EU AI Act Fristen und Artikel 4: die datierte Übersicht für den Mittelstand

Stand: 15. September 2026. Dieser Beitrag ist eine Einordnung aus der Praxis, keine Rechtsberatung.

Zur KI-Verordnung kursieren viele Termine, und fast jede Quelle zeigt einen anderen Ausschnitt, ohne zu sagen, auf welchem Stand sie ist. Für eine Geschäftsführung bleiben dann drei Fragen offen: Was gilt bereits, was kommt noch, und was davon betrifft ein Unternehmen, das KI nutzt, aber keine KI entwickelt? Dieser Beitrag führt die Termine an einer Stelle zusammen, mit Datum und Primärquelle hinter jeder Angabe: dem Verordnungstext auf EUR-Lex, der Übersichtsseite der Europäischen Kommission und den Mitteilungen der deutschen Aufsicht. Im Mittelpunkt steht Artikel 4, die Pflicht zur KI-Kompetenz, weil sie jedes Unternehmen betrifft, in dem Beschäftigte Copilot oder ChatGPT einsetzen. Was daraus für Schulung, Nachweis und Dokumentation folgt, ordnet unser Leitfaden zur KI-Kompetenz ein.

Datum	Was ab dann gilt
2. Februar 2025	Artikel 4 (KI-Kompetenz) und die Verbote bestimmter KI-Praktiken gelten
2. August 2025	Regeln für KI-Modelle mit allgemeinem Verwendungszweck gelten
27. Juli 2026	Digital Omnibus in Kraft: Artikel 4 wird zur Maßnahmenpflicht
29. Juli 2026	KI-MIG in Kraft: Bundesnetzagentur und BaFin werden zuständig
2. August 2026	Beginn der Aufsicht; Transparenzpflichten nach Artikel 50 gelten
2. Dezember 2027	Anforderungen an Hochrisiko-Systeme nach Anhang III
2. August 2028	Anforderungen an KI in regulierten Produkten nach Anhang I

Für ein Unternehmen, das KI nutzt, aber nicht entwickelt, zählen vor allem die ersten drei verbindlichen Daten zu Artikel 4. Alles Weitere ist Einordnung oder betrifft andere Rollen.

Welche Termine des EU AI Act sind bereits verbindlich?

Verbindlich sind drei Daten. Artikel 4 gilt seit dem 2. Februar 2025 (Artikel 4 im AI Act Explorer). Seit dem 27. Juli 2026 gilt die Omnibus-Verordnung (EU) 2026/1744, die Artikel 4 neu gefasst hat: Anbieter und Betreiber ergreifen Maßnahmen zur Förderung der KI-Kompetenz, müssen aber kein bestimmtes Niveau bei einer einzelnen Person garantieren. Und seit dem 2. August 2026 überwachen die nationalen Marktüberwachungsbehörden die Einhaltung, in Deutschland nach dem am 29. Juli 2026 in Kraft getretenen KI-MIG die Bundesnetzagentur, für KI-Systeme im direkten Zusammenhang mit regulierter Finanztätigkeit die BaFin. Diese Termine sind keine Planungsgrößen mehr, sondern liegen bereits hinter uns. Der Omnibus verschiebt den Maßstab von der Frage, ob ein Ergebnis erreicht wurde, auf die Frage, ob systematisch daran gearbeitet wurde.

Für die Praxis heißt das: Wer heute prüft, prüft rückwirkend. Die Frage lautet nicht, bis wann etwas aufgebaut werden muss, sondern was Sie im Fall einer Nachfrage aus dem laufenden Betrieb vorlegen können. Die Maßnahmenpflicht senkt den Anspruch nicht, sie verschiebt ihn. Nachweisbar sein muss das ernsthafte, dokumentierte Bemühen, nicht ein perfektes Ergebnis. Zur Einordnung die übrigen Termine der Verordnung, wie sie die Kommission und Artikel 113 in der Fassung des Omnibus ausweisen: Verbotene Praktiken gelten seit dem 2. Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025, die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Die Anforderungen an Hochrisiko-Systeme nach Anhang III greifen ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Für ein Unternehmen, das Copilot oder ChatGPT nutzt, aber keine KI entwickelt, ist davon vor allem Artikel 4 relevant, dazu unter Umständen Artikel 50, etwa wenn KI-erzeugte Bilder oder Texte veröffentlicht werden.

