Einsatz vollständig angemessen war.
- Keine erfundene Zertifizierungs- oder Stundenpflicht behaupten
- Maßnahmen nach Rolle und Risiko auswählen
- Teilnahmenachweis nicht mit Wirksamkeitsnachweis verwechseln
Einen verhältnismäßigen Maßnahmenmix wählen
Für einfache Textassistenz mit freigegebenen, nicht sensiblen Daten kann eine kurze Einführung zusammen mit klaren Nutzungsregeln, Beispielen und Eskalationsweg angemessen sein. Bei Personalentscheidungen, sicherheitskritischen Prozessen oder weitreichender Automatisierung braucht es regelmäßig vertiefte systemspezifische Inhalte, praktische Übungen und stärkere Kontrollen. Die konkrete Auswahl bleibt eine risikobasierte Organisationsentscheidung, die nachvollziehbar vorbereitet werden sollte.
Ein Maßnahmenmix kann Basisschulung, rollenbezogene Vertiefung, Checklisten, technische Warnungen, verpflichtende Freigaben und regelmäßige Fallbesprechungen kombinieren. Entscheidend ist, welche Fehler vermieden, erkannt oder eskaliert werden sollen. Maßnahmen sollten in den Arbeitsablauf passen. Wenn Zeitdruck, Berechtigungen oder Leistungsziele die vorgesehenen Kontrollen faktisch verhindern, ist ein guter Schulungsinhalt allein keine ausreichende Lösung.
- Basismodul mit rollenbezogener Vertiefung kombinieren
- Technische und organisatorische Maßnahmen einbeziehen
- Lernziele an konkreten Fehl- und Schadensszenarien ausrichten
Umsetzung knapp, aber aussagekräftig dokumentieren
Eine belastbare Dokumentation erfasst die eingesetzten Systeme, betroffenen Rollen, Ausgangskenntnisse, Risiken, gewählten Maßnahmen und Zuständigkeiten. Sie hält fest, wann Maßnahmen umgesetzt und wie Materialien aktualisiert wurden. Eine umfangreiche Akte ist nicht Selbstzweck; nachvollziehbar sein muss, warum der Maßnahmenmix zum jeweiligen Kontext passte und welche offenen Punkte weiter bearbeitet werden.
Art. 4 gilt seit dem 2. Februar 2025; die nationalen Marktüberwachungsbehörden dürfen ihn seit dem 2. August 2026 beaufsichtigen und durchsetzen. Der AI Act legt für Art. 4 keinen eigenen harmonisierten Bußgeldhöchstbetrag fest. Daraus folgt weder Sanktionsfreiheit noch ein automatisch feststehendes Bußgeld: Sanktionen und andere Maßnahmen richten sich nach dem nationalen Durchführungssystem. Maßnahmen zur KI-Kompetenz unterstützen Governance und sichere Nutzung, liefern jedoch keine Garantie für vollständige Regelkonformität oder Haftungsfreiheit.
- System-Rollen-Maßnahmen-Matrix führen
- Umsetzung und Aktualisierung nachvollziehbar festhalten
- Wirksamkeit prüfen und Verbesserungen ableiten
Art. 4 von anderen Pflichten abgrenzen
Art. 4 ist von eigenständigen Anforderungen an menschliche Aufsicht bei Hochrisiko KI-Systemen zu unterscheiden. Eine allgemeine Kompetenzmaßnahme ersetzt keine systemspezifische Aufsicht, keine Betreiberpflicht und keine fachrechtliche Qualifikation. Umgekehrt ist Art. 4 nicht erst relevant, wenn ein System als hochriskant eingestuft wird. Anbieter und Betreiber müssen die Norm nach ihrem eigenen Anwendungsbereich prüfen.
Nach dem Digital Omnibus besteht für Art. 4 kein eigener unionsrechtlicher Bußgeldtatbestand mit automatisch feststehendem Betrag. Daraus darf nicht abgeleitet werden, die Pflicht sei bedeutungslos oder generell sanktionslos. Nationale Sanktionen und andere Durchsetzungsmaßnahmen sind gesondert zu prüfen. Maßnahmen zur KI-Kompetenz unterstützen Governance und sichere Nutzung, liefern jedoch keine Garantie für vollständige Regelkonformität oder Haftungsfreiheit.
- Art. 4 und menschliche Aufsicht getrennt prüfen
- Andere Berufs-, Datenschutz- und Sicherheitsanforderungen erhalten
- Nationale Durchsetzung vor Veröffentlichung erneut kontrollieren
Entscheidung: Ist der Art. 4 Ansatz angemessen?
- Rolle als Anbieter oder Betreiber und erfasste KI-Systeme sind geklärt.
- Befasste interne und externe Personengruppen sind nach Aufgaben abgegrenzt.
- Maßnahmen berücksichtigen Vorwissen, Erfahrung, Kontext und betroffene Gruppen.
- Umsetzung, Wirksamkeitsprüfung und Aktualisierung sind dokumentiert.
- Art. 4 wird von menschlicher Aufsicht und sonstigen Fachpflichten getrennt behandelt.
Häufige Fragen
Muss jedes Unternehmen alle Beschäftigten schulen?
Nein. Art. 4 richtet sich an Anbieter und Betreiber und fokussiert Personen, die in ihrem Auftrag mit Betrieb oder Nutzung von KI-Systemen befasst sind. Die konkrete Reichweite folgt aus Aufgaben, Systemen und Organisation.
Ist ein Zertifikat nach Art. 4 vorgeschrieben?
Nein. Die Norm schreibt kein bestimmtes Zertifikat, Kursformat und keine Mindeststundenzahl vor. Ein Zertifikat kann intern als Nachweis dienen, belegt aber nicht automatisch die Angemessenheit der Maßnahmen im konkreten Nutzungskontext.
Genügt eine einmalige Basisschulung?
Das hängt vom Einsatz ab. Für manche einfache Nutzungen kann ein schlanker Maßnahmenmix genügen. Bei komplexen, personennahen oder sicherheitskritischen Anwendungen sind regelmäßig rollenbezogene Vertiefungen, Übungen, Kontrollen und Aktualisierungen erforderlich. Maßgeblich sind stets Nutzungskontext, betroffene Rollen und die festgestellten Risiken.
Primärquellen
- Verordnung (EU) 2026/1744
- Konsolidierter AI Act vom 27. Juli 2026
- Europäische Kommission: Fragen und Antworten zur KI-Kompetenz
Rechtsstand: 16. September 2026. Art. 4 gilt seit 2. Februar 2025; die Aufsichts- und Durchsetzungsregeln greifen seit 2. August 2026. Die durch Verordnung (EU) 2026/1744 geänderte Fassung ist seit 27. Juli 2026 in Kraft. Sie verlangt kontextangemessene Unterstützungsmaßnahmen, nicht die Garantie eines individuellen Niveaus. Art. 4 hat keinen eigenen harmonisierten Bußgeldhöchstbetrag; nationale Sanktionen und sonstige Durchsetzungsmaßnahmen sind gesondert zu prüfen.