EU AI Act Fristen und Artikel 4: die datierte Übersicht für den Mittelstand

Stand: 1. September 2026. Dieser Beitrag ist eine Einordnung aus der Praxis, keine Rechtsberatung.

Freitagnachmittag in einem Maschinenbauunternehmen mit 180 Mitarbeitenden: Die Geschäftsführerin öffnet den dritten Newsletter dieser Woche, der eine neue Frist zum EU AI Act ankündigt. Auf dem Schreibtisch liegt ein Beratungs-PDF von vor einem Jahr, im Postfach die Rückfrage eines Kunden zur Ausschreibung, und der IT-Leiter will wissen, ob die Copilot-Lizenzen jetzt ein Problem sind. Was gilt bereits, was kommt noch, und was davon betrifft ein Unternehmen, das KI nutzt, aber keine KI entwickelt? Verstreute Meldungen, Kanzlei-Blogs und Konferenzfolien beantworten das selten, weil jede Quelle einen anderen Ausschnitt zeigt und fast nie sagt, auf welchem Stand sie ist. Dieser Beitrag führt die Termine an einer Stelle zusammen, mit Datum hinter jeder Angabe. Im Mittelpunkt steht Artikel 4 EU AI Act, die Pflicht zur KI-Kompetenz, weil sie jedes Unternehmen betrifft, in dem Beschäftigte Copilot oder ChatGPT einsetzen. Was daraus inhaltlich für Schulung, Nachweis und Dokumentation folgt, ordnet unser Leitfaden zur KI-Kompetenz ein. Hier geht es zunächst um die Chronologie.

Die Zeitleiste auf einen Blick: Diese Daten sind bereits verbindlich

Nur 11 % der Unternehmen halten ihre KI-Governance für vollständig ausreichend. Diese Zahl ist deshalb bemerkenswert, weil die entscheidenden Termine keine Planungsgrößen mehr sind, sondern bereits hinter uns liegen. Drei Daten bilden den verbindlichen Kern. Artikel 4 EU AI Act gilt seit Februar 2025 und verpflichtet Anbieter und Betreiber, für ausreichende KI-Kompetenz ihrer Mitarbeitenden zu sorgen. Seit Anfang August 2026 findet dazu aktive Aufsicht statt, die Pflicht steht also nicht mehr nur auf dem Papier. Und seit dem 27. Juli 2026 gilt der Digital Omnibus, mit dem aus der Erfolgspflicht eine Bemühenspflicht wurde.

Für die Praxis heißt das: Wer heute prüft, prüft rückwirkend. Die Frage lautet nicht, bis wann etwas aufgebaut werden muss, sondern was Sie im Fall einer Nachfrage aus dem laufenden Betrieb vorlegen können. Die Bemühenspflicht senkt den Anspruch nicht, sie verschiebt ihn. Nachweisbar sein muss das ernsthafte, dokumentierte Bemühen, nicht ein perfektes Ergebnis. Wir listen an dieser Stelle bewusst nur die bestätigten Daten auf und spekulieren nicht über weitere Schritte, weil Terminlisten mit unsicheren Einträgen in der Praxis mehr Aufwand erzeugen als Klarheit.

Was Artikel 4 verlangt: Kompetenz statt Teilnahme

Artikel 4 EU AI Act fordert ein ausreichendes Maß an KI-Kompetenz bei allen Personen, die KI-Systeme in Ihrem Auftrag betreiben oder nutzen. Der Maßstab ist nicht einheitlich. Er richtet sich nach Rolle, Einsatzkontext und Risiko. Ein Vertriebsmitarbeiter, der Angebotstexte entwirft, braucht andere Fähigkeiten als eine Sachbearbeiterin, die Bewerbungen vorsortiert. Das Gesetz nennt keine Stundenzahl und kein Zertifikat. Es nennt ein Ergebnis: Menschen, die verstehen, was ihr Werkzeug kann, wo es scheitert und wann sie eingreifen müssen.

Genau hier scheitern Quizpunkte und Teilnahmelisten. Sie belegen Konsum, nicht Können. Wer die meisten Fragen eines Multiple-Choice-Tests richtig ankreuzt, hat gezeigt, dass er sich Definitionen merken kann. Ob er einen fehlerhaften KI-Output im Arbeitsalltag erkennt, bleibt offen. Näher am Gesetzestext liegt die Fallaufgabe: eine echte Aufgabe aus dem eigenen Arbeitskontext, bearbeitet mit dem freigegebenen Tool, bewertet entlang der vier Dimensionen Strategic Tool Use, Interaction Quality, Critical Oversight und Domain-Steered Prompting. Das Ergebnis ist ein bewerteter Stand pro Person und Abteilung, also ein Nachweis, der eine Aussage trägt.

