KI-Kompetenz nach Art. 4 AI Act: Maßnahmen und Nachweis nach der Änderung 2026

Kurzfassung

Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025 für alle Anbieter und Betreiber von KI-Systemen, auch für ein Unternehmen, dessen Leute mit ChatGPT Werbetexte schreiben [7][8]. Seit der Änderung im Juli 2026 verlangt er Maßnahmen, die die Entwicklung der KI-Kompetenz „unterstützen“, und er stellt klar, dass niemand ein bestimmtes Niveau garantieren muss [2]. Ein Zertifikat, einen KI-Beauftragten oder ein festes Schulungsformat schreibt Artikel 4 nach Auskunft der Bundesnetzagentur nicht vor, und auch die Kommission verlangt weder ein Zertifikat noch eine bestimmte Governance-Struktur [8][133]. Beide raten, nach Rolle, System und Risiko vorzugehen, und die Bundesnetzagentur empfiehlt, die Maßnahmen zu dokumentieren [8][133]. Am Ende findest du eine Rollen-Matrix und eine kurze Vorlage für diese Dokumentation.

Hinweis: Dieser Beitrag ist ausdrücklich keine Rechtsberatung. Er beschreibt, was in den Rechtstexten steht, Stand 31.10.2026. Ob und wie eine Pflicht für dein Unternehmen gilt, klärst du mit einer Anwältin oder einem Anwalt.

70 Prozent schulen, zwei Drittel sehen trotzdem Lücken

70 Prozent der Unternehmen in Deutschland schulen ihre Beschäftigten inzwischen im Umgang mit KI: 11 Prozent alle, 22 Prozent einen Großteil, 37 Prozent ausgewählte Beschäftigte [126]. Ein Viertel bietet keinerlei Schulungen an, im Vorjahr waren es noch 43 Prozent [126]. Bitkom Research hat dafür im Sommer 2026 603 Unternehmen ab 20 Beschäftigten telefonisch befragt [126][139]. In derselben Umfrage schätzen 66 Prozent der Unternehmen die KI-Kompetenz ihrer Beschäftigten als gering ein, 28 Prozent als hoch [126][139].

Es wird also geschult, und trotzdem fehlt das Zutrauen. Die amtliche Statistik zeigt ein ähnliches Bild. Von den Unternehmen in Deutschland, die 2025 über KI nachgedacht, sie aber nicht eingesetzt haben, nannten 72 Prozent fehlendes einschlägiges Fachwissen als Grund, im EU-Schnitt 70 Prozent [128]. Eine eigene Zahl zu KI-Schulungen erhebt Eurostat nicht. Die nächste Größe sind Schulungen in IKT-Kenntnissen: 2024 boten 26 Prozent der Unternehmen in Deutschland mit mindestens zehn Beschäftigten und tätigen Inhabern ihrem Personal solche Schulungen an, im EU-Schnitt 22 Prozent [137][138]. Beide Eurostat-Werte erfassen Unternehmen der NACE-Abschnitte C bis N ohne den Finanzsektor (Abschnitt K) und dazu die Reparatur von Computern und Kommunikationsgeräten (Gruppe 95.1) [128][137][138]. Nicht erfasst sind damit unter anderem neben Finanz- und Versicherungsdienstleistungen auch Landwirtschaft, Bergbau, öffentliche Verwaltung, Erziehung sowie Gesundheits- und Sozialwesen [138]. IKT-Kenntnisse sind nicht dasselbe wie KI-Kompetenz, und mit der Bitkom-Zahl lässt sich die Eurostat-Zahl nicht vergleichen, weil Frage, Stichprobe und Jahr verschieden sind.

Was Artikel 4 im Alltag bedeutet, zeigt eine Frage aus dem Fragenkatalog der Kommission: Muss eine Firma, deren Beschäftigte ChatGPT für Werbetexte oder Übersetzungen nutzen, Artikel 4 beachten? Die Antwort lautet ja. Die Leute sollen über die konkreten Risiken informiert werden, zum Beispiel über Halluzinationen [8]. Artikel 4 kann damit fast jedes Team betreffen, das KI-Werkzeuge nutzt, nicht erst die Hochrisiko-Systeme großer Konzerne.

