EU AI Act Artikel 4: KI-Kompetenz im Unternehmen

KI-generiert

Was Artikel 4 des EU AI Act tatsächlich verlangt

Artikel 4 der Verordnung (EU) 2024/1689 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um ein ausreichendes Maß an KI-Kompetenz bei den Personen sicherzustellen, die KI-Systeme in ihrem Auftrag betreiben oder verwenden. Das ist keine Vorgabe für einen einheitlichen EU-Kurs und auch kein pauschales Zertifikat für jede Mitarbeiterin und jeden Mitarbeiter. Gefordert ist eine angemessene Befähigung für den konkreten Einsatz. Für den übergreifenden Prozess hilft KI sicher nutzen: ChatGPT, vertrauliche Daten und Schatten-KI im Arbeitsalltag. Siehe auch: EU AI Act Kurs.

Die Verordnung nennt als Kontext unter anderem technische Kenntnisse, Erfahrung, Ausbildung und Schulung sowie die Personen, auf die sich die KI-Nutzung auswirken kann. Unternehmen müssen deshalb zuerst verstehen, welche Systeme sie einsetzen, welche Rolle sie dabei haben und welche Entscheidungen oder Prozesse durch die Systeme beeinflusst werden. Die Pflicht zur KI-Kompetenz gilt seit dem 2. Februar 2025; Umfang und Nachweis müssen zur Organisation und zum Risiko passen. Eine passende Vertiefung bietet DSGVO-Schulung für Mitarbeitende: Inhalte, Fristen und Nachweise.

Für wen die Pflicht relevant ist

Betreiber sind Unternehmen und andere Organisationen, die ein KI-System unter ihrer Verantwortung verwenden. Anbieter entwickeln ein System und bringen es unter ihrem Namen oder ihrer Marke in Verkehr. In der Praxis kann ein Unternehmen je nach Tätigkeit Betreiber, Anbieter oder beides sein. Ein intern genutzter Chatbot, ein Bewerbungswerkzeug, eine Dokumentenanalyse oder eine generative Assistenz können daher unterschiedliche Zuständigkeiten und Schulungstiefen auslösen. Siehe auch: Compliance Themenwelt.

Nicht alle Nutzer benötigen dasselbe Wissen. Mitarbeitende, die Texte entwerfen, brauchen klare Regeln für Daten, Quellen, Prüfung und Freigabe. Personen, die Modelle konfigurieren, integrieren oder überwachen, brauchen zusätzlich technisches und risikobezogenes Wissen. Führungskräfte und Fachverantwortliche müssen wiederum Entscheidungen, Zuständigkeiten und Eskalationswege verstehen. Ein Basismodul für alle kann sinnvoll sein, ersetzt aber keine rollenbezogene Ergänzung.

Alle Nutzer: Grundbegriffe, Grenzen, zulässige Daten und menschliche Prüfung.
Fachanwender: Quellenprüfung, Freigaben, Dokumentation und Umgang mit Fehlern.
Administratoren und Entwickler: Konfiguration, Zugriff, Protokollierung, Tests und Sicherheitsrisiken.
Entscheidungsträger: Anbieter- oder Betreiberrolle, Risiko, Verantwortlichkeit und Eskalation.

Was KI-Kompetenz in der Praxis umfasst

KI-Kompetenz bedeutet mehr als zu wissen, wie ein Prompt formuliert wird. Nutzer sollten einordnen können, was ein System leistet, wo es unzuverlässig ist und welche Fehlerbilder auftreten. Dazu gehören Halluzinationen, verzerrte Ergebnisse, fehlende Quellen, unklare Urheberrechte und die Gefahr, sensible Informationen in ein ungeeignetes System einzugeben. Die Schulung muss diese Punkte mit den konkreten Tools und Arbeitsabläufen des Unternehmens verbinden. Siehe auch: KI-Tools sicher nutzen.

