KI-Kompetenz nach Art. 4 KI-Verordnung — die unterschätzte Pflicht für jedes Unternehmen mit KI im Alltag
Sie haben keine KI im Einsatz? Sehen wir genauer hin: Das Marketing lässt ChatGPT Produkttexte formulieren. Der Einkauf übersetzt Lieferantenkorrespondenz mit einem KI-Werkzeug. In der Bewerbervorauswahl sortiert eine Software mit, die „intelligentes Matching" bewirbt. Und in Microsoft 365 wartet Copilot auf den ersten Klick. Damit sind Sie Betreiber von KI-Systemen im Sinne der KI-Verordnung (EU) 2024/1689 — und Art. 4 dieser Verordnung erwartet von Ihnen seit dem 2. Februar 2025, dass Ihre Beschäftigten damit sachkundig umgehen können. Nicht irgendwann. Jetzt.
KI-Kompetenz nach Art. 4: Die Kernaussagen
- ✅ Art. 4 KI-VO gilt seit dem 2. Februar 2025 — für Anbieter und Betreiber, also auch für Unternehmen, die KI-Werkzeuge nur nutzen.
- ✅ Die EU-Kommission erwartet rollenspezifische, risikobasierte Maßnahmen — kein Pflichtzertifikat, aber auch keine Symbolik. Ein Rundbrief genügt nicht.
- ✅ Der Digital Omnibus 2026 hat die Vorschrift entschärft: aus „sicherstellen" wurde „die Entwicklung der KI-Kompetenz unterstützen". Entschärft heißt nicht erledigt.
- ✅ Seit August 2026 ist die Aufsicht real: Die Bundesnetzagentur ist Deutschlands zentrale KI-Marktüberwachungsbehörde — samt Beschwerdestelle.
- ✅ Fehlende Schulung kann bei Vorfällen als Fahrlässigkeitsbeleg gewertet werden und wirkt in Haftung und Sanktionsbemessung hinein.
- ✅ Wer ein Managementsystem nach ISO 9001, 27001 oder 42001 betreibt, hat die komplette Mechanik bereits an Bord: Kompetenzmatrix, Unterweisung, Nachweis.
Was Art. 4 KI-VO verlangt
Der ursprüngliche Wortlaut ist bemerkenswert kurz. Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um „nach besten Kräften sicherzustellen", dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung und Schulung der Personen ebenso wie der Kontext, in dem die Systeme eingesetzt werden.
Was „KI-Kompetenz" bedeutet, definiert die Verordnung selbst (Art. 3 Nr. 56): die Fähigkeiten, Kenntnisse und das Verständnis, KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken und möglichen Schäden bewusst zu sein. Es geht also nicht um Programmierkenntnisse — es geht darum, dass Menschen wissen, was das Werkzeug kann, was es nicht kann und wo es gefährlich wird.
Die FAQ der EU-Kommission (Mai 2025): vier Klarstellungen
- Kein Pflichtformat, kein Zertifikat: Weder ein „KI-Führerschein" noch ein benannter KI-Beauftragter ist vorgeschrieben.
- Rollenspezifisch und risikobasiert: Eine Einheitsschulung für alle genügt ausdrücklich nicht — maßgeblich sind Rolle, Vorwissen und Einsatzkontext.
- Auch Alltags-KI zählt: Die Kommission nennt als Beispiel ausdrücklich den Einsatz von ChatGPT für Werbetexte und Übersetzungen.
- Symbolik genügt nicht: Erwartet werden nachvollziehbare, dokumentierte Maßnahmen — keine Absichtserklärungen.
Wen die Pflicht trifft: praktisch jedes Unternehmen
Art. 4 adressiert Anbieter (die KI-Systeme entwickeln oder unter eigenem Namen auf den Markt bringen) und Betreiber (die KI-Systeme in eigener Verantwortung beruflich verwenden). Die zweite Kategorie wird regelmäßig übersehen. Betreiber ist nicht erst, wer ein eigenes Sprachmodell hostet. Betreiber ist auch, wer:
- generative KI wie ChatGPT, Copilot oder Gemini im Tagesgeschäft einsetzt,
- KI-Funktionen in Fachsoftware nutzt — Bewerbervorauswahl, Prognosetools, Bilderkennung in der Qualitätssicherung,
- externe Dienstleister mit KI-gestützten Leistungen in seinem Auftrag arbeiten lässt — auch deren Personal ist einzubeziehen.
