KI-Kompetenz nach Art. 4 KI-VO: Was Arbeitgeber wirklich müssen (und was nicht)
Seit dem 2. Februar 2025 verlangt Art. 4 der KI-Verordnung, dass Unternehmen bei ihrem Personal und beauftragten Dritten für ausreichende KI-Kompetenz sorgen. Viele Schulungsanbieter werben mit hohen Bußgeldern für Verstöße – juristisch unzutreffend, denn Art. 99 KI-VO zählt die bußgeldbewehrten Vorschriften abschließend auf, und Art. 4 gehört nicht dazu. Dieser Leitfaden erklärt, was Art. 4 tatsächlich verlangt, wo das reale Risiko liegt, was ab 2. August 2026 mit voller Anwendbarkeit und der Bundesnetzagentur als Marktüberwachung dazukommt, und wie ein pragmatischer Maßnahmenplan aussieht.
Art. 4 der KI-Verordnung (KI-VO, Verordnung (EU) 2024/1689) gilt seit dem 2. Februar 2025 und verpflichtet Anbieter und Betreiber von KI-Systemen, ausreichende KI-Kompetenz bei ihrem Personal und bei Personen sicherzustellen, die in ihrem Auftrag mit KI-Systemen umgehen.
Ein weit verbreiteter Mythos behauptet, dafür drohten Bußgelder von bis zu 35 Mio. € oder 7 % des Jahresumsatzes. Das ist juristisch unzutreffend: Art. 99 KI-VO zählt die bußgeldbewehrten Vorschriften abschließend auf – Art. 4 steht nicht auf dieser Liste. Diese hohen Rahmen gelten für andere Vorschriften, etwa verbotene KI-Praktiken (Art. 5) oder Pflichten für Hochrisiko-KI-Systeme (u. a. Art. 16, 26, 50).
Das heißt nicht, dass Art. 4 folgenlos ist: Fehlende KI-Kompetenz kann die Bemessung anderer, tatsächlich bußgeldbewehrter Verstöße verschärfen und begründet ein allgemeines Organisationsverschulden. Ab dem 2. August 2026 entfaltet die KI-VO ihre volle Anwendbarkeit; in Deutschland übernimmt die Bundesnetzagentur auf Grundlage des KI-Marktüberwachungsgesetzes (KI-MIG) die zentrale Aufsicht. Für Arbeitgeber besonders relevant: KI-Systeme zur Bewerberauswahl oder Leistungsbewertung gelten nach Anhang III als Hochrisiko und unterliegen eigenen, strengeren Betreiberpflichten nach Art. 26 KI-VO.
Was Art. 4 KI-VO wirklich verlangt
Not legal advice – provided without warranty. Amounts, deadlines and thresholds may change; consult a professional if in doubt.
Frequently asked questions
Seit wann gilt Art. 4 KI-VO?
Seit dem 2. Februar 2025. Er verlangt, dass Anbieter und Betreiber von KI-Systemen ausreichende KI-Kompetenz bei ihrem Personal und beauftragten Dritten sicherstellen.
Drohen Bußgelder, wenn ich keine KI-Schulung durchführe?
Nicht direkt aus Art. 4 KI-VO – dieser Artikel ist in der abschließenden Bußgeldliste des Art. 99 KI-VO nicht enthalten. Fehlende KI-Kompetenz kann aber die Bemessung anderer, tatsächlich bußgeldbewehrter Verstöße (z. B. gegen Hochrisiko-Pflichten oder die DSGVO) verschärfen.
Was genau muss ich tun, um Art. 4 KI-VO zu erfüllen?
Sie müssen angemessene Maßnahmen ergreifen, damit Personen, die KI-Systeme in Ihrem Auftrag nutzen, über ausreichendes technisches Wissen und Verständnis des Einsatzkontexts verfügen. Das kann eine Schulung, eine interne Richtlinie oder benannte Ansprechpartner sein – Art. 4 schreibt kein bestimmtes Format vor.
Brauche ich ein Zertifikat, um Art. 4 zu erfüllen?
Nein. Art. 4 KI-VO verlangt kein bestimmtes Schulungsformat oder Zertifikat. Entscheidend ist, dass die getroffenen Maßnahmen zum technischen Wissen der Beteiligten und zum tatsächlichen Einsatzkontext der KI passen.