Was verlangt Artikel 4 EU AI Act konkret?

Artikel 4, geltend seit dem 2. Februar 2025, verlangt von Anbietern und Betreibern Maßnahmen, die die KI-Kompetenz aller Personen fördern, die KI-Systeme in ihrem Auftrag betreiben oder nutzen. Der Maßstab ist nicht einheitlich, sondern richtet sich nach Rolle, Einsatzkontext und Risiko. Ein Vertriebsmitarbeiter, der Angebotstexte entwirft, braucht andere Fähigkeiten als eine Sachbearbeiterin, die Bewerbungen vorsortiert. Das Gesetz nennt keine Stundenzahl und kein Zertifikat. Die Europäische Kommission stellt in ihren Fragen und Antworten zur KI-Kompetenz klar, dass kein Zertifikat nötig ist, dass es keine Einheitslösung gibt und dass ein bloßer Verweis auf die Gebrauchsanweisung des Tools voraussichtlich nicht genügt; sie empfiehlt interne Aufzeichnungen über Schulungen und andere Maßnahmen. KI-Kompetenz definiert Artikel 3 Nr. 56 als Fähigkeiten, Kenntnisse und Verständnis, die einen sachkundigen Einsatz von KI-Systemen und das Bewusstsein für Chancen und Risiken ermöglichen. Gemeint ist also ein Ergebnis: Menschen, die verstehen, was ihr Werkzeug kann, wo es scheitert und wann sie eingreifen müssen.

Genau hier scheitern Quizpunkte und Teilnahmelisten. Sie belegen Konsum, nicht Können. Wer die meisten Fragen eines Multiple-Choice-Tests richtig ankreuzt, hat gezeigt, dass er sich Definitionen merken kann. Ob er einen fehlerhaften KI-Output im Arbeitsalltag erkennt, bleibt offen. Näher am Gesetzestext liegt die Fallaufgabe: eine echte Aufgabe aus dem eigenen Arbeitskontext, bearbeitet mit dem freigegebenen Tool, bewertet entlang der vier Dimensionen Strategic Tool Use, Interaction Quality, Critical Oversight und Domain-Steered Prompting. Das Ergebnis ist ein bewerteter Stand pro Person und Abteilung, also ein Nachweis, der eine Aussage trägt.

Was hat der Digital Omnibus seit dem 27. Juli 2026 geändert?

Seit dem 27. Juli 2026 gilt durch die Omnibus-Verordnung (EU) 2026/1744 eine wesentliche Änderung: Aus der Erfolgspflicht wurde eine Maßnahmenpflicht. Der neue Wortlaut von Artikel 4 Absatz 1 stellt ausdrücklich klar, dass die Pflicht nicht verlangt, ein bestimmtes Kompetenzniveau bei einer einzelnen Person zu garantieren (Verordnung (EU) 2026/1744 auf EUR-Lex). Damit zählt nicht mehr, ob am Ende jede Person ein Niveau erreicht hat, sondern ob Sie systematisch und nachvollziehbar daran gearbeitet haben. Erwägungsgrund 8 begründet das mit dem Compliance-Aufwand kleinerer Unternehmen und hält zugleich fest, dass KI-Kompetenz unabhängig von Pflichten und Sanktionen eine strategische Priorität sein sollte. Die Kommission formuliert es so: KI-Kompetenz bleibt eine Pflicht für Anbieter und Betreiber, nur ein bestimmtes oder „ausreichendes“ Niveau ist nicht mehr vorgeschrieben. Häufig wird diese Verschiebung als Entlastung gelesen. Praktisch verlagert sie vor allem die Beweislast: Wer sich bemüht hat, muss dieses Bemühen zeigen können, sonst ist es von Untätigkeit nicht zu unterscheiden. Neu sind außerdem die Absätze 2 und 3: Kommission und Mitgliedstaaten sollen insbesondere KMU mit Schulungsangeboten und Informationsmaterial unterstützen, und das KI-Gremium soll Empfehlungen zu Kompetenzrahmen vorlegen (Artikel 4 in der aktuellen Fassung).

