Artikel 4 EU AI Act: Geltungsbereich, Betroffene und was seit dem Digital Omnibus als Erfüllung gilt

Stand: 1. September 2026. Dieser Beitrag ist eine Einordnung aus der Praxis, keine Rechtsberatung.

Freitagvormittag in einem mittelständischen Maschinenbauunternehmen: In der Auftragsabwicklung formuliert eine Sachbearbeiterin mit Copilot eine Angebotsbegründung, im Vertrieb entsteht parallel mit ChatGPT eine Kundenpräsentation, in der Personalabteilung wird eine Stellenausschreibung generiert. Auf die Frage, wie gut das geschieht, könnte im Haus niemand antworten. Genau hier setzt Artikel 4 EU AI Act an: Anbieter und Betreiber von KI-Systemen müssen dafür sorgen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen. Maßgeblich sind die technischen Kenntnisse, die Erfahrung, die Ausbildung und der konkrete Einsatzkontext der betroffenen Personen. Die Pflicht gilt seit Februar 2025, die aktive Aufsicht durch die zuständigen Behörden hat Anfang August 2026 begonnen.

Wichtig ist, was im Gesetzestext nicht steht. Artikel 4 nennt kein Zertifikat, kein Mindeststundenkontingent und kein vorgeschriebenes Schulungsformat. Es gibt keine amtlich anerkannte Prüfung, deren Bestehen die Pflicht automatisch erfüllt, und keine Teilnahmeliste, die für sich genommen ausreicht. Verlangt wird ein Ergebnis auf Ebene der Menschen im Unternehmen: Sie sollen KI-Systeme sachkundig einsetzen, Chancen und Risiken einschätzen und mögliche Schäden erkennen können. Wie Sie dorthin kommen, entscheiden Sie selbst, und genau deshalb brauchen Sie einen belastbaren Nachweis über den erreichten Stand. Einen Überblick über die einzelnen Bausteine finden Sie in unserem Leitfaden zur KI-Kompetenz.

Wer betroffen ist: Anbieter, Betreiber und die Realität im Mittelstand

71 Prozent der Beschäftigten im DACH-Mittelstand nutzen nicht freigegebene KI-Tools. Diese Zahl beschreibt nicht nur ein Sicherheitsthema, sie beschreibt den tatsächlichen Anwendungsbereich von Artikel 4 EU AI Act in Ihrem Unternehmen. Die Vorschrift adressiert Anbieter und Betreiber von KI-Systemen, also sowohl die Hersteller als auch die Organisationen, die solche Systeme im eigenen Namen einsetzen. Für den Mittelstand ist praktisch immer die zweite Rolle relevant: Wer Copilot, ChatGPT oder ein vergleichbares Werkzeug im Arbeitsalltag verwendet, ist Betreiber. Eine Mindestgröße nach Beschäftigtenzahl oder Umsatz gibt es nicht. Ein kleiner Betrieb fällt genauso darunter wie ein Konzern.

Der praktische Anwendungsbereich reicht deshalb weiter, als viele Geschäftsführer annehmen. Maßgeblich ist nicht, welche Tools die IT freigegeben hat, sondern womit tatsächlich gearbeitet wird. Schatten-KI verschwindet nicht dadurch aus der Verantwortung, dass sie nicht auf einer Liste steht, im Gegenteil: Gerade hier fehlen Einweisung, Rollenklärung und dokumentierte KI-Kompetenz. Wer den Anwendungsbereich sauber bestimmen will, erhebt deshalb zuerst den tatsächlichen Nutzungsgrad und entscheidet danach über Maßnahmen.

Vom Erfolg zum Bemühen: was der Digital Omnibus verändert hat

Seit dem 27. Juli 2026 gilt der Digital Omnibus. Er hat die Anforderung aus Artikel 4 EU AI Act neu gefasst: Aus der Erfolgspflicht wurde eine Bemühenspflicht. Sie müssen also nicht belegen, dass jede Person im Unternehmen ein bestimmtes Niveau an KI-Kompetenz erreicht hat. Sie müssen belegen, dass Sie ernsthaft und nachvollziehbar daran gearbeitet haben. Das ist eine spürbare Entlastung, gerade für den Mittelstand ohne eigene Compliance-Abteilung.