Digital Omnibus: Bemühenspflicht statt Erfolgspflicht

Seit dem 27. Juli 2026 gilt durch den Digital Omnibus eine wesentliche Änderung: Aus der Erfolgspflicht wurde eine Bemühenspflicht. Das nimmt Druck von der Frage, ob am Ende jede einzelne Person ein bestimmtes Kompetenzniveau erreicht hat, und verlagert ihn auf die Frage, ob Sie systematisch und nachvollziehbar daran gearbeitet haben. Häufig wird diese Verschiebung als Entlastung gelesen. Praktisch verlagert sie vor allem die Beweislast: Wer sich bemüht hat, muss dieses Bemühen zeigen können, sonst ist es von Untätigkeit nicht zu unterscheiden. Eine Bemühenspflicht ohne Dokumentation ist im Zweifelsfall genau das, ein Zustand ohne Nachweis.

Die praktische Aufgabe für den Mittelstand besteht deshalb nicht darin, ein Zertifikat einzusammeln, sondern einen belastbaren Nachweis über drei Elemente zu führen: eine Messung des tatsächlichen Kompetenzstands an einer Fallaufgabe, ein Coaching, das aus dem Ergebnis eine konkrete Verbesserung ableitet, und eine Wiederholung, die zeigt, dass sich etwas bewegt hat. Sind diese drei Schritte über die vier Dimensionen hinweg dokumentiert, lässt sich das Bemühen auf Organisations-, Bereichs- und Abteilungsebene darstellen, gegenüber Aufsicht, Auftraggebern in Ausschreibungen und Wirtschaftsprüfern gleichermaßen.

Wer fragt eigentlich nach, und wonach genau?

Diese Frage stellen Geschäftsführer meist dann, wenn die Termine abgehakt sind und die praktische Seite beginnt. Drei Gruppen lösen im Mittelstand konkrete Nachfragen aus. Erstens die Aufsichtsbehörden, die seit Anfang August 2026 aktiv prüfen und wissen wollen, wie Sie Ihrer Bemühenspflicht aus Artikel 4 EU AI Act nachkommen. Zweitens Ausschreibungen: In öffentlichen wie industriellen Vergabeverfahren tauchen Fragebögen zur KI-Nutzung inzwischen regelmäßig neben den bekannten Punkten zu Informationssicherheit und Lieferkette auf. Drittens Wirtschaftsprüfer, die im Rahmen der Jahresabschlussprüfung nach Prozessen, Zuständigkeiten und Belegen fragen, wenn KI-Systeme in wesentliche Abläufe eingebunden sind.

Der Ausgangspunkt ist für die meisten Unternehmen schwach, denn nur 11 % halten ihre KI-Governance für vollständig ausreichend. Entsprechend beginnt die Antwort auf solche Fragebögen oft mit einer Suche nach Unterlagen, die es so nicht gibt. Hilfreich ist deshalb, vorab zu klären, welche Aussagen Sie belastbar treffen können: Wie viele Mitarbeitende arbeiten mit KI, auf welchem Niveau, und in welchen Abteilungen liegt der größte Abstand zum benötigten Kompetenzstand. Auffällig ist außerdem, dass im selben Fragebogen fast immer technische Punkte stehen, etwa EU-Hosting, Trennung der Daten zwischen Mandanten und DSGVO-Konformität. Wie wir das technisch lösen, beschreiben wir unter Sicherheit und Datenschutz. Wer beide Teile getrennt bearbeitet, antwortet zweimal auf denselben Sachverhalt.

Nicht die Fristen sind das Risiko, sondern die unsichtbare Nutzung

Der Compliance-Kalender suggeriert, dass mit dem Abhaken der Termine die Arbeit getan ist. Die operative Realität sieht anders aus: 71 % der Beschäftigten im DACH-Mittelstand nutzen nicht freigegebene KI-Tools. Ein Teil der Nutzung, die Sie nach Artikel 4 EU AI Act steuern sollen, findet also außerhalb Ihrer Sichtweite statt, in privaten Accounts, auf privaten Geräten, ohne Protokoll. Wer diese Schatten-KI nur mit einer weiteren Richtlinie beantwortet, verschiebt sie tiefer in den Untergrund, statt sie zu verstehen. Die Frist selbst verursacht keinen Schaden. Ein Dokument, das eine Nutzung beschreibt, die es so nicht gibt, schon.

