KI-Kompetenz-Pflicht nach Art. 4 EU AI Act: Was kleine Unternehmen jetzt tun sollten

Fast jeder Kleinbetrieb nutzt inzwischen irgendeine Form von KI. Die Praxis lässt ChatGPT Patientenbriefe vorformulieren, die Kanzlei fasst mit einem KI-Tool Schriftsätze zusammen, der Handwerksbetrieb schreibt Angebote mit Copilot. Das ist praktisch und oft sinnvoll. Es bedeutet aber auch: Diese Betriebe sind Betreiber von KI-Systemen, und damit greift eine Pflicht, von der viele noch nichts gehört haben.

Dieser Artikel erklärt, was die KI-Kompetenz-Pflicht nach Art. 4 der EU-KI-Verordnung wirklich verlangt, warum sie auch für den kleinsten Betrieb gilt, warum die kursierenden Bußgeld-Schreckenszahlen für diese konkrete Pflicht nicht stimmen, und wie du sie mit überschaubarem Aufwand erfüllst. Kein Angstmarketing, sondern eine ehrliche Einordnung mit konkreter Umsetzung.

Was verlangt Art. 4 EU AI Act, und wen betrifft das?

Die EU-KI-Verordnung, offiziell die Verordnung (EU) 2024/1689, regelt in Artikel 4 die sogenannte AI literacy, auf Deutsch die KI-Kompetenz. Der Kern: Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, damit ihr Personal und andere Personen, die in ihrem Auftrag mit der KI umgehen, über ein ausreichendes Maß an KI-Kompetenz verfügen.

Der entscheidende Begriff für dich ist „Betreiber", im Englischen „deployer". Betreiber ist nicht nur, wer eine KI baut oder verkauft. Betreiber ist jeder, der ein KI-System in eigener Verantwortung beruflich einsetzt. Wenn deine Praxis, deine Kanzlei oder dein Handwerksbetrieb ChatGPT, Copilot oder ein vergleichbares Werkzeug im Arbeitsalltag nutzt, bist du Betreiber. Damit gilt die Pflicht für dich, nicht nur für die großen Tech-Konzerne.

„Ausreichendes Maß" heißt dabei nicht, dass jede Mitarbeiterin Informatik studieren muss. Gemeint ist genug Verständnis, um die eingesetzte KI sinnvoll und verantwortungsvoll zu nutzen: zu wissen, was das Tool kann, wo seine Grenzen liegen, dass es Dinge erfindet (halluziniert), und dass man Ausgaben nicht blind übernimmt.

Gibt es eine Ausnahme für kleine Unternehmen?

Das ist der Punkt, an dem viele hoffen, durchs Raster zu fallen. Bei einigen anderen Digitalpflichten gibt es tatsächlich Erleichterungen für sehr kleine Betriebe. Bei Art. 4 ist das nicht so. Die FAQ der EU-Kommission zur KI-Kompetenz stellt klar, dass die Pflicht unabhängig von der Größe gilt.

Die gute Nachricht steckt im Maßstab, nicht in einer Ausnahme: Die Pflicht ist proportional. Ein Drei-Personen-Betrieb, der KI nur für ein paar Textentwürfe nutzt, muss keinen Schulungskatalog wie ein Großkonzern aufsetzen. Der Aufwand richtet sich nach dem tatsächlichen KI-Einsatz. Mehr dazu weiter unten im Umsetzungsteil.

Seit wann gilt die Pflicht, und ab wann wird kontrolliert?

Die Pflicht ist nicht Zukunftsmusik. Über Art. 113 der Verordnung ist Art. 4 bereits seit dem 2. Februar 2025 anwendbar. Eine gesonderte Schonfrist nur für die KI-Kompetenz gibt es nicht. Wer heute KI beruflich nutzt, ist also schon jetzt in der Pflicht.

Davon zu trennen ist die Frage, ab wann eine Behörde das aktiv kontrollieren und durchsetzen kann. Die Durchsetzung läuft über die nationalen Marktüberwachungsbehörden, deren Zuständigkeit ab dem 2. August 2026 greift. Das ist kein Grund, die Sache erst dann anzugehen, denn die materielle Pflicht selbst besteht schon. Es ordnet nur ein, wann der Kontroll-Apparat anläuft.

Was kostet ein Verstoß wirklich?