Die Entlastung verschiebt das Problem allerdings nur. Das Haftungsrisiko sinkt, die Dokumentationsfrage steigt. Denn ein Bemühen, das Sie nicht zeigen können, ist ein Bemühen, das Sie nicht geltend machen können. Eine Teilnahmeliste zeigt Anwesenheit, kein Bemühen um Kompetenz. Wer dagegen dokumentiert, wie Mitarbeitende an einer Fallaufgabe gearbeitet haben und welches Feedback sie danach erhalten haben, hat etwas in der Hand. Welche Form dieser Nachweis annehmen sollte, sehen wir uns im nächsten Abschnitt an.

Teilnahmeliste oder Kompetenznachweis: was im Zweifel trägt

Viele Unternehmen dokumentieren heute Anwesenheit und nennen es KI-Kompetenz. Eine Teilnahmeliste belegt, dass jemand im Raum war. Ein abgeschlossenes E-Learning belegt, dass Folien durchgeklickt wurden. Ein Quiz-Ergebnis belegt, dass Faktenwissen zum Zeitpunkt des Tests abrufbar war. Keiner dieser Belege sagt etwas darüber aus, ob dieselbe Person eine Woche später einen fehlerhaften Copilot-Output erkennt, ihn korrigiert oder ungeprüft an einen Kunden weitergibt. Genau hier wird die Bemühenspflicht anspruchsvoller, als sie auf den ersten Blick klingt: Wenn nicht das Ergebnis, sondern das ernsthafte Bemühen darzulegen ist, dann wird die Qualität Ihrer Maßnahmen zum eigentlichen Nachweis, und eine Anwesenheitsliste ist die schwächste denkbare Form davon.

Belastbarer wird es, wenn Ihre Mitarbeitenden eine Fallaufgabe aus ihrem eigenen Arbeitsalltag bearbeiten, etwa eine Angebotsbegründung, eine Reklamationsantwort oder eine Lieferantenbewertung, und diese Bearbeitung entlang der vier Dimensionen Strategic Tool Use, Interaction Quality, Critical Oversight und Domain-Steered Prompting bewertet wird. Dann liegt nicht nur ein Datum und ein Häkchen vor, sondern eine nachvollziehbare Aussage darüber, wer im Unternehmen mit KI sicher arbeitet, wo systematisch nachgesteuert wird und wie sich das über die Zeit entwickelt. Für Ausschreibungen, Wirtschaftsprüfer oder eine Aufsichtsanfrage ist das der Unterschied zwischen einer Behauptung und einer Grundlage.

Wer den Nachweis in der Praxis verlangt

Wer klopft eigentlich an, wenn keine Behörde vor der Tür steht? In der Praxis kommt die Frage nach dem Nachweis zur KI-Kompetenz meist aus drei anderen Richtungen. Erstens aus Ausschreibungen: In Lieferantenfragebögen öffentlicher Auftraggeber und großer Industriekunden begegnen uns zunehmend Fragen zum Umgang mit KI, und eine leere Zeile kostet dort Punkte, nicht nur Sympathie. Zweitens aus der Prüfung: Wirtschaftsprüfer und Versicherer wollen wissen, wie Sie Risiken aus dem Einsatz generativer Systeme steuern, und akzeptieren dabei ungern Absichtserklärungen. Drittens aus dem eigenen Haus, wenn Aufsichtsrat, Beirat oder Konzernmutter eine Governance-Review ansetzen und fragen, worauf sich die Einschätzung stützt.

