KI-Kompetenz nach Art. 4 KI-VO: Die unterschätzte Pflicht, die längst gilt

Während die öffentliche Debatte um die KI-Verordnung fast ausschließlich um Hochrisiko-Systeme und die Fristen des Digital Omnibus kreist, gilt eine Pflicht bereits seit anderthalb Jahren – und wird in der Fläche noch immer erstaunlich häufig übersehen: die Pflicht zur KI-Kompetenz nach Art. 4 KI-VO, wirksam seit dem 2. Februar 2025. Die Beratungspraxis zeigt, dass viele Geschäftsleitungen sie entweder gar nicht kennen oder als unverbindlichen Programmsatz abtun, weil kein eigener Bußgeldtatbestand an ihr hängt. Beides ist riskant. Denn die Norm trifft praktisch jedes Unternehmen, das KI-Werkzeuge einsetzt, und sie entfaltet ihre Wirkung weniger über die Aufsicht als über das Haftungsrecht: Wer ungeschultes Personal mit KI arbeiten lässt, baut sich ein Organisationsverschulden auf, das im Schadensfall teuer wird. Dieser Beitrag erläutert, wen Art. 4 KI-VO trifft, was ein „ausreichendes Maß an KI-Kompetenz" bedeutet, welche Rechtsfolgen drohen, wie die Pflicht mit KI-Richtlinie und Schulungskonzept zusammenspielt und wie sich ein Schulungsprogramm praktisch aufbauen lässt.

Wen Art. 4 KI-VO trifft – und seit wann

Art. 4 KI-VO verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um „nach besten Kräften" sicherzustellen, dass ihr Personal und alle Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Der entscheidende Punkt liegt im Adressatenkreis: Die Pflicht gilt nicht nur für die Entwickler von KI, sondern ebenso für Betreiber – und Betreiber ist nach Art. 3 Nr. 4 KI-VO jeder, der ein KI-System in eigener Verantwortung im beruflichen Kontext verwendet. Anders als die meisten Pflichten der Verordnung ist Art. 4 zudem nicht an eine Risikoklasse gekoppelt: Er gilt unabhängig davon, ob ein Hochrisiko-System im Einsatz ist oder lediglich ein generativer Assistent für Textentwürfe und Recherchen. Das Unternehmen, das seinen Beschäftigten den Zugang zu einem KI-Chatbot eröffnet – oder dessen Nutzung auch nur duldet –, ist damit ebenso erfasst wie das Softwarehaus, das eigene Systeme entwickelt. Und die Pflicht gilt nicht erst ab August 2026: Sie gehört mit den Verboten des Art. 5 KI-VO zur ersten Stufe der gestaffelten Geltung und ist seit dem 2. Februar 2025 wirksam. Wer heute noch kein Schulungskonzept hat, ist also nicht früh dran, sondern spät.

Was „ausreichendes Maß an KI-Kompetenz" bedeutet

Der Begriff der KI-Kompetenz ist in Art. 3 Nr. 56 KI-VO definiert und meint die Fähigkeiten, Kenntnisse und das Verständnis, die einen sachkundigen Einsatz von KI-Systemen ermöglichen und für die Chancen, Risiken und möglichen Schäden sensibilisieren. Ein starres Anforderungsprofil gibt die Verordnung bewusst nicht vor. Art. 4 KI-VO nennt vielmehr die Parameter, nach denen sich das „ausreichende Maß" bemisst: die technischen Kenntnisse, die Erfahrung und die Ausbildung der betroffenen Personen, der Kontext, in dem die Systeme eingesetzt werden sollen, und die Personen oder Personengruppen, bei denen sie eingesetzt werden. Die Pflicht ist also rollen- und kontextbezogen. Die Sachbearbeiterin, die einen Assistenten für E-Mail-Entwürfe nutzt, braucht ein anderes Kompetenzniveau als der Personaler, dessen Werkzeug Bewerbungen vorsortiert, und dieser wiederum ein anderes als das Entwicklungsteam, das Modelle in eigene Produkte integriert. Verlangt wird kein Zertifikat und keine Prüfung, sondern ein Bemühen „nach besten Kräften" – was zugleich bedeutet: Ein Unternehmen, das gar nichts unternimmt, kann sich auf die Weichheit des Maßstabs gerade nicht berufen. Und der Maßstab ist dynamisch: Was 2025 als ausreichende Sensibilisierung galt, muss mit der Entwicklung der Technik und der Einsatzbreite fortgeschrieben werden.

