12. Juli 2026 · 6 Min. Lesezeit

AI Act Artikel 4: Was Ihr Unternehmen konkret tun muss (Checkliste)

Seit dem 2. Februar 2025 gilt die KI-Kompetenzpflicht nach Artikel 4 des EU AI Act. Unternehmen, die Künstliche Intelligenz einsetzen, müssen sicherstellen, dass ihre Mitarbeitenden ausreichend KI-Kompetenz besitzen — angemessen zum tatsächlichen KI-Einsatz. Die behördliche Durchsetzung durch die Bundesnetzagentur startet am 2. August 2026.

Die Pflicht ist also bereits in Kraft. Was vielen Unternehmen fehlt, ist nicht der gute Wille, sondern eine konkrete Antwort auf die Frage: Was muss ich eigentlich genau tun? Dieser Artikel beantwortet das mit einer praxisnahen Checkliste — Schritt für Schritt, ohne Juristendeutsch.

Vorab: Es geht um Verhältnismäßigkeit, nicht um Bürokratie

Artikel 4 schreibt keine starre Maßnahmenliste vor. Der Aufwand skaliert mit der Größe Ihres Unternehmens und dem Risiko Ihres KI-Einsatzes. Ein Drei-Personen-Betrieb, der gelegentlich ChatGPT für Texte nutzt, muss deutlich weniger tun als ein 200-Personen-Unternehmen, das KI in Personalentscheidungen einsetzt.

Das ist eine gute Nachricht: Die folgende Checkliste ist kein Maximalprogramm, sondern ein Rahmen. Streichen Sie, was für Ihr Unternehmen nicht relevant ist — aber gehen Sie jeden Punkt einmal bewusst durch.

Die Checkliste: 5 Schritte zur Erfüllung von Artikel 4

Schritt 1: KI-Bestandsaufnahme — welche Tools nutzen Sie überhaupt?

Bevor Sie irgendetwas regeln können, müssen Sie wissen, was Sie regeln. In den meisten KMU ist der KI-Einsatz nicht zentral gesteuert: Einzelne Mitarbeitende nutzen Tools eigenständig, oft ohne dass die Geschäftsführung den vollständigen Überblick hat.

• Erfassen Sie alle KI-Tools, die im Unternehmen genutzt werden — auch die „kleinen“: ChatGPT, Microsoft Copilot, Google Gemini, KI-Funktionen in Buchhaltungs- oder Marketing-Software
• Notieren Sie pro Tool: Wer nutzt es? Wofür? Werden dabei personenbezogene Daten verarbeitet?
• Fragen Sie aktiv im Team nach — „Schatten-KI“, die niemand offiziell eingeführt hat, ist der häufigste blinde Fleck

Schritt 2: Mitarbeitende schulen

Das ist der Kern von Artikel 4. Mitarbeitende müssen verstehen, was KI ist, welche Risiken entstehen und wie sie die Tools verantwortungsvoll einsetzen. „Ausreichend“ heißt dabei nicht „Experte“ — es heißt: handlungssicher im Alltag.

• Alle Mitarbeitenden, die regelmäßig KI beruflich einsetzen, absolvieren eine strukturierte Grundschulung
• Die Schulung deckt mindestens ab: Was ist KI, Risikoklassen, Erlaubtes und Verbotenes, Datenschutz, Dokumentationspflichten
• Die Schulung passt im Umfang zum KI-Risiko-Profil Ihres Unternehmens

Schritt 3: Eine AI-Use-Policy aufsetzen

Eine interne Richtlinie schafft Klarheit: Welche Tools sind erlaubt, welche Daten dürfen hinein, was ist verboten? Sie ist gleichzeitig ein zentraler Nachweis, dass Sie den sicheren Umgang mit KI aktiv steuern. Wie eine solche Richtlinie im Detail aufgebaut ist, zeigt unsere Anleitung zur KI-Richtlinie.

• Legen Sie fest, welche KI-Tools zugelassen sind und für welche Zwecke
• Regeln Sie den Umgang mit personenbezogenen Daten (Goldene Regel: keine personenbezogenen Daten Dritter in externe KI-Tools ohne gültigen Auftragsverarbeitungsvertrag)
• Definieren Sie einen Freigabe-Prozess für neue Tools
• Halten Sie die Kennzeichnungspflicht für KI-Chatbots und KI-generierte Inhalte fest (Art. 50 EU AI Act)

Schritt 4: Dokumentieren und Nachweis sichern

Artikel 4 verlangt nicht nur, dass Sie etwas tun — Sie müssen es auch belegen können. Die EU-Kommission stellt klar: Ein offizielles Zertifikat ist nicht gesetzlich vorgeschrieben. Ein internes Protokoll über Schulungen genügt. Ein professionelles Kurs-Zertifikat mit Datum und Name ist aber der überzeugendere Nachweis gegenüber Behörden und Geschäftspartnern.

• Führen Sie ein Schulungsprotokoll: Wer wurde wann zu welchen Themen geschult?
• Archivieren Sie individuelle Teilnahmenachweise pro Mitarbeitenden
• Dokumentieren Sie Ihre KI-Bestandsaufnahme und Ihre AI-Use-Policy mit Versionsstand

Schritt 5: Regelmäßig aktualisieren

KI-Einsatz und Rechtslage verändern sich. Eine einmalige Schulung von 2025, die 2027 niemand mehr ansieht, ist kein dauerhafter Nachweis.

• Legen Sie ein Überprüfungsintervall fest (mindestens jährlich oder bei wesentlichen Änderungen)
• Aktualisieren Sie Schulung und Policy, wenn neue Tools eingeführt werden oder sich die Rechtslage ändert
• Halten Sie fest, wer für die Aktualisierung verantwortlich ist

Häufige Fehler — und wie Sie sie vermeiden

„Wir schicken ein PDF rum, das reicht.“ Tut es nicht. Ein PDF belegt Versand, kein Verständnis. Artikel 4 verlangt tatsächliche Kompetenz, nicht nur die Zustellung eines Dokuments.

„Das betrifft nur große Unternehmen.“ Artikel 4 kennt keine Größenschwelle. Wer KI einsetzt — auch nur ChatGPT für Texte — fällt darunter.

„Wir warten bis August 2026.“ Wer im August 2026 anfängt, hat aufgeholt, nicht vorgesorgt. Die Pflicht gilt seit Februar 2025; der 2. August 2026 ist nur der Start der behördlichen Durchsetzung.

„Bei Artikel 4 drohen 35 Millionen Euro Strafe.“ Das ist falsch. Die 35-Millionen-Euro-Bußgelder beziehen sich auf verbotene KI-Praktiken nach Artikel 5 — nicht auf die Kompetenzpflicht. Artikel 4 hat keinen eigenen Bußgeldtatbestand. Panikmache ist fehl am Platz; die Nachweispflicht bleibt trotzdem real.

Fazit: In einem halben Tag erledigt — wenn die Struktur steht

Die fünf Schritte wirken auf den ersten Blick nach viel. In der Praxis sind sie an einem halben Arbeitstag machbar, sobald Sie eine fertige Struktur haben: eine strukturierte Schulung, eine anpassbare Policy-Vorlage und ein Dokumentationsraster. Genau daran scheitern die meisten KMU — nicht am Willen, sondern am fehlenden Baukasten.

Wer jetzt handelt, hat einen klaren Vorteil: Compliance ohne Zeitdruck, ein belastbarer Nachweis und Sicherheit gegenüber Kunden und Geschäftspartnern, die zunehmend nachfragen.