Es gibt eine Vorschrift im EU AI Act, die seit Februar 2025 gilt, von der die meisten Geschäftsführer aber noch nie gehört haben. Sie steht in Artikel 4. Sie hat keine spezifische Risikoklassifizierung, keine technische Anforderung, keine Meldepflicht an eine Behörde. Sie ist einfach eine Tatsache, die für jedes Unternehmen gilt, das KI im Arbeitskontext einsetzt. Und genau das macht sie so unterschätzt.
Artikel 4 verlangt, dass Anbieter und Betreiber von KI-Systemen sicherstellen, dass ihre Mitarbeitenden und alle anderen Personen, die in ihrem Auftrag mit KI arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen. Diese Kompetenz muss zur jeweiligen Rolle, zum Anwendungskontext und zu den betroffenen Personen passen. Und sie muss dokumentiert sein.
Es klingt zunächst nach Allgemeinplatz. Bei genauerem Hinsehen ist es eine erhebliche, oft übersehene Verpflichtung mit weitreichenden Konsequenzen für jedes mittelständische Unternehmen, das in irgendeiner Form KI nutzt. Und „in irgendeiner Form" heißt in der Realität von 2026: praktisch jedes Unternehmen.
Wer ist überhaupt betroffen?
Der EU AI Act unterscheidet zwischen Anbietern (also Entwicklern und Vermarktern) und Betreibern (also Nutzern). Artikel 4 gilt für beide. Für mittelständische Unternehmen ist fast immer die Rolle des Betreibers relevant: Sie nutzen KI-Systeme, die von OpenAI, Microsoft, Anthropic, Google oder anderen Anbietern entwickelt wurden. Das macht Sie nach AI Act zum Betreiber. Und damit zur verantwortlichen Stelle für die KI-Kompetenz Ihrer Mitarbeitenden.
Konkret betroffen sind Sie, wenn in Ihrem Unternehmen mindestens einer der folgenden Punkte zutrifft:
- Mitarbeitende nutzen ChatGPT, Claude, Copilot, Gemini oder ähnliche Sprachmodelle für berufliche Aufgaben
- Eine Software, die Sie einsetzen, enthält KI-Komponenten (das tut praktisch jede moderne Office-, CRM- oder ERP-Software)
- Sie nutzen automatisierte Texterkennung, Übersetzung, Klassifizierung oder Mustererkennung
- Marketing- oder Vertriebs-Tools mit KI-Funktionen sind im Einsatz
- Bewerbungen werden mit Hilfe von KI-Tools gesichtet oder vorqualifiziert
Falls einer dieser Punkte zutrifft, gilt Artikel 4 für Sie. Schon heute. Bereits seit dem 2. Februar 2025.
Was ist eigentlich „ausreichende KI-Kompetenz"?
Die ehrliche Antwort lautet: Das Gesetz lässt diesen Begriff bewusst offen. Es nennt keine Stundenzahl, keinen Curriculum-Standard, keinen Zertifikatszwang. Was es nennt, sind drei Dimensionen, anhand derer Kompetenz bemessen werden muss:
- Technisches Verständnis. Was kann ein KI-System? Wo liegen seine Grenzen? Was bedeutet Halluzination, Bias, statistische Wahrscheinlichkeit?
- Anwendungskontext. Wie wird das KI-System in der konkreten Arbeitssituation eingesetzt? Welche Datenarten fließen ein? Welche Ergebnisse kommen heraus?
- Auswirkungen auf betroffene Personen. Welche Folgen hat der Einsatz für Kunden, Mitarbeitende, Bewerber, Lieferanten?
Wichtig ist: Die Kompetenz muss rollenspezifisch bemessen werden. Der Geschäftsführer braucht ein anderes Kompetenzprofil als die Sachbearbeiterin in der Buchhaltung, die KI nutzt. Der Marketingleiter, der mit Bildgenerierung arbeitet, braucht andere Kenntnisse als der Entwickler, der KI-Tools in Produkte einbaut.
