KI-Kompetenz ist Pflicht: was Artikel 4 des AI Act jetzt verlangt

Aktualisiert am 2. Oktober 2026. Seit dem 27. Juli 2026 gilt durch den Digital Omnibus zur KI eine neue Fassung von Artikel 4. Die Pflicht besteht weiterhin, ist aber leichter geworden. Diese Erläuterung haben wir entsprechend angepasst.

Die Pflicht, die alle übersehen haben

Letzte Woche hörte ein Hypothekenberater bei einem Netzwerktreffen die Frage „Sind Sie schon KI-kompetent?“ und hielt sie zunächst für eine neue LinkedIn-Kampagne. Bis sein Nachbar erklärte, dass es um eine Pflicht aus dem AI Act geht. Der Hypothekenberater trank sein Glas aus und googelte es am nächsten Abend.

Was er fand, war nicht das, was er erwartet hatte. Keine vage Brüsseler Bürokratie, sondern ein Artikel, der schon seit Februar 2025 für alle gilt, die KI einsetzen, und der im Sommer 2026 neu gefasst wurde. Weniger streng als zuvor, aber nicht unverbindlich. Für seine 32 Mitarbeitenden hätte er längst etwas regeln müssen.

Was Artikel 4 des AI Act jetzt wörtlich sagt

Artikel 4 gilt seit dem 2. Februar 2025. In der ursprünglichen Fassung mussten Anbieter und Betreiber von KI-Systemen für ein ausreichendes Maß an KI-Kompetenz ihres Personals sorgen. Mit dem Digital Omnibus zur KI (Verordnung (EU) 2026/1744) ist dieser Text seit dem 27. Juli 2026 ersetzt. Artikel 4 lautet jetzt:

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind (...). Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“

Im Klartext: Nutzt Ihr Unternehmen KI-Tools (und das tut es mit ziemlicher Sicherheit schon seit Jahren), dann müssen Sie nachweisbar etwas dafür tun, dass Ihre Leute lernen, vernünftig mit KI zu arbeiten. Ein festgelegtes Niveau müssen Sie nicht garantieren. Was Sie tun, muss aber dazu passen, wer die Tools nutzt, wofür und wer die Folgen der Ergebnisse spürt.

Neu ist außerdem, dass die Europäische Kommission und die Mitgliedstaaten Unternehmen dabei helfen müssen, insbesondere kleine und mittlere Unternehmen. Die Kommission veröffentlicht dafür Praxisbeispiele.

Wer die Aufsicht führt und was passiert, wenn Sie nichts tun

Laut der Zeitleiste der Europäischen Kommission überwachen nationale Aufsichtsbehörden Artikel 4 seit dem 2. August 2026. In den Niederlanden muss das Durchführungsgesetz, das diese Behörden formell benennt, noch ins Parlament. Die niederländische Regierung schrieb bereits im April 2026, dass dieses Gesetz später in Kraft tritt, als der AI Act es vorsieht, und dass die Pflichten in der Zwischenzeit trotzdem gelten, weil die Verordnung unmittelbar wirkt.

Im niederländischen Gesetzentwurf überwacht die Datenschutzbehörde Autoriteit Persoonsgegevens (AP) Artikel 4, bei Finanzinstituten gemeinsam mit der Finanzmarktaufsicht AFM und der Zentralbank DNB. Ein Bußgeld ist dafür nicht vorgesehen. Stellt die Aufsichtsbehörde fest, dass Sie Ihre Pflicht nicht erfüllen, kann sie eine Anordnung unter Androhung eines Zwangsgelds erlassen: einen konkreten Auftrag mit einer Frist, und erst wenn Sie diese verstreichen lassen, kostet es Geld. Was seit August außerdem gilt, lesen Sie in unserem Beitrag zum 2. August 2026.

Wen es bei Ihnen betrifft

Nicht nur Ihr IT-Team. Das ist die entscheidende Nuance, die in den meisten Zusammenfassungen fehlt. Artikel 4 spricht von Personal und anderen Personen, die in Ihrem Auftrag mit KI-Systemen umgehen. In der Praxis bedeutet das:

Alle, die ChatGPT, Copilot, Claude, Gemini oder ein anderes KI-Tool für die Arbeit nutzen. Alle, die ein Tool nutzen, in dem KI steckt, auch wenn der Anbieter es nicht so nennt (denken Sie an moderne CRMs, Office Copilot, Outlook Smart Compose). Alle, die mit einem Dienstleister arbeiten, der KI einsetzt und dessen Ergebnisse Ihre Kunden betreffen. Externe Auftragnehmer, Freelancer und Praktikanten, die mit Ihren KI-Tools arbeiten.

Bei einem Hypothekenbüro mit 30 Vollzeitkräften heißt das wahrscheinlich, dass es fast alle betrifft, nicht nur „die IT-Leute“.

Was KI-Kompetenz konkret bedeutet

Das Gesetz schreibt keinen bestimmten Kurs und keine Zertifizierung vor. Laut den Fragen und Antworten der Europäischen Kommission ist kein Zertifikat nötig, eine interne Übersicht über Schulungen und Einweisungen reicht aus, und Sie müssen keinen KI-Beauftragten ernennen. Das ist eine gute und eine schlechte Nachricht zugleich. Gut, weil Sie kein 80-Stunden-Programm einkaufen müssen. Schlecht, weil Sie selbst bestimmen müssen, was für Ihre Situation angemessen ist.

Was angemessen ist, hängt von drei Faktoren ab. Der Rolle der Person (ein Inhaber muss nicht dasselbe wissen wie ein Data Engineer). Der Art des KI-Systems (ein Chatbot im Kundenservice verlangt etwas anderes als ein Kredit-Scoring-Modell). Dem Kontext (Branche, Sensibilität der Daten, Auswirkung auf Kunden).