Hier wird im Netz viel Angst geschürt, oft mit Zahlen, die nicht zur Sache passen. Deshalb dieser Punkt bewusst entlastend und genau. In der Bußgeldstaffel der Verordnung, dem Artikel 99, wird Art. 4 in keiner Stufe genannt. Die hohen Summen, die immer wieder kursieren, also bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes und bis zu 15 Millionen Euro oder 3 Prozent, beziehen sich auf andere Verstöße, zum Beispiel auf verbotene KI-Praktiken nach Art. 5. Sie gelten gerade nicht für einen Verstoß gegen die KI-Kompetenz-Pflicht.

Das heißt nicht, dass Art. 4 folgenlos ist. Eine Sanktionierung kann allenfalls indirekt entstehen, über nationale Sanktionsregeln und die Arbeit der Marktüberwachung. Eine direkte, im EU-Recht bezifferte Geldbuße speziell für fehlende KI-Kompetenz gibt es aber nicht. Wer dir mit konkreten Millionenbeträgen für genau diese Pflicht droht, argumentiert mit den falschen Zahlen.

Der ehrliche Schluss daraus: Du erfüllst die Pflicht nicht aus Angst vor einem speziellen Bußgeld, sondern weil sie gilt, weil sie sinnvoll ist und weil der Aufwand klein ist. Diese Gelassenheit ist berechtigt, sie ist aber kein Freibrief, gar nichts zu tun.

Wer kontrolliert das in Deutschland?

Welche Behörde in Deutschland die Marktüberwachung übernimmt, wird über ein nationales Durchführungsgesetz geregelt, das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG. Vorgesehen ist, dass die Bundesnetzagentur (BNetzA) die zuständige Marktüberwachungsbehörde wird und dort ein Koordinierungs- und Kompetenzzentrum (KoKIVO) entsteht.

Wichtig für die ehrliche Einordnung: Stand Juni 2026 ist das KI-MIG noch im Gesetzgebungsverfahren und nicht verabschiedet. Die konkrete Behördenzuständigkeit steht also noch nicht endgültig fest. An deiner Pflicht aus Art. 4 ändert das nichts, denn die kommt aus dem direkt geltenden EU-Recht, nicht aus dem deutschen Gesetz.

Wird die Pflicht bald abgeschwächt?

Auf EU-Ebene gibt es Bestrebungen, mehrere Digitalpflichten zu vereinfachen, gebündelt unter dem Schlagwort Digital Omnibus. Teil davon ist eine geplante Abschwächung von Art. 4: Aus der heutigen Pflicht, ein ausreichendes Maß an KI-Kompetenz sicherzustellen, soll eine weichere Formulierung werden, nämlich Maßnahmen zu ergreifen, um KI-Kompetenz zu unterstützen. Zu dieser Änderung gibt es laut einer Analyse zur Omnibus-Einigung eine vorläufige politische Einigung vom 7. Mai 2026.

Entscheidend ist das Wort „vorläufig". Die Änderung ist noch nicht in Kraft. Bis sie tatsächlich beschlossen und veröffentlicht ist, gilt die heutige Fassung von Art. 4. Praktisch heißt das: Verlass dich nicht auf eine Lockerung, die noch nicht da ist. Die gute Nachricht ist, dass die vier Umsetzungsbausteine, die jetzt kommen, ohnehin so schlank sind, dass sie auch unter der heutigen, strengeren Fassung gut tragbar bleiben.

Wie setze ich die KI-Kompetenz-Pflicht in einem Kleinbetrieb um?

Für einen kleinen Betrieb lässt sich die Pflicht mit vier überschaubaren Bausteinen erfüllen. Keiner davon ist teuer, und zusammen ergeben sie einen sauberen Nachweis, dass du dich gekümmert hast.

1. Mitarbeitende sensibilisieren und schulen. Das muss kein zertifizierter Kurs sein. Ein gemeinsamer Termin reicht oft, in dem ihr durchgeht, welche Chancen die genutzte KI bietet, wo ihre Risiken liegen, dass sie Inhalte erfindet (halluziniert), was beim Datenschutz zu beachten ist und dass niemand KI-Ausgaben ungeprüft übernimmt. Wer neu dazukommt, bekommt dieselbe Einführung.

