Mitarbeiter formulieren Kundenmails mit ChatGPT, fassen Dokumente mit KI zusammen oder nutzen KI-Funktionen in bestehenden Programmen. Artikel 4 des EU AI Act verlangt von Anbietern und Betreibern von KI-Systemen Maßnahmen, die die Entwicklung der KI-Kompetenz der Personen unterstützen, die in ihrem Auftrag mit diesen Systemen arbeiten. Eine identische zertifizierte Schulung für alle Beschäftigten schreibt die Vorschrift dagegen nicht vor.
KI-Nutzung beginnt oft lange vor einem offiziellen KI-Projekt
Ein Unternehmen muss keinen eigenen KI-Agenten entwickeln, damit das Thema relevant wird. Häufig verwenden Beschäftigte bereits KI-Funktionen in ihrem normalen Arbeitsalltag: für Texte, Recherche, Zusammenfassungen, Bilder, Datenanalyse oder Unterstützung bei Kundenanfragen.
Damit entsteht eine praktische organisatorische Frage:
Wissen die Personen, die mit diesen Systemen arbeiten, genug über deren Funktionsweise, Grenzen und mögliche Risiken für ihre konkrete Aufgabe?
Artikel 4 des EU AI Act setzt genau bei dieser Kompetenzentwicklung an.
1. Was gilt seit 2026 tatsächlich?
Artikel 4 wurde 2026 geändert. Nach der aktuell konsolidierten Fassung müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit der Nutzung oder dem Betrieb von KI-Systemen befasst sind.
Dabei sollen insbesondere das vorhandene technische Wissen, die Erfahrung, Ausbildung und Schulung sowie der konkrete Nutzungskontext berücksichtigt werden.
Die Vorschrift stellt zugleich ausdrücklich klar, dass Unternehmen kein bestimmtes individuelles Kompetenzniveau garantieren müssen.
2. Betrifft Artikel 4 auch Unternehmen, die KI nur nutzen?
Ja, die Vorschrift richtet sich nicht ausschließlich an Entwickler eigener KI-Systeme. Der AI Act unterscheidet unter anderem zwischen Anbietern und Betreibern. Auch ein Unternehmen, das ein fremdes KI-System für eigene geschäftliche Zwecke einsetzt, kann daher als Betreiber relevant sein.
Eine erste Bestandsaufnahme kann sehr einfach beginnen:
| Situation | Was sollte intern geklärt sein? |
|---|---|
| Mitarbeiter erstellen Texte mit einem KI-Assistenten | Welche Daten dürfen verwendet werden und wie werden Ergebnisse geprüft? |
| Marketing erstellt Inhalte mit generativer KI | Welche Qualitäts-, Quellen- und Freigaberegeln gelten? |
| Vertrieb verarbeitet Kundeninformationen mit KI | Welche Daten dürfen verarbeitet werden und welche Ergebnisse benötigen Kontrolle? |
| KI klassifiziert eingehende Kundenanfragen | Welche Fehler sind möglich und wann übernimmt ein Mensch? |
| Ein KI-Agent greift auf Unternehmenssysteme zu | Welche Berechtigungen, Grenzen und Kontrollpunkte bestehen? |
Die Europäische Kommission empfiehlt als Grundlage ebenfalls, zunächst zu verstehen, welche KI-Systeme innerhalb der Organisation eingesetzt werden, welche Rolle das Unternehmen dabei hat und welche Chancen und Risiken daraus entstehen.
3. Braucht jeder Mitarbeiter dieselbe KI-Schulung?
Nein. Kenntnisse und Maßnahmen können sich nach Aufgabe und Nutzungskontext unterscheiden.
| Rolle | Mögliche relevante Kenntnisse |
|---|---|
| Gelegentliche Nutzung eines KI-Assistenten | Grundlagen, erlaubte Werkzeuge, Datenregeln, typische Fehler und Ergebnisprüfung |
| Marketing und Content | Zusätzlich Quellenprüfung, Qualitätskontrolle, Rechte und Freigabeprozesse |
| Arbeit mit Kunden- oder Mitarbeiterdaten | Zusätzlich interne Datenschutz- und Vertraulichkeitsregeln |
| Verantwortung für KI-Automatisierungen | Zusätzlich Datenflüsse, Berechtigungen, Ausnahmen und menschliche Kontrollpunkte |
| Führungskraft | Einsatzbereiche, Risiken, Zuständigkeiten und Eskalationswege verstehen |
Ein Mitarbeiter, der gelegentlich einen Textentwurf erzeugt, benötigt daher nicht automatisch dieselbe Tiefe wie eine Person, die einen KI-Agenten mit Zugriff auf Kunden- oder CRM-Daten betreut.
