KI-Kompetenz nach Art. 4 KI-VO: Was Unternehmen tun müssen

Stand: 13. November 2026. Allgemeine Information, keine Rechtsberatung.

Was verlangt Art. 4 KI-VO nach dem Digital Omnibus?

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten und anderer Personen zu fördern, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen zu tun haben. Dabei berücksichtigen sie deren technische Kenntnisse, Erfahrung, Ausbildung und Schulung, den Einsatzkontext und die Personen, bei denen das System eingesetzt wird.^[1]

So lautet Art. 4 Abs. 1 der KI-Verordnung (AI Act, KI-VO) in der Fassung der Verordnung (EU) 2026/1744 vom 8. Juli 2026 („Digital Omnibus on AI“), hier sinngemäß ins Deutsche gefasst; maßgeblich ist der Amtsblatt-Text.^[1] Frühere Fassungen verlangten, ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Erwägungsgrund 8 der Änderungsverordnung erläutert, dass die frühere Pflicht, ein ausreichendes Maß sicherzustellen, als strenge Verpflichtung nicht geeignet erschien.^[1] Aus „sicherstellen“ wurde also „Maßnahmen ergreifen, um zu fördern“. Ältere Darstellungen mit dem früheren Wortlaut sind überholt; achten Sie auf das Datum.

Die Änderungsverordnung stellt zudem klar, dass die KI-VO die Datenschutz-Grundverordnung nicht berührt (abgesehen von den neuen Art. 4a und Art. 59).^[1] Art. 4 KI-VO ersetzt also keine Pflicht aus der DSGVO, und umgekehrt.

Für wen gilt Art. 4 und seit wann?

Art. 4 gilt für Anbieter und Betreiber von KI-Systemen. Ein Unternehmen, das einen Chat-Assistenten wie ChatGPT, Claude, Gemini oder Copilot für die Arbeit einsetzt, ist in der Regel Betreiber: Die KI-VO definiert den Betreiber als natürliche oder juristische Person, Behörde oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, außer bei persönlicher, nicht beruflicher Tätigkeit.^[3] Die Größe des Unternehmens spielt für das Bestehen der Pflicht keine Rolle; sie beeinflusst nur, wie umfangreich die Maßnahmen ausfallen.

Erfasst sind die Beschäftigten und andere Personen, die im Auftrag des Unternehmens mit KI-Systemen arbeiten, unter Umständen also auch freie Mitarbeitende oder Dienstleister.^[1]

Die Daten stammen von der Seite der Europäischen Kommission zum KI-Rechtsrahmen.^[2] Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten.^[8] Den Gesamtüberblick über die Pflichten von Betreibern gibt der Beitrag KI-Verordnung: Pflichten für Unternehmen.

Gibt es ein Bußgeld, wenn Art. 4 nicht umgesetzt wird?

Art. 4 hat keine eigene Bußgeldstufe. Art. 99 der KI-VO nennt Art. 4 nicht in der Stufe für Pflichten von Betreibern (bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes), die etwa Art. 26 und Art. 50 erfasst.^[4] Das ist kein Freibrief: Aufsicht sowie zivil- und arbeitsrechtliche Folgen bleiben möglich, denkbar etwa, wenn ein Schaden eintritt und ein Unternehmen keine Maßnahmen vorweisen kann. Eine konkrete Geldbuße „für Art. 4“ sollte man daher nicht nennen, und wir tun das hier ebenfalls nicht. Wie die Mitgliedstaaten die Durchsetzung regeln, ist nicht Gegenstand dieses Beitrags.

Welche Nachweise sind angemessen?

Das Gesetz schreibt keine bestimmte Form des Nachweises vor. Die folgenden Punkte sind deshalb eine praktische Empfehlung und keine Rechtspflicht. Sie orientieren sich an dem, was Art. 4 benennt: Kenntnisse der Beschäftigten, Einsatzkontext und betroffene Personen.^[1]

Diese Unterlagen zeigen, dass Sie Maßnahmen geplant, durchgeführt und überprüft haben. Zertifikate verlangt Art. 4 nicht. Wenn Sie externe Schulungen einkaufen, heben Sie die Bestätigung auf, aber auch eine interne Einweisung von 30 bis 60 Minuten mit Teilnahmeliste ist in der Praxis ein sinnvoller Anfang.

Auch die Datenschutzaufsicht empfiehlt Schulung, wenn auch aus anderem Grund. Die DSK empfiehlt, Beschäftigte zu schulen und zu sensibilisieren,^[5] und der Hamburger Datenschutzbeauftragte nennt die Schulung der Beschäftigten ausdrücklich in seiner Checkliste.^[6] Eine Schulung kann beide Anforderungen zugleich bedienen.

Wie verbreitet fehlende Schulung ist, zeigt die Bitkom-Studie zur künstlichen Intelligenz: In der Befragung von 2025 (604 Unternehmen ab 20 Beschäftigten) gaben 43 Prozent an, keine KI-Schulungen anzubieten.^[7]

Wie gehen Sie in vier Schritten vor?

Für ein Unternehmen, das nur Chat-Assistenten einsetzt, genügt ein schlanker Ablauf. Die Reihenfolge ist eine Empfehlung.