Die praktische Aufgabe für den Mittelstand besteht deshalb nicht darin, ein Zertifikat einzusammeln, sondern einen belastbaren Nachweis über drei Elemente zu führen: eine Messung des tatsächlichen Kompetenzstands an einer Fallaufgabe, ein Coaching, das aus dem Ergebnis eine konkrete Verbesserung ableitet, und eine Wiederholung, die zeigt, dass sich etwas bewegt hat. Sind diese drei Schritte über die vier Dimensionen hinweg dokumentiert, lässt sich das Bemühen auf Organisations-, Bereichs- und Abteilungsebene darstellen, gegenüber Aufsicht, Auftraggebern in Ausschreibungen und Wirtschaftsprüfern gleichermaßen.

Wer fragt den Nachweis nach, und wonach genau?

Drei Gruppen lösen im Mittelstand konkrete Nachfragen aus: Aufsichtsbehörden, Ausschreibungen und Wirtschaftsprüfer. Erstens die Aufsicht: Die Bundesnetzagentur ist nach § 2 Absatz 1 KI-MIG Marktüberwachungsbehörde, nimmt seit dem 2. August 2026 Beschwerden entgegen und prüft Unterlagen (Marktüberwachung der Bundesnetzagentur). Ein eigenes Bußgeld für Artikel 4 gibt es nicht, Artikel 99 führt ihn nicht auf; gefragt wird nach Prozessen, Zuständigkeiten und Belegen dazu, wie Sie Ihrer Maßnahmenpflicht nachkommen. Zweitens Ausschreibungen: In öffentlichen wie industriellen Vergabeverfahren tauchen Fragebögen zur KI-Nutzung inzwischen regelmäßig neben den bekannten Punkten zu Informationssicherheit und Lieferkette auf. Drittens Wirtschaftsprüfer: Das Institut der Wirtschaftsprüfer empfiehlt, die Anforderungen der KI-Verordnung in bestehende Governance- und Compliance-Strukturen zu integrieren, und stellt mit IDW PS 861 einen Prüfungsstandard für KI-Systeme bereit (IDW Knowledge Paper zum AI Act). Geschäftsführer stellen diese Frage meist dann, wenn die Termine abgehakt sind und die praktische Seite beginnt.

Der Ausgangspunkt ist für die meisten Unternehmen schwach. Nur 23 % der deutschen Unternehmen ab 20 Beschäftigten haben feste Regeln für den KI-Einsatz, 36 % haben sich mit dem Thema noch nicht beschäftigt (Bitkom-Studienbericht 2026). Weltweit sagen nur 40 % der Beschäftigten, ihr Arbeitgeber habe eine Richtlinie zu generativer KI (KPMG und University of Melbourne, 2025). Entsprechend beginnt die Antwort auf solche Fragebögen oft mit einer Suche nach Unterlagen, die es so nicht gibt. Hilfreich ist deshalb, vorab zu klären, welche Aussagen Sie belastbar treffen können: Wie viele Mitarbeitende arbeiten mit KI, auf welchem Niveau, und in welchen Abteilungen liegt der größte Abstand zum benötigten Kompetenzstand. Auffällig ist außerdem, dass im selben Fragebogen fast immer technische Punkte stehen, etwa EU-Hosting, Trennung der Daten zwischen Mandanten und DSGVO-Konformität. Wie wir das technisch lösen, beschreiben wir unter Sicherheit und Datenschutz. Wer beide Teile getrennt bearbeitet, antwortet zweimal auf denselben Sachverhalt.

Warum ist Schatten-KI das größere Risiko als die Fristen?