Das macht es im Mittelstand übersichtlich, aber nicht trivial. Sie müssen für die verschiedenen Rollen in Ihrem Unternehmen ein passendes Kompetenzniveau definieren, die Schulung durchführen und das Ganze dokumentieren.
Warum die Pflicht zur Dokumentation der eigentliche Hebel ist
Das Gesetz schreibt nicht nur die Kompetenz selbst vor, sondern auch deren Nachweis. Sie müssen im Streitfall belegen können, dass Sie der Verpflichtung nachgekommen sind. Genau hier liegt für viele Mittelständler die Falle.
Stellen Sie sich folgende Situation vor: Eine Bewerberin wird abgelehnt, ihre Bewerbung wurde mit einem KI-Vorqualifizierungstool gesichtet. Die Bewerberin klagt vor dem Arbeitsgericht und beruft sich auf eine möglicherweise diskriminierende KI-Entscheidung. Im Verfahren wird gefragt: Hat die HR-Leiterin, die das Tool eingesetzt hat, die nötige KI-Kompetenz besessen, um die Ergebnisse korrekt zu interpretieren? Ohne Dokumentation steht Ihr Unternehmen schlecht da.
Oder anders: Ein Datenschutzbeauftragter prüft im Rahmen einer Auftragsverarbeitungs-Kontrolle Ihre KI-Praxis. Er fragt nach dem Schulungskonzept Ihrer Mitarbeitenden. Sie haben keines. Auch ohne unmittelbares Bußgeld ist das ein Befund, der dokumentiert wird und Sie bei künftigen Verfahren belastet.
Die Dokumentationspflicht ist also nicht juristische Symbolik. Sie ist die operative Anforderung, an der Ihr Unternehmen ab heute gemessen wird.
Die Bußgelder: Warum Artikel 4 trotzdem unterschätzt wird
Anders als bei Hochrisiko-KI-Systemen oder verbotenen Praktiken sieht der AI Act für Verstöße gegen Artikel 4 keine direkten Bußgelder vor. Das verleitet manche Unternehmen zu der Annahme, die Pflicht sei „weicher" als andere. Das ist ein Irrtum mit zwei Gründen.
Erstens: Wenn etwas schiefgeht, was sonst nach AI Act regulär bußgeldbewehrt ist, etwa unsachgemäßer Einsatz eines Hochrisikosystems, dann wird die Frage, ob die Mitarbeitenden über ausreichende Kompetenz verfügt hätten, fast immer zum verschärfenden Faktor. Mangelnde Schulung ist dann nicht der Hauptverstoß, sondern der Beweis für strukturelles Versagen.
Zweitens: Artikel 4 schafft eine zivilrechtliche Verantwortung. Wenn ein KI-Einsatz Schäden verursacht und Sie als Betreiber Ihrer Pflicht zur Kompetenzsicherung nicht nachgekommen sind, verschiebt sich die Beweislast nicht zu Ihren Gunsten. Sie wird zu Ihren Lasten verschoben.
Was Sie als Mittelständler jetzt konkret tun sollten
Wenn Sie heute beginnen, brauchen Sie nicht mehr als ein paar Stunden, um Artikel 4 für Ihr Unternehmen ordentlich abzudecken. Vier Schritte:
1. Bestandsaufnahme
Welche KI-Systeme werden in Ihrem Unternehmen tatsächlich eingesetzt? Diese Frage führt fast immer zu Überraschungen. Schatten-KI ist im Mittelstand die Regel, nicht die Ausnahme. Mitarbeitende nutzen ChatGPT auf privaten Accounts, Marketingleute generieren Bilder mit Midjourney, jemand hat in der Buchhaltung ein KI-Tool für Belegerkennung. Bevor Sie schulen können, müssen Sie wissen, was tatsächlich passiert.
