EU AI Act Artikel 4: KI-Kompetenz und Datenschutz

Seit dem 2. August 2024 ist die KI-Verordnung der Europäischen Union in Kraft. Während viele Regelungen gestaffelt bis 2027 greifen, gilt Artikel 4 bereits seit dem 2. Februar 2025. Er verpflichtet alle Anbieter und Betreiber von KI-Systemen dazu, sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Klingt abstrakt, hat aber sehr konkrete Konsequenzen für Rechtsabteilungen, HR-Teams und Compliance-Verantwortliche.

Inhaltsverzeichnis

Was Artikel 4 EU AI Act genau fordert Wer als Anbieter oder Betreiber gilt Dokumentation und Nachweis: Die unterschätzte Pflicht Datenschutz trifft KI-Kompetenz: Zwei Regelwerke, ein Problem Sanktionen und Haftungsrisiken Praktische Empfehlungen für Unternehmen

Was Artikel 4 EU AI Act genau fordert

Der Wortlaut von Artikel 4 ist bewusst offen gehalten. Er verlangt, dass Anbieter und Betreiber von KI-Systemen nach besten Kräften sicherstellen, dass ihr Personal und alle anderen Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Dabei sind Aspekte wie technisches Wissen, Erfahrung, Ausbildung und der konkrete Einsatzkontext zu berücksichtigen.

Was das in der Praxis bedeutet: Unternehmen müssen keine Zertifizierungen nach einem fest vorgeschriebenen Schema vorlegen. Es gibt keinen offiziell anerkannten „KI-Führerschein“. Stattdessen müssen Organisationen selbst ermitteln, welche Kompetenzanforderungen für welche Rollen notwendig sind, diese Anforderungen dokumentieren und nachweisen, dass sie Maßnahmen ergriffen haben, um diese Kompetenz zu vermitteln. Wer KI-Systeme lediglich intern nutzt, also als Betreiber gilt, unterliegt anderen Anforderungen als Unternehmen, die KI-Systeme entwickeln oder vertreiben.

Wer als Anbieter oder Betreiber gilt

Die Unterscheidung zwischen Anbieter und Betreiber ist für den Umfang der Pflichten entscheidend. Als Anbieter gilt, wer ein KI-System entwickelt oder in Verkehr bringt. Als Betreiber gilt, wer ein KI-System im beruflichen Kontext einsetzt, also etwa ein mittelständisches Unternehmen, das einen KI-gestützten Chatbot für den Kundendienst verwendet oder ein Bewerbermanagementsystem mit KI-Scoring einsetzt.

Siehe auch: Flexible Gummileitung H07RN-F für Baustellen und Industrie

Für Betreiber gilt Artikel 4 damit schon bei der Nutzung handelsüblicher KI-Werkzeuge wie automatisierter Dokumentenprüfung, KI-gestützter Buchhaltungssoftware oder sprachverarbeitenden Systemen im Callcenter. Ein Unternehmen mit 200 Mitarbeitenden, das ChatGPT Enterprise oder GitHub Copilot für Entwickler lizenziert, fällt ebenso darunter wie ein Konzern mit eigenem KI-Labor.

Dokumentation und Nachweis: Die unterschätzte Pflicht

Besonders kritisch ist die Nachweispflicht. Behörden und im Streitfall auch Gerichte werden fragen, welche Maßnahmen ein Unternehmen konkret ergriffen hat. Eine allgemeine Aussage, man habe „Schulungen angeboten“, reicht nicht. Empfehlenswert ist ein strukturierter Ansatz:

Bestandsaufnahme: Welche KI-Systeme werden im Unternehmen eingesetzt oder entwickelt?
Rollenmapping: Welche Mitarbeitenden haben mit welchem System zu tun?
Kompetenzprofile: Welche Kenntnisse sind für diese Rollen erforderlich?
Schulungsmaßnahmen: Welche internen oder externen Trainings wurden durchgeführt, wann und mit welchem Ergebnis?
Fortlaufende Überprüfung: Wie wird sichergestellt, dass Kompetenzen aktuell bleiben?

