Stand: 14. Oktober 2026. Dieser Beitrag bietet praktische Informationen, keine Rechtsberatung.
Änderungen an diesem Beitrag
- 14.10.2026: Text überarbeitet und neu gegliedert: Fragen statt Thesen, Artikel 99 als Tabelle, ein Beispiel mit drei getrennten Fragen und eine Liste dessen, was ein Unternehmen erklären können sollte.
- 16.09.2026: Auf Sanktionen konzentriert, Artikel 83 DSGVO und ein Beispiel zu Bußgeld, Haftung und praktischem Risiko ergänzt.
- 15.09.2026: Aufbau überarbeitet und gekürzt.
- 14.09.2026: Zahlen und Aussagen mit Primärquellen belegt.
Manche Newsletter und Webinare legen nahe, dass Unternehmen Bußgelder in Millionenhöhe drohen, wenn sie ihre Beschäftigten nicht in KI schulen. Damit wird der allgemeine Sanktionsrahmen des AI Act mit den konkreten Anforderungen von Artikel 4 verwechselt.
Artikel 4 gehört nicht zu den Verstößen, die in den Bußgeldstufen von Artikel 99 aufgeführt sind. Die Höchstbeträge, die in Schlagzeilen oft genannt werden, gelten für andere Verstöße gegen den AI Act.
Freiwillig wird KI-Kompetenz dadurch nicht. Unternehmen müssen weiterhin angemessene Maßnahmen ergreifen und erklären können, was sie getan haben. Schlecht gesteuerte KI-Nutzung kann außerdem zu ganz anderen Problemen führen: beim Datenschutz, bei der Vertraulichkeit, bei vertraglichen Zusagen und bei der Aufsicht durch die Geschäftsleitung.
Das Wichtigste in Kürze
- Artikel 99 sieht kein eigenes Bußgeld für einen Verstoß gegen Artikel 4 vor. Die Höchstbeträge des AI Act sollten nicht als Bußgeld für eine nicht gebuchte KI-Schulung dargestellt werden.
- Die Pflicht bleibt wichtig. Behörden, Kunden und Prüfer können fragen, wie das Unternehmen einen verantwortungsvollen Umgang mit KI unterstützt.
- Andere rechtliche Risiken bleiben bestehen. Wenn Beschäftigte ein KI-Tool nutzen, kann das Fragen des Datenschutzes oder der Vertraulichkeit aufwerfen, unabhängig von den Sanktionsregeln zur KI-Kompetenz.
- Gute Dokumentation erklärt die ergriffenen Maßnahmen. Eine Teilnahmeliste ist ein Beleg, beantwortet aber nicht jede Frage dazu, wie Beschäftigte KI in der Praxis nutzen.
Was sanktioniert der AI Act tatsächlich?
Artikel 99 legt für verschiedene Verstöße unterschiedliche Höchstbeträge fest.
| Verstoß | Höchstbetrag nach Artikel 99 |
|---|---|
| Verbotene Praktiken nach Artikel 5 | Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes |
| Pflichten nach Artikel 99 Absatz 4, darunter bestimmte Pflichten für Hochrisiko-KI-Systeme nach Artikel 16 und 26 sowie Transparenzpflichten nach Artikel 50 | Bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes |
| Falsche, unvollständige oder irreführende Angaben gegenüber zuständigen Behörden oder notifizierten Stellen | Bis zu 7,5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes |
| Kleine und mittlere Unternehmen | Der niedrigere der beiden Höchstbeträge, fester Betrag oder Umsatzanteil |
| KI-Kompetenz nach Artikel 4 | In diesen Stufen ist kein eigenes Bußgeld aufgeführt |
Für Unternehmen außerhalb der KMU-Regel gilt grundsätzlich der höhere der beiden Höchstbeträge. Es handelt sich um gesetzliche Obergrenzen, nicht um automatische Strafen.
Artikel 4 taucht in keiner dieser drei Bußgeldstufen auf. Es ist deshalb irreführend zu behaupten, fehlende KI-Schulung einzelner Beschäftigter setze das Unternehmen automatisch einem Bußgeld von 35 Millionen Euro aus.
Was verlangt Artikel 4?
Artikel 4 betrifft die Maßnahmen, mit denen eine Organisation die KI-Kompetenz der Menschen fördert, die in ihrem Auftrag KI nutzen.
Die Leitlinien der Europäischen Kommission erklären, dass diese Maßnahmen Wissen und Erfahrung der Beschäftigten, die eingesetzten Systeme und den Arbeitskontext berücksichtigen sollen. Ein bestimmtes Zertifikat wird nicht verlangt. Unternehmen können Schulungen und andere Anleitungen intern dokumentieren.