2. Ein einfaches Inventar der KI-Tools. Eine kurze Liste genügt: Welche KI-Werkzeuge nutzt der Betrieb, wofür jeweils, und wer ist verantwortlich. Das schafft Überblick und ist die Basis für alles Weitere. Eine Tabelle mit drei Spalten reicht für die meisten Kleinbetriebe.

3. Eine interne KI-Richtlinie. Ein kurzes Dokument mit klaren Nutzungsregeln: Welche Tools sind erlaubt, welche Daten dürfen nicht in eine KI eingegeben werden (besonders personenbezogene und vertrauliche Daten), wie wird mit KI-Ergebnissen umgegangen, wer ist Ansprechpartner bei Fragen. Lieber zwei verständliche Seiten als ein dickes Regelwerk, das niemand liest.

4. Die Maßnahmen dokumentieren. Halte kurz fest, was du getan hast: Datum der Schulung, Teilnehmende, Version der Richtlinie, Stand des Inventars. Diese Dokumentation ist dein Nachweis, falls jemand fragt. Sie muss nicht aufwendig sein, sie muss nur existieren und aktuell gehalten werden.

So haben wir es bei BuntDigital selbst gemacht

Damit das nicht graue Theorie bleibt, ein ehrliches Beispiel aus dem eigenen Betrieb. BuntDigital nutzt KI im Arbeitsalltag und fällt damit selbst unter die Betreiber-Pflicht. Wir haben deshalb genau diese Bausteine für uns angelegt: ein KI-Inventar mit den genutzten Tools und ihrem jeweiligen Zweck, eine interne KI-Richtlinie mit klaren Regeln, etwa welche Daten nicht in welche KI dürfen, und eine Schulungs-Dokumentation als Nachweis. Das hat keinen großen Apparat gebraucht, sondern ein paar fokussierte Stunden. Genau dieser Aufwand ist auch für die meisten kleinen Praxen, Kanzleien und Handwerksbetriebe realistisch.

Was dieser Artikel nicht beantwortet

Damit die Grenzen klar sind, vier Dinge, die dieser Artikel bewusst offen lässt.

Ob dein konkreter KI-Einsatz alle Pflichten erfüllt. Das hängt davon ab, welche Tools du wofür nutzt und mit welchen Daten. Im Zweifel prüft das eine Fachanwältin oder ein Fachanwalt für IT-Recht im Einzelfall.

Ob ein bestimmtes KI-Tool als Hochrisiko-System gilt. Für Hochrisiko-Systeme gelten deutlich strengere Pflichten als die reine KI-Kompetenz. Die meisten alltäglichen Büro-Tools sind keine Hochrisiko-Systeme, aber die Einordnung kann im Einzelfall knifflig sein und gehört in die fachliche Prüfung.

Die endgültige Behördenzuständigkeit in Deutschland. Solange das KI-MIG nicht verabschiedet ist, steht die konkrete Ausgestaltung der Marktüberwachung nicht endgültig fest. Dieser Artikel gibt den Stand Juni 2026 wieder.

Was gilt, wenn du selbst KI auf deiner Website einsetzt. Ein Chatbot auf der eigenen Seite wirft eigene Haftungsfragen auf, die nichts mit Art. 4 zu tun haben. Dazu der Spoke Wer einen Chatbot betreibt, haftet für jedes Wort.

Häufige Fragen

Gilt die KI-Kompetenz-Pflicht auch für kleine Unternehmen und Selbstständige?

Ja. Art. 4 der EU-KI-Verordnung gilt unabhängig von der Unternehmensgröße. Es gibt keine Ausnahme für KMU, Kleinstunternehmen oder Solo-Selbstständige. Wer KI beruflich einsetzt, etwa ChatGPT, Copilot oder ein KI-Tool im Praxis-, Kanzlei- oder Handwerksalltag, ist Betreiber im Sinne der Verordnung und muss ein ausreichendes Maß an KI-Kompetenz sicherstellen.

Seit wann gilt Art. 4 EU AI Act?

Art. 4 ist seit dem 2. Februar 2025 anwendbar (über Art. 113 der Verordnung). Eine eigene Übergangsfrist gibt es nicht. Die Pflicht gilt also schon, nicht erst irgendwann. Die behördliche Durchsetzung über die nationalen Marktüberwachungsbehörden setzt ab dem 2. August 2026 ein.

