Operative Compliance-Checkliste

Art. 4 EU AI Act — die 12-Punkte-Checkliste

Was in jedem Unternehmen stehen muss, das KI einsetzt — seit dem 2. August 2026 unter laufender Marktaufsicht. Pragmatisch, ohne Panikmache — und ohne Rechtsrat.

Art. 4 EU AI Act verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zur KI-Kompetenz ihres Personals zu ergreifen — angemessen zu Vorkenntnissen, Erfahrung und Einsatzkontext. Ein bestimmtes Kompetenzniveau garantieren müssen sie seit der Neufassung vom 27. Juli 2026 ausdrücklich nicht. Diese Checkliste übersetzt die Pflicht in zwölf Punkte, die sich dokumentieren lassen.

Wo stehen Sie? KI-Check starten →Zur Checkliste ↓

Stand: 10. August 2026 · Rechtsstand: VO (EU) 2026/1744, geltend seit 27.07.2026, und KI-MIG, in Kraft seit 29.07.2026 · Quellen: Amtsblatt der EU, KI-MIG, BNetzA, Bitkom v2.0, Noerr, CMS, EU AI Office, IAPP

02.02.2025

Art. 4 in Kraft

Verpflichtung gilt seit Anfang 2025

02.08.2026

Marktaufsicht läuft

Kapitel IX gilt seit diesem Datum

27.07.2026

Art. 4 neu gefasst

Digital-Omnibus-VO (EU) 2026/1744

BNetzA

Zentrale Aufsicht (DE)

KI-MIG seit 29.07.2026 · sektorale Behörden bleiben daneben zuständig

Was steht in Art. 4 — kurz erklärt

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und aller Personen zu unterstützen, die in ihrem Auftrag mit KI arbeiten. Ein bestimmtes Kompetenzniveau müssen sie ausdrücklich nicht garantieren — das hat der Digital Omnibus zum 27. Juli 2026 klargestellt. Maßstab bleiben der Einsatzkontext, die Vorkenntnisse und die betroffenen Personen.

Im Wortlaut, Fassung seit 27.07.2026:

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“

VO (EU) 2026/1744, Art. 1 Nr. 5 (Amtsblatt)

Was der Digital Omnibus geändert hat

Art. 4 wurde durch Art. 1 Nr. 5 der VO (EU) 2026/1744 neu gefasst. Die Pflicht ist nicht entfallen — sie hat ihre Intensität geändert. Wer heute noch Texte liest, die den Stand vor dem 27. Juli 2026 beschreiben, plant gegen die falsche Norm.

Aspekt	Alte Fassung, bis 26.07.2026	Geltende Fassung, seit 27.07.2026
Handlungspflicht	Maßnahmen ergreifen	Maßnahmen ergreifen — unverändert
Zweck der Maßnahmen	nach besten Kräften sicherstellen, dass ein ausreichendes Maß an KI-Kompetenz vorliegt	die Entwicklung der KI-Kompetenz unterstützen
Ergebnisbezug	Erfolgsbezug auf ein Kompetenzniveau, abgeschwächt durch „nach besten Kräften“	kein Niveaubezug mehr
Garantiepflicht	nicht ausdrücklich geregelt	ausdrücklich ausgeschlossen — Abs. 1 Satz 2
Adressaten	Anbieter und Betreiber von KI-Systemen	unverändert
Erfasster Personenkreis	eigenes Personal und Personen, die im Auftrag mit KI-Systemen befasst sind	unverändert
Rechtsnatur	abgeschwächte Erfolgspflicht	reine Bemühens- oder Verhaltenspflicht
Bußgeld	nicht im Katalog des Art. 99	weiterhin nicht im Katalog des Art. 99 — und nicht in § 15 KI-MIG

Was sich NICHT geändert hat, ist ebenso wichtig: Adressaten, Personenkreis und die Bußgeldlage sind gleich geblieben. Wer daraus liest, Art. 4 sei entfallen, liegt falsch.

Was gilt seit wann — und was erst noch kommt

Die meisten Fehler in der Beratungspraxis entstehen nicht aus Unkenntnis der Norm, sondern aus falsch zugeordneten Daten. Diese Übersicht trennt, was gilt, von dem, was noch aussteht.

