KI-Verordnung Artikel 4: Wer überwacht die KI-Kompetenzpflicht in Deutschland?

Zuletzt aktualisiert: 15. August 2026

Artikel 4 der KI-Verordnung ist die eine Pflicht, die fast jedes Unternehmen betrifft, das KI im Arbeitsalltag einsetzt — und zugleich die, von der die meisten fälschlich annehmen, sie sei verschoben worden.

Wer überwacht die KI-Verordnung in Deutschland?

Die Bundesnetzagentur ist als zentrale Marktüberwachungsbehörde vorgesehen. Der Entwurf des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) weist ihr diese Rolle zu; das Verfahren ist noch nicht abgeschlossen, an der Zuständigkeit der BNetzA werden jedoch keine Änderungen erwartet.

Praktisch relevant ist bereits jetzt der KI-Service Desk der BNetzA. Er wurde eingerichtet, um Organisationen bei der Umsetzung der KI-Verordnung zu unterstützen, und ist die erste Stelle, an der weitere Aufsichtspraxis und Auslegungshinweise erscheinen werden.

Daneben bleiben Fachbehörden in ihren Bereichen zuständig. Für Hochrisiko-KI im regulierten Finanzbereich ist die BaFin als zuständige Marktüberwachungsbehörde vorgesehen. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) wurde nicht als Marktüberwachungsbehörde benannt, hat aber gemeinsam mit den Landesdatenschutzbehörden mehrere Leitfäden zum Zusammenspiel von KI-Verordnung und DSGVO veröffentlicht.

Deutschland gehört damit zu den Mitgliedstaaten mit dezentralem Modell: eine federführende Behörde als Anlaufstelle, Fachaufsicht in den jeweiligen Sektoren.

Was verlangt Artikel 4 konkret?

Er verlangt Maßnahmen, die ein ausreichendes Niveau an KI-Kompetenz bei den Personen fördern, die KI-Systeme für Sie bedienen. Er verlangt kein Zertifikat, keinen bestimmten Kurs, keine benannte Qualifikation und keine Mindeststundenzahl. Die Verordnung setzt bewusst keinen festen Standard.

Nach dem Digital-Omnibus — vom Europäischen Parlament am 16. Juni 2026 gebilligt, vom Rat am 29. Juni 2026 angenommen — wurde der Maßstab abgeschwächt: von der Pflicht, ein ausreichendes Niveau sicherzustellen, hin zur Pflicht, dessen Entwicklung zu unterstützen. Aus einer Erfolgspflicht wird damit eine Bemühenspflicht. Die Frage einer Behörde lautet nicht mehr „haben Sie Kompetenz garantiert?“, sondern „was haben Sie getan, und können Sie es belegen?“

Die Europäische Kommission hat in ihren FAQ zur KI-Kompetenz vom Mai 2025 ein Mindestmaß beschrieben. Organisationen sollten:

• Ein allgemeines KI-Verständnis sicherstellen — Beschäftigte sollten wissen, was KI ist, wie sie funktioniert, welche KI-Systeme im Einsatz sind und welche Chancen und Risiken damit verbunden sind.
• Rollen klären — entwickeln Sie KI-Systeme selbst oder nutzen Sie fremde Systeme? Die Pflichten unterscheiden sich.
• Risiken benennen — welche Risiken die konkret eingesetzten Systeme mit sich bringen und welche Gegenmaßnahmen gelten.

Für wen gilt die Pflicht?

Sie gilt für Anbieter und Betreiber von KI-Systemen. Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr. Ein Betreiber nutzt ein KI-System in eigener Verantwortung im Rahmen seiner beruflichen Tätigkeit. Die meisten Organisationen sind Betreiber.

Erfasst sind Ihre Beschäftigten und — im Wortlaut der Verordnung — „andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“. Das reicht über Angestellte hinaus zu Auftragnehmern, Zeitarbeitskräften und Freelancern.

Entscheidend: Artikel 4 ist nicht auf Hochrisiko-KI beschränkt. Wer einen allgemeinen Assistenten zum Verfassen von Korrespondenz nutzt, fällt darunter. Die Risikoeinstufung entscheidet darüber, was zusätzlich gilt — nicht darüber, ob Artikel 4 greift.

Setzt mein Unternehmen überhaupt KI-Systeme ein?

