Artikel 4 EU AI Act: Geltungsbereich, Betroffene und was seit dem Digital Omnibus als Erfüllung gilt

Stand: 15. September 2026. Dieser Beitrag ist eine Einordnung aus der Praxis, keine Rechtsberatung.

In vielen Unternehmen wird KI täglich an mehreren Stellen gleichzeitig genutzt: für Angebotsbegründungen mit Copilot, Kundenpräsentationen mit ChatGPT, Stellenausschreibungen in der Personalabteilung. Auf die Frage, wie gut das geschieht, gibt es selten eine belastbare Antwort. Genau hier setzt Artikel 4 der KI-Verordnung an: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag mit KI-Systemen arbeiten. Zu berücksichtigen sind die technischen Kenntnisse, die Erfahrung, die Aus- und Fortbildung und der Kontext, in dem die Systeme eingesetzt werden. Die Pflicht gilt seit dem 2. Februar 2025. Seit dem 2. August 2026 überwachen die nationalen Marktüberwachungsbehörden ihre Einhaltung, in Deutschland die Bundesnetzagentur.

Wichtig ist, was im Gesetzestext nicht steht. Artikel 4 nennt kein Zertifikat, kein Mindeststundenkontingent und kein vorgeschriebenes Schulungsformat. Die EU-Kommission sagt es in ihren Fragen und Antworten zur KI-Kompetenz ausdrücklich: Es gibt keine Einheitslösung und keine verpflichtenden Schulungen, ein Zertifikat ist nicht nötig, empfohlen werden interne Aufzeichnungen über Schulungen und andere Maßnahmen. Ein bestimmtes Kompetenzniveau muss seit der Omnibus-Verordnung niemand garantieren. Verlangt sind Maßnahmen, die dazu führen sollen, dass die Menschen im Unternehmen KI-Systeme sachkundig einsetzen, Chancen und Risiken einschätzen und mögliche Schäden erkennen können. Welche Maßnahmen das sind, entscheiden Sie selbst, und genau deshalb brauchen Sie einen belastbaren Nachweis darüber, was Sie getan haben und was es bewirkt hat. Einen Überblick über die einzelnen Bausteine finden Sie in unserem Leitfaden zur KI-Kompetenz.

Wer ist von Artikel 4 EU AI Act betroffen: Anbieter, Betreiber oder auch der Mittelstand?

Artikel 4 betrifft Anbieter und Betreiber von KI-Systemen. Betreiber ist nach Artikel 3 Nummer 4 der KI-Verordnung, wer ein KI-System in eigener Verantwortung beruflich verwendet, und im Mittelstand ist das praktisch immer die relevante Rolle: Wer Copilot, ChatGPT oder ein vergleichbares Werkzeug im Arbeitsalltag einsetzt, ist Betreiber. Eine Mindestgröße nach Beschäftigtenzahl oder Umsatz gibt es nicht, ein kleiner Betrieb fällt genauso darunter wie ein Konzern. Und die Nutzung reicht weiter, als viele Geschäftsführungen wissen. Laut Bitkom-Umfrage vom Oktober 2025 unter Unternehmen ab 20 Beschäftigten ist die Nutzung privater KI-Tools in 8 % der Betriebe weit verbreitet, in 17 % gibt es Einzelfälle, und weitere 17 % vermuten sie, ohne es sicher zu wissen. Im Work Trend Index 2024 von Microsoft und LinkedIn gaben 78 % der KI-Nutzer weltweit an, eigene KI-Tools mit zur Arbeit zu bringen, in kleinen und mittleren Unternehmen 80 %. Das beschreibt nicht nur ein Sicherheitsthema, sondern den tatsächlichen Anwendungsbereich der Vorschrift in Ihrem Unternehmen.

Der praktische Anwendungsbereich reicht deshalb weiter, als viele Geschäftsführer annehmen. Maßgeblich ist nicht, welche Tools die IT freigegeben hat, sondern womit tatsächlich gearbeitet wird. Schatten-KI verschwindet nicht dadurch aus der Verantwortung, dass sie nicht auf einer Liste steht, im Gegenteil: Gerade hier fehlen Einweisung, Rollenklärung und dokumentierte KI-Kompetenz. Die Datenschutzkonferenz geht in ihrer Orientierungshilfe KI und Datenschutz davon aus, dass eigenmächtige und unkontrollierte Nutzung derzeit in vielen Unternehmen und Behörden Realität ist, und rät zu klaren, dokumentierten Weisungen. Wer den Anwendungsbereich sauber bestimmen will, erhebt deshalb zuerst den tatsächlichen Nutzungsgrad und entscheidet danach über Maßnahmen.

Was hat der Digital Omnibus an Artikel 4 EU AI Act verändert?