Dass viele Unternehmen an dieser Stelle ins Stocken geraten, ist kein Ausreißer, sondern der Normalfall: Nur 11 Prozent halten ihre KI-Governance für vollständig ausreichend. Für Sie heißt das zweierlei. Sie müssen sich nicht dafür rechtfertigen, dass noch Lücken bestehen, aber Sie sollten belegen können, dass Sie sie kennen und daran arbeiten, denn genau das ist der Kern der Bemühenspflicht. Hilfreich ist dabei eine Auswertung, die nicht nur einen Gesamtwert für das Unternehmen ausweist, sondern die vier Dimensionen bis auf Abteilungsebene sichtbar macht. Wie eine solche Auswertung von der Organisation bis in die einzelne Abteilung aussieht, zeigen wir an konkreten Beispielen. Wer den Stand seiner Belegschaft in dieser Granularität kennt, kann in Ausschreibung, Prüfung und Review sachlich antworten statt zu improvisieren.

Pflichtübung oder Produktivitätsprojekt: derselbe Aufwand, zwei Ergebnisse

Es gibt zwei Wege, Artikel 4 EU AI Act abzuarbeiten. Der erste behandelt die Anforderung als Pflichtübung: eine Schulung im Jahresplan, eine Liste mit Namen, ein Ordner für den Fall, dass jemand fragt. Der Aufwand entsteht trotzdem, er hinterlässt aber nichts außer einem Ablagevorgang. Der zweite Weg nutzt denselben Aufwand, um zwei Fragen gleichzeitig zu beantworten: Können wir belegen, dass wir uns um KI-Kompetenz bemühen, und wissen wir, wo im Unternehmen mit KI tatsächlich gut gearbeitet wird. Der Unterschied liegt nicht im Budget, sondern darin, ob am Ende Daten oder nur Anwesenheit dokumentiert sind.

Für den zweiten Weg spricht die Ausgangslage im Mittelstand. 53 Prozent der Unternehmen nennen fehlende KI-Kompetenz als größtes Hindernis, und 80 Prozent der KI-Investitionen liefern laut Gartner keinen messbaren ROI. Beide Zahlen beschreiben dasselbe Problem: Lizenzen sind verteilt, aber niemand weiß, wie sicher damit gearbeitet wird. Wir setzen deshalb auf Messungen an Fallaufgaben aus dem eigenen Arbeitsalltag, vor der Qualifizierung und danach. So wird die Veränderung entlang der vier Dimensionen zur nachvollziehbaren Bewegung. Wie sich diese Wirkung vorher und nachher messen lässt, zeigen wir im Detail. Dieselbe Messung trägt im Zweifel als Nachweis der Bemühenspflicht und liefert der Geschäftsführung das Argument, warum die Lizenzkosten gerechtfertigt sind.

Fazit

Ein Freitagnachmittag in einem Zulieferbetrieb: Die Einkaufsleiterin lässt sich von Copilot eine Lieferantenbewertung zusammenfassen, im Marketing entsteht mit ChatGPT ein Produkttext, in der Personalabteilung liegt eine Ausschreibung, die einen Nachweis zur KI-Kompetenz verlangt. Genau in dieser Konstellation gilt Artikel 4 EU AI Act, unabhängig davon, ob KI offiziell eingeführt wurde oder sich über Schatten-KI verbreitet hat. Seit Februar 2025 besteht die Anforderung, seit Anfang August 2026 wird sie aktiv beaufsichtigt. Der Digital Omnibus hat die Erfolgspflicht am 27. Juli 2026 in eine Bemühenspflicht überführt: Maßstab ist nicht der perfekte Kompetenzstand, sondern der dokumentierte, ernsthafte Aufwand.

Für diesen Aufwand ist die Fallaufgabe der belastbarste Beleg, der Ihnen zur Verfügung steht. Sie zeigt an einer echten Arbeitssituation, wie Ihre Leute mit KI umgehen, und macht das Ergebnis über Strategic Tool Use, Interaction Quality, Critical Oversight und Domain-Steered Prompting nachvollziehbar. Wenn Sie wissen wollen, wo Ihr Unternehmen beim Nachweis steht, ist der Selbstcheck mit 8 Fragen in 3 Minuten der pragmatische erste Schritt.