Keine unmittelbare Bußgeldnorm – gleichwohl erhebliche Rechtsfolgen

Richtig ist: Der Sanktionskatalog des Art. 99 KI-VO knüpft an Art. 4 keinen eigenen Bußgeldtatbestand. Wer daraus folgert, die Norm sei folgenlos, unterschätzt ihre Ausstrahlungswirkung. Zunächst auf die Organhaftung: Die Legalitäts- und Compliance-Organisationspflicht der Geschäftsleitung aus § 43 GmbHG und § 93 AktG umfasst auch die Pflichten der KI-Verordnung. Ein Geschäftsführer, der den KI-Einsatz im Unternehmen weder ordnet noch schult, verletzt seine Organisationspflicht – und bei KI-gestützten Leitungsentscheidungen setzt die Business Judgment Rule (§ 93 Abs. 1 S. 2 AktG, für die GmbH entsprechend herangezogen) eine angemessene Informationsgrundlage voraus, zu der auch das Verständnis der eingesetzten Werkzeuge gehört. Sodann die Außenhaftung: Richtet ein Beschäftigter mit einem KI-Werkzeug Schäden an – etwa durch ungeprüft übernommene, fehlerhafte Ergebnisse –, stellt sich im Prozess die Frage nach dem Organisationsverschulden des Unternehmens und der Exkulpation nach § 831 BGB; fehlende Schulung ist dann ein gefundenes Argument der Gegenseite. Im Personalbereich kommen die Diskriminierungsrisiken des AGG hinzu, dessen § 22 die Beweislast zugunsten der Betroffenen verteilt, sowie Art. 22 DSGVO bei automatisierten Entscheidungen. Und schließlich die Geschäftsgeheimnisse: Geben ungeschulte Mitarbeiter vertrauliche Informationen in öffentliche KI-Dienste ein, können die „angemessenen Geheimhaltungsmaßnahmen" des § 2 Nr. 1 lit. b GeschGehG entfallen – und mit ihnen der rechtliche Schutz des Geheimnisses selbst. Art. 4 KI-VO ist damit weniger eine Bußgeldfrage als der Maßstab, an dem Gerichte und Aufsicht künftig messen werden, ob ein Unternehmen seinen KI-Einsatz beherrscht.

KI-Richtlinie und Schulungskonzept: zwei Seiten derselben Medaille

In der Praxis bewährt es sich, die Kompetenzpflicht nicht isoliert, sondern als Teil einer KI-Governance zu denken. Die interne KI-Richtlinie legt fest, welche Werkzeuge zu welchen Zwecken genutzt werden dürfen, welche Daten eingegeben werden dürfen und wo die menschliche Kontrolle zwingend ist; das Schulungskonzept vermittelt, warum diese Regeln gelten und wie sie im Alltag anzuwenden sind. Beides greift ineinander: Eine Richtlinie ohne Schulung bleibt Papier, eine Schulung ohne Richtlinie bleibt unverbindlich. Zugleich ist die Schulung das wirksamste Mittel gegen Schatten-KI – also die private Nutzung nicht freigegebener Dienste für dienstliche Zwecke, die sich durch Verbote allein erfahrungsgemäß nicht eindämmen lässt. Zu bedenken ist schließlich die kollektivrechtliche Dimension: Die Einführung von KI-Werkzeugen, die Leistung oder Verhalten der Beschäftigten überwachen können, ist nach der weiten Auslegung des § 87 Abs. 1 Nr. 6 BetrVG regelmäßig mitbestimmungspflichtig, bei der Planung bestehen Unterrichtungs- und Beratungsrechte (§ 90 Abs. 1 Nr. 3 BetrVG), und der Betriebsrat kann in KI-Fragen nach § 80 Abs. 3 S. 2 BetrVG einen Sachverständigen hinzuziehen. Wer den Betriebsrat früh einbindet und die Schulungen gemeinsam aufsetzt, gewinnt doppelt: rechtssichere Einführung und höhere Akzeptanz.

Dokumentation als A und O

Art. 4 KI-VO schreibt keine bestimmte Form des Nachweises vor – umso wichtiger ist, dass das Unternehmen ihn selbst führen kann. Dokumentiert werden sollte, wer wann zu welchen Inhalten geschult wurde, mit welchen Materialien, mit welcher Erfolgskontrolle und wann die Auffrischung ansteht; ebenso die Zuordnung der Beschäftigten zu Rollen und Kompetenzstufen und die Erwägungen, die dem Zuschnitt des Programms zugrunde liegen. Diese Dokumentation ist kein Selbstzweck. Gegenüber der Aufsicht belegt sie das Bemühen „nach besten Kräften"; im Haftungsprozess ist sie das zentrale Entlastungsstück gegen den Vorwurf des Organisationsverschuldens; im Binnenverhältnis schützt sie die Geschäftsleitung, die im Streit um ihre Sorgfalt regelmäßig nach der Aktenlage beurteilt wird – und auch für Deckungsfragen der D&O-Versicherung kann sie den Ausschlag geben. Es gilt der alte Satz der Compliance: Was nicht dokumentiert ist, lässt sich später kaum beweisen.