Artikel 4 vorher und nachher

In der ursprünglichen Fassung von 2024 sollten Anbieter und Betreiber Maßnahmen ergreifen, „um nach besten Kräften sicherzustellen“, dass ihr Personal und weitere Personen in ihrem Auftrag „über ein ausreichendes Maß an KI-Kompetenz verfügen“ [1].

Die Verordnung (EU) 2026/1744 hat Artikel 4 neu gefasst. Absatz 1 lautet jetzt: „Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“ [2]. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Aus- und Fortbildung, der Kontext des Einsatzes und die Personen, bei denen die Systeme eingesetzt werden [2]. Dann folgt ein neuer Satz: „Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“ [2]

Neu sind auch die Absätze 2 und 3. Kommission und Mitgliedstaaten unterstützen die Anbieter und Betreiber, „insbesondere“ KMU, und die Kommission veröffentlicht praktische Beispiele auf einer zentralen Informationsplattform [2]. Das KI-Gremium nimmt Empfehlungen an, die Kommission und Mitgliedstaaten bei der Förderung der KI-Kompetenz unterstützen, unter anderem durch gemeinsame Ziele [2].

Falls du selbst nachliest: Im Erwägungsgrund 8 der Änderungsverordnung steht das Verb „fördern“, im Artikel selbst „unterstützen“ [2]. Wer die neue Pflicht zitiert, nimmt den Wortlaut des Artikels.

Gleich geblieben ist die Definition in Art. 3 Nr. 56. KI-Kompetenz sind die Fähigkeiten, Kenntnisse und das Verständnis, um „KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden“ [1][7].

Artikel 4 steht in Kapitel I, und Kapitel I gilt seit dem 2. Februar 2025 [7]. Die Änderungsverordnung hat Art. 113 Abs. 3 Buchst. a neu gefasst und dabei den 2. Februar 2025 für die Kapitel I und II beibehalten [2]. Veröffentlicht wurde sie im Amtsblatt vom 24. Juli 2026, in Kraft trat sie am dritten Tag nach der Veröffentlichung, also am 27. Juli 2026 [2]. Ein eigenes Geltungsdatum nur für den neuen Artikel 4 nennt sie nicht [2]. Unsere Lesart ist deshalb: Seit dem 27. Juli 2026 gilt der neue Wortlaut. Für die Zeit davor galt die alte Fassung.

Was „unterstützen“ und „kein bestimmtes Niveau“ im Alltag heißen

Die Pflicht bleibt bestehen. Laut Kommission ist KI-Kompetenz weiterhin eine Pflicht für Anbieter und Betreiber, nur ein bestimmtes oder „ausreichendes“ Niveau ist nicht mehr vorgegeben [8]. Das Wissen deiner Leute zu messen, verlangt Artikel 4 nach Auskunft der Kommission nicht [8].

Ein Rundschreiben mit dem Link zur Gebrauchsanweisung reicht trotzdem kaum. Die Kommission schreibt, es könne in vielen Fällen unwirksam sein, sich nur auf die Betriebsanleitung des KI-Systems zu verlassen oder das Personal zu bitten, sie zu lesen [8]. Die Bundesnetzagentur listet auf, was für Artikel 4 nicht vorgeschrieben ist: „garantierte KI-Kompetenzniveaus bei einzelnen Personen“, „formalisierte oder standardisierte Trainingsmaßnahmen“, „(externe) Zertifizierungen der durchgeführten Maßnahmen“ und „die Einführung eines KI-Beauftragten“ [133].

Unsere Lesart: Du schuldest keine Prüfungsergebnisse. Du schuldest Maßnahmen, die zu deinen Systemen und deinen Leuten passen, und du solltest erklären können, warum du sie so gewählt hast. Die Bundesnetzagentur sagt es knapp: „Diese Entscheidung soll plausibel und nachvollziehbar sein.“ [133]

Zum Kreis gehören auch Leute, die nicht bei dir angestellt sind. Artikel 4 nennt auch andere Personen, die in deinem Auftrag mit KI-Systemen arbeiten [2]. Die Kommission nennt als Beispiele Auftragnehmer, Dienstleister und Kunden [8]. Wer für dich als Dienstleister arbeitet, braucht nach ihrer Auskunft die KI-Fähigkeiten, die seine Aufgabe verlangt, genau wie deine eigenen Beschäftigten [8].