4. Wie kann ein Unternehmen praktisch vorgehen?
- KI-Nutzung erfassen: Welche Systeme werden tatsächlich verwendet und für welche Aufgaben?
- Nutzergruppen unterscheiden: Wer arbeitet nur gelegentlich mit KI und wer betreut automatisierte oder geschäftskritische Prozesse?
- Risiken betrachten: Welche Daten werden verarbeitet, welche Fehler können entstehen und wen können sie betreffen?
- Benötigtes Wissen festlegen: Was muss die jeweilige Nutzergruppe über das System und den konkreten Einsatz verstehen?
- Maßnahmen auswählen: Je nach Situation können Schulung, interne Anleitung, praktische Beispiele oder eine Kombination daraus sinnvoll sein.
- Zuständigkeit festlegen: Wer beantwortet Fragen und entscheidet bei neuen oder unklaren Anwendungen?
- Durchgeführte Maßnahmen dokumentieren: Halten Sie nachvollziehbar fest, welche Nutzergruppe welche Informationen oder Schulungen erhalten hat.
- Bei Änderungen neu bewerten: Neue Systeme, zusätzliche Datenzugriffe oder neue Einsatzgebiete können andere Kenntnisse erforderlich machen.
5. Beispiel: 18 Mitarbeiter nutzen KI unterschiedlich
Vereinfachtes Beispiel: Ein B2B-Dienstleistungsunternehmen mit 18 Beschäftigten setzt KI in drei unterschiedlichen Situationen ein.
- Acht Mitarbeiter nutzen einen freigegebenen KI-Assistenten gelegentlich für Texte und Zusammenfassungen.
- Drei Vertriebsmitarbeiter arbeiten zusätzlich mit Kundeninformationen.
- Eine Mitarbeiterin betreut einen automatisierten Prozess, der Website-Anfragen klassifiziert.
Für alle Nutzer kann eine gemeinsame Grundlage sinnvoll sein: Welche Systeme sind freigegeben? Welche typischen Fehler können auftreten? Welche internen Regeln gelten für Daten? Welche Ergebnisse müssen vor ihrer Verwendung geprüft werden?
Für den Vertrieb kommen zusätzliche praktische Beispiele zum Umgang mit Kundeninformationen hinzu. Die verantwortliche Person für die Automatisierung benötigt darüber hinaus Kenntnisse über Datenflüsse, Fehlerfälle, Zugriffsrechte und Übergaben an einen Menschen.
Eine mögliche interne Unternehmensregel könnte außerdem festlegen, dass kundenbezogene Antworten vor dem Versand von einem zuständigen Mitarbeiter kontrolliert werden. Das wäre eine organisatorische Entscheidung des Unternehmens – keine pauschale Verpflichtung aus Artikel 4, absolut jede KI-Ausgabe manuell zu kontrollieren.
Das Unternehmen hält anschließend fest, welche Nutzergruppen betrachtet wurden, welche Maßnahmen durchgeführt wurden und wer intern für Rückfragen zuständig ist.
Dieses Beispiel ist fiktiv und dient ausschließlich zur Veranschaulichung. Ob die beschriebenen Maßnahmen für ein konkretes Unternehmen rechtlich ausreichend sind, muss anhand des tatsächlichen Einsatzes geprüft werden.
6. Was sollte dokumentiert werden?
Die Europäische Kommission erklärt, dass für Artikel 4 kein bestimmtes Zertifikat erforderlich ist. Interne Aufzeichnungen über Trainings oder andere Leit- und Informationsmaßnahmen können zur Dokumentation verwendet werden.