Drei Punkte sollte man auseinanderhalten:
| Frage | Antwort |
|---|---|
| Nennt Artikel 99 ein eigenes Bußgeld für Artikel 4? | Nein. |
| Sollten Unternehmen ihre Maßnahmen zur KI-Kompetenz dokumentieren? | Interne Aufzeichnungen helfen zu erklären, was das Unternehmen getan hat und warum. |
| Müssen Unternehmen Beschäftigte mit praktischen Aufgaben prüfen? | Nein. Proveo empfiehlt realistische Aufgaben, um Unterstützungsbedarf zu erkennen und zu sehen, wie Beschäftigte ihr Wissen anwenden. Das ist eine praktische Empfehlung, keine gesetzliche Vorgabe. |
Eine praktische Einschätzung kann einen Schulungsnachweis um nützliche Details ergänzen. Sie kann etwa zeigen, ob Beschäftigte wichtige Aussagen prüfen, Datenregeln einhalten und erkennen, wann sie Hilfe brauchen.
Führt der Digital Omnibus ein neues Bußgeld ein?
Der Digital Omnibus hat den Wortlaut von Artikel 4 mit Wirkung zum 27. Juli 2026 geändert. Verlangt sind Maßnahmen zur Förderung der KI-Kompetenz, ohne dass Unternehmen ein bestimmtes Niveau für jede einzelne Person garantieren müssen.
Artikel 4 wurde damit nicht in die Bußgeldstufen von Artikel 99 aufgenommen.
Auch das deutsche KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) schafft kein eigenes Bußgeld für unzureichende KI-Kompetenz. § 15 verweist auf Artikel 99 Absatz 3 bis 5 und sieht für bestimmte nationale Verstöße Bußgelder von bis zu 50.000 Euro vor. Unzureichende KI-Kompetenz gehört nicht zu diesen Verstößen.
Die praktische Frage bleibt: Kann die Organisation erklären, welche Maßnahmen sie ergriffen hat und wie diese mit ihrer KI-Nutzung zusammenhängen?
Wo kann mangelnde Vorbereitung Probleme verursachen?
Eine fehlende Teilnahmeliste begründet nicht automatisch eine Haftung. Schwache Vorbereitung und unklare Zuständigkeiten können aber relevant werden, wenn eine Behörde einen Vorfall untersucht, ein Kunde einen Lieferanten bewertet oder die Geschäftsleitung einen KI-bezogenen Fehler aufarbeitet.
1. Anfragen der Aufsicht
Eine Behörde kann fragen, wie ein KI-System eingesetzt wird, wer verantwortlich ist und welche Anleitung die Beschäftigten erhalten.
In Deutschland ist die Bundesnetzagentur seit dem 29. Juli 2026 nach dem KI-MIG Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle. Die BaFin ist für KI-Systeme zuständig, die unmittelbar mit regulierten Finanztätigkeiten zusammenhängen.
Klare Unterlagen erleichtern die Antwort auf eine Anfrage. Dazu können die eingesetzten Werkzeuge gehören, die relevanten internen Regeln, die angebotenen Schulungen und die Folgemaßnahmen.
2. Ausschreibungen und Lieferantenbewertungen
Kunden können von Lieferanten verlangen zu beschreiben, wie die Beschäftigten auf den Umgang mit KI vorbereitet werden.
Ein Unternehmen sollte erklären können, welche Teams KI nutzen, wofür und mit welchen Maßnahmen sie dabei unterstützt werden. Die pauschale Aussage „Alle wurden geschult“ hilft oft weniger als eine kurze Beschreibung des tatsächlichen Programms und wen es erreicht.
Das sind kommerzielle Anforderungen, die vom Kunden und vom Vertrag abhängen. Sie sollten nicht mit einer gesetzlichen Pflicht zu einem bestimmten Zertifikat verwechselt werden.
3. Prüfungen und interne Compliance-Reviews
Wirtschaftsprüfer und Compliance-Teams können untersuchen, wie KI in die bestehenden Kontrollen der Organisation passt.
Das Institut der Wirtschaftsprüfer in Deutschland (IDW) empfiehlt, die Anforderungen des AI Act in Governance- und Compliance-Strukturen einzubinden. Praktisch heißt das: Verantwortung zuweisen, relevante Maßnahmen dokumentieren und prüfen, ob die Regelungen weiter passen.
4. Aufsicht durch die Geschäftsleitung
Nach einem KI-bezogenen Fehler kann die Aufarbeitung über das Werkzeug selbst hinausgehen.
Hatten die Beschäftigten klare Anweisungen? Standen geeignete Werkzeuge zur Verfügung? Hat jemand das Ergebnis geprüft? Gab es einen Weg, Bedenken zu melden?
