KI-Flash: Die KI-Kompetenz nach Art. 4 KI-VO: Ein Blick auf die neuen (alten) Fragen

Nachdem wir in unserem letzten KI-Flash über das Verfahren GEMA gegen Suno berichtet haben, möchten wir Ihnen auch künftig in regelmäßigen Abständen rechtliche Impulse zu aktuellen Entwicklungen im KI-Recht geben. 
 

Heutiges Thema: Die KI-Kompetenz nach Art. 4 KI-VO 

Kaum eine Vorschrift der KI-Verordnung betrifft praktisch so viele Unternehmen wie Art. 4 KI-VO zur sogenannten „KI-Kompetenz". Sie gilt unabhängig von Risikoklasse oder Branche und somit für jeden, der KI-Systeme anbietet oder betreibt. Dies spielt  bereits bei der reinen Nutzung von ChatGPT, Copilot oder vergleichbaren Tools im Arbeitsalltag eine Rolle. Mit dem Digital Omnibus on AI (Verordnung (EU) 2026/1744 vom 08.07.2026, in Kraft seit 27.07.2026) wurde die Vorschrift nun novelliert. Anlass genug, sich die Norm nochmal im Detail anzusehen.

I. Was hat sich geändert? 

In seiner ursprünglichen Fassung verpflichtete Art. 4 KI-VO Anbieter und Betreiber, nach besten Kräften sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Diese Formulierung stand in der Kritik, weil sie – jedenfalls dem Wortlaut nach – auf einen Erfolg abzustellen schien, den Unternehmen kaum verlässlich garantieren können.

Der Digital Omnibus on AI hat hier nachjustiert. Art. 4 KI-VO lautet nunmehr:

(1) Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.

(2) Die Kommission und die Mitgliedstaaten unterstützen und fördern die Bemühungen der Anbieter und Betreiber von KI-Systemen und insbesondere von KMU, ihre Verpflichtung nach Absatz 1 dieses Artikels zu erfüllen. Zu diesem Zweck veröffentlicht die Kommission praktische Beispiele dafür, wie diese Verpflichtung erfüllt wird, auf der in Art. 62 Abs. 3 lit. b) genannten zentralen Informationsplattform.

(3) Das KI-Gremium nimmt unter Berücksichtigung der europäischen Kompetenzrahmen Empfehlungen an, um die Kommission und die Mitgliedstaaten unter anderem durch die Festlegung gemeinsamer Ziele bei der Förderung der KI-Kompetenz gemäß Absatz 1 zu unterstützen.

Aus einer Pflicht zum „Sicherstellen" eines Kompetenzniveaus wurde damit eine Pflicht, die Entwicklung von KI-Kompetenz durch geeignete Maßnahmen zu unterstützen – ausdrücklich ohne Garantie für ein bestimmtes individuelles Kompetenzniveau. 

Bemerkenswert ist zugleich, was nicht in die neue Fassung der Regelung aufgenommen wurde: Der ursprüngliche Kommissionsvorschlag wollte die Verantwortung für die Förderung der KI-Kompetenz weitgehend auf die EU und die Mitgliedstaaten verlagern. Diese grundlegende Neuausrichtung hat sich im Trilog nicht durchgesetzt. Die Pflicht verbleibt – wenn auch abgemildert – bei Anbietern und Betreibern selbst. Neu ist lediglich die flankierende Unterstützung durch Kommission, Mitgliedstaaten und das KI-Gremium (Abs. 2 und 3).

II. Was meint „KI-Kompetenz" eigentlich?

Der Begriff der KI-Kompetenz wird nicht in Art. 4 KI-VO, sondern in der Begriffsbestimmung des Art. 3 Nr. 56 KI-VO näher umschrieben. Danach bezeichnet KI-Kompetenz die

„Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden".

Damit ist KI-Kompetenz kein technisches Nischenwissen, sondern ein Bündel aus technischem Verständnis, Risikobewusstsein sowie rechtlichem und ethischem Grundverständnis. Adressiert sind sämtliche Akteure entlang der KI-Wertschöpfungskette – von Entwicklern über das Betriebspersonal bis hin zu den Personen, die im Auftrag des Unternehmens KI-Systeme nutzen, etwa externe Dienstleister.

