Ab wann gilt Artikel 4 KI-VO – und was er verlangt

Die kurze Antwort auf die Leitfrage „ab wann gilt Artikel 4 KI-VO?“ lautet: seit dem 2. Februar 2025. Ab diesem Datum müssen Anbieter und Betreiber von KI‑Systemen – unabhängig von Branche und Risikostufe – zumutbare Maßnahmen ergreifen, um ein ausreichendes Maß an KI‑Kompetenz bei allen betroffenen Personen sicherzustellen, auch bei externen Dienstleistern. Der Artikel ist damit der früheste materielle Pflichtpunkt der EU‑KI‑Verordnung und markiert den Startschuss für gelebte KI‑Governance im Alltag.

Wichtig: Diese Pflicht greift breit. Sie betrifft nicht nur Teams, die Modelle entwickeln, sondern ebenso die Praxis im Einsatz – von Fachbereichen über Einkauf und IT bis zu Stellen mit Kunden‑ oder Bürgerkontakt. Entscheidend ist, dass Menschen, die KI bedienen, Ergebnisse interpretieren oder Entscheidungen auf Basis von KI treffen, die Technik und ihre Grenzen hinreichend verstehen.

Der Gesetzgeber setzt damit früh auf den „menschlichen Faktor“ als Sicherheitsanker. Bevor risikospezifische Detailauflagen stufenweise wirksam werden, soll KI‑Kompetenz Fehleinschätzungen, blinde Automatisierungen und Vertrauensfehler dämpfen – auch dort, wo heute vor allem allgemeine KI‑Werkzeuge genutzt werden.

Kurzüberblick

• Geltung: Artikel 4 ist seit 2. Februar 2025 anwendbar; die KI‑VO selbst ist seit 1. August 2024 in Kraft.
• Adressaten: Anbieter (Entwickler/Hersteller) und Betreiber (Nutzer/Einsetzer) von KI‑Systemen – inklusive General‑Purpose‑KI wie Assistenten und Chatbots.
• Kernpflicht: Zumutbare Maßnahmen zur Sicherung ausreichender KI‑Kompetenz bei Beschäftigten und Personen, die im Auftrag handeln (einschließlich Auftragnehmern).
• Bemessung: Kompetenzniveau abhängig von Aufgabe, Erfahrung, Einsatzkontext und Zielgruppenbezug.
• Praxis: Maßnahmenmix aus Schulungen, Richtlinien, organisatorisch‑technischen Kontrollen, Lieferkettenregeln und Nachweisen.
• Status: „Ausreichend“ bleibt kontextabhängig; Aufsicht und Sanktionspraxis entwickeln sich.

Geltung und Adressaten: Ab wann gilt Artikel 4 KI-VO – und für wen?

Artikel 4 ist seit dem 2. Februar 2025 verbindlich. Er setzt bewusst vor strengeren, stufenweise greifenden Vorgaben für Hochrisiko‑Systeme an. Die Idee dahinter: Kompetente Nutzerinnen und Nutzer sind eine Grundvoraussetzung für verantwortliche KI‑Anwendung – unabhängig davon, ob es sich um spezialisierte Fachsysteme oder breit verfügbare Werkzeuge handelt.

Die Pflicht gilt risiko- und branchenübergreifend. Sie beschränkt sich nicht auf Hochrisiko‑KI oder bestimmte Sektoren. Betroffen sind Organisationen überall dort, wo Menschen KI‑Systeme entwickeln, einkaufen, integrieren, bedienen, überwachen oder Ergebnisse weiterverwenden.

Adressiert sind sowohl Anbieter (die KI‑Systeme entwickeln oder als Hersteller in Verkehr bringen) als auch Betreiber (die KI einsetzen bzw. nutzen). Der Kreis der Personen, für die Kompetenz sicherzustellen ist, reicht über die Stammbelegschaft hinaus und umfasst ausdrücklich alle, die „im Auftrag“ handeln – etwa externe Entwicklerinnen, Integrationspartner, Berater oder ausgelagerte Service‑Teams.

Praktisch relevant ist damit ein breites Rollenspektrum: Produkt‑ und Daten‑Teams, Einkauf, Compliance, IT‑Betrieb und Informationssicherheit ebenso wie Fachbereiche, die KI‑Ausgaben interpretieren, sowie Stellen mit Kunden‑ oder Bürgerkontakt, die KI‑gestützte Inhalte weitergeben. Entscheidend ist nicht der Marketingbegriff eines Tools, sondern ob seine Funktionsweise unter die Definition eines KI‑Systems fällt.

Was bedeutet „ausreichende KI-Kompetenz“ konkret?

Die KI‑VO versteht KI‑Kompetenz als die Fähigkeit, KI‑Systeme informiert zu nutzen, Risiken zu erkennen und verantwortungsvoll damit umzugehen – einschließlich rechtlicher, technischer und ethischer Dimensionen. „Ausreichend“ bedeutet: dem Zweck, der Aufgabe und dem Einsatzkontext angemessen. Eine einheitliche quantitative Schwelle nennt der Gesetzgeber bewusst nicht.

Für die Bemessung des erforderlichen Kompetenzniveaus sind typischerweise zu berücksichtigen:

• Aufgabe und Verantwortung: Entwickeln, integrieren, konfigurieren, beschaffen, betreiben, überwachen, entscheiden, kommunizieren.
• Vorkenntnisse und Erfahrung: Technisches Know‑how, Branchenwissen, Ausbildung.
• Einsatzkontext: Auswirkungen auf Einzelne und Gruppen, Sensibilität der Daten, Möglichkeit menschlicher Kontrolle.
• Zielgruppenbezug: Interne und externe Adressaten, die Ergebnisse erhalten oder von Entscheidungen betroffen sind.

