KI-Kompetenzpflicht 2026: Was Artikel 4 für Betriebe und Kanzleien heißt

Seit dem 2. August 2026 überwacht die Marktüberwachung in Deutschland die KI-Verordnung auch bei der KI-Kompetenz. Viele Betriebe hören davon zuerst als „Schulungspflicht“ oder „Zertifikatspflicht“. Beides trifft so nicht zu. Artikel 4 der Verordnung (EU) 2024/1689 verlangt Maßnahmen, mit denen Anbieter und Betreiber die Entwicklung der KI-Kompetenz ihres Personals unterstützen – und seit der Neufassung durch die Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744) ausdrücklich kein bestimmtes Kompetenzniveau mehr garantieren müssen.

Für Kanzleien, Praxen und Know-how-Betriebe ist das relevant, sobald Mitarbeitende Cloud-Chatbots, Branchen-KI oder einen lokalen KI-Server nutzen. Wer das System beruflich einsetzt, ist typischerweise Betreiber – unabhängig davon, ob die Modelle in der Cloud oder im eigenen Haus laufen.

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Er ordnet öffentlich verfügbare Vorgaben und Behördenhinweise ein. Maßgeblich sind der Verordnungstext, die Angaben der zuständigen Stellen und die Prüfung im Einzelfall.

Was Artikel 4 seit dem Omnibus tatsächlich verlangt

Die Pflicht zur KI-Kompetenz gilt bereits seit dem 2. Februar 2025. Neu ist vor allem die Klarstellung und die Durchsetzung: Die Kommission und die Bundesnetzagentur stellen klar, dass Überwachung und Durchsetzung der KI-Verordnung – und damit auch von Artikel 4 – ab Anfang August 2026 bei den nationalen Marktüberwachungsbehörden liegen. In Deutschland ist die Bundesnetzagentur zentrale Anlaufstelle.

Die Neufassung von Artikel 4 (in Kraft seit 27. Juli 2026) lautet im Kern so:

• Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit Betrieb und Nutzung von KI-Systemen befasst sind.
• Dabei sind technische Kenntnisse, Erfahrung, Aus- und Fortbildung sowie der Einsatzkontext zu berücksichtigen.
• Die Pflicht verpflichtet nicht dazu, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.
• Kommission und Mitgliedstaaten sollen insbesondere KMU unterstützen; die Kommission veröffentlicht praktische Beispiele auf der zentralen Informationsplattform.

Die Legaldefinition steckt in Artikel 3 Nr. 56: KI-Kompetenz meint Fähigkeiten, Kenntnisse und Verständnis, um KI-Systeme sachkundig einzusetzen und Chancen, Risiken und mögliche Schäden zu erkennen. Das ist bewusst breit – und bewusst keine Checkliste mit Pflichtzertifikat.

Was nicht vorgeschrieben ist

Die Bundesnetzagentur fasst die Grenzen klar zusammen. Nicht vorgeschrieben sind unter anderem:

• ein garantiertes Kompetenzniveau bei einzelnen Personen,
• standardisierte oder formalisierte Trainingsformate,
• eine Zertifizierungspflicht für Schulungen,
• die Einführung eines „KI-Beauftragten“.

Die Europäische Kommission schreibt in ihren FAQ ebenso deutlich: Es besteht keine Notwendigkeit für ein Zertifikat. Organisationen können interne Aufzeichnungen über Schulungen und andere Maßnahmen führen. Wer mit „gesetzlich vorgeschriebenem Art.-4-Zertifikat“ wirbt, behauptet etwas, das die Verordnung so nicht verlangt.

Wer betroffen ist – auch ohne eigene KI-Entwicklung

Betreiber im Sinne der KI-Verordnung ist, wer ein KI-System unter eigener Verantwortung beruflich nutzt. Die Kommission nennt als Beispiel ausdrücklich auch Unternehmen, deren Mitarbeitende ChatGPT etwa zum Formulieren oder Übersetzen nutzen: Dann sollten sie über spezifische Risiken wie Halluzinationen informiert sein. Dasselbe gilt für Branchen-Assistenten, Dokumenten-KI und lokale Systeme.