Damit stehen sich zwei Vorgehensweisen gegenüber. Der kalendergetriebene Weg fragt: Welche Unterlagen brauchen wir bis wann? Der messgetriebene Weg fragt: Wie gut wird bei uns tatsächlich mit KI gearbeitet, und wo entstehen Fehler? Für den zweiten Weg sprechen zwei weitere Zahlen: 53 % der Unternehmen nennen fehlende KI-Kompetenz als größtes Hindernis, und 80 % der KI-Investitionen liefern laut Gartner keinen messbaren ROI. Wenn Sie die Arbeit an echten Fallaufgaben entlang der vier Dimensionen messen, erzeugen Sie mit demselben Aufwand zweierlei: den Nachweis für die Bemühenspflicht und eine belastbare Aussage darüber, ob Ihre Lizenzkosten Wirkung entfalten. Wie sich das vorher und nachher vergleichen lässt, zeigen wir unter Wirkung und ROI.

So entsteht der Nachweis im nächsten Quartal

Montagmorgen in einem Zulieferbetrieb mit 240 Mitarbeitenden: Der Vertriebsleiter lässt sich von ChatGPT ein Angebotsschreiben formulieren, die Kollegin aus der Qualitätssicherung prüft mit Copilot einen Prüfbericht, und in der Buchhaltung wandert eine Lieferantenliste in ein Tool, das niemand freigegeben hat. Genau hier beginnt der Weg zum Nachweis, nicht in einer Schulungsplanung. Der erste Schritt ist eine Ausgangsmessung über die vier Dimensionen Strategic Tool Use, Interaction Quality, Critical Oversight und Domain-Steered Prompting. Sie zeigt, wo KI-Kompetenz bereits belastbar ist und wo sie fehlt. Beginnen Sie nicht mit der Gesamtbelegschaft, sondern mit den Rollen, die täglich mit KI arbeiten, typischerweise Vertrieb, Einkauf, Personal, Buchhaltung und technische Dokumentation. Die Fallaufgabe orientiert sich an den Aufgaben dieser Rollen, damit das Ergebnis etwas über die Arbeit aussagt und nicht über Prüfungsroutine.

Eine Messung allein verändert nichts, sie erzeugt nur eine Momentaufnahme. Deshalb folgt bei Proveo nach der Abgabe das Coaching: Beleg, Musterlösung und ein konkreter Tipp, an dem die Person im nächsten Arbeitsschritt weiterarbeiten kann. Nach einigen Wochen wiederholen Sie die Messung mit vergleichbaren Fallaufgaben, und aus zwei Datenpunkten wird eine Entwicklung, die Sie Wirtschaftsprüfern, Auftraggebern oder einer Aufsichtsbehörde zeigen können, ausgewertet von der Organisation bis in einzelne Abteilungen. Für die Bemühenspflicht nach Artikel 4 EU AI Act ist genau das der Unterschied zwischen einer Teilnahmeliste und einem dokumentierten Vorgehen.

Fazit: drei Daten, eine Nachweislogik

Verbindlich sind drei Daten: Februar 2025 für die Geltung von Artikel 4 EU AI Act, der 27. Juli 2026 für den Digital Omnibus mit dem Wechsel von der Erfolgspflicht zur Bemühenspflicht und Anfang August 2026 für die aktive Aufsicht. Alles Weitere ist Auslegung oder Ankündigung. Wer Compliance ausschließlich als Kalenderaufgabe behandelt, produziert Aufwand ohne Wirkung: Schulungen werden gebucht, Teilnahmelisten abgeheftet, und die Frage, wie gut im Alltag mit Copilot oder ChatGPT gearbeitet wird, bleibt offen. Dass laut Gartner 80 % der KI-Investitionen keinen messbaren ROI liefern, hat mit genau diesem Muster zu tun.

Die Bemühenspflicht erfüllen Sie nicht mit einer einmaligen Schulung, sondern mit dokumentierter, wiederholter Messung: Fallaufgaben aus dem eigenen Arbeitskontext, Coaching nach der Abgabe, Auswertung entlang der vier Dimensionen. Beginnen Sie in den nächsten Wochen deshalb mit einer gemessenen Ausgangslage statt mit einem Schulungskalender. Erst wenn Sie wissen, wo Ihre Abteilungen heute stehen, lässt sich entscheiden, welche Maßnahme sich lohnt, und erst dann entsteht ein Nachweis, der gegenüber Ausschreibungen, Wirtschaftsprüfern und der Aufsicht Bestand hat. Einen Einstieg mit geringem Aufwand bietet der Selbstcheck mit 8 Fragen in 3 Minuten.