Ein gutes Lernziel lässt sich als beobachtbares Verhalten formulieren: vertrauliche Daten vor der Eingabe klassifizieren, eine Antwort gegen Primärquellen prüfen, einen menschlichen Freigabepunkt einhalten, eine Nutzung dokumentieren oder bei einem Vorfall den richtigen Kanal wählen. Gerade bei sensiblen oder hochriskanten Anwendungen müssen die Grenzen des Systems und die Rolle menschlicher Aufsicht sichtbar bleiben. Das verhindert, dass ein Kurs zwar abgeschlossen ist, aber im Arbeitsalltag keine Entscheidung verbessert.

Frau macht Notizen neben einem Laptop — KI-Kompetenz wird aus dem konkreten Einsatz, der Rolle und dem Risiko abgeleitet.

Rollenbasierte Lernpfade statt Einheitskurs

Für den Rollout empfiehlt sich ein kleiner Lernpfad mit gemeinsamem Fundament und gezielten Ergänzungen. Das Fundament erklärt Begriffe, Grenzen, Datenschutz, Sicherheit, Quellenprüfung und menschliche Verantwortung. Ergänzungen behandeln die Systeme und Entscheidungen einer Rolle. Ein HR-Team braucht beispielsweise andere Fälle als ein Entwicklerteam; ein Vertriebsteam braucht konkrete Regeln für Kundendaten und Freigaben, während eine IT-Rolle zusätzlich Zugriff, Protokollierung und technische Tests verstehen muss. Siehe auch: Security Awareness Themenwelt.

Die Lernpfade sollten mit der internen KI-Richtlinie, der Beschaffung und dem Incident-Management verbunden sein. Eine Richtlinie, die im Kurs anders klingt als im Alltag, wird nicht angewendet. Deshalb gehören zugelassene Tools, verbotene Eingaben, Freigabestufen, Ansprechpartner und Meldewege in dieselbe Informationsarchitektur. Bei individuellen Vorgaben können Unternehmen eine individuelle KI-Richtlinie als Kurs umsetzen, statt ein allgemeines Regelwerk ohne Praxisbezug zu verteilen.

Governance, Datenschutz und Security zusammen denken

Artikel 4 steht nicht isoliert neben den übrigen Compliance-Aufgaben. Die Frage, wer ein KI-System verwenden darf, hängt oft mit Datenschutz, Informationssicherheit, Urheberrecht, Geheimhaltung und der Kontrolle von Ausgaben zusammen. Ein Schulungsprogramm sollte diese Schnittstellen erklären, ohne aus jeder Nutzung automatisch eine Hochrisiko-Anwendung zu machen. Entscheidend ist die dokumentierte Einordnung des konkreten Systems und der betroffenen Daten.

Für Beschäftigte muss daraus eine einfache Handlungskette entstehen: Nutzung prüfen, Daten klassifizieren, Tool und Zweck abgleichen, Ergebnis kritisch prüfen, Freigabe einholen und bei Unsicherheit eskalieren. Für Verantwortliche kommt eine zweite Ebene hinzu: KI-Inventar führen, Anbieterinformationen bewerten, Rollen und Berechtigungen festlegen, Änderungen beobachten und Schulungsinhalte aktualisieren. So wird KI-Kompetenz Teil der Governance und bleibt nicht auf ein einmaliges Webinar beschränkt.

Nachweis und Aktualisierung der KI-Kompetenz

Ein Nachweis muss nicht zwingend ein bestimmtes Zertifikat sein. Sinnvoll ist eine nachvollziehbare Dokumentation von Zielgruppe, Rolle, Inhalt, Version, Zuweisung, Abschluss und gegebenenfalls Wissenscheck. Bei einer Prüfung sollte sich außerdem erklären lassen, warum die gewählte Schulung für den jeweiligen Einsatz angemessen war. Ein kurzer Kurs für allgemeine Textassistenz kann ein anderer Nachweis sein als eine vertiefte Einweisung für ein System, das Personalentscheidungen unterstützt. Siehe auch: Pflichtschulungen und Nachweise im Unternehmen.