„Andere Personen“ sind nicht nur Angestellte. Die FAQ der Kommission rechnen dazu auch Personen, die weitgehend in den organisatorischen Zuständigkeitsbereich fallen – etwa Auftragnehmer oder Dienstleister, soweit sie im Auftrag mit dem System arbeiten. Für Hochrisiko-KI kommen zusätzlich Schulungs- und Aufsichtspflichten aus anderen Artikeln hinzu; das ist ein eigenes Thema und nicht mit Artikel 4 gleichzusetzen.

Einen Überblick über den weiteren Fahrplan der Verordnung finden Sie in unserem Beitrag zur KI-Verordnung seit August 2026. Wer Cloud-Dienste in der Lieferkette betrachtet, schaut parallel auf NIS-2 und Cloud-KI.

Was die Bundesnetzagentur zur Dokumentation empfiehlt

Artikel 4 selbst enthält keine ausdrückliche Dokumentationspflicht. Die Bundesnetzagentur empfiehlt dennoch, Maßnahmen zu dokumentieren – unter anderem Art der Maßnahme, inhaltlichen und zeitlichen Umfang sowie teilnehmende Personen. Begründung: Ein Mangel an KI-Kompetenz kann als Verletzung der Sorgfaltspflicht gewertet werden, insbesondere wenn daraus ein Schaden entsteht. Wer nachweisen kann, dass er Maßnahmen ergriffen und an den Kontext angepasst hat, steht besser da als wer gar nichts vorweisen kann.

Als Orientierung nennt die Behörde drei Grundsteine:

1. Bedarf ermitteln: Wer nutzt welche KI-Systeme zu welchem Zweck – und mit welchen Risiken?
2. Maßnahmen gestalten: Rolle der Organisation (Anbieter oder Betreiber), Vorkenntnisse der Personen, Kontext und Risiko der Systeme berücksichtigen.
3. Dokumentieren, evaluieren, auffrischen: Maßnahmen festhalten, Wirkung prüfen und bei neuen Tools oder Rollen nachziehen.

Formate können intern oder extern sein: Kurzbriefing, Workshop, Selbstlernmodul, rollenspezifische Einweisung. Entscheidend ist die Passung zum Einsatz, nicht die Länge des Zertifikats.

Lokale KI ändert die Kompetenzpflicht nicht – aber den Inhalt

On-Premise-KI bedeutet: Modelle und oft auch Dokumente laufen auf Hardware im eigenen Netz. Das erleichtert die Kontrolle über Datenflüsse, weil Inhalte nicht an einen öffentlichen Cloud-Chatbot geschickt werden müssen. Es macht aus dem Betrieb aber keinen „automatisch konformen“ Betreiber und entbindet nicht von Artikel 4.

Im Gegenteil: Wer einen lokalen KI-Server betreibt, sollte die Kompetenzmaßnahmen genau auf diesen Betrieb zuschneiden. Typische Inhalte unterscheiden sich von denen bei einem Cloud-Chatbot:

• Gemeinsam relevant: Was ist ein Sprachmodell? Wo entstehen Halluzinationen? Warum Ergebnisse fachlich prüfen? Wer darf welche Systeme nutzen?
• Bei Cloud-KI zusätzlich: Welche Daten dürfen den Dienst verlassen – und welche nicht? Wie greifen Berufsgeheimnis, Auftragsverarbeitung und Subunternehmerketten?
• Bei lokaler KI zusätzlich: Wer administriert den Server? Welche Logs und Backups gibt es? Welche Fernwartung oder Telemetrie ist aktiv? Wie werden Modelle aktualisiert, und wer freigibt neue Funktionen?

Für Berufsgeheimnisträger bleibt parallel das Straf- und Berufsrecht maßgeblich. Dazu haben wir eigene Ratgeber: Mandantendaten und § 203 StGB sowie ChatGPT mit Mandantendaten. Artikel 4 ersetzt diese Prüfung nicht.

