KI-Kompetenz-Pflicht nach Art. 4 EU AI Act: Was kleine Unternehmen jetzt tun sollten

Fast jeder Kleinbetrieb nutzt inzwischen irgendeine Form von KI. Die Praxis lässt ChatGPT Texte für den Newsletter vorformulieren, die Kanzlei fasst mit einem KI-Tool Schriftsätze zusammen, der Handwerksbetrieb schreibt Angebote mit Copilot. Das ist praktisch und oft sinnvoll. Es bedeutet aber auch: Diese Betriebe sind Betreiber von KI-Systemen, und damit greift eine Pflicht, von der viele noch nichts gehört haben.

Dieser Artikel erklärt, was die KI-Kompetenz-Pflicht nach Art. 4 der EU-KI-Verordnung wirklich verlangt, warum sie auch für den kleinsten Betrieb gilt, warum die kursierenden Bußgeld-Schreckenszahlen für diese konkrete Pflicht nicht stimmen, und wie du sie mit überschaubarem Aufwand erfüllst. Kein Angstmarketing, sondern eine ehrliche Einordnung mit konkreter Umsetzung.

Was verlangt Art. 4 EU AI Act, und wen betrifft das?

Die EU-KI-Verordnung, offiziell die Verordnung (EU) 2024/1689, regelt in Artikel 4 die sogenannte AI literacy, auf Deutsch die KI-Kompetenz. Der Kern in der seit dem 27. Juli 2026 geltenden Fassung: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit der KI umgehen. Ein bestimmtes Kompetenzniveau müssen sie dabei für niemanden garantieren.

Der entscheidende Begriff für dich ist „Betreiber", im Englischen „deployer". Betreiber ist nicht nur, wer eine KI baut oder verkauft. Betreiber ist jeder, der ein KI-System in eigener Verantwortung beruflich einsetzt. Wenn deine Praxis, deine Kanzlei oder dein Handwerksbetrieb ChatGPT, Copilot oder ein vergleichbares Werkzeug im Arbeitsalltag nutzt, bist du Betreiber. Damit gilt die Pflicht für dich, nicht nur für die großen Tech-Konzerne.

„KI-Kompetenz" heißt dabei nicht, dass jede Mitarbeiterin Informatik studieren muss. Gemeint ist genug Verständnis, um die eingesetzte KI sinnvoll und verantwortungsvoll zu nutzen: zu wissen, was das Tool kann, wo seine Grenzen liegen, dass es Dinge erfindet (halluziniert), und dass man Ausgaben nicht blind übernimmt.

Gibt es eine Ausnahme für kleine Unternehmen?

Das ist der Punkt, an dem viele hoffen, durchs Raster zu fallen. Bei einigen anderen Digitalpflichten gibt es tatsächlich Erleichterungen für sehr kleine Betriebe. Bei Art. 4 ist das nicht so, auch nicht in der seit dem 27. Juli 2026 geltenden Fassung. Sie sieht keine Größenausnahme vor, sondern verpflichtet die Kommission und die Mitgliedstaaten, Anbieter und Betreiber und insbesondere KMU bei der Umsetzung zu unterstützen (Art. 4 Abs. 2) und praktische Beispiele für die Umsetzung zu veröffentlichen. Ein Zertifikat verlangt die Kommission laut ihrer FAQ nicht.

Die gute Nachricht steckt im Maßstab, nicht in einer Ausnahme: Die Pflicht ist proportional. Ein Drei-Personen-Betrieb, der KI nur für ein paar Textentwürfe nutzt, muss keinen Schulungskatalog wie ein Großkonzern aufsetzen. Der Aufwand richtet sich nach dem tatsächlichen KI-Einsatz. Mehr dazu weiter unten im Umsetzungsteil.

Seit wann gilt die Pflicht, und ab wann wird kontrolliert?

Die Pflicht ist nicht Zukunftsmusik. Über Art. 113 der Verordnung ist Art. 4 bereits seit dem 2. Februar 2025 anwendbar. Eine gesonderte Schonfrist nur für die KI-Kompetenz gibt es nicht. Wer heute KI beruflich nutzt, ist also schon jetzt in der Pflicht.