Wichtig für die Praxis: Art. 4 KI-VO schreibt weder ein bestimmtes Schulungsformat noch eine Zertifizierung oder einen eigenen „KI-Beauftragten" vor. Interne Fortbildungen, E-Learning, Workshops oder externe Schulungen sind gleichermaßen zulässig – entscheidend ist einzig, dass die Maßnahme zu technischem Kenntnisstand, Erfahrung, Einsatzkontext und Risikoprofil der jeweiligen Zielgruppe passt. Sowohl die Bundesnetzagentur als auch die KI-Servicestelle Österreich der RTR empfehlen jedoch ausdrücklich, die getroffenen Maßnahmen zu dokumentieren (Art der Schulung, Inhalt, Zeitpunkt, betroffene Personengruppen), um die Erfüllung von Art. 4 KI-VO im Zweifel belegen zu können, ohne dass hierfür bereits ein rechtlich vorgegebener Nachweisstandard existiert.

III. Die (höchst problematische) Sanktionsfrage

Bleibt die Frage, die in der Praxis besonders umstritten diskutiert wird: Was passiert eigentlich, wenn ein Unternehmen dieser Pflicht zur Förderung der KI-Kompetenz nicht nachkommt?

1. Keine unmittelbare Geldbuße nach Art. 99 KI-VO

Zunächst die Entwarnung: Art. 99 KI-VO zählt die bußgeldbewehrten Vorschriften der KI-Verordnung abschließend auf. Art. 4 KI-VO ist dort nicht genannt. Eine unmittelbare Geldbuße speziell wegen Verstoßes gegen die KI-Kompetenzpflicht sieht die Verordnung damit nicht vor – dies wird sowohl von der österreichischen KI-Servicestelle der RTR als auch von der Bundesnetzagentur übereinstimmend bestätigt.

Ganz folgenlos ist ein Verstoß damit aber nicht. Zum einen wird in Teilen der Literatur vertreten, dass nationale Marktüberwachungsbehörden – in Deutschland die Bundesnetzagentur – Verstöße gegen Art. 4 KI-VO auf Grundlage nationaler Vorschriften mit anderen Durchsetzungsmaßnahmen adressieren können. Zum anderen – und praktisch bedeutsamer – entfaltet Art. 4 KI-VO seine Wirkung vor allem mittelbar, über das allgemeine Zivil- und Gesellschaftsrecht:

2. Arbeitgeberhaftung nach § 278 BGB

Setzt ein Unternehmen KI-Systeme ein, trägt es als Betreiber das Unternehmerrisiko und ist für die sachgerechte Organisation von Betrieb und Arbeitsmitteln verantwortlich. Kommt es – etwa durch fehlerhafte Bedienung eines KI-Systems, durch die ungeprüfte Übernahme fehlerhafter KI-Ausgaben oder durch die Eingabe von Geschäftsgeheimnissen in ein externes KI-System – zu einem Schaden bei Kunden oder Geschäftspartnern, haftet der Arbeitgeber nach § 278 BGB für das Verschulden seiner Mitarbeitenden als Erfüllungsgehilfen. Art. 4 KI-VO bekräftigt hier eine ohnehin bestehende Sorgfaltspflicht und wird faktisch zum Maßstab, an dem die Angemessenheit der getroffenen Organisationsmaßnahmen gemessen wird. Fehlt eine nachvollziehbare Schulungs- und Governance-Struktur vollständig, liegt die Annahme einer Sorgfaltspflichtverletzung nahe.

3. Regress gegenüber Arbeitnehmern

Umgekehrt kann ein Unternehmen, das selbst Schaden erleidet, unter den Grundsätzen des innerbetrieblichen Schadensausgleichs Regress bei den verantwortlichen Mitarbeitenden nehmen. Hier zeigt sich eine interessante Wechselwirkung: Bei leichter Fahrlässigkeit haftet der Arbeitnehmer regelmäßig nicht, bei mittlerer Fahrlässigkeit nur anteilig; eine volle Haftung kommt im Wesentlichen nur bei grober Fahrlässigkeit oder Vorsatz in Betracht. In der Literatur wird hierzu vertreten, dass der Erfolg eines Regressanspruchs auch davon abhängen kann, ob der Arbeitgeber seiner Schulungspflicht aus Art. 4 KI-VO nachgekommen ist. Ein Unternehmen ohne belastbares Schulungskonzept kann damit im Ernstfall – auch bei ggf. sonst objektiv grobem Verschulden der Beschäftigten –  insgesamt schlechter dastehen.

