Artikel 4 EU-KI-VO: Die KI-Kompetenz-Pflicht im Überblick

Artikel 4 der Verordnung (EU) 2024/1689, der sogenannten KI-Verordnung, trägt die amtliche Überschrift "KI-Kompetenz". Der Wortlaut verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz ihres Personals und anderer Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind.

Die Vorschrift formuliert dabei keinen starren Katalog, sondern einen Maßstab. Sie verlangt, dass die jeweiligen technischen Kenntnisse, die Erfahrung, die Ausbildung und Schulung sowie der Kontext, in dem die KI-Systeme eingesetzt werden, berücksichtigt werden. Ebenso ist die Personengruppe einzubeziehen, bei der die Systeme zur Anwendung kommen. Artikel 4 ist damit eine prinzipienbasierte Pflicht, die auf das konkrete Risiko und den konkreten Einsatzzweck zugeschnitten wird.

Wer die Bedeutung der Norm verstehen will, sollte Erwägungsgrund 20 der KI-Verordnung heranziehen. Dort wird KI-Kompetenz als die Fähigkeit beschrieben, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden bewusst zu sein. Artikel 4 ist somit kein bürokratischer Selbstzweck, sondern soll einen verantwortungsvollen und informierten Umgang mit KI in der gesamten Organisation verankern.

Artikel 4 richtet sich an zwei Rollen, die die KI-Verordnung klar definiert. Anbieter sind natürliche oder juristische Personen, die ein KI-System entwickeln oder entwickeln lassen und es unter eigenem Namen oder eigener Marke in Verkehr bringen oder in Betrieb nehmen. Betreiber hingegen sind alle, die ein KI-System in eigener Verantwortung verwenden, sofern dies nicht im Rahmen einer rein persönlichen, nicht beruflichen Tätigkeit geschieht.

In der Praxis bedeutet das: Nahezu jedes Unternehmen, das ChatGPT, Microsoft Copilot, DeepL, ein KI-gestütztes CRM oder eine Bewerbermanagement-Software einsetzt, ist Betreiber im Sinne der Verordnung und damit unmittelbar von Artikel 4 erfasst. Die Pflicht knüpft an die berufliche Nutzung an, nicht an die Unternehmensgröße. Auch Einzelunternehmen, Kleinbetriebe und Vereine fallen darunter, sobald sie KI-Systeme im beruflichen Kontext einsetzen.

Entscheidend ist, dass die Kompetenzpflicht nicht nur die unmittelbar Beschäftigten umfasst. Artikel 4 erstreckt sich ausdrücklich auch auf andere Personen, die im Auftrag des Unternehmens mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Dazu zählen etwa freie Mitarbeitende, Leiharbeitskräfte oder externe Dienstleister, die auf Weisung des Betreibers handeln.

Die Verordnung definiert kein einheitliches Mindestniveau, sondern verlangt ein ausreichendes Maß an Kompetenz im jeweiligen Kontext. Eine Person im Marketing, die generative KI für Textentwürfe nutzt, benötigt ein anderes Wissen als eine Fachkraft, die ein Hochrisiko-KI-System in der Personalauswahl betreibt. Der Maßstab steigt mit dem Risiko und der Tragweite der Entscheidungen, die durch das KI-System unterstützt werden.

Inhaltlich umfasst ausreichende KI-Kompetenz ein Grundverständnis der Funktionsweise von KI-Systemen, das Bewusstsein für typische Risiken wie fehlerhafte Ausgaben, Verzerrungen oder sogenannte Halluzinationen sowie Kenntnis der rechtlichen Rahmenbedingungen, insbesondere im Datenschutz und im Urheberrecht. Hinzu kommen praktische Fertigkeiten im verantwortungsvollen Umgang, etwa das kritische Prüfen von Ergebnissen und das Erkennen von Grenzen der Technologie.

Wichtig ist die Erkenntnis, dass Kompetenz nachweisbar sein muss. Eine bloße mündliche Unterweisung ohne Dokumentation genügt im Streitfall nicht. Unternehmen sollten deshalb ein abgestuftes Schulungskonzept etablieren, das den jeweiligen Rollen, Vorkenntnissen und Einsatzbereichen Rechnung trägt und den erreichten Wissensstand dokumentiert.