Aktualisierung wird wichtig, sobald sich Tools, Modelle, Anbieter, Richtlinien, Datenflüsse oder Risiken ändern. Auch Vorfälle und wiederkehrende Fehler sind ein Signal für eine Auffrischung. Ein Owner sollte deshalb in regelmäßigen Abständen prüfen, ob Lernziele, Beispiele und Freigabewege noch stimmen. Versionshistorie und Änderungsgrund machen später sichtbar, dass das Programm aktiv gesteuert wird.

Team bespricht Unterlagen und digitale Arbeitshilfen — Ein lebender Prozess hält KI-Kompetenz an Tools, Rollen und Risiken ausgerichtet.

Ein pragmatischer 30-60-90-Tage-Plan

In den ersten 30 Tagen sollte das Unternehmen die eingesetzten KI-Systeme, Anbieter, Nutzergruppen und sensiblen Datenflüsse erfassen. Dazu gehören auch informelle Nutzungen, die nicht im zentralen Einkauf sichtbar sind. Danach werden Anbieter- und Betreiberrollen, interne Owner, Mindestregeln und die wichtigsten Risikoszenarien festgehalten. Der erste Lernpfad sollte einen klaren Anwendungsfall abdecken und nicht versuchen, jede offene Governance-Frage gleichzeitig zu lösen.

Bis Tag 60 können Basismodul, rollenbezogene Ergänzungen, Richtlinien und ein einfacher Wissenscheck pilotiert werden. Bis Tag 90 sollten Zuweisungen, Erinnerungen, Nachweise, Review-Termine und ein Änderungsprozess feststehen. Kostenlos testen eignet sich für einen begrenzten Pilot, bei dem sich nicht nur der Kurs, sondern auch die Nachweis- und Exportlogik prüfen lässt. Die rechtliche Bewertung des konkreten Einsatzes bleibt dabei Aufgabe der zuständigen Fachverantwortlichen.

Weiterführende ConformBase-Seiten

Offizielle Quellen

ConformBase kostenlos testen

Für die Umsetzung im Alltag empfiehlt sich ein kurzer Review nach vier Wochen: Welche Fragen kamen wiederholt auf, welche Rolle brauchte zusätzliche Orientierung und welche Prozessänderung muss in die nächste Kursversion? So bleibt KI-Kompetenz mit konkreten Arbeitsentscheidungen verbunden statt bei einer einmaligen Einführung zu enden.

ConformBase

Vom Wissen zur wirksamen Schulung.

Bringen Sie Compliance, Datenschutz und Security Awareness in ein Format, das Ihre Mitarbeiter gern abschließen, inklusive Zertifikat und revisionssicherem Nachweis.

Kostenlos testen Individuelle Kurse anfragen →

Häufige Fragen

Was verlangt Artikel 4 des EU AI Act?

Anbieter und Betreiber müssen Maßnahmen ergreifen, um ein ausreichendes Maß an KI-Kompetenz bei den Personen sicherzustellen, die KI-Systeme in ihrem Auftrag betreiben oder verwenden. Umfang und Tiefe hängen vom konkreten Einsatz und Kontext ab.

Braucht jede Mitarbeiterin ein EU-weites KI-Zertifikat?

Nein. Artikel 4 schreibt kein einheitliches Zertifikat und keinen Standardkurs vor. Unternehmen sollten angemessene Lernziele, Rollen, Inhalte und Nachweise für ihren konkreten Einsatz festlegen.

Seit wann gilt die Pflicht zur KI-Kompetenz?

Die Pflicht aus Artikel 4 gilt seit dem 2. Februar 2025. Das bedeutet nicht, dass jedes Unternehmen denselben Kurs absolvieren muss, sondern dass die Maßnahmen zur Nutzung und zum Risiko passen müssen.

Wie lässt sich KI-Kompetenz nachweisen?

Mit einer nachvollziehbaren Dokumentation von Zielgruppe, Rolle, Inhalt, Version, Zuweisung, Abschluss und gegebenenfalls Wissenscheck. Ergänzend sollten Richtlinie, Freigabewege und regelmäßige Aktualisierungen sichtbar sein.

EU AI Act: Was KI-Kompetenz nach Artikel 4 für Unternehmen bedeutet