Mit hoher Wahrscheinlichkeit ja, und an mehr Stellen als vermutet. KI-Funktionen sind in den vergangenen zwei Jahren in gewöhnliche Unternehmenssoftware eingezogen — oft ohne dass je entschieden wurde, „KI einzuführen“.

• Generative Assistenten in Office-Paketen — Entwürfe, Zusammenfassungen, Umformulierungen, Besprechungsnotizen.
• CRM- und Vertriebssysteme, die Leads bewerten oder nächste Schritte vorschlagen.
• Buchhaltungssoftware, die Belege automatisch kategorisiert oder Auffälligkeiten meldet.
• Recruiting-Plattformen, die Bewerbungen sortieren, filtern oder abgleichen.
• Marketing-Werkzeuge, die Texte, Bilder oder Zielgruppen erzeugen.
• Chatbots im Kundenservice und automatische Ticket-Zuordnung.
• Übersetzungs- und Transkriptionsdienste.

Hinzu kommt Software, die Beschäftigte selbst mitbringen. Wo Mitarbeitende Consumer-KI ohne formale Freigabe für die Arbeit nutzen, ist die Organisation faktisch dennoch Betreiber.

Seit wann gilt die Pflicht, und was hat sich am 2. August 2026 geändert?

Die Pflicht selbst gilt seit dem 2. Februar 2025. Am 2. August 2026 haben die nationalen Marktüberwachungsbehörden förmliche Aufsichts- und Durchsetzungsbefugnisse erhalten.

Hat der Digital-Omnibus die KI-Kompetenzpflicht verschoben?

Nein. Das ist das häufigste Missverständnis zu den Reformen von 2026. Der Digital-Omnibus hat die Anwendbarkeit der Hochrisiko-Pflichten nach Anhang III und Anhang I verschoben. Artikel 4 hat er nicht verschoben.

Er hat den Maßstab abgeschwächt — von „sicherstellen“ zu „Entwicklung unterstützen“ — und Pflicht, Anwendungsdatum und den Aufsichtsbeginn am 2. August 2026 unangetastet gelassen. Wer die verbreiteten Meldungen über eine „Verschiebung der KI-Verordnung“ als generelle Atempause gelesen hat, befindet sich seit anderthalb Jahren in einer laufenden Pflicht.

Für Organisationen ohne Hochrisiko-Systeme ist Artikel 4 auf absehbare Zeit die einzige durchsetzbare Pflicht der KI-Verordnung.

Welche Bußgelder drohen bei Verstößen gegen Artikel 4?

An Artikel 4 selbst ist kein Bußgeld geknüpft. Das ist der am häufigsten falsch dargestellte Punkt der gesamten Pflicht.

Artikel 99 sieht drei Stufen vor: bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes für Verstöße gegen die verbotenen Praktiken nach Artikel 5; bis zu 15 Mio. EUR oder 3 % für die in Artikel 99 Absatz 4 aufgezählten Pflichten; bis zu 7,5 Mio. EUR oder 1 % für falsche oder irreführende Auskünfte. Für KMU und Start-ups kehrt sich die Deckelung um — es gilt der niedrigere der beiden Werte.

Artikel 99 Absatz 4 enthält eine abschließende Aufzählung, und Artikel 4 steht nicht darin. Ein Bußgeld allein wegen fehlender KI-Kompetenz kann auf die Verordnung also nicht gestützt werden. Viele kommerzielle Zusammenfassungen behaupten das Gegenteil und nennen die 15-Mio.-Zahl; das gibt der Text nicht her.

• Die Aufsicht behält Befugnisse ohne Geldbuße — Auskunftsverlangen, Abhilfemaßnahmen, Anordnungen zur Herstellung der Rechtskonformität.
• Mitgliedstaaten dürfen eigene Sanktionen schaffen. Artikel 99 Absatz 1 verpflichtet sie, Sanktionsregeln festzulegen; ob Deutschland an Artikel 4 eine nationale Sanktion knüpft, ergibt sich erst aus dem KI-MIG.
• Fehlende Schulung wirkt erschwerend. Das realistische Risiko ist nicht ein eigenständiges Bußgeld, sondern eine schwächere Position, wenn eine Behörde aus anderem Anlass prüft.

Was sollte ein Unternehmen zuerst tun?