Nicht die Fristen sind das Risiko, sondern die Nutzung, die Sie nicht sehen. 78 % der Beschäftigten, die KI bei der Arbeit nutzen, bringen eigene Tools mit, in kleinen und mittleren Unternehmen 80 % (Microsoft und LinkedIn, Work Trend Index 2024). 48 % der Beschäftigten haben laut Studie von KPMG und der University of Melbourne (48.000 Befragte in 47 Ländern) Unternehmensdaten in öffentliche KI-Tools eingegeben, 57 % verschweigen ihre KI-Nutzung. Für Deutschland meldet Bitkom (Oktober 2025): In 8 % der Unternehmen ist private KI-Nutzung weit verbreitet, in 17 % gibt es Einzelfälle, weitere 17 % vermuten sie. Ein Teil der Nutzung, die Sie nach Artikel 4 steuern sollen, findet damit außerhalb Ihrer Sichtweite statt, in privaten Accounts, auf privaten Geräten, ohne Protokoll. Der Compliance-Kalender suggeriert, dass mit dem Abhaken der Termine die Arbeit getan ist. Wer diese Schatten-KI nur mit einer weiteren Richtlinie beantwortet, verschiebt sie tiefer in den Untergrund, statt sie zu verstehen: Laut derselben KPMG-Studie ist der Upload von Firmendaten in Organisationen mit KI-Verbot sogar häufiger (67 %) als in solchen ohne jede Regel (33 %). Die Frist selbst verursacht keinen Schaden. Ein Dokument, das eine Nutzung beschreibt, die es so nicht gibt, schon.

Damit stehen sich zwei Vorgehensweisen gegenüber. Der kalendergetriebene Weg fragt: Welche Unterlagen brauchen wir bis wann? Der messgetriebene Weg fragt: Wie gut wird bei uns tatsächlich mit KI gearbeitet, und wo entstehen Fehler? Für den zweiten Weg sprechen zwei weitere Zahlen: 53 % der deutschen Unternehmen ab 20 Beschäftigten nennen fehlendes technisches Know-how als Hemmnis für den KI-Einsatz (Bitkom 2026), und nur 25 % der KI-Initiativen der vergangenen Jahre haben laut IBM-CEO-Studie 2025 den erwarteten ROI geliefert. Wenn Sie die Arbeit an echten Fallaufgaben entlang der vier Dimensionen messen, erzeugen Sie mit demselben Aufwand zweierlei: den Nachweis für die Maßnahmenpflicht und eine belastbare Aussage darüber, ob Ihre Lizenzkosten Wirkung entfalten. Wie sich das vorher und nachher vergleichen lässt, zeigen wir unter Wirkung und ROI.

Wie entsteht der Nachweis im nächsten Quartal?

Der Nachweis entsteht in drei Schritten. Beginnen Sie nicht mit der Gesamtbelegschaft, sondern mit den Rollen, die täglich mit KI arbeiten, typischerweise Vertrieb, Einkauf, Personal, Buchhaltung und technische Dokumentation. Die Fallaufgabe orientiert sich an den Aufgaben dieser Rollen, damit das Ergebnis etwas über die Arbeit aussagt und nicht über Prüfungsroutine.

Eine Messung allein verändert nichts, sie erzeugt nur eine Momentaufnahme. Deshalb folgt bei Proveo nach der Abgabe das Coaching: Beleg, Musterlösung und ein konkreter Tipp, an dem die Person im nächsten Arbeitsschritt weiterarbeiten kann. Nach einigen Wochen wiederholen Sie die Messung mit vergleichbaren Fallaufgaben, und aus zwei Datenpunkten wird eine Entwicklung, die Sie Wirtschaftsprüfern, Auftraggebern oder einer Aufsichtsbehörde zeigen können, ausgewertet von der Organisation bis in einzelne Abteilungen. Für die Bemühenspflicht nach Artikel 4 EU AI Act ist genau das der Unterschied zwischen einer Teilnahmeliste und einem dokumentierten Vorgehen.

