KI-Akademie · Vertiefung Recht
Die KI-Verordnung macht KI-Kompetenz zur Unternehmenspflicht: Art. 4 gilt seit Februar 2025 für jeden Betrieb, der KI einsetzt. Diese Seite übersetzt die Anforderungen in die Praxis, mit interaktivem Risiko-Check, den Deployer-Pflichten nach Art. 26 und einem Fahrplan, mit dem Sie die Schulungspflicht nachweisbar erfüllen.
Das Wichtigste in Kürze
Art. 4 der KI-Verordnung (EU) 2024/1689 verpflichtet Anbieter und Betreiber von KI-Systemen, nach besten Kräften eine ausreichende, rollenbezogene KI-Kompetenz ihres Personals sicherzustellen. Das muss nachweisbar sein und sich am Risiko der eingesetzten Systeme orientieren. Betreiber (Deployer) von Hochrisiko-KI trifft zusätzlich eine systemspezifische Schulungs- und Aufsichtspflicht nach Art. 26.
Stand: Juli 2026 · vertieft Modul 2 (UE 15–18) der KI-Wissensbasis
Adressaten
Der EU AI Act unterscheidet zwei zentrale Rollen. Ein verbreitetes Missverständnis lautet: Wenn der Anbieter compliant ist, ist es der Nutzer automatisch auch. Das ist falsch. Deployer tragen eigene Pflichten, die ihnen kein Softwarevertrag abnimmt.
Wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt.
Wer ein KI-System unter eigener Verantwortung beruflich einsetzt. Das ist die Rolle der meisten Unternehmen.
Achtung Rollenwechsel: Wer ein KI-System zweckentfremdet, etwa ein für Bereich A zertifiziertes System in Bereich B einsetzt oder es wesentlich verändert, wird rechtlich selbst zum Anbieter und übernimmt dessen komplette Pflichten.
Interaktiver Risiko-Check
Die Vier-Fragen-Prüfheuristik aus der Wissensbasis (UE 16): Beantworten Sie drei Ja/Nein-Fragen und Sie erhalten die Einordnung samt Pflichten. Frage 4 ist die Schlussfolgerung: Wurde keine Frage bejaht, gilt minimales Risiko.
Frage 1 / 3
Fällt das System unter eine der verbotenen Praktiken in Art. 5?
Z. B. Social Scoring, unterschwellige Verhaltensmanipulation, Emotionserkennung am Arbeitsplatz, ungezieltes Auslesen von Gesichtsbildern.
Unannehmbares Risiko (Art. 5)
Diese Praxis ist in der EU untersagt und darf nicht eingesetzt werden, unabhängig von Nutzen oder Einwilligung.
Einsatz stoppen bzw. nicht beginnen. Verstöße: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes.
Hohes Risiko (Anhang I / Anhang III)
Einsatz erlaubt, aber streng reguliert. Es gelten die vollen Deployer-Pflichten nach Art. 26, von menschlicher Aufsicht bis zur Protokollierung.
Konformitätsdokumente des Anbieters prüfen, ggf. Grundrechtefolgenabschätzung, menschliche Aufsicht einrichten, systemspezifisch schulen (Abs. 5), protokollieren.
Begrenztes Risiko (Art. 50)
Es gelten Transparenzpflichten: Menschen müssen erkennen können, dass sie mit KI interagieren oder KI-generierte Inhalte sehen.
Kennzeichnung sicherstellen (Chatbot-Hinweis, Inhalte-Labeling, Deepfake-Kennzeichnung), dazu die Kompetenzpflicht nach Art. 4.
Minimales Risiko (Frage 4: keine der Fragen bejaht)
Keine spezifischen AI-Act-Auflagen. DSGVO, Geschäftsgeheimnisschutz und allgemeines Haftungsrecht gelten selbstverständlich weiter.
Art. 4 bleibt: Alle Nutzenden brauchen rollenangemessene KI-Grundkompetenz, dokumentiert.
Praxishinweis aus der Wissensbasis: Die Risikoklasse hängt am Einsatzkontext, nicht am Werkzeug. Dasselbe Sprachmodell ist im Marketing minimal riskant und im HR-Screening Hochrisiko. Im Zweifel die höhere Klasse annehmen. Diese Heuristik ersetzt keine Rechtsberatung im Einzelfall.