Die Antworten können eine Rolle spielen, wenn bewertet wird, wie die Organisation mit dem Vorfall umgegangen ist. Ob eine Haftung entsteht, hängt vom Sachverhalt und vom anwendbaren Recht ab.
Andere Gesetze können weiterhin zu Bußgeldern oder Ansprüchen führen
Dass es für Artikel 4 kein eigenes Bußgeld gibt, schützt ein Unternehmen nicht vor den Folgen davon, wie seine Beschäftigten KI nutzen.
Laut einer Bitkom-Umfrage vom Oktober 2025 unter 604 Unternehmen ab 20 Beschäftigten ist die Nutzung privater KI-Tools in 8 % der Unternehmen weit verbreitet, weitere 17 % berichten von Einzelfällen.
Eine KPMG-Studie aus dem Jahr 2025 ergab, dass 48 % der befragten Beschäftigten Unternehmensdaten in öffentliche KI-Tools hochgeladen hatten.
Diese Ergebnisse zeigen, warum Unternehmen wissen müssen, welche Werkzeuge ihre Beschäftigten nutzen und welche Informationen sie dort eingeben.
Das Hochladen von Unternehmensdaten ist nicht automatisch rechtswidrig. Das Risiko hängt von den Daten, dem Dienst, dem Zweck und den getroffenen Schutzmaßnahmen ab. Unangemessene Nutzung kann aber führen zu:
- Datenschutzverstößen, wenn personenbezogene Daten verarbeitet werden, ohne die geltenden Anforderungen zu erfüllen.
- Verletzungen der Vertraulichkeit, wenn Informationen entgegen einer Vereinbarung mit Kunden oder Lieferanten weitergegeben werden.
- Problemen mit Geschäftsgeheimnissen, wenn wirtschaftlich sensible Informationen offengelegt werden.
Für bestimmte DSGVO-Verstöße sieht Artikel 83 Höchstbeträge von 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Diese Grenzen betreffen Verstöße gegen die DSGVO, nicht eine nicht abgeschlossene KI-Schulung.
Die Orientierungshilfe der Datenschutzkonferenz zu KI und Datenschutz empfiehlt klare, dokumentierte Vorgaben dazu, welche Anwendungen Beschäftigte wofür nutzen dürfen.
Ein Vorfall kann mehrere verschiedene Risiken auslösen
Nehmen wir einen Zulieferer mit 150 Beschäftigten.
Ein Mitarbeiter im Vertrieb kopiert eine Kundenliste mit namentlich genannten Ansprechpartnern in ein privates KI-Konto, um eine Reihe von E-Mails zu entwerfen. Einige Wochen später bittet ein wichtiger Kunde den Zulieferer zu erklären, wie er die KI-Kompetenz im Team fördert.
Mehrere Fragen müssen getrennt betrachtet werden.
Die Frage nach Artikel 4
Artikel 99 sieht kein eigenes Bußgeld dafür vor, dass das Unternehmen kein Zertifikat über eine KI-Schulung vorlegen kann.
Die Fragen zu Datenschutz und Vertraulichkeit
Die Weitergabe der Kundenliste kann ein Datenschutzproblem sein oder gegen eine vertragliche Zusage verstoßen. Das hängt davon ab, welche Informationen weitergegeben wurden und unter welchen Bedingungen der Dienst sie verarbeitet.
Die Frage der Lieferantenbewertung
Den Fragebogen des Kunden muss das Unternehmen trotzdem beantworten. Eine Teilnahmeliste von einem Kurs vor zwei Jahren zeigt zwar, dass eine Schulung stattgefunden hat, erklärt aber nicht die heutigen Werkzeuge, Regeln oder Unterstützungsangebote.
Derselbe Vorfall kann also regulatorische, vertragliche und kommerzielle Fragen berühren. Jede braucht ihre eigene Bewertung.
Was sollte ein Unternehmen erklären können?
Eine nützliche Dokumentation macht den Ansatz des Unternehmens auch für jemanden verständlich, der nicht an seiner Einführung beteiligt war.
Sie sollte Fragen wie diese beantworten helfen:
- Welche Teams nutzen KI, und für welche Aufgaben?
- Welche Werkzeuge und Einsatzzwecke sind freigegeben?
- Welche Anleitung oder Schulung wurde angeboten?
- Wie wurde der Bedarf verschiedener Rollen berücksichtigt?
- Was passiert, wenn Beschäftigte unsicher sind oder etwas schiefgeht?
- Wann wurden die Maßnahmen zuletzt überprüft?
Teilnahmelisten gehören in diese Dokumentation. Ebenso relevante Richtlinien, rollenspezifische Anleitungen und Folgemaßnahmen.
