KI-Kompetenz nach Artikel 4 KI-Verordnung: Was jetzt gilt

Auf einen Blick

• KI-Kompetenz ist eine verbindliche Pflicht nach Artikel 4 der KI-Verordnung. Sie trifft jeden Anbieter und jeden Betreiber, unabhängig von der Risikostufe, und gilt seit dem 2. Februar 2025.
• Das Digital-Omnibus-Paket hat Artikel 4 mit Wirkung zum 27. Juli 2026 neu gefasst. Geschuldet sind nunmehr Maßnahmen zur Förderung der KI-Kompetenz, nicht die Gewährleistung eines bestimmten Niveaus bei einer einzelnen Person.
• Die nationalen Marktüberwachungsbehörden beaufsichtigen und vollziehen Artikel 4 seit dem 2. August 2026. Das KI-Büro ist dafür nicht zuständig.
• Die Kommission verlangt weder Zertifikate noch eine Prüfung des Wissensstands der Beschäftigten. Erwartet wird jedoch eine interne Dokumentation der ergriffenen Maßnahmen.
• Das eigentliche Risiko liegt nicht in einer ungeschulten Belegschaft, sondern in einer geschulten Belegschaft, deren Schulung sich nicht belegen lässt.

Was die KI-Verordnung unter KI-Kompetenz versteht

Der überwiegende Teil dessen, was zu diesem Thema veröffentlicht wird, beschreibt eine persönliche Fähigkeit: zu wissen, was ein Modell ist, brauchbare Eingaben zu formulieren, eine Halluzination zu erkennen. Die KI-Verordnung meint etwas Engeres und Folgenreicheres.

Artikel 3 Nummer 56 der Verordnung (EU) 2024/1689 definiert KI-Kompetenz als die „Fähigkeiten, Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen ermöglichen, unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden bewusst zu werden“.

Daraus folgt dreierlei. Maßstab ist der sachkundige Einsatz, nicht die Bedienkompetenz: Wer ein Sprachmodell souverän bedient, kann im Sinne der Verordnung dennoch inkompetent sein, wenn er nicht erklären kann, was das System bei den Menschen bewirkt, auf die es angewandt wird. Die Definition ist ausdrücklich auf die „jeweiligen Rechte und Pflichten“ bezogen, weshalb die KI-Kompetenz einer Einkaufsleitung eine andere ist als die einer Data-Science-Funktion. Und sie erfasst Betroffene, nicht nur die bedienenden Personen.

Deshalb gehört KI-Kompetenz näher an das Compliance-Programm als an die Personalentwicklung. Sie zählt zu den Grundpflichten, die unser Leitfaden zur KI-Verordnung beschreibt, und knüpft an die Organisation an, nicht an ein einzelnes System.

Artikel 4 wurde im Juli 2026 geändert

Die seit dem 2. Februar 2025 geltende Fassung verpflichtete Anbieter und Betreiber, „nach besten Kräften ein ausreichendes Maß an KI-Kompetenz“ ihres Personals sicherzustellen. Diese Formulierung hat zwei Jahre lang Streit darüber ausgelöst, was „ausreichend“ bedeutet und wie sich das belegen ließe.

Das Digital-Omnibus-Paket hat den Streit beendet, indem es das Wort gestrichen hat. Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Artikel 4 verlangt nunmehr, „Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz zu unterstützen“, und stellt klar, dass die Pflicht „von Anbietern oder Betreibern nicht verlangt, ein bestimmtes Maß an KI-Kompetenz einer einzelnen Person zu gewährleisten“.

Genau gelesen handelt es sich um eine Änderung der Rechtsnatur, nicht um eine Aufhebung. Artikel 4 wandelt sich von einer Erfolgspflicht zu einer Bemühenspflicht. Sie haften nicht mehr dafür, wie kompetent eine bestimmte beschäftigte Person am Ende ist, sondern für die Maßnahmen, die Sie ergriffen haben. Die inhaltliche Hürde sinkt, die dokumentarische steigt, denn Bemühen wird nur sichtbar, wenn es Spuren hinterlässt.

Was unverändert bleibt

Der Anwendungsbereich hat sich nicht verschoben. Artikel 4 bindet weiterhin Anbieter wie Betreiber und bleibt gegenüber der Risikostufe gleichgültig: Er gilt für einen Spamfilter ebenso wie für ein System nach Anhang III. Nichts in der Neufassung verengt den Adressatenkreis oder entlastet kleinere Organisationen. Artikel 4 Absatz 2 verpflichtet Kommission und Mitgliedstaaten weiterhin zur Unterstützung, mit besonderem Augenmerk auf KMU, und Artikel 4 Absatz 3 überträgt dem KI-Ausschuss nach wie vor Empfehlungen unter Rückgriff auf europäische Kompetenzrahmen. Wer ein Programm zur KI-Kompetenz nach dem alten Wortlaut aufgebaut hat, hat nichts vergeudet. Geändert hat sich, was Sie verteidigen, wenn jemand nachfragt.

Wer erfasst ist, und wer als Personal gilt

Artikel 4 erfasst „ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“. Der zweite Halbsatz leistet die eigentliche Arbeit, und dort unterschätzen Organisationen regelmäßig ihren Umfang.

Die Fragen und Antworten des KI-Büros rechnen Auftragnehmer, Dienstleister und Kunden zu den „anderen Personen“. Wer in Ihrem Auftrag mit dem Betrieb oder der Nutzung eines KI-Systems befasst ist, liegt innerhalb des Perimeters, unabhängig davon, ob er auf Ihrer Gehaltsliste steht.

Das Centre for Information Policy Leadership empfiehlt in seiner Untersuchung zu Artikel 4 vom Mai 2025, den Kreis noch weiter zu ziehen: die Belegschaft sämtlicher Geschäftsbereiche einschließlich Vertrieb und Marketing, Auftragnehmer, Drittanbieter, Kunden, Nutzer und Personen, die von der Nutzung des Systems betroffen sind. Die Begründung ist praktisch, nicht juristisch. Wer das Risiko nach Artikel 4 erzeugt, sind selten die Modellentwickler. Es sind die Vertriebsperson, die eine Fähigkeit zusagt, über die das System nicht verfügt, und das Fachteam, das ein nicht erfasstes Werkzeug still weiterbetreibt.

Dieser zweite Fall verdient eine ausdrückliche Benennung, denn KI-Kompetenz und Schatten-KI beschreiben dasselbe Problem aus zwei Richtungen. Niemand kann über Systeme sachkundig urteilen, deren Einsatz die Organisation nicht eingeräumt hat.

Die Aufsicht läuft seit dem 2. August 2026

Hier steht die Tatsache, die in nahezu jeder Veröffentlichung zum Thema fehlt: Die Pflicht ist inzwischen durchsetzbar.

Die nationalen Marktüberwachungsbehörden beaufsichtigen und vollziehen Artikel 4 seit dem 2. August 2026. Das KI-Büro nimmt diese Aufgabe nicht wahr. Zuständig ist die jeweils benannte Behörde des Mitgliedstaats, weshalb Aufsichtspraxis, Kontrolldichte und Verfahren länderweise voneinander abweichen. In Deutschland wird das Zusammenspiel mit den bereits vertrauten Stellen, dem BSI für Fragen der Systemsicherheit und den Datenschutzaufsichtsbehörden für die personenbezogene Verarbeitung, maßgeblich prägen, wie sich solche Prüfungen in bestehende Abläufe einfügen.

Die Sanktionen folgen aus nationalem Recht. Nach Artikel 99 hatten die Mitgliedstaaten bis zum 2. August 2025 eigene Vorschriften über Sanktionen und sonstige Durchsetzungsmaßnahmen zu erlassen, innerhalb gestufter Obergrenzen: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes bei den meisten übrigen Betreiberpflichten und bis zu 7,5 Millionen Euro oder 1,5 % bei irreführenden Angaben gegenüber Behörden. Artikel 4 liegt in der mittleren Stufe. Sanktionen müssen verhältnismäßig sein und Art und Schwere des Verstoßes sowie dessen vorsätzlichen oder fahrlässigen Charakter berücksichtigen.

Beachten Sie die Abfolge. Die inhaltliche Hürde sank am 27. Juli 2026, die Durchsetzungsbefugnisse wurden sechs Tage später aktiviert. Wer nur die Schlagzeile des Omnibus liest, hält Artikel 4 für entschärft und liegt beim Maßstab richtig, beim Risiko falsch. Vor dem 2. August 2026 war ein schwaches Programm zur KI-Kompetenz ein Papierproblem. Seither ist es ein Gegenstand behördlicher Nachfrage, und der Verhältnismäßigkeitsmaßstab belohnt denjenigen, der ein bewusstes Vorgehen belegen kann, gegenüber demjenigen, der gar nichts vorweist. Es ist dieselbe Architektur, die unsere Übersicht zur KI-Regulierungslandschaft beschreibt: Zuerst kommen die Pflichten, dann der Aufsichtsapparat, und die Lücke dazwischen ist der Gefahrenbereich.

Was Behörden tatsächlich sehen wollen

Die Kommission hat ungewöhnlich deutlich gemacht, was Artikel 4 gerade nicht verlangt. Aus den Fragen und Antworten des KI-Büros: Ein Zertifikat ist nicht erforderlich, und Artikel 4 begründet keine Pflicht, das KI-Wissen der Beschäftigten zu messen.

Es gibt also keinen vorgeschriebenen Lehrplan, keine Akkreditierung, keine Prüfung und keine Pflicht zur Bewertung Ihrer Mitarbeitenden. Empfohlen wird stattdessen, eine interne Aufzeichnung über Schulungen und sonstige begleitende Initiativen zu führen. Ein Format ist nicht vorgegeben.

Das klingt großzügig, bis man es mit den Dokumentationspflichten für Hochrisikosysteme zusammenliest. Das CIPL formuliert es genau: Für die meisten Systeme besteht nach Artikel 4 keine ausdrückliche technische Pflicht, die Kompetenz der Belegschaft zu dokumentieren, doch Anbieter und Betreiber von Hochrisikosystemen müssen die Einhaltung bestimmter Pflichten der Verordnung dokumentieren und nachweisen, und Maßnahmen zur KI-Kompetenz können in diesen Anwendungsbereich fallen. Wer ein Hochrisikosystem betreibt, dessen Nachweise können in die technische Dokumentation nach Artikel 11 Absatz 1 und Anhang IV einfließen, wie unser Beitrag zu den Dokumentationsanforderungen der KI-Verordnung im Einzelnen darlegt.

Die vertretbare Mindestakte

Eine Bemühenspflicht verteidigt man mit Unterlagen. Sechs davon decken das Wesentliche ab:

1. Eine Rollen-Kompetenz-Matrix, die festhält, welche Funktionen welches Verständnis benötigen und warum.
2. Ein Schulungsregister, das dokumentiert, wer wann in welcher Form was erhalten hat.
3. Bestätigungen zu Richtlinien, die Beschäftigte an die Regeln zum zulässigen KI-Einsatz binden.
4. Eine gemeinsame KI-Taxonomie, damit der Begriff des KI-Systems im Einkauf, in der Rechtsabteilung und in der Entwicklung dasselbe bezeichnet.
5. Ein Verzeichnis bewerteter Anwendungsfälle, das die Taxonomie praktisch wirksam statt dekorativ macht.
6. Ein Überprüfungsrhythmus mit benannter verantwortlicher Person und Unterschrift, der belegt, dass das Programm gepflegt und nicht abgelegt wird.

Nichts davon setzt Zertifikate voraus. Alles davon übersteht eine Nachfrage.

Ein Programm aufbauen, das Nachweise erzeugt

Das CIPL benennt acht bewährte Vorgehensweisen zu Artikel 4. Als Kontrollen statt als Ratschläge formuliert, verdichten sie sich zu einem knapperen Betriebsmodell.

Beginnen Sie mit der Rückendeckung von oben. Programme zur KI-Kompetenz, die allein in der Weiterbildungsfunktion angesiedelt sind, verlieren an Fahrt; tragfähig sind jene, die sichtbar oberhalb davon verantwortet werden. Integrieren Sie anschließend, statt zu isolieren: Organisationen, die Artikel 4 unterliegen, unterliegen fast immer zugleich dem Datenschutzrecht, der Cybersicherheitsregulierung, dem Verbraucherschutz und sektoralen Vorgaben. KI-Kompetenz als eigenständiges Modul zu führen, verdoppelt den Aufwand und zersplittert die Nachweise. Ihr Platz ist innerhalb des bestehenden KI-Governance-Rahmens.