Art. 4 · KI-Kompetenzpflicht
Art. 4 schreibt kein Curriculum vor, sondern verlangt „ausreichende“ KI-Kompetenz, orientiert an Rolle, Risikoniveau und Vorkenntnissen. Genau diese Offenheit verunsichert viele Unternehmen. Der folgende Fahrplan macht daraus ein belastbares, prüffestes Programm.
Merksatz: Art. 4 gilt seit dem 2. Februar 2025, und zwar ohne Übergangsfrist. Wer bei einer Prüfung keine dokumentierten Maßnahmen vorweisen kann, riskiert die Einstufung als non-compliant, selbst wenn alle eingesetzten Systeme unbedenklich sind.
So bauen Sie die Kompetenzpflicht systematisch auf. Jede Stufe erzeugt genau die Nachweise, die Aufsichtsbehörden erwarten:
Alle eingesetzten KI-Tools erfassen, auch die Schatten-Nutzung. Je Anwendung: Zweck, Daten, Nutzerkreis, Risikoklasse (Risiko-Check oben).
Jede Rolle erhält ein Soll-Niveau: Foundation für alle Nutzenden, Intermediate für regelmäßige Anwender, Advanced für KI-Verantwortliche und Hochrisiko-Aufsicht.
Blended statt Einmal-Seminar: Selbstlern-Grundlagen, Live-Training an echten Use Cases, begleitete Praxis. Die 120-UE-Wissensbasis liefert das Curriculum.
Pro Person: Datum, Inhalte, Niveau, Dauer, Trainer, Ergebnis. Plus Kompetenzmatrix der Organisation und risikobasierte Zuordnung der Systeme.
Jährlicher Refresher; sofortige Nachschulung bei neuen Tools, Systemänderungen oder neuen Leitlinien von Kommission und AI Office.
Die drei Niveaustufen (Foundation / Intermediate / Advanced) samt Inhalten und DigComp-Bezug finden Sie ausführlich auf der Übersichtsseite der KI-Akademie. Zu den drei Niveaustufen der KI-Kompetenz
Art. 26 · Deployer-Pflichten
Setzt Ihr Unternehmen ein Hochrisiko-System ein, etwa eine KI-gestützte Bewerbungsauswahl, greifen die Betreiberpflichten des Art. 26. Deployer sind keine passiven Nutzer, sondern aktive Compliance-Verantwortliche:
Das System nur so einsetzen, wie es der Anbieter dokumentiert hat (Abs. 1); eine Abweichung kann zum Rollenwechsel führen.
Qualifizierte Personen müssen Ausgaben verstehen, überwachen und eingreifen können (Abs. 1 i. V. m. Art. 14).
Technische und organisatorische Maßnahmen gegen unbefugten Zugriff und Manipulation (Abs. 2).
Für öffentliche Stellen und sensible Bereiche wie Beschäftigung oder Bildung verpflichtend (Abs. 3 / Art. 27).
Betriebsprotokolle führen und aufbewahren, damit Entscheidungen rekonstruierbar bleiben (Abs. 6).
Menschen informieren, wenn KI Entscheidungen über sie trifft oder vorbereitet (Abs. 9 i. V. m. Art. 50).
Schwerwiegende Vorfälle unverzüglich melden, und zwar an Anbieter und zuständige Behörde (Abs. 5).
Systemspezifische Schulung aller Nutzenden; sie ist die Brücke zwischen Art. 26 Abs. 5 und Art. 4.
Bei Nichtkonformitäten mit dem Anbieter zusammenarbeiten und Korrekturanweisungen umsetzen (Abs. 7).
Aus UE 17 der Wissensbasis: das strukturierte Vorgehen, bevor ein Hochrisiko-System produktiv geht.
Risikoklasse mit der Vier-Fragen-Heuristik bestimmen. Ist es wirklich Anhang III?
Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation. Ohne sie gibt es keine Einführung.
Falls nach Art. 27 erforderlich: durchführen und dokumentieren.
Rechtsgrundlage klären, ggf. Datenschutz-Folgenabschätzung, AVV mit dem Anbieter schließen.
