Artikel 4 ist die Pflicht der KI-Verordnung, die fast jedes Unternehmen in der Union schon hat, und die, deren Text sich diesen Sommer geändert hat. Er gilt für Anbieter und Betreiber von KI-Systemen, also für jedes Unternehmen, das ein KI-System in seinem Betrieb nutzt, seit dem 2. Februar 2025, und die Verordnung (EU) 2026/1744, der Digital Omnibus zur KI, hat seinen Wortlaut mit Wirkung vom 27. Juli 2026 ersetzt. Dieser Artikel ist der neu gefasste Text, was er verlangt und nicht verlangt, wie der Nachweis entsteht, und ein Programm, das auf eine Seite passt, gelesen aus den beiden Verordnungen auf CELLAR am 12. September 2026. Er ist keine Rechtsberatung.

Der Text, vorher und nachher

Der ursprüngliche Artikel 4 verlangte von Anbietern und Betreibern, Maßnahmen zu ergreifen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz ihres Personals und anderer Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Der neu gefasste Artikel 4(1) verlangt von ihnen, „Maßnahmen, um die Entwicklung der KI-Kompetenz" derselben Personen „zu unterstützen", zu ergreifen, „wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind", und fügt dann den Satz hinzu, der das Gespräch verändert: „Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren."

Zwei neue Absätze folgen. Artikel 4(2): Die Kommission und die Mitgliedstaaten unterstützen und fördern die Bemühungen der Anbieter und Betreiber, „insbesondere von KMU", und die Kommission veröffentlicht „praktische Beispiele dafür, wie diese Verpflichtung erfüllt wird", auf der zentralen Informationsplattform des Artikels 62(3). Artikel 4(3): Das KI-Gremium nimmt unter Berücksichtigung der europäischen Kompetenzrahmen Empfehlungen zur Förderung der KI-Kompetenz an, „unter anderem durch die Festlegung gemeinsamer Ziele".

Die Begriffsbestimmung hat sich nicht bewegt. Artikel 3(56): KI-Kompetenz sind die Fähigkeiten, Kenntnisse und das Verständnis, die es Anbietern, Betreibern und betroffenen Personen ermöglichen, KI-Systeme sachkundig einzusetzen und sich der Chancen und Risiken von KI und der möglichen Schäden bewusst zu werden, die sie verursachen kann.

Was er verlangt, und von wem

Die Pflicht trifft die Organisation, nicht die einzelne Person, und sie ist eine Pflicht zu Mitteln: Maßnahmen zu ergreifen, angemessen für die Personen und den Kontext. Drei Dinge folgen aus dem Text.

Erstens, wer erfasst ist: das Personal und „andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind", was Auftragnehmer und Leiharbeitskräfte erreicht, die ein System für Sie betreiben. Nicht Kunden und nicht die Öffentlichkeit, obwohl die Maßnahmen „die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen", berücksichtigen sollen.

Zweitens, was „Maßnahmen" sind: Der Artikel sagt nicht Schulung, Kurse oder Zertifikate. Er sagt Maßnahmen, die technische Kenntnisse, Erfahrung, Aus- und Fortbildung und den Nutzungskontext berücksichtigen. Ein Entwickler, der Modelle baut, ein Recruiter, der ein vom System erzeugtes Ranking liest, und eine Assistenz, die mit einem Modell mit allgemeinem Verwendungszweck Entwürfe schreibt, brauchen Verschiedenes, und die Maßnahme für jeden ist die, die passt.

Drittens, was er nicht verlangt: ein garantiertes Kompetenzniveau einer Person, einen Test, ein Zertifikat oder einen bestimmten Kurs. Ein Unternehmen kann den Artikel mit einer internen Einweisung, einem schriftlichen Leitfaden je System, einer Nutzungsrichtlinie und einem Nachweis, wer was wann erhalten hat, erfüllen, solange die Maßnahmen zu den Personen und dem Kontext passen.

Die Durchsetzung

Artikel 4 steht in Kapitel I, in Anwendung seit dem 2. Februar 2025. Er gehört nicht zu den Vorschriften, an die Artikel 99(4) die Geldbußen von bis zu 15 000 000 Euro oder 3% des Umsatzes knüpft; das sind die Artikel 16, 22 bis 26 und 50, die Akteurspflichten für Hochrisiko und Transparenz. Nach Artikel 99(1) in der geänderten Fassung legen die Mitgliedstaaten Sanktionen für jeden Verstoß gegen die Verordnung fest, die Geldbußen, Verwarnungen und nicht monetäre Maßnahmen umfassen können, verhältnismäßig und unter Berücksichtigung der Interessen von KMU, Start-ups und SMCs. Die praktische Folge des Artikels 4 liegt also anderswo: Ein Betreiber eines Hochrisikosystems muss die menschliche Aufsicht Personen übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen (Artikel 26(2)), und die Betriebsanleitung eines Anbieters setzt einen Leser voraus, der sie nutzen kann; ein Unternehmen, das nicht zeigen kann, was es nach Artikel 4 getan hat, wird die Frage unter diesen Artikeln gestellt bekommen, und von seinen Kunden.

