KI-Kompetenz nach Art. 4: Was Unternehmen jetzt wirklich tun müssen

Seit Februar 2025 gilt die KI-Kompetenzpflicht, seit dem 2. August 2026 kann sie in Deutschland auch überwacht werden – und trotzdem braucht niemand einen staatlich anerkannten KI-Führerschein. Der AI Act verlangt weder einen Einheitskurs für die Belegschaft noch eine feste Stundenzahl. Er verlangt etwas Unbequemeres. Unternehmen müssen wissen, welche KI sie wofür einsetzen, welche Menschen dafür welche Fähigkeiten brauchen und warum die gewählten Maßnahmen zum Risiko passen.

Auf LinkedIn läuft dazu seit Wochen das erwartbare Programm. Die üblichen Verdächtigen – gestern noch Krypto-Experte, heute eben KI-Berater, der Markt will es so – produzieren Panikbeiträge im Akkord, meist mit wenig Substanz und viel Ausrufezeichen. In seriösen Newslettern taucht die angebliche Zertifikatspflicht dagegen kaum auf. Das allein ist schon ein brauchbarer Indikator.

Genau in diese Lücke zielt das Panik-Marketing mancher Schulungsanbieter, das schon zum 2. August ins Leere lief. Wer im August 2026 „gesetzlich vorgeschriebene KI-Zertifizierung“ verkauft, verkauft etwas, das es rechtlich nicht gibt. Was es stattdessen gibt, ist eine Organisationspflicht – und die ist mit gesundem Menschenverstand und überschaubarem Aufwand erfüllbar. Der Reihe nach.

Was der Digital Omnibus an Art. 4 geändert hat

Die ursprüngliche Fassung von Art. 4 verlangte von Anbietern und Betreibern, „nach besten Kräften“ ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Eine Formulierung, die mehr Fragen aufwarf als beantwortete – welches Niveau ist ausreichend, wer misst das, und was passiert mit dem Kollegen, der nach drei Schulungen immer noch Kundendaten in den Chatbot kippt?

Die Digital-Omnibus-Verordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft, hat das aufgeräumt. Die neue Fassung verpflichtet Unternehmen, Maßnahmen zu ergreifen, die die Entwicklung von KI-Kompetenz fördern und unterstützen. Geschuldet ist damit ein angemessener organisatorischer Prozess, kein garantiertes Lernergebnis jedes einzelnen Mitarbeitenden. Die FAQ der EU-Kommission bestätigt das ausdrücklich – ein spezifisches oder „ausreichendes“ Niveau ist nicht mehr vorgeschrieben.

Parallel hat der Omnibus die Fristen für Hochrisiko-Systeme deutlich nach hinten geschoben. Eigenständige Hochrisiko-KI nach Anhang III – etwa Bewerber-Screening oder Kreditwürdigkeitsprüfung – muss erst zum 2. Dezember 2027 die vollen Betreiberpflichten erfüllen, KI als Sicherheitsbauteil in regulierten Produkten nach Anhang I zum 2. August 2028. Wer daraus ableitet, bis Ende 2027 sei nichts zu tun, liegt daneben. Art. 4 gilt seit Februar 2025 unverändert, und die Transparenzpflichten nach Art. 50 – Kennzeichnung von Chatbots und synthetischen Inhalten – greifen seit dem 2. August 2026.

In Deutschland kommt seit Ende Juli die Aufsicht dazu. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), in Kraft seit dem 29. Juli 2026, macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. Beschäftigte, Mitbewerber oder Betroffene können vermutete Verstöße dort melden. Art. 4 selbst kennt zwar keinen eigenen Bußgeldtatbestand, aber im Rahmen eines Beschwerdeverfahrens landet die Frage nach den Kompetenzmaßnahmen trotzdem auf dem Tisch.

Wer betroffen ist – Spoiler: fast jeder

Die KI-Verordnung unterscheidet zwischen Anbietern, die KI-Systeme entwickeln oder unter eigenem Namen auf den Markt bringen, und Betreibern, die KI-Systeme in eigener Verantwortung beruflich nutzen. Die überwiegende Mehrheit der deutschen KMU ist Betreiber – und zwar schneller, als vielen bewusst ist. Der geschäftliche Einsatz von ChatGPT, Microsoft Copilot, Claude oder Gemini reicht dafür aus, ebenso KI-Funktionen in Bestandssoftware wie CRM- oder ERP-Systemen.

Die EU-Kommission nennt in ihrer FAQ ausdrücklich das Beispiel von Beschäftigten, die ChatGPT für Werbetexte oder Übersetzungen einsetzen. Auch dann muss das Unternehmen über spezifische Risiken wie Halluzinationen informieren. Ein Human-in-the-Loop ersetzt die Kompetenzanforderung übrigens nicht – die kontrollierende Person braucht selbst die passenden Fähigkeiten, sonst kontrolliert da niemand, sondern nickt nur ab.

Erfasst sind neben der Belegschaft auch Auftragnehmer und Dienstleister, die im Auftrag der Organisation mit KI arbeiten. Wer keinerlei beruflichen Kontakt zu KI-Systemen hat, fällt umgekehrt nicht allein wegen seiner Unternehmenszugehörigkeit unter die Pflicht. Ein kurzes gemeinsames Fundament kann trotzdem sinnvoll sein, schon weil KI-Funktionen inzwischen ungefragt in Standardsoftware auftauchen und Shadow AI sonst unbemerkt bleibt.