Eine Bagatellgrenze nach Unternehmensgröße gibt es nicht. Ein 40-Personen-Maschinenbauer ist genauso erfasst wie ein Konzern — nur fällt das „ausreichende Maß" je nach Einsatzkontext sehr unterschiedlich aus. Genau diese Verhältnismäßigkeit ist die gute Nachricht: Wer KI nur als Bürowerkzeug nutzt, braucht keine KI-Akademie. Er braucht ein Grundverständnis, klare Regeln und einen Nachweis.
Zeitleiste: Was wann gilt — und was der Digital Omnibus geändert hat
| Datum | Was gilt |
|---|---|
| 1. August 2024 | KI-Verordnung (EU) 2024/1689 tritt in Kraft |
| 2. Februar 2025 | Art. 4 (KI-Kompetenz) und die Verbote des Art. 5 gelten |
| 2. August 2025 | Governance-Regeln und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) |
| 2. August 2026 | Allgemeine Geltung der Verordnung; nationale Marktüberwachung beginnt |
| 29. Juli 2026 | Deutschland: KI-Marktüberwachungsgesetz in Kraft — die Bundesnetzagentur wird zentrale KI-Aufsicht, Anlauf- und Beschwerdestelle |
| 2. Dez. 2027 / 2. Aug. 2028 | Hochrisiko-Pflichten (Anhang III / Anhang I) — durch den Digital Omnibus verschoben |
Der Digital Omnibus (Verordnung (EU) 2026/1744) hat im Sommer 2026 nicht nur die Hochrisiko-Fristen verschoben, sondern auch Art. 4 selbst angefasst: Aus der Vorgabe, KI-Kompetenz „sicherzustellen", wurde die Pflicht, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz des Personals zu unterstützen — ausdrücklich ohne die Verpflichtung, ein bestimmtes Kompetenzniveau für einzelne Personen zu garantieren. Der unmittelbare Druck aus Art. 4 sinkt damit spürbar.
Entschärft heißt nicht erledigt
Wer daraus „Thema abgehakt" liest, macht denselben Fehler wie bei den verschobenen Hochrisiko-Fristen: Die Anforderung bleibt — nur der Hebel verlagert sich. Vier Gründe, warum KI-Kompetenz auf der Agenda bleibt:
- Die Aufsicht ist jetzt real.
Seit August 2026 gibt es mit der Bundesnetzagentur eine zuständige Behörde samt Beschwerdestelle. Bei Vorfällen mit KI-Bezug gehört der Schulungs- und Anweisungsstand zu den ersten Fragen, die gestellt werden.
- Haftung und Organisationsverschulden.
Einen eigenen Bußgeldtatbestand hatte Art. 4 nie — die Musik spielt woanders: Unzureichende Schulung kann als Beleg für fahrlässige Verstöße gegen andere Pflichten gewertet werden und in die Sanktionsbemessung einfließen. Daneben stehen zivilrechtliche Haftung und die allgemeine Organisations- und Aufsichtspflicht der Leitung (bis hin zu § 130 OWiG).
- Die Nachbarrechtsgebiete bleiben streng.
Wer ungeschult personenbezogene Daten in öffentliche KI-Werkzeuge einspeist, hat kein Art.-4-Problem, sondern ein DSGVO-Problem (Art. 5, Art. 32). Auch Geschäftsgeheimnisse, Urheberrecht und vertragliche Vertraulichkeit setzen geschulte Anwender voraus.
- Der Markt fragt danach.
Kundenaudits, Ausschreibungen und Versicherer erkundigen sich zunehmend nach KI-Richtlinie und Schulungsnachweisen — unabhängig davon, wie weich Art. 4 formuliert ist.
Kurz: Die rechtliche Formulierung wurde weicher — die praktische Notwendigkeit nicht. Werkzeuge, die überzeugend falsch liegen können, erfordern qualifizierte Anwender. Das war schon vor Art. 4 so.
KI-Kompetenz im Managementsystem verankern: der 5-Schritte-Plan
Das Beste an Art. 4: Wer ein Managementsystem nach ISO 9001, ISO 14001, ISO 45001, ISO 27001 oder ISO 42001 betreibt, hat die Mechanik längst — Kompetenzanforderungen bestimmen, Maßnahmen ableiten, Wirksamkeit bewerten, dokumentierte Information führen (Kapitel 7.2, 7.3 und 7.5 der Harmonized Structure). KI-Kompetenz ist kein neues Parallelprojekt. Sie ist eine neue Zeile in einer Tabelle, die Sie schon führen.