Was ändert sich am 2. August 2026?
Die KI-VO entfaltet dann ihre volle Anwendbarkeit, inklusive der Vorschriften für Hochrisiko-KI-Systeme. In Deutschland ist mit dem KI-Marktüberwachungsgesetz (KI-MIG, Bundestag 11.06.2026, Bundesrat 10.07.2026) die Bundesnetzagentur als zentrale Marktüberwachungsbehörde festgelegt.
Welche KI-Einsätze gelten für Arbeitgeber als Hochrisiko?
Nach Anhang III der KI-VO gelten unter anderem KI-Systeme zur Bewerberauswahl und zur Leistungsbewertung von Beschäftigten als Hochrisiko-Anwendungen. Betreiber solcher Systeme unterliegen eigenen, bußgeldbewehrten Pflichten nach Art. 26 KI-VO.
Wie hängt Art. 4 KI-VO mit der DSGVO zusammen?
Es sind zwei getrennte Rechtsregime. Sobald eine KI auf personenbezogene Daten angewendet wird, gelten zusätzlich die allgemeinen DSGVO-Pflichten (Informationspflichten, Rechtsgrundlage, ggf. Art. 22 DSGVO bei automatisierten Entscheidungen) – unabhängig davon, dass Art. 4 KI-VO selbst kein eigenes Bußgeld vorsieht.
Ist die Behauptung „35 Mio. € Bußgeld für fehlende KI-Schulung" also falsch?
Ja, so pauschal ist sie irreführend. Der Rahmen von bis zu 35 Mio. € bzw. 7 % Jahresumsatz gilt nach Art. 99 KI-VO für Verstöße gegen Art. 5 (verbotene KI-Praktiken), nicht für Art. 4 (KI-Kompetenz). Art. 4 ist in der abschließenden Sanktionsliste des Art. 99 KI-VO nicht enthalten.
Art. 4 KI-VO verpflichtet Anbieter und Betreiber von KI-Systemen,
angemessene Maßnahmen
zu ergreifen, damit ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein
ausreichendes Maß an KI-Kompetenz
verfügen. Dabei sind ausdrücklich zu berücksichtigen:
das technische Wissen, die Erfahrung, die Ausbildung und die Schulung dieser Personen,
der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie
die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen.
Die Vorschrift ist bewusst offen formuliert und schreibt kein bestimmtes Format vor. „Angemessene Maßnahmen" können je nach Unternehmen sehr unterschiedlich aussehen:
Mögliche Maßnahme
Wann geeignet
Strukturierte Schulung / E-Learning
Größere Teams, wiederkehrender KI-Einsatz
Interne Richtlinie zum KI-Einsatz
Klärung, welche Tools erlaubt sind und wie damit umgegangen wird
Benannte Multiplikatoren/Ansprechpartner
Kleinere Betriebe, punktueller KI-Einsatz
Dokumentierte Einarbeitung neuer Mitarbeitender
Ergänzend zu den oben genannten Maßnahmen
Mögliche Maßnahme
Strukturierte Schulung / E-Learning
Wann geeignet
Größere Teams, wiederkehrender KI-Einsatz
Mögliche Maßnahme
Interne Richtlinie zum KI-Einsatz
Wann geeignet
Klärung, welche Tools erlaubt sind und wie damit umgegangen wird
Mögliche Maßnahme
Benannte Multiplikatoren/Ansprechpartner
Wann geeignet
Kleinere Betriebe, punktueller KI-Einsatz
Mögliche Maßnahme
Dokumentierte Einarbeitung neuer Mitarbeitender
Wann geeignet
Ergänzend zu den oben genannten Maßnahmen
Ein Pflicht-Zertifikat verlangt Art. 4 nicht. Eine Dokumentation der getroffenen Maßnahmen ist sinnvoll, um im Zweifel Sorgfalt nachweisen zu können – vorgeschrieben ist sie durch Art. 4 selbst jedoch nicht.
Der Mythos: „Bis zu 35 Mio. € Bußgeld für fehlende KI-Schulung"
In der Werbung für KI-Schulungen taucht regelmäßig die Behauptung auf, Unternehmen ohne dokumentierte KI-Schulung drohten Bußgelder in Millionenhöhe. Diese Aussage vermischt zwei unterschiedliche Dinge: den allgemeinen, sehr hohen Bußgeldrahmen der KI-VO insgesamt und die Frage, welche einzelnen Vorschriften überhaupt bußgeldbewehrt sind.