Seit dem 27. Juli 2026 gilt die Omnibus-Verordnung (EU) 2026/1744, der Digital Omnibus on AI, und sie hat Artikel 4 neu gefasst. Aus der Pflicht, ein ausreichendes Maß an KI-Kompetenz sicherzustellen, wurde die Pflicht, Maßnahmen zu ergreifen, die die Entwicklung von KI-Kompetenz unterstützen. Der neue Wortlaut sagt ausdrücklich, dass Anbieter und Betreiber für keine Person ein bestimmtes Niveau garantieren müssen. Aus der Erfolgspflicht wurde eine Maßnahmenpflicht, oft auch Bemühenspflicht genannt. Erwägungsgrund 8 begründet das mit dem Compliance-Aufwand kleinerer Unternehmen und fügt hinzu, dass KI-Kompetenz unabhängig von Vorschriften und Sanktionen eine strategische Priorität sein sollte. Der neue Absatz 2 verpflichtet Kommission und Mitgliedstaaten zugleich, gerade KMU bei der Umsetzung zu unterstützen. Für den Mittelstand ohne eigene Compliance-Abteilung ist das eine spürbare Entlastung.

Die Entlastung verschiebt das Problem allerdings nur. Das Haftungsrisiko sinkt, die Dokumentationsfrage steigt. Denn ein Bemühen, das Sie nicht zeigen können, ist ein Bemühen, das Sie nicht geltend machen können. Die Kommission weist zudem darauf hin, dass es kaum ausreichen dürfte, Beschäftigte lediglich auf die Gebrauchsanweisung eines KI-Systems zu verweisen. Eine Teilnahmeliste zeigt Anwesenheit, kein Bemühen um Kompetenz. Wer dagegen dokumentiert, wie Mitarbeitende an einer Fallaufgabe gearbeitet haben und welches Feedback sie danach erhalten haben, hat etwas in der Hand. Welche Form dieser Nachweis annehmen sollte, sehen wir uns im nächsten Abschnitt an.

Teilnahmeliste oder Kompetenznachweis: Was trägt im Zweifel?

Beleg	Was er tatsächlich zeigt
Teilnahmeliste	Dass jemand im Raum war
Abgeschlossenes E-Learning	Dass Folien durchgeklickt wurden
Quiz-Ergebnis	Dass Faktenwissen zum Testzeitpunkt abrufbar war
Bewertete Fallaufgabe	Wie jemand bei echter Arbeit mit KI umgeht, prüft und korrigiert

Nur die letzte Zeile beantwortet die Frage, die Aufsicht, Auftraggeber und Prüfer stellen.

Im Zweifel trägt nur ein Nachweis, der zeigt, wie Menschen mit KI tatsächlich arbeiten. Die Teilnahmeliste belegt lediglich, dass jemand im Raum war, ein abgeschlossenes E-Learning, dass Folien durchgeklickt wurden, ein Quiz-Ergebnis, dass Faktenwissen zum Zeitpunkt des Tests abrufbar war. Keiner dieser Belege sagt etwas darüber aus, ob dieselbe Person eine Woche später einen fehlerhaften Copilot-Output erkennt, ihn korrigiert oder ungeprüft an einen Kunden weitergibt. Dass genau dort das Risiko liegt, zeigt die Studie von KPMG und der Universität Melbourne mit über 48.000 Befragten in 47 Ländern: 66 % der Beschäftigten verlassen sich auf KI-Ergebnisse, ohne deren Richtigkeit zu prüfen, 56 % haben durch KI bereits Fehler in ihrer Arbeit gemacht, und nur 47 % haben überhaupt eine KI-Schulung erhalten. Viele Unternehmen dokumentieren heute Anwesenheit und nennen es KI-Kompetenz. Genau hier wird die Maßnahmenpflicht anspruchsvoller, als sie auf den ersten Blick klingt: Wenn nicht das Ergebnis, sondern das ernsthafte Bemühen darzulegen ist, dann wird die Qualität Ihrer Maßnahmen zum eigentlichen Nachweis, und eine Anwesenheitsliste ist die schwächste denkbare Form davon.

Belastbarer wird es, wenn Ihre Mitarbeitenden eine Fallaufgabe aus ihrem eigenen Arbeitsalltag bearbeiten, etwa eine Angebotsbegründung, eine Reklamationsantwort oder eine Lieferantenbewertung, und diese Bearbeitung entlang der vier Dimensionen Strategic Tool Use, Interaction Quality, Critical Oversight und Domain-Steered Prompting bewertet wird. Dann liegt nicht nur ein Datum und ein Häkchen vor, sondern eine nachvollziehbare Aussage darüber, wer im Unternehmen mit KI sicher arbeitet, wo systematisch nachgesteuert wird und wie sich das über die Zeit entwickelt. Für Ausschreibungen, Wirtschaftsprüfer oder eine Aufsichtsanfrage ist das der Unterschied zwischen einer Behauptung und einer Grundlage.