Nach Rollen abgestuft statt einheitlich

Das unternehmensweite Einheitsmodul ist die häufigste und zugleich schwächste Gestaltung. Es trifft den tatsächlichen Bedarf niemandes und erzeugt ein Register, das sehr unterschiedliche Risikolagen gleich behandelt.

Die Alternative besteht aus einer Grundlage für alle und darauf aufbauenden, zielgerichteten Bausteinen nach Funktion, Vorwissen und tatsächlicher Berührung mit dem System. Bei knappen Mitteln empfiehlt das CIPL, zuerst dort zu skalieren, wo die Wirkung am größten ist oder die Interaktion mit der Technologie am intensivsten. In der Praxis sind das meist Einkauf, Vertrieb und die Verantwortlichen kundennaher Automatisierung, deutlich vor dem Data-Science-Team, das die Risiken ohnehin kennt.

Über Schulung hinaus

Schulung allein veraltet schneller, als sich die Technologie verändert. Tragfähig sind strukturelle Mechanismen: ein KI-Gremium mit Vertretern aller Geschäftsbereiche, benannte KI-Ansprechpersonen, die beurteilen können, wann ein Sachverhalt eskaliert werden muss, ein Entscheidungsbaum, der einem Team sagt, ob sein Vorhaben die organisationseigene Definition eines KI-Systems erfüllt und welche Schritte folgen, ein Kanal zur anonymen Meldung riskanter Nutzung sowie eine Rückkopplungsschleife mit verfolgten Kennzahlen, damit sich das Programm mit Regeln und Werkzeugen fortentwickelt.

Jeder dieser Mechanismen erzeugt im Betrieb einen Nachweis als Nebenprodukt. Darin liegt der Sinn. Eine Kontrolle, die ihre Belege im Laufen erzeugt, ist mehr wert als eine, die vor einer Prüfung rekonstruiert werden muss.

Wie KI-Kompetenz auf ISO 42001 und das NIST AI RMF abbildet

Wer bereits auf ein Managementsystem hinarbeitet, hat den größten Teil der Arbeit zu Artikel 4 hinter sich.

ISO/IEC 42001:2023 verlangt in Abschnitt 7.2, die erforderliche Kompetenz der Personen zu bestimmen, deren Tätigkeit die Leistung des KI-Managementsystems beeinflusst, deren Kompetenz sicherzustellen und dokumentierte Informationen als Nachweis aufzubewahren. Abschnitt 7.3 verlangt, dass eben diese Personen die KI-Politik und ihren Beitrag dazu kennen. Das ist der Gehalt von Artikel 4, ausgedrückt als prüffähige Anforderung mit angehängter Aufbewahrungspflicht.

Das NIST AI Risk Management Framework deckt dasselbe Feld unter der Funktion GOVERN ab, insbesondere GOVERN 4 zur Risikokultur und GOVERN 5 zur Einbindung relevanter Akteure.

Der Hebel liegt darin, nicht drei Programme zu bauen. Eine einzige Rollen-Baustein-Matrix, geführt nach einem dokumentierten und von der Governance-Verantwortung unterzeichneten Überprüfungsplan, kann Artikel 4 der KI-Verordnung, Abschnitt 7.2 der ISO 42001 und GOVERN 4 des NIST aus einer gemeinsamen Prüfspur bedienen. Unsere Gegenüberstellung von NIST AI RMF, ISO 42001 und KI-Verordnung zeigt die weiteren Überschneidungen, und unsere Analyse des Normenstapels erklärt, warum eine Zertifizierung allein die Lücke nicht schließt.

Häufige Fragen

Was bedeutet KI-Kompetenz nach der Verordnung?

Artikel 3 Nummer 56 definiert sie als die Fähigkeiten, Kenntnisse und das Verständnis, die Anbietern, Betreibern und Betroffenen den sachkundigen Einsatz von KI-Systemen sowie das Bewusstsein für Chancen, Risiken und mögliche Schäden ermöglichen. Der Maßstab bemisst sich nach den jeweiligen Rechten und Pflichten und fällt daher je nach Funktion unterschiedlich aus. Das ist enger als der allgemeinsprachliche Gebrauch im Bildungsbereich, der meist eine persönliche Fertigkeit im Umgang mit KI-Werkzeugen meint.