Zuständigkeiten, Eskalationswege und technische Eingriffsmöglichkeiten festlegen.
Alle Nutzenden systemspezifisch schulen, Nachweise ablegen (Art. 26 Abs. 5 + Art. 4).
Logging einschalten und Aufbewahrungsfristen sicherstellen, und zwar vor dem Go-live.
Praxiserprobt aus der Wissensbasis: Statt jede Tool-Anfrage einzeln zu diskutieren, klassifizieren Sie KI-Anwendungen in drei Freigabestufen, verständlich für jede Abteilung:
Ohne Einzelgenehmigung nutzbar: unkritische Aufgaben, keine personenbezogenen Daten, keine Geschäftsgeheimnisse.
Erst nach Prüfung und mit organisatorischen Maßnahmen: Tools, die personenbezogene oder vertrauliche Daten berühren könnten.
Nur mit ausdrücklicher Genehmigung von Compliance, Datenschutz und ggf. Betriebsrat: Hochrisiko-Anwendungen und heikle Datenlagen.
Das Ampelmodell operationalisiert Art. 4 und Art. 26 zugleich: Es steuert, wer was nutzen darf, und definiert, welches Kompetenzniveau die Freigabe voraussetzt.
So sieht die risikobasierte Zuordnung aus der Wissensbasis in der Praxis aus. Ihre Matrix wird konkreter, folgt aber demselben Muster:
| Rolle | Typische KI-Nutzung | Risikoklasse | Soll-Niveau |
|---|---|---|---|
| Praktikant:in / Assistenz | Textassistent für Entwürfe | Minimal | Foundation |
| Sachbearbeitung | Interner KI-Assistent, Dokumente & E-Mail | Minimal–Begrenzt | Foundation–Intermediate |
| Marketing / Kommunikation | Generierte Texte, Bilder, Kampagnen | Begrenzt (Art. 50) | Intermediate |
| HR / Recruiting | KI-gestützte Bewerbungs-Vorauswahl | Hochrisiko (Anhang III Nr. 4) | Advanced + Art. 26 Abs. 5 |
| KI-Beauftragte:r / Compliance | Governance über alle Systeme | Alle Klassen | Advanced |
Wichtig für den Nachweis: Die Matrix dokumentiert nicht nur Ist-Zustände, sondern begründet die Zuordnung: welches System, welche Risikoklasse, welches Niveau, wann geschult, wann aufgefrischt.
Die KI-Verordnung greift gestaffelt. Für die Kompetenzpflicht ist entscheidend: Sie gilt bereits, unabhängig davon, welche Systeme Sie einsetzen.
Verordnung (EU) 2024/1689 tritt in Kraft. Der Countdown der gestaffelten Pflichten beginnt.
KI-Kompetenzpflicht und Verbote sind seitdem geltendes Recht für alle Anbieter und Betreiber.
Regeln für Basismodelle und die Aufsichtsstruktur um das AI Office greifen.
Die Betreiberpflichten des Art. 26 und Transparenzpflichten des Art. 50 sind vollumfänglich anwendbar.
Letzte Stufe: Hochrisiko-KI in regulierten Produkten wie Maschinen oder Medizinprodukten.
Bußgeld-Systematik (Art. 99): bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken; bis 15 Mio. € oder 3 % für Verstöße gegen zentrale Pflichten. Es zählt jeweils der höhere Betrag.
Selbsttest
Acht Aussagen, acht Mal Ja oder Nein. Am Ende sehen Sie Ihren Compliance-Score und wissen, wo Sie stehen. Ohne Anmeldung, die Auswertung passiert direkt in Ihrem Browser.
Ihre Organisation hat die Kompetenzpflicht im Griff. Halten Sie den Rhythmus mit jährlichen Auffrischungen und prüfen Sie neue Tools weiterhin konsequent vor dem Einsatz.
Vieles ist da, aber ein Prüfer würde Lücken finden. Priorisieren Sie jetzt Dokumentation und Rollenzuordnung. Das sind die schnellsten Punkte auf dem Weg zur Audit-Festigkeit.
Die wichtigsten Bausteine liegen noch vor Ihnen. Die gute Nachricht: Mit dem 5-Schritte-Fahrplan oben bauen Sie die Grundlagen in wenigen Wochen auf. Beginnen Sie mit der KI-Inventur.