Für Mitarbeitende in einem durchschnittlichen KMU sieht ein angemessenes Niveau ungefähr so aus. Verstehen, was ein KI-Tool kann und was nicht. Wissen, wann Ergebnisse überprüft werden müssen. Wissen, welche Daten nicht in öffentliche Tools gehören, und warum nicht. Verstehen, was eine Halluzination ist und wie man sie erkennt (die Europäische Kommission nennt genau das als Beispiel für alle, die mit ChatGPT arbeiten). Wissen, wer verantwortlich ist, wenn die KI danebenliegt.

Das ist keine Raketenwissenschaft. Das sind zwei bis drei Stunden Schulung plus eine kurze Übersicht zum Nachschlagen.

Was Sie heute auf eine DIN-A4-Seite schreiben können

Wenn Sie morgen starten und erst am Dienstag einen externen Partner hinzuziehen wollen, können Sie heute schon etwas einführen.

Erstens: ein Verzeichnis. Welche KI-Tools laufen bei uns (offiziell und inoffiziell), wer ist pro Tool verantwortlich, welche Abteilungen nutzen sie. Zweitens: eine kurze Richtlinie von zwei DIN-A4-Seiten. Was wo genutzt werden darf, mit welchen Daten ja und mit welchen nie. Drittens: ein Schulungsplan pro Rolle. Geschäftsführung und Management in einer zweistündigen Sitzung, Mitarbeitende mit Kundenkontakt in einer zweistündigen Sitzung plus jährlichem Update, IT und Compliance in einer vierstündigen Sitzung. Viertens: ein Evaluierungstermin alle sechs Monate. Was hat sich bei den Tools, im Gesetz und in unseren Prozessen geändert.

Das ist kein lückenlos abgesichertes Compliance-Programm. Das ist ein vernünftiges, nachweisbares Minimum, falls die AP morgen anklopft. Als inhabergeführtes Unternehmen mit 15 bis 75 Vollzeitkräften und passendem Risikoprofil sind Sie damit grundsätzlich gut aufgestellt, wenn Sie es verteidigen müssen.

Der Teil, den die meisten Compliance-Fahrpläne überspringen

Die neue Fassung von Artikel 4 klingt leichter, und das ist sie auch. Aber es steht weiterhin darin, dass Sie bei Ihren Maßnahmen die Kenntnisse und Erfahrung Ihrer Leute berücksichtigen, den Kontext, in dem sie KI nutzen, und die Menschen, die von den Ergebnissen betroffen sind. Das bedeutet zweierlei.

Einerseits müssen Sie nicht Ihr ganzes Team durch dieselbe generische Schulung schicken. Eine Empfangskraft braucht etwas anderes als ein Hypothekenberater, der mit Kundendaten und den Anforderungen der Wft arbeitet, des niederländischen Finanzaufsichtsgesetzes. Andererseits können Sie sich nicht hinter „wir haben allen einen allgemeinen Kurs gegeben“ verstecken. Wenn die AP demnächst fragt, warum ein bestimmter Berater Kundendaten in ChatGPT eingefügt hat, ist „er hat die allgemeine Schulung besucht“ keine Antwort.

Was angemessen ist, lässt sich nicht in einer Stunde festlegen. Dafür braucht es eine Bestandsaufnahme.

Wie ein KI-Audit hier ansetzt

Zwei Dinge, die wir bei einem KI-Audit standardmäßig tun, betreffen Artikel 4 direkt. Wir erfassen alle KI-Tools, offiziell und inoffiziell, und ordnen pro Rolle ein, welche Mitarbeitenden welche Kompetenz brauchen. Und wir liefern im Bericht einen Anhang, der pro Use Case zeigt, welche Art von Schulung dazu passt, nicht als Auftrag, sondern als Empfehlung.

Das bedeutet, dass der Bericht, den Sie nach 14 Tagen erhalten, automatisch ein Ausgangsdokument für Artikel 4 ist. Nicht weil wir Juristen sind, sondern weil die Bestandsaufnahme, die das Gesetz verlangt, nahezu dieselbe ist wie die, die Sie für einen wirksamen KI-Einsatz ohnehin machen müssen. Wollen Sie es dauerhaft verankern, ist ein AIOS-Programm der logische nächste Schritt, denn darin werden Tools, Schulung und Compliance in derselben Schicht zusammengehalten.

Wenn Sie diesen Monat nur eine Sache tun

Erstellen Sie das Verzeichnis. Ohne es ist jedes weitere Gespräch über Compliance schwer zu führen. Mit diesem Verzeichnis haben Sie die erste Frage einer Aufsichtsbehörde bereits beantwortet und sehen selbst, was bei Ihnen tatsächlich läuft. Oft ist die Liste länger als erwartet, und genau dort beginnt die Arbeit.

KI, die in Ihrer Branche funktioniert, beginnt damit zu wissen, welche KI bei Ihnen arbeitet.

Der erste Schritt

Die Pflicht gilt bereits, die niederländische Aufsicht wird gerade aufgebaut. Das ist der richtige Moment, um es in Ordnung zu bringen: ohne Panik, aber auch ohne es noch ein Jahr aufzuschieben. Ein Audit, ein Bericht und eine erste Schulungsrunde passen bequem in ein Quartal. Wie Sie das als Organisation regeln, lesen Sie unter KI-Kompetenz organisieren.

Vierzehn Tage später wissen Sie, welche KI-Tools bei Ihnen laufen, welche Mitarbeitenden welche Kompetenz brauchen und welche drei Prozesse gleichzeitig sicherer und schneller werden können.