Wie hoch ist das Bußgeld bei einem Verstoß gegen die KI-Kompetenz-Pflicht?

Es gibt kein direktes, beziffertes Bußgeld speziell für Verstöße gegen Art. 4. Die Bußgeldstaffel der Verordnung (Art. 99) nennt Art. 4 in keiner Stufe. Die oft kursierenden Summen, bis 35 Mio. Euro oder 7 Prozent des Umsatzes und bis 15 Mio. Euro oder 3 Prozent, gelten für andere Verstöße, etwa verbotene Praktiken nach Art. 5, nicht für die KI-Kompetenz-Pflicht. Eine Sanktionierung kommt allenfalls indirekt über nationale Sanktionsregeln und die Marktüberwachung in Betracht.

Wer ist in Deutschland für die Durchsetzung zuständig?

Zuständige Marktüberwachungsbehörde soll die Bundesnetzagentur (BNetzA) werden, dort entsteht ein Koordinierungs- und Kompetenzzentrum (KoKIVO). Die Rechtsgrundlage ist das deutsche Durchführungsgesetz KI-MIG (KI-Marktüberwachungs- und Innovationsförderungsgesetz). Stand Juni 2026 ist das KI-MIG noch im Gesetzgebungsverfahren und nicht verabschiedet.

Wie setzt ein Kleinbetrieb die KI-Kompetenz-Pflicht praktisch um?

Die EU-Kommission gibt keinen festen Mindestumfang vor, der Maßstab ist „to their best extent", also proportional zum tatsächlichen KI-Einsatz. Bewährt sind vier Bausteine: erstens die Mitarbeitenden sensibilisieren und schulen (Chancen, Risiken, Halluzinationen, Datenschutz, kein blindes Übernehmen von KI-Ausgaben), zweitens ein einfaches Inventar, welche KI-Tools wofür genutzt werden, drittens eine interne KI-Richtlinie mit klaren Nutzungsregeln, viertens die Maßnahmen dokumentieren als Nachweis.

Stimmt es, dass die KI-Kompetenz-Pflicht abgeschwächt werden soll?

Es gibt einen sogenannten Digital Omnibus der EU mit einer vorläufigen politischen Einigung vom 7. Mai 2026, der Art. 4 abschwächen soll, von „ein ausreichendes Maß sicherstellen" hin zu „Maßnahmen ergreifen, um zu unterstützen". Stand Juni 2026 ist diese Änderung aber noch nicht in Kraft. Die geltende Fassung von Art. 4 bleibt maßgeblich, bis eine Änderung tatsächlich beschlossen und veröffentlicht ist.

Reicht es, ein Tool einmalig zu erklären, oder muss ich regelmäßig schulen?

Die Verordnung schreibt keinen festen Schulungsrhythmus vor. Sinnvoll ist es, die Sensibilisierung beim Onboarding neuer Mitarbeitender und nach größeren Änderungen am KI-Einsatz aufzufrischen, etwa wenn ein neues Tool dazukommt. Wichtig ist, dass die Kompetenz zum tatsächlichen Einsatz passt und dass du belegen kannst, dass du dich darum gekümmert hast.

Ist das eine reine IT- oder Compliance-Aufgabe, oder gehört das zur Website?

Die KI-Kompetenz-Pflicht ist primär eine organisatorische Aufgabe und keine Website-Frage. Die Bausteine Schulung, Inventar, Richtlinie und Dokumentation laufen im Betrieb, nicht auf der Seite. Berührungspunkte zur Website gibt es nur dort, wo du selbst KI auf der Seite einsetzt, etwa einen Chatbot, denn dann kommen zusätzliche Haftungsfragen hinzu, die nichts mit Art. 4 zu tun haben.

Verwandte Pflichten für kleine Betriebe

Die KI-Kompetenz-Pflicht ist eine von mehreren Compliance-Fragen, die kleine Betriebe gerade beschäftigen. Wenn du gerade dabei bist, deinen digitalen Hof aufzuräumen, helfen diese Einordnungen weiter: Was bei einer DSGVO-Abmahnung zu tun ist, und die Frage Ab wann bin ich vom BFSG betroffen, also von der Barrierefreiheitspflicht für Websites. Branchenbezogene Erstdiagnosen findest du im Hub für Arztpraxen, für Kanzleien und fürs Handwerk.