4. Organhaftung von Geschäftsführung und Vorstand

Schließlich betrifft die Frage auch die Leitungsebene selbst. Geschäftsführerinnen und Geschäftsführer einer GmbH (§ 43 Abs. 1 GmbHG) sowie Vorstände einer AG (§§ 76, 93 Abs. 1 AktG) sind verpflichtet, die erforderlichen organisatorischen Maßnahmen zu treffen, um gesetzeskonformes Verhalten im Unternehmen sicherzustellen – etwa durch ein Compliance-Management-System, das auch die KI-Kompetenzpflicht abbildet. Verstoßen sie hiergegen schuldhaft und entsteht der Gesellschaft dadurch ein Schaden, kommt eine Innenhaftung nach § 43 Abs. 2 GmbHG bzw. § 93 Abs. 2 S. 1 AktG in Betracht. Die im deutschen Recht anerkannte Business Judgement Rule hilft hier nur eingeschränkt weiter: Ob überhaupt ein Compliance-System samt Schulungskonzept einzurichten ist, unterliegt keiner unternehmerischen Ermessensentscheidung, sondern ist gesetzlich vorgegeben. Unternehmerisches Ermessen besteht lediglich hinsichtlich der konkreten Ausgestaltung – solange ein angemessener Mindeststandard gewahrt bleibt.

Zwischenfazit: Art. 4 KI-VO ist zwar nicht bußgeldbewehrt, aber alles andere als folgenlos. Die eigentliche „Sanktionierung" erfolgt über die Hintertür des allgemeinen Haftungsrechts – und genau das macht die Norm für die unternehmerische Praxis relevanter, als es der fehlende Bußgeldtatbestand zunächst vermuten lässt.

IV. Der Blick über die reine Pflicht hinaus: Mehrwert in der Praxis

So berechtigt die rechtliche Auseinandersetzung mit Haftungsrisiken auch ist, zeigt sich aus unserer Beratungspraxis mit zahlreichen Inhouse-Schulungen und Workshops zur KI-Kompetenz ein weiterer, oft unterschätzter Effekt: Der eigentliche Mehrwert entsteht nicht erst im Streitfall, sondern bereits im Schulungsraum selbst. In nahezu jedem Format, das wir begleitet haben, ließen sich die meisten offenen Fragen der Belegschaft – von der Verantwortlichkeit für KI-Ausgaben über den Umgang mit vertraulichen Daten bis hin zu urheberrechtlichen Fragestellungen – im direkten Austausch klären. 

Praktische Unsicherheiten im täglichen Umgang mit KI-Tools lassen sich so oft niedrigschwellig lösen, bevor sie zu tatsächlichen Problemen werden. 

Nicht zuletzt entsteht durch den gemeinsamen Austausch eine geteilte Awareness im Unternehmen. KI-Kompetenz wird dann nicht als abstrakte Compliance-Vorgabe wahrgenommen, sondern als gemeinsam erarbeiteter Standard, hinter dem die Belegschaft steht.

V. Fazit und Ausblick

Der Digital Omnibus on AI hat Art. 4 KI-VO praxistauglicher gemacht, ohne die Pflicht als solche aufzugeben. Die fehlende Bußgeldbewehrung ändert nichts daran, dass Defizite bei der KI-Kompetenz über das allgemeine Zivil-, Arbeits- und Gesellschaftsrecht haftungsrelevant werden können – für das Unternehmen, für Mitarbeitende im Regressfall und für die Leitungsebene gleichermaßen. Wer diesen Rahmen ernst nimmt und zugleich den praktischen Mehrwert von Schulungen und Workshops nutzt, schafft nicht nur Rechtssicherheit, sondern auch ein Stück gemeinsamer Souveränität beim Umgang mit KI im Unternehmen. 

SKW Schwarz unterstützt Sie gerne bei der Konzeption geeigneter Schulungsangebote und begleitet Sie bei der Durchführung initialer Workshops zur KI-Kompetenz in Ihrem Unternehmen. Sprechen Sie uns gerne an, sodass wir gemeinsam den größtmöglichen Mehrwert für Ihr Unternehmen schaffen.