- Schritt 1: KI-Bestandsaufnahme
Erfassen Sie, wo im Unternehmen KI tatsächlich im Einsatz ist — inklusive der „Schatten-KI", die nie offiziell eingeführt wurde: Browser-Chatbots, KI-Funktionen in Standardsoftware, Add-ins, Pilotprojekte, Dienstleister. Ohne Inventar keine Zielgruppen. Für KMU oft an 1–2 Tagen machbar.
- Schritt 2: Rollen und Risiken clustern
Nicht jede Person braucht dasselbe. Bewährt hat sich eine einfache Kompetenzmatrix (Beispiel unten) — sie ist zugleich Ihr Nachweis, dass die Maßnahmen rollenspezifisch und risikobasiert sind, genau wie die Kommission es erwartet.
- Schritt 3: Schulung plus KI-Richtlinie
Rollenbasierte Schulungen sind der Kern, aber nicht alles: Eine KI-Richtlinie legt fest, welche Werkzeuge freigegeben sind, welche Daten eingegeben werden dürfen, wie Ergebnisse geprüft und gekennzeichnet werden und wer neue Tools freigibt. Richtlinie ohne Schulung bleibt Papier — Schulung ohne Richtlinie bleibt unverbindlich.
- Schritt 4: In die Managementsystem-Logik integrieren
KI-Kompetenzanforderungen je Rolle in die bestehende Qualifikationsmatrix aufnehmen (7.2), die KI-Richtlinie in Unterweisung und Onboarding verankern (7.3), Nachweise revisionssicher führen (7.5) — und KI-Nutzung als Thema in internes Audit und Managementbewertung aufnehmen. Spätestens dort zeigt sich, ob die Maßnahmen leben. Wer KI geschäftskritisch einsetzt, geht den Schritt zum vollständigen KI-Managementsystem: ISO/IEC 42001 — unser Praxisguide.
- Schritt 5: Aktuell halten
KI-Werkzeuge ändern sich schneller als jede Norm. Planen Sie mindestens jährliche Auffrischungen, zusätzlich anlassbezogen bei neuen Tools oder Vorfällen — und halten Sie das KI-Inventar lebendig. Sonst schulen Sie 2027 auf dem Stand von 2025.
Beispiel: KI-Kompetenzmatrix nach Rollenclustern
| Rollencluster | Typische Nutzung | Kompetenzschwerpunkt |
|---|---|---|
| Alle Beschäftigten | gelegentliche Chatbot-Nutzung | Grundverständnis und Grenzen (Konfabulation/„Halluzination"), Datenschutz-Grundregeln, interne KI-Richtlinie |
| Intensive Anwender (Marketing, Einkauf, HR …) | tägliche Arbeit mit generativer KI | Sorgfalt bei Eingaben, Prüfung von Ergebnissen, Urheberrecht und Vertraulichkeit, Freigabeprozesse |
| Fachliche Entscheider | KI-gestützte Auswertungen, Bewerbervorauswahl | Verzerrungen (Bias), Transparenzpflichten, menschliche Letztentscheidung |
| IT / Systemverantwortliche | Auswahl, Integration, Betrieb | Anbieter- vs. Betreiberpflichten, Protokollierung, Risikoklassen der KI-VO |
| Leitung | Governance | Verantwortlichkeiten, Haftung, Berichtswege, Ressourcen |
KI-Kompetenz pragmatisch umsetzen?
IQI unterstützt Sie von der KI-Bestandsaufnahme über die Kompetenzmatrix und KI-Richtlinie bis zur rollenbasierten Schulung — integriert in Ihr bestehendes Managementsystem statt daneben.
Kontakt aufnehmenHäufig gestellte Fragen zur KI-Kompetenz nach Art. 4
Ist eine KI-Schulung für Unternehmen Pflicht?