Art. 99 KI-VO regelt die Sanktionen abschließend und benennt konkret, welche Verstöße mit welchem Bußgeldrahmen geahndet werden können:
Vorschrift
Inhalt
Bußgeldrahmen nach Art. 99
Art. 4
KI-Kompetenz sicherstellen
kein eigenes Bußgeld – nicht in Art. 99 aufgeführt
Art. 5
Verbotene KI-Praktiken
bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
Art. 16, 26, 50 u. a.
Pflichten für Anbieter/Betreiber von Hochrisiko-KI, Transparenzpflichten
bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes
Vorschrift
Art. 4
Inhalt
KI-Kompetenz sicherstellen
Bußgeldrahmen nach Art. 99
kein eigenes Bußgeld – nicht in Art. 99 aufgeführt
Vorschrift
Art. 5
Inhalt
Verbotene KI-Praktiken
Bußgeldrahmen nach Art. 99
bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
Vorschrift
Art. 16, 26, 50 u. a.
Inhalt
Pflichten für Anbieter/Betreiber von Hochrisiko-KI, Transparenzpflichten
Bußgeldrahmen nach Art. 99
bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes
Wer also mit einem konkreten Bußgeldbetrag für „fehlende KI-Schulung" wirbt, überträgt einen Rahmen, der für andere Vorschriften der KI-VO gilt, unzutreffend auf Art. 4.
Ehrlich zu Ende gedacht: Art. 99 KI-VO sieht kein eigenes EU-Bußgeld für Art.-4-Verstöße vor. Ob nationale Behörden fehlende KI-Kompetenz mittelbar über allgemeines Recht aufgreifen könnten, ist rechtlich nicht abschließend geklärt – ein sicherer Nachweis bleibt daher die dokumentierte, dem Einsatzkontext angemessene Maßnahme, nicht das Abwarten auf ein Bußgeld, das es nach Art. 99 gerade nicht gibt.
Wo das echte Risiko liegt
Kein eigenständiges Bußgeld heißt nicht folgenlos. Fehlende KI-Kompetenz wirkt sich auf drei Arten aus, die in der Praxis relevanter sind als ein imaginäres Art.-4-Bußgeld:
Organisationsverschulden: Führt mangelnde Schulung nachweisbar zu einem tatsächlichen Verstoß (etwa gegen Hochrisiko-Pflichten oder verbotene Praktiken), kann dies bei der Bemessung des dafür geltenden Bußgelds nach Art. 99 erschwerend berücksichtigt werden.
DSGVO-Folgeverstöße: Wird eine KI unsachgemäß auf personenbezogene Daten angewendet – etwa in der Personalarbeit –, drohen eigenständige, von der KI-VO unabhängige DSGVO-Bußgelder, die selbst sehr hoch ausfallen können.
Zivil- und arbeitsrechtliche Folgerisiken: Fehlentscheidungen durch unsachgemäß eingesetzte KI-Systeme (z. B. in der Bewerberauswahl) können eigene rechtliche Konsequenzen nach sich ziehen, unabhängig vom Bußgeldregime der KI-VO.
Das eigentliche Risiko liegt also nicht in einer isolierten Art.-4-Sanktion, sondern darin, dass fehlende Organisationsverantwortung im Schadensfall andere Regelungen schärfer treffen lässt.
Was ab 2. August 2026 zusätzlich gilt
Die KI-VO wurde stufenweise wirksam. Zum 2. August 2026 entfaltet sie ihre volle Anwendbarkeit – inklusive der Vorschriften für Hochrisiko-KI-Systeme, die bislang teils noch in Übergangsphasen standen.
In Deutschland wurde parallel die nationale Aufsichtsstruktur festgelegt: Der Bundestag hat das KI-Marktüberwachungsgesetz (KI-MIG) am 11. Juni 2026 beschlossen, der Bundesrat stimmte am 10. Juli 2026 zu. Zentrale Marktüberwachungsbehörde für die KI-VO in Deutschland ist danach die Bundesnetzagentur.
Für Unternehmen bedeutet das: Ab dem 2. August 2026 gibt es eine konkrete, benannte Behörde, die die Einhaltung der KI-VO in Deutschland überwacht – bislang war die Zuständigkeit organisatorisch weniger greifbar.
Den aktuellen Stand dieser und weiterer Fristen zeigt der Compliance-Radar.
Hochrisiko-Ausblick: Bewerberauswahl und Leistungsbewertung (Anhang III)
Anhang III der KI-VO listet Einsatzfelder, die als Hochrisiko gelten – unabhängig von Art. 4 mit einem eigenen, deutlich strengeren Pflichtenkatalog. Für Arbeitgeber besonders relevant sind darunter KI-Systeme zur:
Bewerberauswahl (z. B. automatisiertes Screening von Bewerbungsunterlagen, KI-gestützte Vorauswahl),
Leistungsbewertung von Beschäftigten (z. B. KI-gestützte Beurteilung von Arbeitsleistung oder Verhalten).
Wer solche Systeme als Betreiber einsetzt, unterliegt den Pflichten nach Art. 26 KI-VO – darunter unter anderem die Verpflichtung, das System bestimmungsgemäß und gemäß Betriebsanleitung zu nutzen, eine menschliche Aufsicht sicherzustellen und Beschäftigte bzw. deren Vertretungen vor Inbetriebnahme zu informieren. Verstöße gegen diese Betreiberpflichten sind – anders als Art. 4 – über Art. 99 KI-VO tatsächlich bußgeldbewehrt. Wer in der Personalarbeit KI-Unterstützung plant oder bereits einsetzt, sollte diese Einordnung frühzeitig vornehmen, spätestens vor dem 2. August 2026.
Die Schnittstelle zur DSGVO
KI-Kompetenz nach Art. 4 KI-VO und Datenschutz nach der DSGVO sind zwei getrennte Rechtsregime, die sich in der Praxis aber ständig berühren. Wird eine KI auf personenbezogene Daten angewendet – etwa Bewerbungsunterlagen, Leistungsdaten oder Kommunikationsinhalte –, greifen zusätzlich die allgemeinen Anforderungen der DSGVO: Informationspflichten (Art. 13/14 DSGVO), eine Rechtsgrundlage für die Verarbeitung und, bei ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, die besonderen Vorgaben des Art. 22 DSGVO.
Praktisch heißt das: Eine solide KI-Kompetenz im Sinne von Art. 4 KI-VO sollte immer mitdenken, welche Daten in ein KI-System eingegeben werden und welche datenschutzrechtliche Grundlage dafür besteht – unabhängig davon, dass Art. 4 selbst kein eigenes Bußgeld vorsieht. Die DSGVO-Bußgelder sind davon unberührt und eigenständig hoch.
Der pragmatische Maßnahmenplan
Interne KI-Richtlinie verfassen. Welche KI-Tools sind im Betrieb erlaubt, welche Daten dürfen hinein, wer ist bei Fragen Ansprechpartner.
Schulung oder Einweisung abgestuft anbieten – je nach Rolle und tatsächlichem KI-Einsatz im Betrieb, nicht als Pauschalkurs für alle.
Maßnahmen dokumentieren, auch wenn Art. 4 dies nicht zwingend vorschreibt – im Streitfall belegt die Dokumentation die eigene Organisationssorgfalt.
Hochrisiko-Einsatzfelder identifizieren, insbesondere KI-gestützte Bewerberauswahl oder Leistungsbewertung, und dort rechtzeitig vor dem 2. August 2026 die Betreiberpflichten nach Art. 26 KI-VO separat prüfen.
DSGVO-Bezug klären, sobald personenbezogene Daten im Spiel sind – unabhängig vom KI-VO-Bußgeldregime bleiben die DSGVO-Pflichten in voller Höhe bestehen.
Transparenz: Wie CERTISCAN selbst mit KI umgeht
CERTISCAN setzt KI punktuell und intern ein – etwa zur Kategorisierung eingehender Meldungen im HinSchG-Meldekanal. Solche Einsatzfelder betreffen interne Automatisierung, nicht die in Anhang III genannten Hochrisiko-Kategorien wie Bewerberauswahl oder Leistungsbewertung. Eine eigenständige KI-Kompetenz-Schulung als Produktfeature bietet CERTISCAN nicht an. Dieser Leitfaden ordnet die Rechtslage ein, ersetzt aber keine Rechtsberatung im Einzelfall.