Fazit: drei Daten, eine Nachweislogik

Verbindlich sind drei Daten: der 2. Februar 2025 für die Geltung von Artikel 4, der 27. Juli 2026 für die Omnibus-Verordnung mit dem Wechsel von der Erfolgs- zur Maßnahmenpflicht und der 2. August 2026 für den Beginn der Aufsicht durch die Bundesnetzagentur. Alles Weitere ist Auslegung oder Ankündigung. Wer Compliance ausschließlich als Kalenderaufgabe behandelt, produziert Aufwand ohne Wirkung: Schulungen werden gebucht, Teilnahmelisten abgeheftet, und die Frage, wie gut im Alltag mit Copilot oder ChatGPT gearbeitet wird, bleibt offen. Dass laut MIT-NANDA-Studie „The GenAI Divide“ (2025) 95 % der Unternehmen aus ihren Investitionen in generative KI keinen messbaren Ertrag sehen, hat mit genau diesem Muster zu tun.

Die Bemühenspflicht erfüllen Sie nicht mit einer einmaligen Schulung, sondern mit dokumentierter, wiederholter Messung: Fallaufgaben aus dem eigenen Arbeitskontext, Coaching nach der Abgabe, Auswertung entlang der vier Dimensionen. Beginnen Sie in den nächsten Wochen deshalb mit einer gemessenen Ausgangslage statt mit einem Schulungskalender. Erst wenn Sie wissen, wo Ihre Abteilungen heute stehen, lässt sich entscheiden, welche Maßnahme sich lohnt, und erst dann entsteht ein Nachweis, der gegenüber Ausschreibungen, Wirtschaftsprüfern und der Aufsicht Bestand hat. Einen Einstieg mit geringem Aufwand bietet der Selbstcheck mit 8 Fragen in 3 Minuten.

Quellen

Alle Quellen mit direktem Link zum Original.

1. Verordnung (EU) 2024/1689 (KI-Verordnung) auf EUR-Lex und AI Act Explorer, Artikel 4: Wortlaut, Definitionen (Art. 3 Nr. 3, 4 und 56), Anwendungsdatum 2. Februar 2025.
2. Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital Omnibus on AI): neuer Artikel 4, Erwägungsgrund 8, in Kraft seit 27. Juli 2026.
3. Europäische Kommission, Übersicht zum AI Act (Stand 3. August 2026) und AI Act Explorer, Artikel 113: Zeitplan der Anwendung inklusive der durch den Omnibus verschobenen Hochrisiko-Termine.
4. Europäische Kommission, AI literacy Questions & Answers (Stand 27. Juli 2026): kein Zertifikat, interne Aufzeichnungen, Aufsicht ab 2. August 2026.
5. BMDS, „Neues KI-Gesetz tritt in Kraft“ (29. Juli 2026), KI-MIG im Gesetzestext und Bundesnetzagentur, Pressemitteilung vom 29. Juli 2026: Zuständigkeiten in Deutschland.
6. BaFin, „Überwachung von KI: BaFin erhält neue Kompetenzen“ (29. Juli 2026): Zuständigkeit für KI im Finanzsektor und Zeitplan.
7. AI Act Explorer, Artikel 99 Sanktionen: Bußgeldtatbestände ohne Artikel 4.
8. IDW, Knowledge Paper zum AI Act (August 2024) und IDW PS 861: Prüfung von KI-Systemen.
9. Bitkom, Studienbericht „Künstliche Intelligenz in Deutschland“ 2026 (PDF) und Presseinformation zu Schatten-KI (Oktober 2025): 23 % mit Regeln, 53 % fehlendes Know-how, private KI-Nutzung.
10. Microsoft und LinkedIn, Work Trend Index 2024: 78 % BYOAI, 80 % in KMU.
11. KPMG und University of Melbourne, Pressemitteilung 2025 und Vollbericht (PDF): 40 % mit Richtlinie, 48 % Datenupload, 57 % verschweigen die Nutzung, Verbot vs. keine Regel.
12. IBM Institute for Business Value, CEO Study 2025 und MIT NANDA, „The GenAI Divide“ 2025 (Wiedergabe): 25 % der KI-Initiativen mit erwartetem ROI, 95 % ohne messbaren Ertrag. Originalbericht: MIT NANDA, „The GenAI Divide“ (PDF).