Art. 4 KI-VO verlangt seit dem 2. Februar 2025 Maßnahmen für ein ausreichendes Maß an KI-Kompetenz bei allen, die im Auftrag des Unternehmens mit KI-Systemen arbeiten. Ein bestimmtes Format oder Zertifikat ist nicht vorgeschrieben — rollenbasierte, dokumentierte Schulungen plus KI-Richtlinie sind der anerkannte Weg. Der Digital Omnibus 2026 hat die Formulierung entschärft („unterstützen" statt „sicherstellen"); die praktische Notwendigkeit aus Aufsicht, Haftung, DSGVO und Kundenanforderungen bleibt.
Gilt Art. 4 auch für kleine Unternehmen ohne eigene KI-Entwicklung?
Ja. Betreiber ist bereits, wer KI-Werkzeuge wie ChatGPT oder Copilot beruflich einsetzt — eine Bagatellgrenze nach Unternehmensgröße gibt es nicht. Der Umfang der Maßnahmen richtet sich aber nach Nutzung und Risiko: Bei reiner Büro-Nutzung genügt deutlich weniger als beim KI-Einsatz in Personalauswahl oder Produktion.
Drohen Bußgelder, wenn wir nicht schulen?
Einen eigenen Bußgeldtatbestand für Art. 4 gibt es nicht. Aber seit August 2026 ist die Marktüberwachung aktiv — in Deutschland die Bundesnetzagentur samt Beschwerdestelle —, und fehlende Schulung kann bei Verstößen gegen andere Pflichten als Fahrlässigkeitsbeleg gewertet werden und die Sanktion verschärfen. Dazu kommen zivilrechtliche Haftung und Organisationsverschulden.
Reicht eine einmalige Schulung?
Nein. Die Kommission erwartet kontextbezogene, aktuelle Kompetenz. Praktikabel ist ein Grundmodul für alle plus rollenspezifische Vertiefungen und mindestens jährliche Auffrischung — anlassbezogen zusätzlich bei neuen Werkzeugen oder nach Vorfällen.
Was hat Art. 4 mit ISO 42001 zu tun?
Art. 4 ist die gesetzliche Mindestanforderung an Kompetenz; ISO/IEC 42001 ist das freiwillige Managementsystem, das den KI-Einsatz insgesamt steuert — inklusive Kompetenz (Kap. 7.2), Risikobewertung und Governance. Wer ISO 42001 umsetzt, erfüllt die Kompetenzanforderung quasi im Vorbeigehen. Mehr dazu in unserem ISO-42001-Praxisguide.
Wir haben ein QM-System nach ISO 9001 — müssen wir etwas Neues aufbauen?
Nein, das ist die gute Nachricht: Kompetenzmatrix, Unterweisungen, Wirksamkeitsbewertung und dokumentierte Information existieren in Ihrem System bereits (Kap. 7.2, 7.3, 7.5). KI-Kompetenz wird dort integriert, nicht daneben gestellt — als neue Zeile in der Qualifikationsmatrix, als Baustein der Unterweisung, als Thema im internen Audit.
Zusammenfassung: KI-Kompetenz auf einen Blick
- ✅ Art. 4 KI-VO gilt seit 2. Februar 2025 — für Anbieter und Betreiber, KMU eingeschlossen
- ✅ Erwartet werden rollenspezifische, risikobasierte, dokumentierte Maßnahmen — kein Pflichtzertifikat
- ✅ Digital Omnibus 2026: Formulierung entschärft („unterstützen"), Thema bleibt
- ✅ Seit August 2026: Bundesnetzagentur als zentrale KI-Aufsicht in Deutschland
- ✅ Kein eigener Bußgeldtatbestand — aber Fahrlässigkeitsbeleg, Haftung, DSGVO-Flanke
- ✅ Umsetzung mit Bordmitteln des Managementsystems: Inventar, Matrix, Schulung, Richtlinie, Nachweis
Vom Inventar bis zum Auditnachweis
IQI verankert KI-Kompetenz in Ihrem Managementsystem — pragmatisch, rollenbasiert und auditfest. Auf Wunsch bis zum vollständigen KI-Managementsystem nach ISO/IEC 42001.
Erstberatung anfragenFragen zur KI-VO in Ihrem Managementsystem?
Norminator — der KI-basierte Managementsystem-Berater von IQI — beantwortet normspezifische Fragen in Sekunden, mit Quellenangabe und fundiert auf 25 Jahren Beratungspraxis. Die Rechtsgrundlagen dazu, wöchentlich aktuell: rechtskataster.com.
Norminator fragen →