Eine praktische Dokumentation kann beispielsweise enthalten:
- betrachtete KI-Systeme und Einsatzbereiche
- betroffene Nutzergruppen
- für diese Gruppen relevante Kenntnisse und Risiken
- durchgeführte Schulungen, Anleitungen oder andere Maßnahmen
- Zeitpunkt der Maßnahme
- interne Zuständigkeit oder Ansprechpartner
- gegebenenfalls einen Termin für eine spätere Überprüfung
7. Was verlangt Artikel 4 nicht pauschal?
Nach den aktuellen Erläuterungen der Europäischen Kommission lässt sich aus Artikel 4 allein nicht ableiten, dass jedes Unternehmen zwingend dieselbe standardisierte Compliance-Struktur einführen muss.
- Keine identische Schulung für alle Mitarbeiter.
- Kein allgemein vorgeschriebener Abschlusstest für jeden Nutzer.
- Kein bestimmtes AI-Literacy-Zertifikat.
- Kein verpflichtender eigener AI Officer allein aufgrund von Artikel 4.
- Kein verpflichtendes eigenes AI Governance Board allein aufgrund von Artikel 4.
Die Europäische Kommission weist außerdem darauf hin, dass die bloße Übernahme eines Beispiels aus ihrem Repository mit AI-Literacy-Praktiken nicht automatisch eine Vermutung der Compliance begründet.
Seit wann ist das relevant?
Artikel 4 wurde ab dem 2. Februar 2025 anwendbar. Die geänderte Fassung trat im Juli 2026 in Kraft. Die für Artikel 4 relevanten Aufsichts- und Durchsetzungsregeln gelten seit August 2026.
Unternehmen sollten das Thema daher nicht nur als zukünftige Vorbereitung behandeln. Wenn KI bereits im Arbeitsalltag eingesetzt wird, ist eine nachvollziehbare Bestandsaufnahme sinnvoll.
Selbstcheck: Wo steht Ihr Unternehmen?
Für eine erste Bestandsaufnahme reichen einige konkrete Fragen:
- Welche KI-Systeme werden tatsächlich verwendet?
- Welche davon sind offiziell freigegeben?
- Wer arbeitet damit und für welche Aufgaben?
- Welche Daten werden dabei verarbeitet?
- Welche typischen Fehler und Risiken müssen die jeweiligen Nutzer kennen?
- Wo sind menschliche Prüf- oder Freigabeschritte sinnvoll?
- Welche internen Anleitungen oder Schulungen bestehen bereits?
- Wer ist bei Unsicherheit zuständig?
- Können die bisher ergriffenen Maßnahmen nachvollziehbar dokumentiert werden?
Wenn schon nicht bekannt ist, welche KI-Systeme im Unternehmen verwendet werden, ist eine pauschale Schulung nicht der sinnvollste erste Schritt. Dann sollte zunächst die tatsächliche Nutzung erfasst werden.
Eine KI-Richtlinie allein vermittelt noch keine KI-Kompetenz
Eine interne Richtlinie kann festlegen, welche Systeme verwendet werden dürfen und wie mit Unternehmensdaten umzugehen ist. Mitarbeiter müssen darüber hinaus aber verstehen, wie sie diese Regeln in ihrer konkreten Arbeit anwenden.
Wer beispielsweise einen KI-Assistenten für Kundenkommunikation nutzt, sollte wissen, dass eine sprachlich überzeugende Antwort fachlich trotzdem falsch sein kann, welche Daten für die Aufgabe tatsächlich benötigt werden und wann eine menschliche Prüfung sinnvoll ist.
Wie sich Unternehmensdaten vor der Nutzung eines KI-Assistenten praktisch prüfen lassen, erklären wir in Welche Unternehmensdaten darf ich in ChatGPT eingeben? 8 Fragen vor der Nutzung.
Wann wird daraus eine technische Aufgabe?
Bei einfachen Einzelanwendungen steht häufig die Nutzungskompetenz der Mitarbeiter im Vordergrund. Bei automatisierten KI-Prozessen wird zusätzlich wichtig, die technische Funktionsweise nachvollziehen zu können.