Wer verlangt den Nachweis in der Praxis?

Wer den Nachweis in der Praxis verlangt

Seit dem 2. August 2026 kann die Bundesnetzagentur als Marktüberwachungsbehörde nachfragen, welche Maßnahmen ein Unternehmen ergriffen und dokumentiert hat. Für KI-Systeme im direkten Zusammenhang mit einer regulierten Finanztätigkeit ist die BaFin zuständig. Jede Person kann sich bei der Bundesnetzagentur außerdem über einen vermuteten Verstoß gegen die KI-Verordnung beschweren. Ein eigenes EU-Bußgeld für fehlende KI-Kompetenz gibt es allerdings nicht: Artikel 99 der KI-Verordnung führt Artikel 4 in seinen Bußgeldtatbeständen nicht auf, und wer mit Millionenbußgeldern droht, überzeichnet. Den Nachweis verlangen deshalb häufig andere Stellen, und keine davon fragt nach guten Absichten, sondern danach, worauf sich die Einschätzung stützt. Auftraggeber nehmen den Umgang mit KI in Lieferantenfragebögen auf, und eine leere Zeile kostet dort Punkte. Wirtschaftsprüfer und Versicherer wollen wissen, wie Risiken aus dem Einsatz generativer Systeme gesteuert werden; das Institut der Wirtschaftsprüfer empfiehlt seit 2024, die Anforderungen der KI-Verordnung in bestehende Governance- und Compliance-Strukturen zu integrieren. Und im eigenen Haus fragen Aufsichtsrat, Beirat oder Konzernmutter spätestens bei einer Governance-Review nach.

Dass viele Unternehmen an dieser Stelle ins Stocken geraten, ist kein Ausreißer, sondern der Normalfall. Laut Bitkom-Studienbericht 2026 haben erst 23 % der Unternehmen ab 20 Beschäftigten feste Regeln für den KI-Einsatz, 31 % planen sie, und 36 % haben sich mit dem Thema noch nicht beschäftigt. International sieht es nicht besser aus: In der KPMG-Studie sagen nur 40 % der Beschäftigten, ihr Arbeitgeber habe eine Richtlinie oder Leitlinie zum Einsatz generativer KI. Für Sie heißt das zweierlei. Sie müssen sich nicht dafür rechtfertigen, dass noch Lücken bestehen, aber Sie sollten belegen können, dass Sie sie kennen und daran arbeiten, denn genau das ist der Kern der Maßnahmenpflicht. Hilfreich ist dabei eine Auswertung, die nicht nur einen Gesamtwert für das Unternehmen ausweist, sondern die vier Dimensionen bis auf Abteilungsebene sichtbar macht. Wie eine solche Auswertung von der Organisation bis in die einzelne Abteilung aussieht, zeigen wir an konkreten Beispielen. Wer den Stand seiner Belegschaft in dieser Granularität kennt, kann in Ausschreibung, Prüfung und Review sachlich antworten statt zu improvisieren.

Pflichtübung oder Produktivitätsprojekt: Was bringt derselbe Aufwand?

Es gibt zwei Wege, Artikel 4 abzuarbeiten, und beide kosten ähnlich viel. Der erste behandelt die Anforderung als Pflichtübung: eine Schulung im Jahresplan, eine Liste mit Namen, ein Ordner für den Fall, dass jemand fragt. Der Aufwand entsteht trotzdem, er hinterlässt aber nichts außer einem Ablagevorgang. Der zweite Weg nutzt denselben Aufwand, um zwei Fragen gleichzeitig zu beantworten: Können wir belegen, dass wir uns um KI-Kompetenz bemühen, und wissen wir, wo im Unternehmen mit KI tatsächlich gut gearbeitet wird? Der Unterschied liegt nicht im Budget, sondern darin, ob am Ende Daten oder nur Anwesenheit dokumentiert sind.

Für den zweiten Weg spricht die Ausgangslage im Mittelstand. Im Bitkom-Studienbericht 2026 nennen 53 % der Unternehmen fehlendes technisches Know-how als Hemmnis beim KI-Einsatz, 43 % bieten bislang gar keine KI-Schulungen an, und nur 8 % schulen alle Beschäftigten. Zugleich fällt es schwer, den Ertrag zu zeigen: In der BCG-Studie Where's the Value in AI unter 1.000 Führungskräften in 59 Ländern hatten 74 % der Unternehmen noch keinen greifbaren Wert aus ihrem KI-Einsatz vorzuweisen. Beide Befunde beschreiben dasselbe Problem: Lizenzen sind verteilt, aber niemand weiß, wie sicher damit gearbeitet wird. Wir setzen deshalb auf Messungen an Fallaufgaben aus dem eigenen Arbeitsalltag, vor der Qualifizierung und danach. So wird die Veränderung entlang der vier Dimensionen zur nachvollziehbaren Bewegung. Wie sich diese Wirkung vorher und nachher messen lässt, zeigen wir im Detail. Dieselbe Messung trägt im Zweifel als Nachweis der Maßnahmenpflicht und liefert der Geschäftsführung das Argument, warum die Lizenzkosten gerechtfertigt sind.