Die KI-Verordnung ist am 1. August 2024 in Kraft getreten, ihre Vorschriften gelten jedoch gestaffelt. Artikel 4 zur KI-Kompetenz ist gemeinsam mit Kapitel I und II seit dem 2. Februar 2025 anwendbar. Damit besteht die Pflicht zur Sicherstellung ausreichender KI-Kompetenz bereits seit diesem Datum und ist nicht erst zukünftig zu erfüllen.

Unternehmen sollten beachten, dass weitere Anwendungsdaten der Verordnung folgen. Die Vorschriften zu KI-Systemen mit allgemeinem Verwendungszweck greifen seit dem 2. August 2025, der überwiegende Teil der übrigen Bestimmungen wird ab dem 2. August 2026 anwendbar. Die Kompetenzpflicht aus Artikel 4 ist jedoch unter den ersten Pflichten, die scharf gestellt wurden, und duldet keinen Aufschub.

Da Artikel 4 bereits gilt, ist eine zeitnahe Umsetzung dringend geboten. Eine fehlende oder unzureichende Schulung lässt sich nicht mit Verweis auf spätere Anwendungsfristen rechtfertigen. Wer KI bereits einsetzt, muss die Kompetenz seiner Belegschaft jetzt sicherstellen und dokumentieren.

Artikel 4 selbst enthält keinen eigenen Bußgeldtatbestand. Die Sanktionen der KI-Verordnung sind in Artikel 99 geregelt und sehen ein gestaffeltes System vor. Die höchsten Bußgelder von bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes betreffen Verstöße gegen das Verbot bestimmter KI-Praktiken nach Artikel 5. Verstöße gegen sonstige Pflichten können mit bis zu 15 Mio. Euro oder 3 Prozent des Jahresumsatzes geahndet werden.

Die fehlende KI-Kompetenz entfaltet ihre Sanktionswirkung vor allem mittelbar. Wer seine Belegschaft nicht ausreichend schult, riskiert in der Folge weitere, unmittelbar bußgeldbewehrte Verstöße, etwa gegen Transparenzpflichten oder gegen Vorgaben für Hochrisiko-KI-Systeme. Eine unzureichende Kompetenz kann zudem im Rahmen der Bemessung eines Bußgeldes als erschwerender Umstand gewertet werden.

Hinzu kommt die haftungsrechtliche Dimension. Geschäftsführung und Vorstand tragen die Organisationsverantwortung. Kommt es zu einem KI-bedingten Schaden, weil Beschäftigte nicht geschult waren, drohen neben aufsichtsrechtlichen Maßnahmen auch zivilrechtliche Ansprüche und persönliche Haftungsrisiken der Leitungsebene.

Die praktische Umsetzung von Artikel 4 beginnt mit einer Bestandsaufnahme. Unternehmen sollten zunächst erfassen, welche KI-Systeme tatsächlich genutzt werden, in welchen Abteilungen und durch welche Personen. Auf dieser Grundlage lassen sich Rollen und Risikoklassen bilden, an denen sich Tiefe und Umfang der Schulung orientieren.

Im nächsten Schritt ist ein Schulungskonzept zu entwickeln, das Grundlagenwissen für alle Nutzenden vermittelt und für besonders exponierte Rollen vertiefende Module vorsieht. Die Schulung sollte rechtliche Grundlagen, Datenschutz, den Umgang mit Verzerrungen und Fehlern sowie praktische Anwendungsregeln abdecken. Eine wiederkehrende Auffrischung trägt der raschen technologischen Entwicklung Rechnung.

Entscheidend ist die lückenlose Dokumentation. Unternehmen sollten festhalten, wer wann welche Schulung absolviert hat, und den Wissensstand durch eine Lernerfolgskontrolle belegen. Ein personalisiertes Zertifikat und ein zentrales Schulungsregister machen die Kompetenz gegenüber Aufsichtsbehörden, Auftraggebern und im Streitfall nachweisbar.