KI-Kompetenz nach Art. 4 EU AI Act: Pflicht, Umfang, Nachweis

Die Pflicht, die schon gilt — und oft übersehen wird

Während sich viele Unternehmen auf die Hochrisiko-Fristen 2026/2027 konzentrieren, ist eine Pflicht bereits seit dem 2. Februar 2025 scharf gestellt: die KI-Kompetenz nach Art. 4. Sie ist die wohl unterschätzteste Vorschrift des AI Act, weil sie risikoklassenunabhängig jeden trifft, der KI-Systeme anbietet oder betreibt — auch bei minimalem Risiko.

Was Art. 4 genau verlangt

Der Wortlaut ist knapp, die Reichweite groß: Anbieter und Betreiber treffen Maßnahmen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz ihres Personals und anderer Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Dabei sind technisches Wissen, Erfahrung, Ausbildung sowie der Einsatzkontext zu berücksichtigen.

KI-Kompetenz meint die Fähigkeiten, das Wissen und das Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen, sich der Chancen und Risiken bewusst zu sein und mögliche Schäden zu erkennen.

Wen die Pflicht trifft

Art. 4 gilt für Anbieter und Betreiber gleichermaßen. Betroffen ist nicht nur die IT, sondern jede Person, die im Auftrag des Unternehmens mit KI-Systemen arbeitet — Sachbearbeiter, die ein KI-Tool bedienen, Führungskräfte, die KI-gestützte Entscheidungen verantworten, und Fachabteilungen, die generative KI im Alltag nutzen. Auch externe Dienstleister, die in Ihrem Auftrag KI betreiben, fallen darunter.

Was "ausreichend" bedeutet — der kontextabhängige Maßstab

Es gibt keine starre Stundenzahl und kein vorgeschriebenes Curriculum. "Ausreichend" ist abgestuft nach:

Wer ein Hochrisiko-System mit Entscheidungswirkung betreibt, braucht tiefere Kompetenz als jemand, der gelegentlich einen Textassistenten nutzt. Der Maßstab ist Verhältnismäßigkeit, nicht Maximalschulung.

Die Kompetenzfelder, die abgedeckt sein sollten

Eine tragfähige KI-Kompetenz deckt typischerweise ab:

1. Grundverständnis: Was ist KI, wie funktionieren die eingesetzten Systeme grob, wo sind ihre Grenzen? 2. Risiken: Halluzinationen, Bias und Diskriminierung, Fehlerfortpflanzung, Automatisierungs-Bias (blindes Vertrauen). 3. Rechtlicher Rahmen: Grundzüge des AI Act, Datenschutz, Vertraulichkeit, Transparenzpflichten. 4. Sicherer Umgang: Umgang mit sensiblen Daten, Prompt-Hygiene, Erkennen unzuverlässiger Ausgaben, Eskalation. 5. Rollenspezifisches: für Aufsichtspersonen die menschliche Aufsicht (Art. 14), für Entwickler die technischen Pflichten.

So weisen Sie die Erfüllung nach

Da Art. 4 "nach besten Kräften" verlangt, ist die Dokumentation entscheidend. Bewährt hat sich:

Diese Artefakte sind im Prüfungsfall der Beleg, dass Sie Ihrer Pflicht nachgekommen sind.

Häufige Missverständnisse

"Wir nutzen nur harmlose KI, also brauchen wir keine Kompetenz" — falsch: Art. 4 ist risikoklassenunabhängig. "Eine einmalige Schulung reicht" — riskant: KI-Systeme und Risiken ändern sich, Kompetenz muss gepflegt werden. "Das betrifft nur die IT" — falsch: Es betrifft alle, die mit KI arbeiten. "Es gibt keine Strafe" — die Aufsicht kann Verstöße im Rahmen der Durchsetzung aufgreifen, und fehlende Kompetenz erhöht die Haftung bei Folgeschäden.

Ihr pragmatischer Einstieg

Beginnen Sie mit einer kurzen Bestandsaufnahme (welche KI, wer nutzt sie?), erstellen Sie eine knappe Nutzungsrichtlinie, rollen Sie ein rollenspezifisches Basismodul aus und dokumentieren Sie die Teilnahme mit einem nachweisbaren Zertifikat. Damit erfüllen Sie die bereits geltende Pflicht belegbar — und schaffen zugleich die Grundlage für den sicheren KI-Einsatz im ganzen Unternehmen.