Wissensbasis · Volltexte
Jede Unterrichtseinheit als kompletter Lerntext aus der Wissensbasis, mit Übungen, Branchen-Anwendungen und Quellen. Frei zugänglich.
FAQ
Die Compliance-Fragen, die uns Geschäftsführungen und HR-Verantwortliche am häufigsten stellen.
Ja. Die Kompetenzpflicht (Art. 4) und die Verbote (Art. 5) gelten ohne Größenausnahme für jedes Unternehmen, das KI-Systeme beruflich einsetzt. Erleichterungen für KMU gibt es nur punktuell, etwa eine vereinfachte technische Dokumentation für kleine Anbieter, nicht aber bei Kompetenz- und Betreiberpflichten.
Ja. Genau dafür gibt es die Deployer-Rolle. Wer ein KI-System unter eigener Verantwortung beruflich nutzt, ist Betreiber im Sinne der Verordnung und muss mindestens die KI-Kompetenz des Personals sicherstellen (Art. 4). Je nach Einsatzkontext kommen Transparenz- (Art. 50) oder Hochrisiko-Pflichten (Art. 26) hinzu.
Gestaffelt nach Schwere (Art. 99): bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Mio. € oder 3 % bei Verstößen gegen zentrale Pflichten wie die des Art. 26, bis 7,5 Mio. € oder 1 % bei Falschauskünften gegenüber Behörden. Es zählt jeweils der höhere Betrag.
Nein. „Ausreichende“ Kompetenz ist ein fortlaufender Zustand: Bei neuen Tools, wesentlichen Systemänderungen oder neuen Leitlinien muss nachgeschult werden; als Grundtakt hat sich eine jährliche Auffrischung etabliert. Und jede Maßnahme braucht Dokumentation, sonst gilt sie als nicht erfolgt.
Art. 4 ist die allgemeine Kompetenzpflicht für alle, die mit KI arbeiten, unabhängig vom Risikoniveau. Art. 26 Abs. 5 ergänzt für Hochrisiko-Systeme eine spezifische Pflicht: Mitarbeitende müssen für das konkrete System geschult sein. Wer Hochrisiko-KI einsetzt, erfüllt also beide Ebenen: Grundkompetenz plus Systemschulung.
Eine explizite Pflicht wie beim Datenschutzbeauftragten kennt der AI Act nicht. Praktisch braucht Compliance aber klare Rollen: jemanden, der das KI-Inventar führt, Risikoklassen bewertet, Schulungen steuert und Vorfälle meldet. In der Wissensbasis (UE 107) empfehlen wir, diese Verantwortung ausdrücklich zuzuweisen, als Teamaufgabe von IT, Legal und Fachbereich.
Mit der Vier-Fragen-Heuristik auf dieser Seite: verbotene Praktik? Anhang I/III? Transparenzfall? Sonst minimal. Wichtigste Falle: Die Klasse hängt am Einsatzkontext. Ein Sprachmodell ist im Marketing minimal riskant, im Bewerbungsscreening Hochrisiko. Bei Grenzfällen gilt die Praxisregel: im Zweifel die höhere Klasse annehmen.
Nein. Die Konformität des Anbieters (CE-Kennzeichnung, Dokumentation) ist Voraussetzung, ersetzt aber Ihre Betreiberpflichten nicht: bestimmungsgemäße Nutzung, menschliche Aufsicht, Schulung, Protokollierung und Vorfallmeldung bleiben bei Ihnen. Und wer ein System zweckentfremdet, wird sogar selbst zum Anbieter.
Weiterlernen
Diese Seite ist Teil der KI-Akademie. Hier geht das Lernen weiter:
Nächster Schritt
Wir bauen Ihr Art.-4-konformes Schulungsprogramm: rollenbezogen, dokumentiert und an Ihren echten Use Cases, vom Foundation-Training bis zur AI-Champion-Ausbildung.
Die Plattform
Produktive KI, die sicher in Ihrer Organisation läuft: mit eigenen Daten, Rechten und Freigaben. Aus echter Projektpraxis zum lizenzierbaren Produkt verdichtet.
OneMachine ansehen