Artikel 4 KI-Verordnung: KI-Kompetenz
Die Anbieter und Betreiber von KI‑Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI‑Systemen befasst sind, über ein ausreichendes Maß an KI‑Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI‑Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI‑Systeme eingesetzt werden sollen, zu berücksichtigen sind.
Seit Februar 2025 verbindlich
Artikel 4 verpflichtet Anbieter und Betreiber, für ein ausreichendes Maß an KI-Kompetenz bei allen Personen zu sorgen, die mit ihren Systemen arbeiten. Die Pflicht gilt seit dem 2. Februar 2025 und ist die erste Anforderung der Verordnung, die im Mittelstand tatsächlich greift – sie hängt nicht an der Risikoklasse des Systems.
Erwägungsgrund 20 beschreibt, worauf die Kompetenz zielt: fundierte Entscheidungen über den Einsatz von KI-Systemen und ein Verständnis dafür, wie KI-gestützte Entscheidungen wirken. Genannt sind Anbieter, Betreiber und betroffene Personen gleichermaßen.
Wen die Pflicht trifft
Adressat ist nicht nur, wer KI entwickelt. Betreiber im Sinne des Art. 3 Nr. 4 KI-VO ist jede natürliche oder juristische Person, die ein KI-System in eigener Verantwortung verwendet – auch dann, wenn sie es lediglich einkauft. Wer im Unternehmen einen Chatbot für den Kundendienst freischaltet, eine Übersetzungsfunktion nutzt oder ein Bewerbungstool mit Vorauswahl einsetzt, ist Betreiber und damit von Art. 4 erfasst.
Erfasst ist außerdem nicht nur die Stammbelegschaft. Der Wortlaut nennt „ihr Personal und andere Personen, die in ihrem Auftrag” mit dem Betrieb befasst sind. Darunter fallen Leiharbeitskräfte, freie Mitarbeitende und Dienstleister, die im Auftrag mit dem System arbeiten. Wer die Schulung auf die Festangestellten beschränkt, erfüllt die Pflicht nur teilweise.
Nicht erfasst ist die rein private Nutzung außerhalb einer beruflichen Tätigkeit – und ebenso wenig der Fall, dass ein System zwar im Unternehmen bereitsteht, aber niemand es bedient.
Welcher Maßstab gilt
Die Verordnung verlangt kein bestimmtes Zertifikat und keine Mindeststundenzahl. Sie verlangt ein ausreichendes Maß, und was ausreichend ist, bemisst sich nach vier im Wortlaut genannten Größen:
- Vorkenntnisse, Erfahrung und Ausbildung der betroffenen Personen. Eine Entwicklungsabteilung braucht eine andere Schulung als der Vertrieb.
- Der Einsatzkontext. Ein System, das Textentwürfe vorschlägt, verlangt weniger als eines, das in eine Personalentscheidung eingreift.
- Die Personen, bei denen das System eingesetzt wird. Richtet es sich auf Beschäftigte, Kunden oder besonders schutzbedürftige Gruppen, steigen die Anforderungen.
- Nach besten Kräften. Die Formulierung verlangt ernsthafte, dokumentierbare Anstrengung – nicht ein garantiertes Ergebnis.
Praktisch heißt das: eine Bestandsaufnahme, welche Systeme im Haus tatsächlich im Einsatz sind, eine Zuordnung der Rollen dazu, ein daran ausgerichtetes Schulungsprogramm und ein Nachweis, dass es stattgefunden hat. Eine einmalige Unterweisung im Jahr der Einführung genügt nicht, wenn sich der Systembestand ändert.
Was bei einem Verstoß droht
Hier ist Genauigkeit angebracht, weil dazu viel Unzutreffendes im Umlauf ist: Art. 99 KI-VO führt Art. 4 nicht auf. Er steht nicht in der Liste der bußgeldbewehrten Verstöße. Ein eigenes Bußgeld allein dafür, dass nicht geschult wurde, sieht die Verordnung nicht vor.
Die Wirkung ist mittelbar, aber deshalb nicht gering. Fehlende KI-Kompetenz schlägt auf andere Pflichten durch – etwa auf die menschliche Aufsicht nach Art. 14 KI-VO bei Hochrisikosystemen, die ohne befähigtes Personal nicht funktionieren kann. Kommt es zu einem Schaden, ist der Kompetenznachweis zudem ein Baustein der Verteidigung; fehlt er, steht der Vorwurf des Organisationsverschuldens im Raum. Und die nationalen Marktüberwachungsbehörden können die Einhaltung ohnehin prüfen und Abhilfe verlangen.
Verhältnis zur Schulungspflicht nach der DSGVO
Beide Pflichten bestehen nebeneinander und decken sich nicht. Art. 39 Abs. 1 lit. b DSGVO weist dem Datenschutzbeauftragten die Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeitenden zu – bezogen auf personenbezogene Daten. Art. 4 KI-VO knüpft dagegen an das eingesetzte System an, unabhängig davon, ob es personenbezogene Daten verarbeitet.
In der Praxis überschneiden sie sich häufig, weil die meisten betrieblich genutzten KI-Systeme personenbezogene Daten berühren. Sinnvoll ist deshalb ein gemeinsames Schulungsprogramm mit getrennter Dokumentation – ein Nachweis je Pflicht, damit im Prüfungsfall erkennbar bleibt, was womit abgedeckt ist.