1. Bestandsaufnahme. Listen Sie auf, welche KI-Tools im Unternehmen genutzt werden und von wem. Wenn Sie keinen Überblick haben, hilft zunächst eine anonyme Befragung (siehe Schatten-KI). Verantwortlich: IT oder Personal.
2. Rollen festlegen. Ordnen Sie Beschäftigte den Rollen des Schulungsplans im nächsten Abschnitt zu. Wer nur gelegentlich Texte entwirft, braucht weniger als jemand, der mit Kundendaten arbeitet. Verantwortlich: Geschäftsführung.
3. Schulen und dokumentieren. Führen Sie die Einweisung durch, halten Sie Datum, Thema und Teilnehmende fest. Verantwortlich: Personal und Teamleitungen.
4. Überprüfen. Planen Sie die Wiederholung ein, mindestens bei neuen Tools und bei geänderten Vertragsbedingungen. Verantwortlich: die für KI zuständige Person.

Beispiel (erfunden): Ein Unternehmen mit 25 Beschäftigten gibt einen Chat-Assistenten mit Geschäftstarif für das Büroteam frei. Die Geschäftsführung nimmt an einer einstündigen Einweisung teil und entscheidet über die Freigabeliste. Das Büroteam erhält 45 Minuten zu Datenklassen und Prüfung von Ergebnissen. Die Datenschutzbeauftragte prüft den Vertrag und erstellt ein Prüfprotokoll. Alle Teilnahmen stehen in einer Liste mit Datum, Thema und Namen der Schulenden; die Wiederholung ist für den nächsten Herbst und für jedes neue Tool eingetragen. Das ist ein Vorschlag für den Umfang, keine Mindestvorgabe des Gesetzes.

Was gehört zu Art. 4 und was zur DSGVO?

Art. 4 KI-VO verlangt Kompetenz im Umgang mit KI im Allgemeinen: Funktionsweise, Grenzen, typische Fehler, Verantwortung für Ergebnisse. Die DSGVO verlangt dagegen Rechtsgrundlagen, Verträge und technische und organisatorische Maßnahmen für personenbezogene Daten. Beide überschneiden sich in der Schulung: Wer Beschäftigten erklärt, welche Daten in welches Tool dürfen, erfüllt einen Teil beider Anforderungen. Die Änderungsverordnung stellt aber klar, dass die KI-VO die DSGVO nicht berührt.^[1] Eine Schulung nach Art. 4 ersetzt deshalb weder den Vertrag mit dem Anbieter noch die Prüfung der Rechtsgrundlage; Hinweise dazu geben die Beiträge zu Auftragsverarbeitung bei KI-Tools und Datenschutz-Folgenabschätzung bei KI.

Inhalte, die Fehler im Alltag verhindern können: Ergebnisse von KI-Tools können falsch sein und sind vor der Weitergabe zu prüfen; Eingaben können beim Anbieter gespeichert werden, abhängig von Tarif und Einstellung; Entscheidungen mit rechtlicher Wirkung auf Personen trifft grundsätzlich ein Mensch, der echten Entscheidungsspielraum hat und nicht nur formal beteiligt ist.^[5]

Ein Inhalt gehört in jede Schulung: Beschäftigte sehen nach dem Absenden nicht, wo ein Anbieter ihre Eingabe verarbeitet. Sie können nur Dokumentation und Vertrag entnehmen, was zugesagt ist, und diese Zusagen haben dokumentierte Ausnahmen. Bei OpenAI ist zum Beispiel in den Verbrauchertarifen Free, Plus und Pro die Datenfreigabe für das Training standardmäßig eingeschaltet, und wer sie später ausschaltet, löscht gespeicherte Chats damit nicht.^[9] Was gesendet wurde, lässt sich nicht zurückholen; der eigene Hebel liegt vor dem Absenden, bei der Frage, welche Angaben überhaupt in die Eingabe gehören (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).^[10] Mehr dazu im Beitrag Wo landen Ihre Daten bei KI-Anbietern, und was können Sie kontrollieren?

Wie sieht ein Schulungsplan nach Rollen aus?

Der Plan unterscheidet nach Rolle, weil Art. 4 den Einsatzkontext und die Vorkenntnisse berücksichtigt. Die Dauern sind Vorschläge, keine Vorgaben.

Der Inhalt für alle Nutzenden ergibt sich aus der KI-Richtlinie, die Pseudonymisierung erklärt der Beitrag Daten für ChatGPT pseudonymisieren. Wenn Ihre Beschäftigten bereits unfreigegebene Tools nutzen, beginnen Sie mit dem Plan im Beitrag zur Schatten-KI. Wer KI bei Bewerbungen oder zur Bewertung von Beschäftigten einsetzt, kommt in den Bereich der Hochrisiko-Systeme; dafür gelten andere Pflichten, die erst später beginnen (siehe Zeitleiste und KI im Recruiting).

Nächster Schritt

Legen Sie diese Woche fest, wer für KI-Kompetenz zuständig ist, und tragen Sie die erste Einweisung für alle Nutzenden in den Kalender ein. Führen Sie dabei eine Teilnahmeliste mit Datum und Thema. Prüfen Sie das Vorgehen mit Ihren Datenschutzbeauftragten, und lesen Sie bei Zweifeln zur Auslegung von Art. 4 den Amtsblatt-Text der Verordnung (EU) 2026/1744 oder lassen Sie sich beraten, denn die Rechtslage ist neu und die Praxis der Aufsicht noch nicht gefestigt. Den Gesamtablauf der Einführung beschreibt der Beitrag KI im Unternehmen datenschutzkonform einführen.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Er ersetzt nicht die Prüfung Ihres Einzelfalls durch Ihre Datenschutzbeauftragte, Ihren Datenschutzbeauftragten oder eine Rechtsberatung. Stand: 13. November 2026.