Dieses Vorgehen ähnelt strukturell der Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO, ist aber weniger formalisiert. Anbieter wie provimedia.de beschäftigen sich mit digitaler Compliance und zeigen, wie Unternehmen entsprechende Dokumentationsprozesse effizient aufsetzen können. Entscheidend ist, dass die Nachweise nicht nur erstellt, sondern auch revisionssicher aufbewahrt werden.

Siehe auch: Hilfe bei verlorenen Schlüsseln in Wien

Datenschutz trifft KI-Kompetenz: Zwei Regelwerke, ein Problem

Artikel 4 EU AI Act und die DSGVO berühren sich an mehreren Punkten, was in der Praxis zu Reibungen führt. Wenn Unternehmen KI-Kompetenz ihrer Mitarbeitenden nachweisen wollen, entstehen automatisch personenbezogene Daten: Schulungsteilnahmen, Testergebnisse, Kompetenznachweise, möglicherweise auch Bewertungen einzelner Mitarbeitender.

Diese Daten unterliegen der DSGVO. Das bedeutet: Rechtsgrundlage klären (in der Regel Artikel 6 Abs. 1 lit. b oder lit. c DSGVO), Betroffene informieren, Speicherfristen festlegen und technisch-organisatorische Maßnahmen treffen. Betriebsräte haben zudem ein Mitbestimmungsrecht, wenn Schulungsmaßnahmen oder Leistungsnachweise eingeführt werden, die Rückschlüsse auf individuelle Mitarbeitende erlauben.

Besonders heikel: Wenn KI-Kompetenz in Personalbeurteilungen einfließt oder mangelnde Kompetenz zu arbeitsrechtlichen Konsequenzen führt, sind die Anforderungen an Transparenz und Verhältnismäßigkeit hoch. Hier empfiehlt sich eine enge Abstimmung zwischen Datenschutzbeauftragtem, HR und Rechtsabteilung.

Sanktionen und Haftungsrisiken

Der EU AI Act sieht je nach Verstoß und Risikokategorie des eingesetzten KI-Systems Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor. Artikel 4 selbst ist kein Hochrisiko-Artikel, aber Verstöße gegen Artikel 4 können als Beleg dafür gewertet werden, dass ein Unternehmen KI-Systeme ohne ausreichende Kontrolle betreibt. Das hat Signalwirkung für Aufsichtsbehörden und kann Folgeverfahren auslösen.

Hinzu kommt zivilrechtliches Haftungsrisiko. Wenn ein KI-System einen Schaden verursacht und nachgewiesen wird, dass die bedienenden Personen keine ausreichende Kompetenz hatten, kann das die Haftungsfrage zulasten des Betreibers verschieben. Die KI-Haftungsrichtlinie, die parallel zum AI Act verhandelt wurde, greift hier als ergänzendes Instrument.

Siehe auch: Einarbeitung leicht gemacht: Leitfaden für Unternehmen

Praktische Empfehlungen für Unternehmen

Wer jetzt handelt, ist klar im Vorteil. Ein pragmatischer Einstieg sieht so aus: Zunächst eine Bestandsaufnahme aller eingesetzten KI-Systeme, kategorisiert nach Risikostufe und betroffenen Mitarbeitenden. Dann eine Lückenanalyse, die vorhandene Kenntnisse mit dem erforderlichen Kompetenzniveau abgleicht. Auf dieser Basis lassen sich gezielte Schulungsmaßnahmen entwickeln, die sich auch in späteren Audits belegen lassen.

Besonders für kleinere Kanzleien und mittelständische Unternehmen gilt: Die Anforderungen müssen verhältnismäßig umgesetzt werden. Artikel 4 fordert kein akademisches KI-Studium für jeden Mitarbeitenden. Ein Steuerberater, der ein KI-gestütztes Buchhaltungssystem nutzt, muss verstehen, was das System tut und wo seine Grenzen liegen. Mehr verlangt der Verordnungstext nicht, aber auch nicht weniger.

Rechtsanwälte und Kanzleien, die selbst KI-Werkzeuge für Dokumentenanalyse, Recherche oder Fristenkontrolle einsetzen, sind ebenso betroffen wie produzierende Unternehmen. Wer KI-gestützte Legal-Tech-Tools produktiv nutzt, ohne das Personal entsprechend zu schulen und zu dokumentieren, handelt seit Februar 2025 nicht mehr rechtskonform.