KI-Kompetenzpflicht nach Art. 4 EU AI Act: Was KMU jetzt nachweisen müssen

Die KI-Kompetenzpflicht aus Art. 4 EU AI Act gilt seit dem 2. Februar 2025 — für jedes Unternehmen, das KI einsetzt, unabhängig von der Größe. Ab dem 2. August 2026 ist sie behördlich durchsetzbar. Wer ChatGPT, Microsoft Copilot oder einen Chatbot im Betrieb nutzt, muss geschulte Mitarbeitende nachweisen können.

Was fordert Art. 4 konkret?

Der Wortlaut ist kurz: Anbieter und Betreiber von KI-Systemen müssen „nach besten Kräften sicherstellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen."

Übersetzt heißt das: Wer im Unternehmen mit KI-Tools arbeitet, muss verstehen, was diese Tools können, was sie nicht können und welche Risiken bei der Nutzung entstehen — abgestuft nach Vorwissen, Rolle und Einsatzkontext. Eine Marketing-Mitarbeiterin, die Texte mit ChatGPT erstellt, braucht eine andere Schulungstiefe als ein Entwickler, der KI in Produkte einbaut.

Wen betrifft die Pflicht?

Praktisch jedes Unternehmen. Art. 4 unterscheidet nicht zwischen Konzern und Drei-Personen-Betrieb und nicht danach, ob Sie KI entwickeln oder nur nutzen. Betroffen sind Sie bereits, wenn im Betrieb:

• ChatGPT, Claude oder Gemini für Texte, Recherche oder Übersetzungen genutzt wird,
• Microsoft Copilot in Office-Anwendungen aktiviert ist,
• ein Chatbot auf der Website mit Kunden kommuniziert,
• KI-Funktionen in Standardsoftware laufen (CRM-Scoring, automatische Bildbearbeitung, Bewerber-Vorauswahl).

Der häufigste Irrtum in KMU: „Wir machen ja gar nichts mit KI." Die KI-Tool-Inventur zeigt dann regelmäßig fünf bis fünfzehn Anwendungen — viele davon als Funktion in Software, die längst im Einsatz ist.

Was passiert bei Verstößen?

Art. 4 selbst nennt keinen eigenen Bußgeldtatbestand. Riskant wird es trotzdem auf drei Wegen: Erstens fließt die fehlende Kompetenz in die Bewertung anderer Verstöße ein — der Bußgeldrahmen des AI Act reicht bis 15 Mio. € oder 3 % des weltweiten Umsatzes, für KMU gedeckelt. Zweitens prüfen Aufsichtsbehörden (in Deutschland: Bundesnetzagentur und BSI) die Schulungslage als Einstiegsfrage. Drittens haften Geschäftsführungen im Schadensfall leichter, wenn nachweislich ungeschultes Personal KI-Entscheidungen getroffen hat — etwa bei einer fehlerhaften, KI-gestützten Bewerberauswahl.

Was zählt als Nachweis?

Das Gesetz schreibt kein bestimmtes Format vor. In der Praxis hat sich eine dokumentierte Kette bewährt:

1. KI-Tool-Inventur: Welche KI-Systeme sind im Einsatz, wer nutzt sie, in welcher Rolle (Betreiber oder Anbieter)?
2. Risiko-Einstufung: Welche Anwendungen sind unkritisch, welche transparenzpflichtig, welche perspektivisch Hochrisiko?
3. Schulung mit Teilnahmenachweis: Inhalte abgestuft nach Rolle, mit Datum, Teilnehmerliste und Lernzielen dokumentiert.
4. KI-Nutzungsrichtlinie: Interne Regeln, was mit welchen Tools erlaubt ist — von allen Nutzenden zur Kenntnis genommen.
5. Wiederholung: Auffrischung bei neuen Tools, neuen Mitarbeitenden und Gesetzesänderungen.

Entscheidend ist die Datierung: Im Prüffall zählt, dass Sie belegen können, wann geschult und dokumentiert wurde — nicht erst nach der behördlichen Anfrage.

So gehen KMU pragmatisch vor

Für einen Betrieb mit 10–50 Beschäftigten ist das kein Großprojekt. Realistisch sind ein bis zwei Wochen:

• Tag 1–3: Inventur per Abfrage in allen Abteilungen — auch nach „versteckter" KI in Standardsoftware fragen.
• Tag 4–5: Einstufung je Tool und Lückenliste (Gap-Report).
• Tag 6–12: Kompakte Schulung (2–3 Stunden reichen für reine Anwender), Richtlinie einführen, Teilnahme dokumentieren.
• Tag 13–14: Alles in einer Dokumentationsmappe bündeln — fertig ist der prüffeste Nachweis.