2. Rollendefinition
Für welche Rollen in Ihrem Haus ist KI relevant? Welches Kompetenzniveau ist für die jeweilige Rolle angemessen? Hier müssen Sie nicht von Grund auf neu konzipieren. Drei Niveaustufen reichen in den meisten Mittelständlern völlig aus:
- Grundlagen für alle (was ist KI, was kann sie nicht, welche Daten gehören nicht in fremde Systeme)
- Anwendungskompetenz für KI-Nutzer (wie nutze ich die Tools verantwortungsvoll, wie prüfe ich Ergebnisse, was sind typische Fehler)
- Steuerungskompetenz für Verantwortliche (Datenschutz, Compliance, AI-Act-Pflichten, Vendorauswahl, Risikobewertung)
3. Schulung durchführen
Sie müssen das Rad nicht neu erfinden. Sie können externe Schulungsanbieter nutzen, interne Trainings durchführen, oder ein Mischmodell wählen. Wichtig ist nur, dass die Schulung zum jeweiligen Kompetenzniveau passt und dass sie tatsächlich stattfindet. Eine PowerPoint-Datei im Sharepoint reicht nicht. Eine Schulung mit Teilnehmerliste, Inhalts-Übersicht und Wissensabfrage reicht.
4. Dokumentation
Das Herzstück. Dokumentieren Sie, was geschult wurde, wann, wer teilgenommen hat, welche Inhalte abgedeckt waren. Bewahren Sie diese Unterlagen mindestens fünf Jahre auf. Auch Auffrischungs-Schulungen sollten dokumentiert sein, denn KI-Technologien und Best Practices ändern sich schnell. Was 2025 ausreichend war, ist 2027 vielleicht nicht mehr.
Die häufigsten Missverständnisse
Im Gespräch mit Mittelständlern hören wir immer wieder dieselben Annahmen, die nicht zutreffen. Drei besonders verbreitete:
„Wir setzen ja keine eigene KI ein." Das ist im Sinne von Artikel 4 keine Rechtfertigung. Sobald Sie ChatGPT, Microsoft Copilot oder vergleichbare Tools im Arbeitskontext nutzen, sind Sie Betreiber.
„Unser Datenschutzbeauftragter kümmert sich darum." Datenschutz und KI-Kompetenz sind zwei verschiedene Pflichten. Ein Datenschutzbeauftragter prüft DSGVO-Konformität. Artikel 4 AI Act ist eine eigene Verpflichtung, die zusätzlich erfüllt werden muss.
„Wir warten erst die Konkretisierung ab." Die Pflicht gilt seit Februar 2025. Sie ist konkret genug, um erfüllbar zu sein. Wer wartet, läuft Gefahr, in einem Streitfall ohne Dokumentation dazustehen.
Was bleibt
Artikel 4 ist keine Bedrohung. Er ist eine Chance, KI in Ihrem Unternehmen zum ersten Mal strukturell zu adressieren. Wer die Pflicht nutzt, um ehrlich hinzuschauen, welche KI tatsächlich verwendet wird, welches Wissen tatsächlich vorhanden ist und wo Lücken bestehen, schafft die Grundlage für jede ernsthafte KI-Strategie.
Im Mittelstand mit ungeklärter Schatten-KI, unklaren Datenflüssen und uninformierten Mitarbeitenden ist Artikel 4 der willkommene Anlass, das endlich zu ordnen. Nicht aus Pflichtgefühl, sondern aus betriebswirtschaftlicher Vernunft.
Die Frage ist nicht, ob Sie es tun. Die Frage ist, ob Sie es ordentlich tun.
Sind Ihre Mitarbeiter AI-Act-konform geschult?
Wenn Sie unsicher sind, ob Ihre aktuelle Praxis Artikel 4 erfüllt, sprechen Sie mit uns. Ein erstes Gespräch ist unverbindlich und gibt Ihnen Klarheit über den Handlungsbedarf.
Erstgespräch vereinbaren →