Die Aufsicht: BNetzA seit dem 29. Juli 2026

Mit dem deutschen KI-Durchführungsgesetz, das im Juni 2026 den Bundestag und am 10. Juli 2026 den Bundesrat passierte und seit dem 29. Juli 2026 in Kraft ist, hat die Kompetenzpflicht auch hierzulande eine institutionelle Adresse erhalten. Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde für die KI-Verordnung sowie Anlauf- und Beschwerdestelle und betreibt KI-Reallabore; im Finanzsektor bleibt die BaFin zuständig, im Medienbereich die Landesmedienanstalten. Auch wenn Art. 4 KI-VO keinen eigenen Bußgeldtatbestand kennt, liegt auf der Hand, dass der Schulungsstand in Marktüberwachungsverfahren zur Sprache kommen wird – etwa wenn zu klären ist, ob ein Verstoß gegen andere Pflichten auf mangelnder Kompetenz des Personals beruht. Mit der nun beginnenden Verwaltungspraxis wird sich konkretisieren, welche Erwartungen die Aufsicht an ein angemessenes Kompetenzniveau stellt; Unternehmen sind gut beraten, diese Entwicklung zu verfolgen und ihr Programm daran fortzuschreiben.

Ein Schulungsprogramm praktisch aufbauen

Am Anfang steht die Zielgruppenanalyse: Welche Rollen im Unternehmen nutzen welche Systeme in welchem Kontext, und welches Vorwissen bringen sie mit? Aus dieser Landkarte ergibt sich der Zuschnitt des Programms. Den Sockel bildet ein Grundlagenmodul für alle Beschäftigten, das die Funktionsweise und die Grenzen der eingesetzten Systeme vermittelt – einschließlich der Neigung generativer Modelle zu plausibel klingenden Fehlern –, die Regeln der KI-Richtlinie erläutert und die sensiblen Punkte adressiert: keine vertraulichen Daten und keine personenbezogenen Daten in nicht freigegebene Dienste, Prüfpflicht vor der Übernahme von Ergebnissen, Kennzeichnungsfragen bei nach außen gehenden Inhalten. Darauf bauen Vertiefungsmodule für besondere Rollen auf: für den Personalbereich zu Diskriminierungsrisiken und automatisierten Entscheidungen, für Marketing und Kommunikation zu Urheberrecht und Transparenzpflichten, für Entwicklung und IT zu den Anbieter- und Betreiberpflichten der Verordnung, für Führungskräfte zu Organisations- und Haftungsfragen. Das Programm ist schließlich auf Dauer anzulegen: Neue Werkzeuge, neue Einsatzfelder und neue Rechtsentwicklungen – man denke nur an das Wirksamwerden der Transparenzpflichten zum 2. August 2026 – verlangen Aktualisierungen, und eine regelmäßige Auffrischung mit Wirksamkeitskontrolle hält das Niveau. Wer das Programm zudem in das Onboarding neuer Beschäftigter integriert, stellt sicher, dass die Kompetenz mit dem Unternehmen wächst, statt hinter ihm herzulaufen.

Häufige Fragen

Drohen bei einem Verstoß gegen Art. 4 KI-VO unmittelbar Bußgelder? Nein, der Katalog des Art. 99 KI-VO enthält keinen eigenen Bußgeldtatbestand für die Kompetenzpflicht. Die Norm wirkt aber mittelbar erheblich: über die Organisationspflichten der Geschäftsleitung aus § 43 GmbHG und § 93 AktG, über das Organisationsverschulden in Haftungsprozessen und über den Verlust des Geheimnisschutzes nach § 2 Nr. 1 lit. b GeschGehG, wenn ungeschulte Beschäftigte vertrauliche Daten in öffentliche KI-Dienste eingeben.

Reicht eine einmalige Grundlagenschulung für alle Beschäftigten? In aller Regel nicht. Art. 4 KI-VO verlangt ein rollen- und kontextbezogenes Kompetenzniveau, das sich an Vorwissen, Einsatzkontext und betroffenen Personen bemisst – wer Bewerbungen mit KI vorsortiert, braucht mehr als eine allgemeine Einführung. Zudem ist der Maßstab dynamisch: Neue Werkzeuge und neue Rechtslagen erfordern Aktualisierungen und regelmäßige Auffrischungen, jeweils dokumentiert.

Gilt Art. 4 KI-VO auch für kleine Unternehmen ohne eigene KI-Entwicklung? Ja. Die Pflicht trifft neben Anbietern ausdrücklich auch Betreiber, also jedes Unternehmen, das KI-Systeme in eigener Verantwortung beruflich nutzt – schon der dienstliche Einsatz eines generativen Assistenten genügt. Der Umfang der Maßnahmen darf aber verhältnismäßig zum Einsatz sein: Bei wenigen, risikoarmen Anwendungen genügt ein schlankes Konzept aus Richtlinie, Grundschulung und Dokumentation.

Dieser Beitrag gibt einen allgemeinen Überblick auf dem Rechtsstand 2026 und ersetzt keine Rechtsberatung im Einzelfall. Für eine Einschätzung Ihres konkreten Anliegens vereinbaren Sie gern ein Erstgespräch mit KALER.