Praxischeck für Kanzleien, Praxen und Know-how-Betriebe

Ein schlanker Einstieg, den viele Häuser in wenigen Stunden vorbereiten können:

1. Liste aller beruflich genutzten KI-Systeme (Cloud und lokal), inkl. „Schatten-IT“ wie private Chatbot-Accounts am Arbeitsplatz.
2. Rollen zuordnen: Wer nutzt, wer administriert, wer entscheidet über Freigaben?
3. Kurz die Risiken je System beschreiben: falsche Auskünfte, Datenabfluss, unbefugter Zugriff, fehlende menschliche Prüfung.
4. Maßnahmen festlegen: Einweisung neuer Nutzer, schriftliche Nutzungsregeln, Auffrischung bei Tool-Wechsel.
5. Teilnahme und Datum dokumentieren – intern reicht; ein externes Zertifikat ist nicht vorgeschrieben.
6. Externe IT- oder Wartungspartner einbeziehen, soweit sie im Auftrag mit dem System arbeiten.

Wer den Schritt zu Hardware im Haus prüft, findet Orientierung unter KI für Kanzleien ohne Cloud und im Preisrechner für lokale KI. Weitere Einordnungen sammeln wir im Ratgeber.

Weiterlesen: KI-Verordnung seit August 2026 und Lokale KI: Modelle, Hardware und Kosten sowie ChatGPT und Datenschutz.

Kurzfazit

Die KI-Kompetenzpflicht ist real, aber schlanker als viele Marketingtexte behaupten. Seit dem Omnibus müssen Betriebe Maßnahmen unterstützen, kein Niveau garantieren und kein Zertifikat kaufen. Durchsetzung läuft seit August 2026 über die Marktüberwachung; die Bundesnetzagentur empfiehlt eine nachvollziehbare Dokumentation. Lokale KI hilft bei der Kontrolle über Datenflüsse – die Kompetenzpflicht bleibt und sollte genau auf Server, Rollen und Risiken vor Ort zugeschnitten werden.

Sie wollen wissen, welche Inhalte für Ihren lokalen Einsatz sinnvoll sind? Rufen Sie an unter 0911 47904156 oder schreiben Sie an info@innobotics.de. Vorführungen und Tests planen wir individuell. Weitere aktuelle Beiträge finden Sie in unserem Blog.

Häufige Fragen

Brauchen wir ein offizielles KI-Zertifikat für Mitarbeitende?

Nein. Weder die KI-Verordnung noch die Hinweise der Kommission und der Bundesnetzagentur verlangen ein amtliches „Art.-4-Zertifikat“. Interne Dokumentation der Maßnahmen genügt als Nachweisansatz.

Gilt Artikel 4 auch, wenn wir nur ChatGPT privat am Arbeitsplatz nutzen?

Sobald die Nutzung beruflich und unter der Verantwortung des Betriebs erfolgt, greift die Betreiber-Logik. Die Kommission nennt genau solche Fälle als relevant für Aufklärung über Risiken wie Halluzinationen.

Reicht die Bedienungsanleitung des KI-Anbieters?

Oft nicht. Die Kommission stellt klar, dass allein das Lesen einer Anleitung in vielen Fällen unwirksam sein kann. Maßnahmen sollen an Wissen, Rolle und Kontext der Nutzer angepasst sein.

Macht ein KI-Server im Haus die Kompetenzpflicht überflüssig?

Nein. On-Premise-Betrieb ändert den Datenfluss, nicht die Pflicht aus Artikel 4. Er verschiebt den Schulungsfokus stärker auf Betrieb, Administration und lokale Risiken.

Was ist mit Hochrisiko-KI?

Für Hochrisiko-Systeme gelten zusätzliche Pflichten, unter anderem zu Schulung und menschlicher Aufsicht. Das geht über Artikel 4 hinaus und muss gesondert geprüft werden.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung) – EUR-Lex
• Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI) – EUR-Lex
• Art. 4 KI-Verordnung (Konsolidierte Fassung / dejure)
• Bundesnetzagentur: KI-Kompetenz
• Europäische Kommission: FAQ zur KI-Kompetenz
• Änderung Art. 4 KI-VO zum 27.07.2026 (buzer.de)