Aus dieser Logik folgt eine gestufte Kompetenz: Wer KI‑Ausgaben lediglich assistiv nutzt, braucht anderes Rüstzeug als jemand, der Modelle integriert oder automatisierte Entscheidungen verantwortet. In allen Fällen gilt: Es muss reichen, um Grenzen zu erkennen, typische Fehler (z. B. Halluzinationen, Verzerrungen, Datensensitivität) zu identifizieren und angemessen gegenzusteuern.

Maßnahmenmix: von Training bis Governance

Artikel 4 verlangt, Maßnahmen zu ergreifen – ohne ein bestimmtes Instrument vorzuschreiben. In der Praxis trägt ein verhältnismäßiger Maßnahmenmix, der Rolle und Risiko zusammenführt:

1. Rollen- und Risikomapping: Wer berührt KI in welchem Prozess? Welche möglichen Auswirkungen bestehen? Ergebnis: eine klare Zuordnung von Rollen zu Risikoprofilen.
2. Kompetenzprofile und Lernpfade: Definition, welches Wissens‑ und Fähigkeitsniveau pro Rolle erforderlich ist (rechtlich, technisch, organisatorisch). Dazu passende Onboarding‑, Auffrischungs‑ und Vertiefungsmodule.
3. Didaktischer Methodenmix: Kombination aus Schulungen, E‑Learning, betreuten Übungen, Peer‑Lernen, Prompt‑/Code‑Reviews und praxisnahen Leitfäden – zugeschnitten auf konkrete Tools und Prozesse.
4. Richtlinien und Guardrails: Klarheit, welche KI‑Dienste zugelassen sind, wofür sie genutzt werden dürfen (z. B. kein Input sensibler Daten), Eskalationswege bei Zweifeln, verpflichtende menschliche Kontrolle an kritischen Stellen.
5. Organisatorisch‑technische Kontrollen: Rollenbasierte Zugriffe, Sandbox‑Umgebungen, Logging, Vier‑Augen‑Prinzip für sensible Ausgaben, Prüf‑Checklisten vor Freigaben.
6. Lieferkette und Auftragnehmer: Vertragliche Pflichten zu KI‑Kompetenz und Governance, Nachweise geeigneter Maßnahmen, Einbindung in Richtlinien und Meldewege.
7. Wirksamkeitskontrolle und Dokumentation: Teilnahme‑/Lernnachweise, Feedback‑Schleifen, regelmäßige Überprüfung der Maßnahmen auf Eignung und Aktualität.

Wesentlich ist die Verhältnismäßigkeit: Umfang und Tiefe der Maßnahmen müssen zum Risiko passen. Ein Team, das KI lediglich zur Textskizze nutzt, braucht andere Kontrollen als eines, das automatisierte Vorsortierungen im Kundenservice implementiert. Entscheidend ist, dass die Organisation plausibel zeigen kann, warum gewählte Maßnahmen für Aufgabe und Kontext angemessen sind.

Nachweis, Aufsicht und offene Punkte

Die Auslegung von „ausreichend“ bleibt bewusst offen. Gefordert sind zumutbare, kontextangemessene Maßnahmen – und die Fähigkeit, diese Auswahl zu begründen. Daraus folgen pragmatische Leitlinien:

• Dokumentation ist nicht ausdrücklich vorgeschrieben, aber faktisch zentral: Ohne Aufzeichnungen zu Rollen, Maßnahmen und Wirksamkeitsprüfung lässt sich Angemessenheit schwer belegen.
• Aufsicht und Durchsetzung erfolgen national. Orientierungspapiere entstehen, eine gefestigte Sanktionspraxis baut sich erst auf.
• Keine automatische „Schulungspflicht“ im engen Wortsinn: Unternehmen müssen wirksame Maßnahmen treffen; Schulungen sind regelmäßig Teil davon, aber nicht die einzige Option.

FAQ: Häufige Missverständnisse

• Gilt Artikel 4 nur für Hochrisiko‑KI? Nein. Er gilt für alle KI‑Systeme – auch für allgemeine Assistenten und Chatbots.
• Müssen alle Beschäftigten geschult werden? Es geht um angemessene Maßnahmen pro Rolle. Breite Basissensibilisierung ist sinnvoll; vertiefte Kompetenz braucht, wer KI gestaltet, entscheidet oder veröffentlicht.
• Reichen interne Richtlinien aus? Nur wenn sie wirksam sind – also verstanden, gelebt und kontrolliert. In der Praxis braucht es meist zusätzlich Training, Kontrollen und Nachweise.
• Drohen sofort Bußgelder bei Fehlern? Maßgeblich ist, ob zumutbare, kontextgerechte Maßnahmen nachweisbar getroffen wurden. Eine einheitliche Sanktionslinie entsteht erst.

Pragmatischer Fahrplan

1. Bestandsaufnahme: KI‑Nutzungen, Rollen, Risiken, bestehende Policies und Trainings erfassen.
2. Zielbild definieren: Kompetenzprofile pro Rolle und klare Do/Don’t‑Leitplanken festlegen.
3. Maßnahmenmix planen: Lernpfade, Kontrollen, Lieferkettenregeln, Verantwortlichkeiten.
4. Umsetzen und dokumentieren: Teilnahme, Inhalte, Ausnahmen, Wirksamkeitschecks festhalten.
5. Nachsteuern: Regelmäßige Aktualisierung mit Blick auf Tools, Recht und Praxisfeedback.

Unterm Strich verankert Artikel 4 den Menschen im Zentrum der KI‑Sicherheit. Seit dem 2. Februar 2025 ist gefordert, Kompetenz nicht dem Zufall zu überlassen, sondern sie systematisch zu organisieren – verhältnismäßig, dokumentiert und wirksam.