1. KI-Systeme erfassen. Auch KI-Funktionen in bereits lizenzierter Software, nicht nur als „KI“ eingekaufte Werkzeuge.
2. Rolle bestimmen — Anbieter oder Betreiber, je System.
3. Bedienende Personen benennen, einschließlich Auftragnehmern.
4. Allgemeines Verständnis vermitteln — was die Systeme tun, wo sie versagen, was erwartet wird.
5. Dokumentieren, was wann geschah. Bei einer Bemühenspflicht ist der Nachweis der Bemühung die Compliance.

Verhältnismäßigkeit gilt durchgehend. Ein Zwölf-Personen-Betrieb mit einem Assistenten für Korrespondenz wird nicht am Maßstab einer Bank mit Kreditscoring gemessen.

Häufig gestellte Fragen

Gilt Artikel 4 auch für kleine Unternehmen?

Ja. Die KI-Verordnung sieht für Artikel 4 ausdrücklich keine Größenschwelle und keine Mindestzahl an Beschäftigten vor. Auch Einzelunternehmen und Soloselbstständige, die einen KI-Assistenten für Kundenmails nutzen, sind Betreiber im Sinne der Verordnung. Mit der Unternehmensgröße ändert sich lediglich die Verhältnismäßigkeit der erwarteten Maßnahmen — kleine Organisationen müssen weniger tun, aber keinesfalls nichts.

Brauchen wir ein Zertifikat als Nachweis?

Nein. Die Verordnung nennt weder eine Qualifikation noch ein Zertifikat oder einen akkreditierten Kurs, und ein Akkreditierungssystem speziell für Artikel 4 existiert bislang nicht. Entscheidend ist allein, dass Sie Maßnahmen ergriffen haben und diese belegen können: Inhalt der Schulung, Teilnehmende, Datum und der Bezug zu den tatsächlich eingesetzten KI-Systemen.

Ist die Bundesnetzagentur schon offiziell zuständig?

Noch nicht förmlich. Die Zuständigkeit ergibt sich aus dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das das Gesetzgebungsverfahren noch durchläuft. An der vorgesehenen Rolle der Bundesnetzagentur werden allerdings keine Änderungen erwartet. Ihr KI-Service Desk arbeitet bereits und ist die Stelle, an der künftige Auslegungshinweise zuerst erscheinen dürften.

Betrifft Artikel 4 nur Hochrisiko-Systeme?

Nein. Artikel 4 gilt vollkommen unabhängig von der Risikoeinstufung des eingesetzten Systems. Eine Einstufung als Hochrisiko löst lediglich zusätzliche Pflichten aus, etwa die menschliche Aufsicht nach Artikel 26. Die Kompetenzpflicht selbst trifft jeden Anbieter und jeden Betreiber jedes KI-Systems, auch bei minimalem Risiko.

Gilt die Pflicht auch für Auftragnehmer und Freelancer?

Ja. Artikel 4 erfasst ausdrücklich Beschäftigte und andere Personen, die im Auftrag der Organisation mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Auftragnehmer, Zeitarbeitskräfte und Freelancer, die Ihre KI-Systeme bedienen, fallen also darunter — deshalb ist es die breiteste Einzelpflicht der gesamten Verordnung.

Was passiert, wenn wir nichts tun?

Artikel 4 trägt kein eigenes Bußgeld, da er in der abschließenden Aufzählung des Artikels 99 Absatz 4 nicht aufgeführt ist. Die Marktüberwachung kann dennoch Auskunft und Abhilfe verlangen, Mitgliedstaaten können eigene nationale Sanktionen vorsehen, und fehlende Schulung schwächt Ihre Position erheblich, sobald eine Behörde aus anderem Anlass prüft.

Wurde die Frist für KI-Kompetenz verschoben?

Nein. Der Digital-Omnibus hat die Hochrisiko-Pflichten auf Dezember 2027 und August 2028 verschoben, und genau darüber wurde in der Presse berichtet. Artikel 4 wurde davon nicht erfasst. Der Maßstab wurde von „sicherstellen“ auf „Entwicklung unterstützen“ abgeschwächt, doch weder das Anwendungs- noch das Aufsichtsdatum haben sich bewegt.

Quellen

• Verordnung (EU) 2024/1689 — Volltext auf EUR-Lex
• Europäische Kommission — Governance und Durchsetzung der KI-Verordnung
• Übersicht der nationalen Umsetzungspläne

Dieser Beitrag erläutert die Verordnung allgemein und stellt keine Rechtsberatung dar. Die konkreten Pflichten hängen von Ihren Systemen und Ihrer Rechtsordnung ab.