Was Art. 4 nicht verlangt

Der Markt für KI-Schulungen lebt gut von Behauptungen, die einer Prüfung nicht standhalten. Eine Auswahl, jeweils mit Rechtsstand August 2026:

• „Jeder Mitarbeitende braucht ein Zertifikat.“
  Falsch. Es existiert keine Zertifikatspflicht, und Angebote, die mit staatlich vorgeschriebener KI-Zertifizierung werben, entbehren einer rechtlichen Grundlage.
• „Alle müssen denselben Kurs absolvieren.“
  Falsch – ein Einheitskurs widerspricht der rollenbezogenen Logik des Gesetzes eher, als dass er sie erfüllt.
• „Es gibt eine vorgeschriebene Stundenzahl oder Prüfung.“
  Weder Gesetz noch EU-FAQ nennen eine Dauer oder verlangen eine Wissensmessung.
• „Ein KI-Beauftragter ist Pflicht.“
  Art. 4 schreibt keine Governance-Struktur vor. Die Rolle kann im KMU trotzdem als Koordinationsfunktion taugen.
• „Das betrifft nur Hochrisiko-KI.“
  Art. 4 gilt für alle KI-Systeme im beruflichen Einsatz. Hochrisiko löst zusätzliche Anforderungen aus, später.

Das EU-Register mit Praxisbeispielen zur AI Literacy ist übrigens Inspirationsquelle, keine Compliance-Vorlage. Die Kommission stellt klar, dass das Kopieren eines Registereintrags keine Konformitätsvermutung erzeugt.

Was stattdessen zu tun ist

Die Pflicht lässt sich auf sechs Schritte herunterbrechen, die auch ein Zehn-Personen-Betrieb ohne Compliance-Abteilung schafft.

Erstens die tatsächliche KI-Nutzung erfassen – inklusive der inoffiziellen. Eine gepflegte Tabelle mit System, Zweck, Nutzergruppen, Datenarten und Kontrollpunkten genügt als Inventar. Zweitens die eigene Rolle klären, denn ein reiner Chatbot-Nutzer braucht anderes Wissen als ein Softwarehaus, das unter eigener Marke anbietet. Drittens Risiken je Anwendungsfall bewerten. Nicht der Modellname entscheidet über den Schulungsbedarf, sondern die Frage, ob am Ende ein interner Textentwurf steht oder eine Vorauswahl von Bewerbungen. Viertens Maßnahmen rollenbezogen gestalten – Basismodul für alle Nutzer, Vertiefung für Power User, HR, IT und Führung. Fünftens die Maßnahmen tatsächlich durchführen, wobei Einweisung, Leitfaden, Workshop oder E-Learning gleichermaßen zulässig sind. Und sechstens dokumentieren und aktualisieren, wenn neue Tools, neue Funktionen oder Vorfälle das erfordern.

Für die Geschäftsführung ist der Anspruch dabei überschaubarer, als es klingt. Sie muss nicht lernen, bessere Prompts zu schreiben. Sie sollte beantworten können, welche fünf KI-Anwendungen geschäftlich am wichtigsten sind, wer welche Systeme mit welchen Daten nutzen darf und wie das Unternehmen von Vorfällen erfährt. Wer diese Fragen nicht beantworten kann, hat kein Schulungsproblem, sondern ein Übersichtsproblem.

Dokumentation: schlank schlägt Zertifikatsordner

Eine gesetzliche Prüfungs- oder Nachweisform schreibt Art. 4 nicht vor. Trotzdem ist Dokumentation der Punkt, an dem sich im Ernstfall alles entscheidet. Unterlässt die Geschäftsführung zumutbare Qualifizierungsmaßnahmen, riskiert sie bei Fehlern von Beschäftigten eine persönliche Haftung wegen Organisationsverschuldens nach § 130 OWiG und § 43 GmbHG. Führt mangelnde Prompt-Hygiene zu einer Datenpanne, drohen Bußgelder nach Art. 83 DSGVO. Und bei mitbestimmungspflichtigen KI-Systemen redet der Betriebsrat nach § 87 BetrVG mit.

Das größere praktische Risiko liegt darin, nach einem Vorfall nicht erklären zu können, welche Systeme bekannt waren, welche Risiken erkannt wurden und warum die Maßnahmen angemessen erschienen. Ein schlankes Nachweispaket – KI-Inventar, Kompetenzmatrix je Rolle, Maßnahmenblätter mit Datum und Zielgruppe, Teilnahme- oder Bereitstellungsnachweise, eine kurze Begründung der Angemessenheit und ein Aktualisierungsprotokoll – ist dafür wertvoller als ein dicker Ordner mit generischen Kursbescheinigungen. Ehrlich und aktuell schlägt umfangreich und tot.

Take dazu

Art. 4 ist keine Einkaufspflicht für Schulungen, sondern eine Denkpflicht. Das Gesetz verlangt, den Kompetenzbedarf aus der realen KI-Nutzung abzuleiten und darauf angemessen zu reagieren – mehr nicht, aber auch nicht weniger. Der Digital Omnibus hat den Rechtsrahmen milder gemacht, die betriebliche Notwendigkeit bleibt. Kompetente Teams produzieren weniger Fehler, erkennen ungeeignete Anwendungen früher und holen aus freigegebenen Systemen mehr heraus. Compliance ist hier der Nebeneffekt, nicht der Zweck.

Hinweis: Ich bin Marketing- und Tech-Mensch, kein Jurist. Dieser Artikel ist meine Einordnung öffentlich zugänglicher Quellen, keine Rechtsberatung. Die verbindliche Prüfung deines konkreten Einzelfalls, insbesondere bei Hochrisiko-Anwendungen, Beschäftigtenbewertung oder grundrechtssensiblen Einsätzen, kann und darf nur ein zugelassener Rechtsanwalt leisten.