Davon zu trennen ist die Frage, ab wann eine Behörde das aktiv kontrollieren und durchsetzen kann. Die Durchsetzung läuft über die nationalen Marktüberwachungsbehörden. Nach der FAQ der EU-Kommission zur KI-Kompetenz beaufsichtigen sie Art. 4 seit dem 2. August 2026. Der Kontroll-Apparat läuft also inzwischen.

Was kostet ein Verstoß wirklich?

Hier wird im Netz viel Angst geschürt, oft mit Zahlen, die nicht zur Sache passen. Deshalb dieser Punkt bewusst entlastend und genau. In der Bußgeldstaffel der Verordnung, dem Artikel 99, wird Art. 4 in keiner Stufe genannt. Die hohen Summen, die immer wieder kursieren, also bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes und bis zu 15 Millionen Euro oder 3 Prozent, beziehen sich auf andere Verstöße, zum Beispiel auf verbotene KI-Praktiken nach Art. 5. Sie gelten gerade nicht für einen Verstoß gegen die KI-Kompetenz-Pflicht.

Das heißt nicht, dass Art. 4 folgenlos ist. Eine Sanktionierung kann allenfalls indirekt entstehen, über nationale Sanktionsregeln und die Arbeit der Marktüberwachung. Eine direkte, im EU-Recht bezifferte Geldbuße speziell für fehlende KI-Kompetenz gibt es aber nicht. Wer dir mit konkreten Millionenbeträgen für genau diese Pflicht droht, argumentiert mit den falschen Zahlen.

Der ehrliche Schluss daraus: Du erfüllst die Pflicht nicht aus Angst vor einem speziellen Bußgeld, sondern weil sie gilt, weil sie sinnvoll ist und weil der Aufwand klein ist. Diese Gelassenheit ist berechtigt, sie ist aber kein Freibrief, gar nichts zu tun.

Wer kontrolliert das in Deutschland?

Welche Behörde in Deutschland die Marktüberwachung übernimmt, wird über ein nationales Durchführungsgesetz geregelt, das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG. Danach ist die Bundesnetzagentur (BNetzA) Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung, dort entsteht außerdem ein Koordinierungs- und Kompetenzzentrum.

Das KI-MIG ist laut Bundesnetzagentur seit dem 29. Juli 2026 in Kraft. Die Pflicht aus Art. 4 selbst kommt aber weiterhin aus dem direkt geltenden EU-Recht, nicht aus dem deutschen Gesetz.

Wurde die Pflicht abgeschwächt?

Die EU hat mit dem Digital Omnibus mehrere Digitalpflichten vereinfacht. Teil davon ist die Abschwächung von Art. 4. Nach einer vorläufigen politischen Einigung vom 7. Mai 2026 wurde sie als Verordnung (EU) 2026/1744 vom 8. Juli 2026 beschlossen, am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Statt ein ausreichendes Maß an KI-Kompetenz sicherzustellen, ergreifen Anbieter und Betreiber jetzt Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen. Ausdrücklich heißt es, dass sie für niemanden ein bestimmtes Kompetenzniveau garantieren müssen.

Entscheidend ist, was bleibt: Die Pflicht ist nicht abgeschafft. Du musst weiterhin aktiv Maßnahmen ergreifen, auch als kleiner Betrieb, nur ohne Erfolgsgarantie für ein bestimmtes Niveau. Die vier Umsetzungsbausteine, die jetzt kommen, sind genau solche Maßnahmen und passen zur neuen Fassung.

Wie setze ich die KI-Kompetenz-Pflicht in einem Kleinbetrieb um?

Für einen kleinen Betrieb lässt sich die Pflicht mit vier überschaubaren Bausteinen erfüllen. Keiner davon ist teuer, und zusammen ergeben sie einen sauberen Nachweis, dass du dich gekümmert hast.

1. Mitarbeitende sensibilisieren und schulen. Das muss kein zertifizierter Kurs sein. Ein gemeinsamer Termin reicht oft, in dem du mit deinem Team durchgehst, welche Chancen die genutzte KI bietet, wo ihre Risiken liegen, dass sie Inhalte erfindet (halluziniert), was beim Datenschutz zu beachten ist und dass niemand KI-Ausgaben ungeprüft übernimmt. Wer neu dazukommt, bekommt dieselbe Einführung.