Für Hochrisiko-Systeme gilt mehr, bei Systemen nach Anhang III ab dem 2. Dezember 2027 [7]. Wer solche Systeme betreibt, muss dann die menschliche Aufsicht Personen übertragen, „die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen“ (Art. 26 Abs. 2) [7]. Die Kommission betont, dass diese Pflicht nach der Änderung bestehen bleibt [8]. Ab wann die Hochrisiko-Pflichten gelten, steht im Beitrag zu den Fristen nach der Änderung des AI Act.

Nach Rollen planen, nicht mit der Gießkanne

Eine Pflichtschulung für alle, einmal im Jahr, mit denselben Folien: Das ist bequem zu organisieren, passt aber selten zu dem, was Artikel 4 beschreibt. Der Artikel knüpft an Kenntnisse, Erfahrung und Einsatzkontext an [2]. Die Kommission schlägt vier Schritte vor [8]:

1. Ein allgemeines Verständnis von KI im Unternehmen schaffen: Was ist KI, welche KI nutzen wir, welche Chancen und Gefahren gibt es?
2. Die eigene Rolle klären: Entwickelt das Unternehmen KI-Systeme, oder nutzt es Systeme anderer?
3. Das Risiko der Systeme betrachten: Was müssen die Leute über das jeweilige System und seine Risiken wissen?
4. Die Maßnahmen auf dieser Analyse aufbauen, abgestimmt auf Vorwissen und Einsatzkontext.

Unterschiedliche Stufen sind ausdrücklich möglich. Die Kommission hält verschiedene Schulungsstufen oder Lernwege für angemessen, wenn sich Systeme und Vorwissen unterscheiden [8]. Die Bundesnetzagentur schreibt, es gebe schlicht keine „one-size-fits-all“ Lösung [133]. Die Behörde empfiehlt drei Grundsteine: Bedarf ermitteln, Maßnahmen gestalten, dann dokumentieren, evaluieren und auffrischen [133].

Der erste Grundstein ist eine Bestandsaufnahme. Die Bundesnetzagentur formuliert dafür vier Fragen: Welche Personen entwickeln, betreiben oder nutzen KI-Systeme? Welche Systeme sind das? Zu welchem Zweck? Welche Risiken und Chancen hängen daran [133]? Wenn du das für dein Team aufschreibst, hast du die Hälfte der Rollen-Matrix weiter unten schon gefüllt.

Auch Fachleute gehören in die Liste. Wer KI entwickelt hat oder darin ausgebildet ist, gilt laut Kommission normalerweise als kompetent. Es hängt aber vom Werkzeug und der Qualifikation ab, und rechtliche und ethische Fragen können trotzdem fehlen [8].

Zur Rolle des Unternehmens: Betreiber ist nach Art. 3 Nr. 4, wer ein KI-System „in eigener Verantwortung verwendet“, außer bei rein privater Nutzung [7]. Anbieter ist nach Art. 3 Nr. 3, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt oder in Betrieb nimmt, entgeltlich oder unentgeltlich [7]. Ob ein selbst gebautes internes Werkzeug dich zum Anbieter macht, ist eine Rechtsfrage. Die klärst du mit einer Anwältin oder einem Anwalt.

Wie breit KI-Kompetenz über die Pflicht hinaus wirken kann, beschreibt der Beitrag Kein KI-Team? Warum AI-Literacy für alle besser ist. Wenn in deinem Team schon KI-Agenten arbeiten, findest du Hinweise zu Rechten und Freigaben im Beitrag zu KI-Agenten im Betrieb.

