Art. 4 EU AI Act: Was die KI-Kompetenz-Pflicht wirklich verlangt

Wen die Pflicht trifft

Artikel 4 richtet sich an Anbieter und Betreiber von KI-Systemen. Betreiber ist bereits, wer ein KI-System unter eigener Verantwortung im beruflichen Kontext einsetzt. Damit fällt praktisch jedes Unternehmen darunter, in dem Mitarbeitende ChatGPT, Microsoft Copilot, DeepL oder ein KI-gestütztes Bewerbermanagement nutzen.

Es gibt keine Ausnahme für kleine Unternehmen. Anders als bei der Pflicht zum Datenschutzbeauftragten existiert keine Schwelle bei der Beschäftigtenzahl. Auch ein Betrieb mit drei Personen ist betroffen, sobald KI betrieblich genutzt wird.

Was „ausreichende KI-Kompetenz" bedeutet

Die Verordnung definiert KI-Kompetenz als die Fähigkeiten, Kenntnisse und das Verständnis, die einen sachkundigen Einsatz von KI-Systemen sowie die Wahrnehmung der Chancen und Risiken ermöglichen. Übersetzt in die Praxis:

• Funktionsweise im Grundsatz verstehen, dass ein Sprachmodell Wahrscheinlichkeiten fortschreibt und nicht in einer Datenbank nachschlägt
• Grenzen kennen, insbesondere Halluzinationen, veraltete Trainingsdaten und Verzerrungen
• Rechtliche Rahmenbedingungen kennen, welche Daten eingegeben werden dürfen und welche nicht
• Ergebnisse einordnen können, wann eine Ausgabe geprüft werden muss, bevor sie verwendet wird
• Den eigenen Anwendungsfall einschätzen, welche Risiken im konkreten Einsatz entstehen

Der Umfang darf sich am Kontext orientieren: Wer KI nur für Textentwürfe nutzt, braucht weniger Tiefe als wer ein System zur Bewerbervorauswahl betreut.

Was die Verordnung nicht verlangt

Verbreitete Annahme	Tatsächlich
Es braucht eine Zertifizierung	Nein. Kein Zertifikat vorgeschrieben
Es braucht einen bestimmten Anbieter	Nein. Auch interne Schulungen sind zulässig
Es braucht eine Prüfung	Nein. Nachweisbarkeit genügt
Es gilt eine Mindeststundenzahl	Nein. Angemessenheit entscheidet
Es betrifft nur die IT-Abteilung	Nein. Alle, die KI einsetzen

Die Pflicht ist damit deutlich niedrigschwelliger, als sie in vielen Beratungsangeboten dargestellt wird. Sie ist zugleich diejenige Pflicht des EU AI Act, die sich am schnellsten erfüllen lässt.

Wie der Nachweis aussieht

Es gibt keine Meldepflicht gegenüber einer Behörde. Der Nachweis wird erst relevant, wenn geprüft wird, etwa nach einem Vorfall. Sinnvoll dokumentiert sind:

1. Inhaltsübersicht der Schulung, aus der die abgedeckten Themen hervorgehen
2. Teilnahmeliste mit Datum und Namen
3. KI-Richtlinie des Unternehmens, die den Rahmen für den Einsatz absteckt
4. Auffrischungsintervall, üblicherweise jährlich oder bei wesentlichen Änderungen

Diese vier Dokumente reichen für den Regelfall. Wer darüber hinaus Wissenstests oder externe Zertifikate einsetzt, tut das freiwillig.

Zusammenhang mit den übrigen Pflichten

Art. 4 steht zeitlich am Anfang, weil er ohne Übergangsfrist gilt. Er ist aber auch inhaltlich der sinnvolle Einstieg: Eine Schulung zwingt dazu, sich einen Überblick über die tatsächlich eingesetzten KI-Systeme zu verschaffen und genau dieses Inventar ist die Grundlage für alle weiteren Schritte, insbesondere die Risikoklassifizierung.

In der Praxis stellt sich dabei fast immer heraus, dass mehr KI im Einsatz ist als der Geschäftsführung bekannt war. Der Fachbegriff dafür ist Schatten-KI: Werkzeuge, die Mitarbeitende ohne Freigabe nutzen, meist über private Konten. Das ist datenschutzrechtlich kritisch und macht die Erfüllung der KI-Act-Pflichten unmöglich, solange es unbekannt bleibt.

Empfohlenes Vorgehen

1. Bestandsaufnahme ohne Sanktionsandrohung, nur so werden auch inoffiziell genutzte Werkzeuge genannt
2. Schulung für alle Personen, die KI einsetzen, gestaffelt nach Rolle
3. KI-Richtlinie verabschieden: welche Werkzeuge sind freigegeben, welche Daten dürfen eingegeben werden
4. Dokumentation ablegen und Wiedervorlage für die Auffrischung setzen

Der Aufwand für Schritt 1 bis 3 liegt bei einem mittelständischen Unternehmen typischerweise bei wenigen Tagen, deutlich weniger, als die verbreitete Aufregung um den EU AI Act vermuten lässt.