2. Ein einfaches Inventar der KI-Tools. Eine kurze Liste genügt: Welche KI-Werkzeuge nutzt der Betrieb, wofür jeweils, und wer ist verantwortlich. Das schafft Überblick und ist die Basis für alles Weitere. Eine Tabelle mit drei Spalten reicht für die meisten Kleinbetriebe.

3. Eine interne KI-Richtlinie. Ein kurzes Dokument mit klaren Nutzungsregeln: Welche Tools sind erlaubt, welche Daten dürfen nicht in eine KI eingegeben werden (besonders personenbezogene und vertrauliche Daten), wie wird mit KI-Ergebnissen umgegangen, wer ist Ansprechpartner bei Fragen. Lieber zwei verständliche Seiten als ein dickes Regelwerk, das niemand liest.

4. Die Maßnahmen dokumentieren. Halte kurz fest, was du getan hast: Datum der Schulung, Teilnehmende, Version der Richtlinie, Stand des Inventars. Diese Dokumentation ist dein Nachweis, falls jemand fragt. Sie muss nicht aufwendig sein, sie muss nur existieren und aktuell gehalten werden.

So habe ich es bei BuntDigital selbst gemacht

Damit das nicht graue Theorie bleibt, ein ehrliches Beispiel aus dem eigenen Betrieb. BuntDigital nutzt KI im Arbeitsalltag und fällt damit selbst unter die Betreiber-Pflicht. Ich habe deshalb genau diese Bausteine für mich angelegt: ein KI-Inventar mit den genutzten Tools und ihrem jeweiligen Zweck, eine interne KI-Richtlinie mit klaren Regeln, etwa welche Daten nicht in welche KI dürfen, und eine Schulungs-Dokumentation als Nachweis. Das hat keinen großen Apparat gebraucht, sondern ein paar fokussierte Stunden. Genau dieser Aufwand ist auch für die meisten kleinen Praxen, Kanzleien und Handwerksbetriebe realistisch.

Was dieser Artikel nicht beantwortet

Damit die Grenzen klar sind, vier Dinge, die dieser Artikel bewusst offen lässt.

Ob dein konkreter KI-Einsatz alle Pflichten erfüllt. Das hängt davon ab, welche Tools du wofür nutzt und mit welchen Daten. Im Zweifel prüft das eine Fachanwältin oder ein Fachanwalt für IT-Recht im Einzelfall.

Ob ein bestimmtes KI-Tool als Hochrisiko-System gilt. Für Hochrisiko-Systeme gelten deutlich strengere Pflichten als die reine KI-Kompetenz. Die meisten alltäglichen Büro-Tools sind keine Hochrisiko-Systeme, aber die Einordnung kann im Einzelfall knifflig sein und gehört in die fachliche Prüfung.

Wie die Aufsicht in Deutschland Art. 4 in der Praxis prüft. Das KI-MIG ist seit dem 29. Juli 2026 in Kraft, eine gefestigte Prüfpraxis der Bundesnetzagentur gibt es aber noch nicht. Dieser Artikel gibt den Stand Oktober 2026 wieder.

Was gilt, wenn du selbst KI auf deiner Website einsetzt. Ein Chatbot auf der eigenen Seite wirft eigene Haftungsfragen auf, die nichts mit Art. 4 zu tun haben. Mehr dazu in meinem Artikel Wer einen Chatbot betreibt, haftet für jedes Wort.

Häufige Fragen

Gilt die KI-Kompetenz-Pflicht auch für kleine Unternehmen und Selbstständige?

Ja. Art. 4 der EU-KI-Verordnung gilt unabhängig von der Unternehmensgröße. Es gibt keine Ausnahme für KMU, Kleinstunternehmen oder Solo-Selbstständige. Wer KI beruflich einsetzt, etwa ChatGPT, Copilot oder ein KI-Tool im Praxis-, Kanzlei- oder Handwerksalltag, ist Betreiber im Sinne der Verordnung und muss Maßnahmen ergreifen, um die KI-Kompetenz der Beteiligten zu unterstützen.

Seit wann gilt Art. 4 EU AI Act?

Art. 4 ist seit dem 2. Februar 2025 anwendbar (über Art. 113 der Verordnung). Eine eigene Übergangsfrist gibt es nicht. Seit dem 27. Juli 2026 gilt die durch den Digital Omnibus geänderte, abgeschwächte Fassung. Die behördliche Aufsicht über die nationalen Marktüberwachungsbehörden läuft seit dem 2. August 2026.