Praktische Einschätzungen können zusätzliche Informationen darüber liefern, wie Beschäftigte mit KI arbeiten. Sie sind nützlich, wenn ein Unternehmen Lücken erkennen oder eine Maßnahme bewerten will, sollten aber nicht als rechtliche Voraussetzung dargestellt werden.
Drei Fragen, bevor Sie eine Schulung kaufen
- Welche Anforderungen gelten für unsere tatsächliche KI-Nutzung? Prüfen Sie, ob Tätigkeiten des Unternehmens Pflichten mit eigenen Bußgeldern berühren, etwa relevante Pflichten für Hochrisiko-Systeme oder Transparenzpflichten nach Artikel 50.
- Geben Beschäftigte Informationen so weiter, dass eigene Risiken entstehen? Prüfen Sie, ob personenbezogene Daten, vertrauliches Material oder Geschäftsgeheimnisse ohne passende Freigabe und Schutzmaßnahmen in Werkzeuge eingegeben werden.
- Könnten wir unseren heutigen Ansatz mit datierten Unterlagen erklären? Prüfen Sie, ob das Unternehmen zeigen kann, was es getan hat, wen die Maßnahmen erreicht haben und wie sie mit den eingesetzten KI-Systemen zusammenhängen.
Die Antworten sind eine bessere Grundlage für das weitere Vorgehen als eine Schlagzeile über Höchstbußgelder. Sie zeigen, ob die Priorität bei Schulung liegt, bei klareren Regeln, besseren Werkzeugen, stärkerer Aufsicht oder vollständigerer Dokumentation.
Dokumentieren Sie die Maßnahmen, die zu Ihrem Unternehmen passen
Für Artikel 4 sollte nicht mit übertriebenen Warnungen vor automatischen Millionenbußgeldern geworben werden. Unternehmen brauchen trotzdem einen praktischen Ansatz für KI-Kompetenz und eine klare Dokumentation ihrer Maßnahmen.
Beginnen Sie damit zu verstehen, wie KI genutzt wird. Ermitteln Sie, welche Unterstützung die Beschäftigten brauchen, setzen Sie passende Maßnahmen um und halten Sie die Unterlagen aktuell.
Der Selbstcheck von Proveo mit acht Fragen dauert drei Minuten und ist ein Ausgangspunkt, um KI-Nutzung, Einschätzung und Dokumentation zu überprüfen. Was verschiedene Arten von Belegen zeigen können, erklärt unser Beitrag zum Nachweis der KI-Kompetenz.
Quellen
Alle Quellen mit direktem Link zum Original.
- Artikel 99 KI-Verordnung im AI Act Explorer: Bußgeldtatbestände und Höchstbeträge; Artikel 4 kommt darin nicht vor.
- Verordnung (EU) 2026/1744 (Digital Omnibus on AI), Amtsblatt der EU vom 24. Juli 2026: neuer Wortlaut von Artikel 4, Erwägungsgrund 8, in Kraft seit dem 27. Juli 2026.
- Artikel 4 KI-Verordnung im AI Act Explorer: konsolidierter Wortlaut nach dem Omnibus.
- EU-Kommission: AI literacy, Questions & Answers: Geltung seit dem 2. Februar 2025, Aufsicht seit dem 2. August 2026, kein Zertifikat nötig.
- KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), BGBl. 2026 I Nr. 223: § 2 Zuständigkeit der Bundesnetzagentur, § 15 Ordnungswidrigkeiten.
- Bundesnetzagentur, Pressemitteilung vom 29. Juli 2026 und KI-Service Desk und Beschwerdestelle.
- BaFin, Pressemitteilung „Überwachung von KI: BaFin erhält neue Kompetenzen“, 29. Juli 2026: Zuständigkeit für KI-Systeme in der regulierten Finanzwirtschaft.
- Bitkom, Presseinformation „Beschäftigte nutzen vermehrt Schatten-KI“, 21. Oktober 2025: private KI-Tools, Zugang und Regeln in 604 Unternehmen.
- KPMG und University of Melbourne, „Trust, attitudes and use of AI: A global study 2025“ (PDF): Hochladen von Unternehmensdaten, verdeckte Nutzung, Wirkung von Verboten.
- Datenschutzkonferenz, „Orientierungshilfe Künstliche Intelligenz und Datenschutz“ (PDF, Mai 2024): interne Regelungen, betriebliche Accounts, Datenschutz-Folgenabschätzung.
- IDW, Presseinformation „AI Act: Überblick über die EU-Verordnung“, 30. August 2024: Integration in Governance- und Compliance-Strukturen.
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 83: Geldbußen bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes.