Artikel 4 EU AI Act: Die 7-Schritte-Checkliste für den Mittelstand

Stand: 15. September 2026. Dieser Beitrag ist eine Einordnung aus der Praxis, keine Rechtsberatung.

Die Lage in einem Satz: Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025, wird seit dem 2. August 2026 aktiv beaufsichtigt, in Deutschland durch die Bundesnetzagentur, und verlangt seit der Omnibus-Verordnung (EU) 2026/1744 vom 27. Juli 2026 Maßnahmen zur Förderung von KI-Kompetenz statt eines garantierten Niveaus. Was daraus praktisch folgt, lässt sich als Liste abarbeiten. Sieben Schritte, in dieser Reihenfolge.

Schritt	Was danach vorliegt
1. KI-Inventar erstellen	Eine Liste der tatsächlich genutzten Werkzeuge, auch ohne Freigabe
2. Rollen und Einsatzkontexte clustern	Drei bis fünf Cluster mit je einem Satz, was kompetente Nutzung dort heißt
3. Ist-Stand messen	Ein Bild, wo das Team an echter Arbeit steht und wo Lücken liegen
4. Lücken gezielt schließen	Eine passende Maßnahme je Lücke statt einer Schulung für alle
5. Dokumentieren	Ein datierter Beleg: wer, was, wann, mit welchem Ergebnis
6. Richtlinie und Freigaben nachziehen	Regeln, die den tatsächlichen Zustand beschreiben
7. Wiederholen	Ein Rhythmus, der den Nachweis aktuell hält und Wirkung zeigt

Die Reihenfolge zählt: Wer mit Schritt 4 beginnt, schult an einem Bedarf vorbei, den niemand gemessen hat.

Schritt 1: KI-Inventar erstellen, inklusive Schatten-KI

Welche KI-Systeme werden im Unternehmen tatsächlich genutzt? Die Betonung liegt auf „tatsächlich“. Laut Bitkom-Umfrage vom Oktober 2025 unter Unternehmen ab 20 Beschäftigten ist die Nutzung privater KI-Tools in 8 % der Betriebe weit verbreitet, in weiteren 17 % gibt es Einzelfälle, und 17 % vermuten sie, ohne es zu wissen. Global fällt das Bild noch deutlicher aus: Im Work Trend Index 2024 von Microsoft und LinkedIn gaben 78 % der KI-Nutzer an, eigene KI-Tools mit zur Arbeit zu bringen, in kleinen und mittleren Unternehmen 80 %. Die deutschen Datenschutzaufsichtsbehörden gehen in ihrer Orientierungshilfe KI und Datenschutz davon aus, dass eigenmächtige, unkontrollierte Nutzung derzeit in vielen Unternehmen Realität ist. Ein Inventar, das nur die eingekauften Lizenzen listet, beschreibt also einen Teil der Realität. Fragen Sie die Teams direkt und ohne Sanktionsdrohung, sonst bekommen Sie die offizielle Liste noch einmal.

Schritt 2: Rollen und Einsatzkontexte clustern

Artikel 4 verlangt Kompetenz passend zu Rolle und Kontext, keine Einheitsschulung: Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung und der Einsatzkontext der Personen, und die EU-Kommission betont, dass es keine Einheitslösung und keine vorgeschriebenen Schulungen gibt. Drei bis fünf Cluster reichen im Mittelstand meist: etwa gelegentliche Nutzung für Texte und Recherche, intensive Nutzung in Kundenkommunikation oder Angebotserstellung, und besonders sensible Kontexte wie Personal- oder Finanzdaten. Pro Cluster genügt ein Satz dazu, was kompetente Nutzung dort bedeutet.

Schritt 3: Ist-Stand messen, an echter Arbeit

Vor jeder Maßnahme steht die Frage, wo das Team tatsächlich steht. Eine Selbsteinschätzung liefert ein Stimmungsbild, und ein trügerisches dazu: In der klassischen Studie von Kruger und Dunning schätzten sich Teilnehmende aus dem schwächsten Viertel, die tatsächlich im 12. Perzentil lagen, selbst im 62. Perzentil ein. Ein Quiz liefert einen Wissensstand. Belastbar wird das Bild erst, wenn Mitarbeitende eine echte Aufgabe aus ihrem Bereich mit KI bearbeiten und der Weg zum Ergebnis bewertet wird. Erst dieser Schritt zeigt, ob es überhaupt Lücken gibt, wo genau sie liegen und welche Maßnahme sich lohnt.

Schritt 4: Lücken gezielt schließen statt flächig schulen

Mit dem Ist-Bild aus Schritt 3 wird aus der Gießkanne ein Werkzeugkasten: Ein Team, das KI-Ausgaben ungeprüft übernimmt, braucht etwas anderes als eines, das das Werkzeug an den falschen Stellen einsetzt. Die Studie AI at Work 2025 von BCG unter mehr als 10.600 Befragten fand, dass nur ein Drittel der Beschäftigten sich richtig geschult fühlt, und dass die regelmäßige Nutzung deutlich steigt, sobald mindestens fünf Stunden Training mit persönlichem Coaching zusammenkommen. Gezieltes Feedback nach jeder Aufgabe ist dabei der wirksamste Hebel, allerdings nur, wenn es konkret ist: Die Meta-Analyse von Wisniewski, Zierer und Hattie über 435 Studien zeigt, dass informationsreiches Feedback zu Aufgabe, Prozess und Selbststeuerung am stärksten wirkt, während eine frühere Übersicht rund ein Drittel aller Feedback-Effekte als negativ auswies.

Schritt 5: Dokumentieren, wer, was, wann, Ergebnis

Die Maßnahmenpflicht macht die Dokumentation zum Kern der Compliance: Was nicht festgehalten ist, lässt sich nicht vorzeigen. Die EU-Kommission verlangt kein Zertifikat, empfiehlt aber ausdrücklich interne Aufzeichnungen über Schulungen und andere Maßnahmen. Halten Sie pro Maßnahme fest, wer teilgenommen hat, was gemessen oder vermittelt wurde, wann, und was dabei herauskam. Das Kirkpatrick-Modell hilft bei der Frage, was das „Ergebnis“ ist: Nicht die Reaktion auf die Schulung (Stufe 1) oder das Gelernte (Stufe 2), sondern das Verhalten im Arbeitsalltag (Stufe 3). Ein datierter Kompetenzbeleg pro Person und Durchlauf ist genau die Form, die vor Behörden, Kunden und Prüfern trägt.

Schritt 6: Richtlinie und Freigaben nachziehen

Das Inventar aus Schritt 1 zeigt fast immer Tools, die genutzt, aber nie freigegeben wurden. Jetzt lässt sich sauber entscheiden, was offiziell unterstützt und was ersetzt wird, und die KI-Richtlinie beschreibt danach den tatsächlichen Zustand statt eines Wunschbilds. Nachholbedarf gibt es reichlich: Laut Bitkom hatten im Herbst 2025 erst 23 % der Unternehmen ab 20 Beschäftigten Regeln für den Einsatz von KI-Tools, 31 % planten sie. Ein Verbot ist dabei keine Lösung: Der KPMG-Vollbericht 2025 fand regelwidrige KI-Nutzung am häufigsten in Organisationen mit GenAI-Verbot (67 %), und die Datenschutzkonferenz rät in ihrer Orientierungshilfe, betriebliche Accounts bereitzustellen, damit niemand mit privaten Zugängen arbeiten muss. Eine Richtlinie allein ist allerdings noch kein Bemühen um Kompetenz; sie regelt das Dürfen, nicht das Können.

Schritt 7: Wiederholen, Kompetenz ist kein Einmalprojekt

Modelle, Tools und Aufgaben ändern sich schneller als jeder Schulungskatalog, und Gelerntes hält nicht von allein: In der Replikation der Ebbinghaus-Vergessenskurve von Murre und Dros war von reinem Faktenwissen nach einem Tag noch gut ein Viertel abrufbar, nach einem Monat fast nichts. Ein halbjährlicher Rhythmus aus Messung, gezielter Maßnahme und Dokumentation hält den Nachweis aktuell, und macht nebenbei sichtbar, ob sich das Investment lohnt, weil dieselbe Kompetenz vor und nach einer Maßnahme gemessen wird.

Fazit

Sieben Schritte, kein Hexenwerk, aber eine Reihenfolge, die zählt: erst wissen, was genutzt wird und wo das Team steht, dann handeln, dann dokumentieren, dann wiederholen. Der Respekt vor dem Aufwand ist verbreitet, laut Bitkom-Studienbericht 2026 erwarten 93 % der von der KI-Verordnung betroffenen Unternehmen einen eher oder sehr hohen Umsetzungsaufwand. Wer die Liste einmal durchlaufen hat, besitzt genau das, was die Maßnahmenpflicht verlangt: einen laufenden, belegbaren Prozess statt einer einzelnen Maßnahme aus der Vergangenheit.

Quellen

Alle Quellen mit direktem Link zum Original.

1. AI Act Explorer: Artikel 4 KI-Kompetenz: aktueller deutscher Wortlaut nach der Omnibus-Änderung, gültig seit 2. Februar 2025.
2. Verordnung (EU) 2026/1744 im Amtsblatt: der Digital Omnibus on AI, in Kraft seit 27. Juli 2026.
3. EU-Kommission: AI literacy, Questions and Answers: keine Einheitslösung, kein Zertifikat, interne Aufzeichnungen empfohlen.
4. Bundesnetzagentur: Pressemitteilung vom 29. Juli 2026: Marktüberwachungs- und Beschwerdestelle für die KI-Verordnung.
5. Bitkom: Beschäftigte nutzen vermehrt Schatten-KI, Oktober 2025: Verbreitung privater KI-Tools und Stand der KI-Regeln in Unternehmen ab 20 Beschäftigten.
6. Microsoft und LinkedIn: Work Trend Index 2024: 78 % der KI-Nutzer bringen eigene Tools mit, 80 % in kleinen und mittleren Unternehmen.
7. Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz, 2024: interne Regelungen (Rn. 36) und betriebliche Accounts (Rn. 41).
8. Kruger und Dunning, 1999: Selbstüberschätzung bei geringer Kompetenz, 12. gegenüber 62. Perzentil.
9. BCG: AI at Work 2025: ein Drittel fühlt sich richtig geschult, Wirkung von fünf Stunden Training mit Coaching.
10. Wisniewski, Zierer und Hattie: The Power of Feedback Revisited, 2020: Meta-Analyse über 435 Studien, informationsreiches Feedback wirkt am stärksten.
11. Kirkpatrick Partners: The Kirkpatrick Model: vier Stufen von Reaktion bis Ergebnis.
12. KPMG und Universität Melbourne: Trust, attitudes and use of AI, Vollbericht 2025: regelwidrige Nutzung bei Verbot (67 %), mit Richtlinie (56 %), ohne Richtlinie (33 %).
13. Murre und Dros: Replication and Analysis of Ebbinghaus' Forgetting Curve, 2015: Behaltensleistung nach 1 Tag und 31 Tagen.
14. Bitkom: Studienbericht Künstliche Intelligenz 2026: 93 % der betroffenen Unternehmen erwarten hohen Aufwand durch die KI-Verordnung.