Wie hoch ist das Bußgeld bei einem Verstoß gegen die KI-Kompetenz-Pflicht?

Es gibt kein direktes, beziffertes Bußgeld speziell für Verstöße gegen Art. 4. Die Bußgeldstaffel der Verordnung (Art. 99) nennt Art. 4 in keiner Stufe. Die oft kursierenden Summen, bis 35 Mio. Euro oder 7 Prozent des Umsatzes und bis 15 Mio. Euro oder 3 Prozent, gelten für andere Verstöße, etwa verbotene Praktiken nach Art. 5, nicht für die KI-Kompetenz-Pflicht. Eine Sanktionierung kommt allenfalls indirekt über nationale Sanktionsregeln und die Marktüberwachung in Betracht.

Wer ist in Deutschland für die Durchsetzung zuständig?

Zuständige Marktüberwachungsbehörde ist die Bundesnetzagentur (BNetzA), dort entsteht ein Koordinierungs- und Kompetenzzentrum. Die Rechtsgrundlage ist das deutsche Durchführungsgesetz KI-MIG (KI-Marktüberwachungs- und Innovationsförderungsgesetz), das seit dem 29. Juli 2026 in Kraft ist.

Wie setzt ein Kleinbetrieb die KI-Kompetenz-Pflicht praktisch um?

Die EU-Kommission gibt keinen festen Mindestumfang vor, der Maßstab ist proportional zum tatsächlichen KI-Einsatz, Art. 4 verlangt, Kenntnisse, Erfahrung, Ausbildung und Einsatzkontext zu berücksichtigen. Bewährt sind vier Bausteine: erstens die Mitarbeitenden sensibilisieren und schulen (Chancen, Risiken, Halluzinationen, Datenschutz, kein blindes Übernehmen von KI-Ausgaben), zweitens ein einfaches Inventar, welche KI-Tools wofür genutzt werden, drittens eine interne KI-Richtlinie mit klaren Nutzungsregeln, viertens die Maßnahmen dokumentieren als Nachweis.

Stimmt es, dass die KI-Kompetenz-Pflicht abgeschwächt wurde?

Ja. Die Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744 vom 8. Juli 2026, ist seit dem 27. Juli 2026 in Kraft und hat Art. 4 neu gefasst. Statt ein ausreichendes Maß an KI-Kompetenz sicherzustellen, müssen Anbieter und Betreiber jetzt Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie ausdrücklich nicht garantieren. Die Pflicht entfällt aber nicht, auch nicht für kleine Unternehmen.

Reicht es, ein Tool einmalig zu erklären, oder muss ich regelmäßig schulen?

Die Verordnung schreibt keinen festen Schulungsrhythmus vor. Sinnvoll ist es, die Sensibilisierung beim Onboarding neuer Mitarbeitender und nach größeren Änderungen am KI-Einsatz aufzufrischen, etwa wenn ein neues Tool dazukommt. Wichtig ist, dass die Kompetenz zum tatsächlichen Einsatz passt und dass du belegen kannst, dass du dich darum gekümmert hast.

Ist das eine reine IT- oder Compliance-Aufgabe, oder gehört das zur Website?

Die KI-Kompetenz-Pflicht ist primär eine organisatorische Aufgabe und keine Website-Frage. Die Bausteine Schulung, Inventar, Richtlinie und Dokumentation laufen im Betrieb, nicht auf der Seite. Berührungspunkte zur Website gibt es nur dort, wo du selbst KI auf der Seite einsetzt, etwa einen Chatbot, denn dann kommen zusätzliche Haftungsfragen hinzu, die nichts mit Art. 4 zu tun haben.

Verwandte Pflichten für kleine Betriebe

Die KI-Kompetenz-Pflicht ist eine von mehreren Compliance-Fragen, die kleine Betriebe gerade beschäftigen. Wenn du gerade dabei bist, deinen digitalen Hof aufzuräumen, helfen diese Einordnungen weiter: Was bei einer DSGVO-Abmahnung zu tun ist, und die Frage Ab wann bin ich vom BFSG betroffen, also von der Barrierefreiheitspflicht für Websites. Branchenbezogene Erstdiagnosen findest du im Hub für Arztpraxen, für Kanzleien und fürs Handwerk.