Was Kommission und Bundesnetzagentur bereitstellen

Die Kommission führt einen Fragenkatalog zu Artikel 4, zuletzt aktualisiert am 20. Oktober 2026 [8]. Daneben gibt es ein Living Repository, eine Sammlung mit Beispielen aus Unternehmen und Organisationen [131][132]. Die Kommission will daraus die praktischen Beispiele nach Art. 4 Abs. 2 ableiten. Wer die gesammelten Praktiken nachmacht, erhält dadurch aber nicht automatisch die Vermutung, Artikel 4 zu erfüllen [131].

Die Bundesnetzagentur hat eine Seite zur KI-Kompetenz, die bereits den geänderten Artikel 4 wiedergibt [133]. Dort schlägt die Behörde Inhalte in Stufen vor und verweist auf kostenlose Angebote [133]. Das Hinweispapier der Bundesnetzagentur vom Juni 2025 beruht noch auf der alten Fassung und spricht von der „Sicherstellung von KI-Kompetenz“ [135]. Achte beim Lesen solcher Papiere auf das Datum.

Wenn du für dein Unternehmen eine KI-Richtlinie aufsetzen willst, hilft das KI-Governance-Toolkit hier auf der Seite beim ersten Entwurf.

Wer zuständig ist und was die Texte zu Verstößen sagen

In Deutschland ist nach dem KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, „soweit in diesem Gesetz nichts anderes bestimmt ist“ (§ 2 Abs. 1 KI-MIG) [13]. Laut Kommission liegt die Aufsicht über Artikel 4 bei den nationalen Behörden, nicht beim KI-Büro der EU, und beginnt am 2. August 2026 [8].

Zu Sanktionen stehen die Texte nebeneinander, ohne dass wir sie bewerten:

• Art. 99 Abs. 1 verpflichtet die Mitgliedstaaten, Vorschriften für Sanktionen und andere Durchsetzungsmaßnahmen zu erlassen, die „bei jeglichem Verstoß gegen diese Verordnung durch Akteure Anwendung finden“ [2]. In der alten Fassung hieß es „bei Verstößen gegen diese Verordnung durch Akteure“ [1]. Neu sind in diesem Satz das Wort „jeglichem“ und die ausdrückliche Nennung von Geldbußen [1][2].
• Die Liste in Art. 99 Abs. 4 nennt unter anderem Art. 16, 26 und 50, Art. 4 nennt sie nicht [7].
• § 15 KI-MIG verweist auf Pflichten aus Art. 21, 27, 45 und 86 der KI-Verordnung, Art. 4 kommt darin nicht vor [13].
• § 16 KI-MIG erklärt für Verstöße nach Art. 99 Abs. 3 bis 5 der KI-Verordnung das Gesetz über Ordnungswidrigkeiten für entsprechend anwendbar, § 17 KI-MIG bestimmt die für die Bußgeldverfahren zuständigen Behörden. Art. 4 kommt in beiden nicht vor [13].
• Die Kommission schreibt, nationale Behörden könnten Verstöße gegen Artikel 4 auf Grundlage nationaler Gesetze ahnden, und jede Sanktion müsse verhältnismäßig sein [8].
• Die Bundesnetzagentur schreibt: „Ein Mangel an KI-Kompetenz kann als Verletzung der Sorgfaltspflicht angesehen werden, insbesondere wenn dadurch ein Schaden entsteht.“ [133]

Was daraus für dein Unternehmen folgt, beurteilt eine Anwältin oder ein Anwalt.

Wer im Unternehmen zuständig ist, lässt Artikel 4 offen. Er richtet sich an Anbieter und Betreiber, also an das Unternehmen [2]. Eine bestimmte Governance-Struktur schreibt er laut Kommission nicht vor [8]. Die Bundesnetzagentur empfiehlt, „Ziele und Verantwortlichkeiten“ festzulegen [133]. Unsere Lesart: Die Geschäftsführung legt Rahmen und Zuständigkeit fest. Die Teamleitungen kennen die Systeme und Aufgaben ihrer Leute und liefern die Einträge für Matrix und Nachweis.

Arbeitshilfe: Rollen-Matrix

Die Matrix ist ein Beispiel. Ersetze die Zeilen durch die Rollen und Systeme in deinem Unternehmen. Die Spalte Risiko beschreibt, was im Alltag schiefgehen kann. Ob ein System rechtlich als Hochrisiko gilt, lässt du prüfen.