Was ist ein konkretes Beispiel für KI-Kompetenz?

Eine Person in der Personalauswahl, die erklären kann, wonach ein automatisiertes Vorauswahlwerkzeug Bewerbungen bewertet, die weiß, dass eine Ablehnung nicht allein darauf gestützt werden darf, die ein auffälliges Ergebnis erkennt und den Eskalationsweg kennt. Beachtenswert ist, was fehlt: keine Fähigkeit, das Modell zu bauen, und kein technisches Vokabular. Sie entscheidet sachkundig über ein System, das sie technisch nicht betreibt, und genau darauf zielt die Vorschrift.

Was ist für die Erfüllung erforderlich?

Auf Organisationsebene: eine gemeinsame Definition dessen, was als KI-System gilt, ein Verzeichnis der Einsatzorte, ein gemeinsames Grundverständnis, gezielte Vertiefung für tatsächlich exponierte Funktionen und eine Aufzeichnung der ergriffenen Maßnahmen. Auf individueller Ebene richtet sich die Anforderung nach Funktion, technischem Vorwissen, Erfahrung und Einsatzkontext.

Ist eine Schulung zur KI-Kompetenz verpflichtend?

Schulung ist das übliche Mittel, aber nicht als solche vorgeschrieben. Artikel 4 verlangt Maßnahmen zur Förderung der Entwicklung von KI-Kompetenz. Formale Kurse zählen dazu, ebenso Leitfäden, interne Unterrichtungen, Entscheidungsbäume und praktische Begleitung. Die Kommission hat bestätigt, dass kein Zertifikat nötig ist und keine Pflicht zur Wissensmessung besteht.

Welche Folgen hat ein Verstoß?

Seit dem 2. August 2026 können die nationalen Marktüberwachungsbehörden Artikel 4 beaufsichtigen und durchsetzen. Die Sanktionen bestimmt das nationale Recht innerhalb der Obergrenzen des Artikels 99; Pflichten dieser Kategorie fallen in die Stufe mit einer Grenze von 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Sie müssen zu Art und Schwere des Verstoßes sowie zu dessen vorsätzlichem oder fahrlässigem Charakter verhältnismäßig sein, weshalb ein dokumentiertes Bemühen auch bei unvollkommenem Ergebnis zählt.

Gilt die Pflicht auch für Unternehmen außerhalb der EU?

Ja, soweit die Verordnung auf Sie anwendbar ist. Sie erfasst Anbieter, die Systeme auf dem Unionsmarkt bereitstellen, und in der Union niedergelassene Betreiber sowie bestimmte Drittlandsakteure, deren Systemergebnisse in der Union verwendet werden. Ein US-amerikanisches oder britisches Unternehmen, das KI mit Auswirkungen auf Personen in der Union einsetzt, trägt dieselbe Pflicht wie ein in der Union ansässiges.

Fazit

KI-Kompetenz hat sich unauffällig zu einer der wenigen Pflichten der KI-Verordnung entwickelt, die jede Organisation auf jeder Risikostufe unmittelbar betrifft. Das Digital-Omnibus-Paket hat den Maßstab gesenkt und ihn, weil es wenige Tage vor Beginn der Aufsicht kam, zugleich schwerer ignorierbar gemacht.

Schwierigkeiten in einer Prüfung bekommen nicht die Organisationen mit ungeschultem Personal. Es sind jene, deren Schulungen stattgefunden haben, aber keine Spur hinterlassen: keine Matrix, kein Register, keine verantwortliche Person, kein Überprüfungsdatum. Behandeln Sie KI-Kompetenz als Grundkontrolle, die ihre Nachweise im Betrieb erzeugt, bilden Sie sie einmalig auf ISO 42001 und das NIST AI RMF ab, und die Frage nach Artikel 4 beantwortet sich von selbst.

Wenn Sie sehen möchten, wie sich diese Pflicht als dokumentierte Kontrolle in Ihr übriges Pflichtenprogramm einfügt, erfahren Sie, wie AI Sigil KI-Governance operationalisiert.