Fazit

Artikel 4 gilt für jedes Unternehmen, das Copilot, ChatGPT oder vergleichbare Werkzeuge einsetzt, unabhängig davon, ob KI offiziell eingeführt wurde oder sich über Schatten-KI verbreitet hat. Die Pflicht besteht seit dem 2. Februar 2025, seit dem 2. August 2026 überwacht die Bundesnetzagentur ihre Einhaltung, und seit dem 27. Juli 2026 hat die Omnibus-Verordnung die Erfolgspflicht in eine Maßnahmenpflicht überführt. Maßstab ist nicht der perfekte Kompetenzstand, sondern der dokumentierte, ernsthafte Aufwand. Das betrifft die Zusammenfassung einer Lieferantenbewertung mit Copilot ebenso wie einen Produkttext aus ChatGPT oder eine Ausschreibung, die einen Nachweis zur KI-Kompetenz verlangt. Dieser Beitrag gibt den Sachstand zum Redaktionsschluss wieder und ist keine Rechtsberatung.

Für diesen Aufwand ist die Fallaufgabe der belastbarste Beleg, der Ihnen zur Verfügung steht. Sie zeigt an einer echten Arbeitssituation, wie Ihre Leute mit KI umgehen, und macht das Ergebnis über Strategic Tool Use, Interaction Quality, Critical Oversight und Domain-Steered Prompting nachvollziehbar. Wenn Sie wissen wollen, wo Ihr Unternehmen beim Nachweis steht, ist der Selbstcheck mit 8 Fragen in 3 Minuten der pragmatische erste Schritt.

Quellen

Alle Quellen mit direktem Link zum Original.

1. AI Act Explorer: Artikel 4 KI-Kompetenz: aktueller deutscher Wortlaut nach der Omnibus-Änderung, gültig seit 2. Februar 2025.
2. Verordnung (EU) 2024/1689 im Amtsblatt: Begriffsbestimmungen für Anbieter und Betreiber in Artikel 3.
3. Verordnung (EU) 2026/1744 im Amtsblatt: der Digital Omnibus on AI, in Kraft seit 27. Juli 2026, mit Erwägungsgrund 8.
4. EU-Kommission: AI literacy, Questions and Answers: kein Zertifikat, keine Pflichtschulungen, interne Aufzeichnungen empfohlen, Aufsicht seit August 2026.
5. Bundesnetzagentur: Pressemitteilung vom 29. Juli 2026: Marktüberwachungs- und Beschwerdestelle für die KI-Verordnung.
6. Bundesnetzagentur: KI-Service Desk und Beschwerdestelle: Beschwerdemöglichkeit für jede natürliche oder juristische Person.
7. BaFin: Pressemitteilung vom 29. Juli 2026: Zuständigkeit für KI-Systeme im regulierten Finanzsektor.
8. AI Act Explorer: Artikel 99 Sanktionen: Bußgeldtatbestände, in denen Artikel 4 nicht aufgeführt ist.
9. Bitkom: Beschäftigte nutzen vermehrt Schatten-KI, Oktober 2025: Verbreitung privater KI-Tools in Unternehmen ab 20 Beschäftigten.
10. Microsoft und LinkedIn: Work Trend Index 2024: 78 % der KI-Nutzer bringen eigene Tools mit, 80 % in kleinen und mittleren Unternehmen.
11. Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz, 2024: interne Regelungen gegen eigenmächtige Nutzung (Rn. 36).
12. KPMG und Universität Melbourne: Trust, attitudes and use of AI, 2025: 66 % prüfen KI-Ergebnisse nicht, 56 % machten Fehler, 47 % geschult, 40 % mit Richtlinie.
13. Institut der Wirtschaftsprüfer: AI Act Knowledge Paper, 2024: Integration der KI-Verordnung in Governance- und Compliance-Strukturen.
14. Bitkom: Studienbericht Künstliche Intelligenz 2026: 23 % mit festen KI-Regeln, 53 % fehlendes Know-how, 43 % ohne Schulungen.
15. BCG: Where's the Value in AI, Oktober 2024: 74 % der Unternehmen ohne greifbaren Wert aus KI.