Arbeitshilfe: Vorlage für den Nachweis

Die Kommission hält ein Zertifikat nicht für nötig, eine interne Aufzeichnung der Schulungen und anderer Maßnahmen reicht ihr [8]. Die Bundesnetzagentur nennt als Inhalt der Dokumentation „die Art der Maßnahmen, den inhaltlichen und zeitlichen Umfang, die teilnehmenden Personen“ und empfiehlt regelmäßige Evaluation und Auffrischung [133]. Daraus ergibt sich eine Vorlage mit wenigen Feldern, eine Zeile je Maßnahme:

• Maßnahme: Art und Format, zum Beispiel Workshop, Selbstlernkurs, Einweisung am Arbeitsplatz
• Rolle oder Team: für wen die Maßnahme gedacht ist
• KI-Systeme: um welche Werkzeuge es geht
• Inhalt: Stichworte zu den Themen
• Zeitraum und Umfang: Datum und Dauer
• Teilnehmende: Namen oder Liste im Anhang
• Begründung: warum diese Maßnahme für diese Rolle passt
• Wirkung geprüft: wann und wie, zum Beispiel Rückfrage im Team oder Stichprobe
• Nächste Auffrischung: Termin oder Anlass, etwa ein neues System
• Verantwortlich: wer die Zeile pflegt

Eine Tabelle in eurem gemeinsamen Laufwerk genügt dafür. Wichtiger als das Format ist, dass sie aktuell bleibt, wenn neue Systeme oder neue Leute dazukommen.

Quellen

1. Europäisches Parlament und Rat; veröffentlicht vom Amt für Veröffentlichungen der EU: Verordnung (EU) 2024/1689 vom 13. Juni 2024 (KI-Verordnung), ABl. L, 12.7.2024, Originalfassung, abgerufen am 25.10.2026
2. Europäisches Parlament und Rat; veröffentlicht vom Amt für Veröffentlichungen der EU: Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), ABl. L, 24.7.2026, abgerufen am 25.10.2026
7. Amt für Veröffentlichungen der EU (EUR-Lex): Verordnung (EU) 2024/1689, konsolidierte Fassung (Stand 27.07.2026), CELEX 02024R1689-20260727, abgerufen am 25.10.2026
8. Europäische Kommission, Shaping Europe’s digital future: AI Literacy: Questions & Answers, abgerufen am 25.10.2026
13. Bundesgesetzblatt (recht.bund.de): Gesetz zur Durchführung der Verordnung über künstliche Intelligenz, BGBl. 2026 I Nr. 223, abgerufen am 25.10.2026
126. Bitkom e. V.: Erstmals nutzt Mehrheit der Unternehmen KI (57 Prozent setzen Künstliche Intelligenz ein), abgerufen am 26.10.2026
128. Eurostat: Datensatz isoc_eb_ai: Artificial intelligence by size class of enterprise, abgerufen am 26.10.2026
131. Europäische Kommission, Shaping Europe's digital future (DG CNECT): Living repository to foster learning and exchange on AI literacy, abgerufen am 30.10.2026
132. Europäische Kommission, Shaping Europe's digital future: AI literacy practices (Datenbank der Praxisbeispiele), abgerufen am 30.10.2026
133. Bundesnetzagentur: KI-Kompetenz (KI-Service-Desk der Bundesnetzagentur), abgerufen am 30.10.2026
135. Bundesnetzagentur: Hinweispapier KI-Kompetenzen nach Artikel 4 KI-Verordnung, abgerufen am 30.10.2026
137. Eurostat: Enterprises that provided training to develop/upgrade ICT skills of their personnel by size class of enterprise (isoc_ske_itts), abgerufen am 30.10.2026
138. Eurostat: ICT usage in enterprises (isoc_e), Reference Metadata (ESMS), abgerufen am 30.10.2026
139. Bitkom e.V. / Bitkom Research: KI in der deutschen Wirtschaft: Status quo und Ausblick (2026), Präsentation, abgerufen am 30.10.2026