Wenn ein KI-Agent beispielsweise Kundenanfragen liest, Informationen aus verbundenen Systemen abruft und Aktionen vorbereitet, sollten Datenquellen, Zugriffsrechte, erlaubte Werkzeuge, Ausnahmefälle und menschliche Kontrollpunkte klar beschrieben sein.
Kubertino unterstützt bei der technischen und organisatorischen Analyse von KI-Prozessen. Eine verbindliche rechtliche Bewertung der AI-Act-Compliance eines konkreten Unternehmens ist nicht Gegenstand dieser technischen Leistung.
Was Unternehmen daraus mitnehmen sollten
Artikel 4 verpflichtet Unternehmen nicht pauschal dazu, alle Beschäftigten zu derselben zertifizierten KI-Schulung zu schicken.
Wenn KI-Systeme eingesetzt werden, sollte jedoch nachvollziehbar betrachtet werden, wer sie für welche Aufgaben nutzt, welches Wissen dafür relevant ist und welche Maßnahmen die Entwicklung dieser Kompetenz unterstützen.
Der sinnvollste erste Schritt ist deshalb meist keine Zertifikatssuche, sondern eine Bestandsaufnahme der tatsächlichen KI-Nutzung im Unternehmen.
Häufige Fragen zu EU AI Act und KI-Kompetenz
Müssen Unternehmen ihre Mitarbeiter zu KI schulen?
Artikel 4 verlangt Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz bei Personen, die im Auftrag des Unternehmens mit KI-Systemen arbeiten. Welche konkrete Maßnahme angemessen ist, hängt unter anderem von Aufgabe, Vorwissen und Nutzungskontext ab.
Betrifft Artikel 4 auch kleinere Unternehmen?
Die Vorschrift ist nicht grundsätzlich auf Großunternehmen beschränkt. Artikel 4 sieht zugleich ausdrücklich vor, dass Kommission und Mitgliedstaaten insbesondere kleine und mittlere Unternehmen bei der Umsetzung unterstützen sollen.
Braucht jeder Mitarbeiter ein KI-Zertifikat?
Nein. Die Europäische Kommission erklärt, dass für die Dokumentation von Maßnahmen nach Artikel 4 kein bestimmtes Zertifikat erforderlich ist.
Muss ein Unternehmen einen AI Officer benennen?
Artikel 4 schreibt keine bestimmte Governance-Struktur und keinen speziellen AI Officer vor. Je nach konkretem KI-System und Einsatz können sich jedoch aus anderen Vorschriften zusätzliche Anforderungen ergeben.
Reicht es, Mitarbeitern eine Bedienungsanleitung zu geben?
Nicht in jedem Fall. Entscheidend ist, ob die gewählte Maßnahme tatsächlich geeignet ist, relevante Kenntnisse für den konkreten Einsatz zu vermitteln. Bei komplexeren oder risikoreicheren Anwendungen kann eine reine Produktanleitung zu wenig sein.
Müssen Unternehmen die KI-Kompetenz jedes Mitarbeiters prüfen?
Die aktuelle Fassung von Artikel 4 verlangt nicht, ein bestimmtes Kompetenzniveau jedes einzelnen Nutzers zu garantieren. Vorwissen, Erfahrung, Ausbildung und Nutzungskontext sollen bei den gewählten Maßnahmen jedoch berücksichtigt werden.
Wie lassen sich Maßnahmen dokumentieren?
Eine Möglichkeit sind interne Aufzeichnungen über durchgeführte Schulungen oder andere Leit- und Informationsmaßnahmen. Form und Umfang sollten zum tatsächlichen KI-Einsatz des Unternehmens passen.
Beweist eine Schulung automatisch die vollständige Einhaltung des AI Act?
Nein. Artikel 4 ist nur ein Teil des AI Act. Abhängig vom eingesetzten KI-System und seiner Verwendung können weitere Anforderungen relevant sein. Auch die Übernahme eines Praxisbeispiels der Europäischen Kommission begründet nicht automatisch eine Vermutung vollständiger Compliance.