Der Nachweis, aus ISO 42001

Für ein Unternehmen, das ein Managementsystem betreibt, ist Artikel 4 bereits ein Satz von Aufzeichnungen, die es führt. ISO/IEC 42001:2023 verlangt in Klausel 7.2, dass die Organisation die Kompetenz bestimmt, die die Personen brauchen, deren Arbeit ihre KI-Leistung beeinflusst, sicherstellt, dass sie sie haben, Maßnahmen ergreift, wo nicht, und Nachweise aufbewahrt; in Klausel 7.3, dass die Personen die KI-Politik und ihren Beitrag zum Managementsystem kennen; und in Anhang A deckt die Maßnahme A.4.6 die Personen und Fähigkeiten ab, von denen ein KI-System abhängt, und die A.9-Maßnahmen decken die eigene Nutzung von KI durch die Organisation ab: Regeln für die Nutzung (A.9.2), die Ziele für verantwortungsvolle Nutzung (A.9.3) und die Nutzung eines Systems für das, wofür es gebaut wurde (A.9.4). Der Kompetenznachweis nach 7.2 ist der Nachweis nach Artikel 4: wer welches System betreibt, was er wissen musste, welche Maßnahme er erhalten hat, wann, und der Beleg.

Dieselben Klauseln gibt es in ISO 27001, 7.2 und 7.3, und ein Unternehmen, das dieses Zertifikat hält, kann die KI-Maßnahmen in die Kompetenz- und Bewusstseinsnachweise aufnehmen, die es bereits führt, statt eine parallele Akte aufzubauen. Was ISO 42001 verlangt und wo die übrigen Pflichten der KI-Verordnung darauf landen, steht in der Zuordnung; die 38 Maßnahmen der Norm in einfachem Deutsch sind das Gegenstück.

Ein Programm, das auf eine Seite passt

Unser Beispiel, in unseren eigenen Worten; die Maßnahmen, die zu einem Unternehmen passen, sind die, die zu seinen Systemen und seinen Leuten passen, und der Text schreibt diese nicht vor.

  1. Ein Inventar: die KI-Systeme, die das Unternehmen anbietet oder nutzt, jedes mit seiner Zweckbestimmung, wer es betreibt und bei wem es eingesetzt wird. Ohne das gibt es nichts, wozu Maßnahmen zu ergreifen wären.
  2. Drei Personengruppen: die, die Systeme bauen oder konfigurieren, die, die sie betreiben und auf ihre Ausgabe hin handeln, und alle anderen, die ein Werkzeug mit allgemeinem Verwendungszweck nutzen. Die Maßnahmen unterscheiden sich je Gruppe.
  3. Für die erste Gruppe die technische Dokumentation des Systems und die Betriebsanleitung des Anbieters, gelesen und bestätigt, und die Risikobewertung, zu der sie beigetragen haben.
  4. Für die zweite Gruppe ein einseitiger Leitfaden je System: was es tut, was es nicht tut, seine bekannten Grenzen und seine Genauigkeit, der Hinweis auf Automatisierungsverzerrung nach Artikel 14(4)(b) in den Worten des Unternehmens, wann es zu übersteuern ist und wen man fragt.
  5. Für die dritte Gruppe die Nutzungsrichtlinie: welche Werkzeuge freigegeben sind, was nicht eingegeben werden darf, wie Ausgaben geprüft werden und die Offenlegungspflichten nach Artikel 50, wo sie gelten.
  6. Eine Einweisung zu Chancen und Risiken von KI, einmal beim Eintritt und einmal jährlich, die „Bewusstseins"-Hälfte der Begriffsbestimmung in Artikel 3(56).
  7. Ein Nachweis je Person: Gruppe, Systeme, erhaltene Maßnahmen, Daten. Das ist der Kompetenznachweis nach 7.2 und das, was auf Nachfrage vorzuzeigen ist.
  8. Eine Überprüfung, wenn ein System hinzukommt, sich ändert oder außer Betrieb geht, und wenn die praktischen Beispiele der Kommission oder die gemeinsamen Ziele des Gremiums veröffentlicht werden.

Das ist Artikel 4. Das Kleingedruckte ist, dass er verhältnismäßig ist: Eine Beratung mit acht Personen, die zwei Werkzeuge mit allgemeinem Verwendungszweck nutzt, erfüllt ihn mit den Punkten 1, 5, 6 und 7; ein Anbieter eines Hochrisiko-Recruitingsystems nicht.

Quellen

  • Verordnung (EU) 2024/1689 (die KI-Verordnung), Artikel 3(56), Artikel 4 in der ursprünglichen Fassung, Artikel 14(4), Artikel 26(2), Artikel 50, Artikel 62(3), Artikel 99(1) und (4), Artikel 113.
  • Verordnung (EU) 2026/1744 vom 8. Juli 2026 (der Digital Omnibus zur KI), Artikel 1, Nummern (5) und (38); Amtsblatt vom 24. Juli 2026, in Kraft seit dem 27. Juli 2026. Beide gelesen auf CELLAR am 12. September 2026.
  • ISO/IEC 42001:2023, Klauseln 7.2 und 7.3 und die Anhang-A-Maßnahmen A.4.6, A.9.2, A.9.3 und A.9.4, nach Nummer zitiert; der Text gehört der ISO und wird nicht wiedergegeben.

Dies ist keine Rechtsberatung. Welche Maßnahmen Artikel 4 für ein bestimmtes Unternehmen erfüllen, hängt von seinen Systemen und seinen Leuten ab; der Text ist der der Verordnung, und die praktischen Beispiele werden die der Kommission sein.