02.02.2025Art. 4 wird anwendbargilt
Zusammen mit Kapitel I und II der KI-VO, einschließlich der verbotenen Praktiken des Art. 5.
02.08.2025Sanktionen und Governancegilt
Kapitel V (KI-Modelle mit allgemeinem Verwendungszweck), Kapitel VII sowie Kapitel XII mit Art. 99 und 100 — die Sanktionsvorschriften gelten also seit 2025, nicht erst seit 2026. Die nationalen Marktüberwachungsbehörden sind seither benannt.
27.07.2026Art. 4 wird neu gefasstgilt
Die Digital-Omnibus-Verordnung (EU) 2026/1744 tritt in Kraft und gilt zeitgleich — ein abweichender Geltungsbeginn ist nicht angeordnet.
29.07.2026KI-MIG tritt in Kraftgilt
Das deutsche Marktüberwachungs- und Innovationsförderungsgesetz. Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde, soweit im Gesetz nichts anderes bestimmt ist; sektorale Behörden und die BaFin bleiben daneben zuständig.
02.08.2026Transparenz und Marktüberwachunggilt
Art. 50 (Kennzeichnung synthetischer Inhalte, Offenlegung bei Chatbots), Kapitel III Abschnitt 5, Kapitel VI, VIII, IX und X sowie Art. 101. Nicht an diesem Tag in Kraft getreten sind die Hochrisiko-Pflichten.
02.12.2026Neue Verbotstatbeständesteht aus
Ergänzungen zu Art. 5 sowie Art. 50 Abs. 2 für generative Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden.
02.12.2027Hochrisiko-Pflichten, Anhang IIIsteht aus
Kapitel III Abschnitte 1 bis 3 für die Anwendungsfälle des Anhangs III — verschoben vom ursprünglichen 02.08.2026.
02.08.2028Hochrisiko-Pflichten, Anhang Isteht aus
Für KI-Systeme als Sicherheitsbauteil regulierter Produkte nach Anhang I.

Stand 10.08.2026. Quelle für alle Daten: Art. 113 KI-VO in der Fassung der VO (EU) 2026/1744 sowie das KI-MIG.

Wer ist „Betreiber“ (Deployer)?

Jedes Unternehmen, das KI-Systeme in seinem Verantwortungsbereich nutzt — auch wenn es das Modell nicht selbst gebaut hat. Praktische Beispiele:

Microsoft Copilot für M365 (im Konzern-Tenant)
ChatGPT Team / Enterprise oder Claude for Work
KI-Funktionen in CRM, HRIS, Ticketing, Code-Assistenten
Generative KI in Marketing- und Recruiting-Tools

Der Anbieter trägt die Art.-4-Pflicht für sein eigenes Personal. Sie als Betreiber tragen sie für Ihre Mitarbeitenden und Auftragnehmer, die das System für Sie nutzen.

Die 5 typischen Lücken — was wir am häufigsten finden

Querschnitt aus BNetzA, Bitkom v2.0, Noerr, Travers Smith, IAPP, Delbion, Hogan Lovells.

1 · Kein Inventar (Shadow-AI)

Identifiziert werden nur die offensichtlichen Tools — Copilot, ChatGPT. Embedded AI in CRM/HRIS/Ticket-Systemen, Browser-Extensions und Code-Editoren fehlt. Typisch laut Delbion: 5–12 nicht erfasste Tools pro Unternehmen.

2 · Generische Schulung statt rollenspezifisch

„Intro to AI“ für alle. BNetzA empfiehlt explizit ein 3-Stufen-Modell (Grundlagen · Vertiefung · rollenspezifisch). Travers Smith: bloßes Lesen der Instructions-for-Use reicht nicht.

3 · Vernünftige Praxis — aber undokumentiert

IAPP-Befund: Unternehmen haben oft solide Praktiken, können sie nur nicht nachweisen. Teilnehmer-Listen fehlen, Module sind nicht versioniert, Verantwortlichkeiten sind über Teams verstreut.

4 · Einmal-Schulung als „fertig“ verbucht

Art. 4 verlangt implizit einen laufenden Refresher-Zyklus, weil sich das KI-Ökosystem quartalsweise ändert. Mindeststandard: jährliche Auffrischung, halbjährliche Content-Review.

5 · Auftragnehmer & Freelancer vergessen

Art. 4 erfasst auch „andere Personen, die in Ihrem Auftrag“ KI nutzen: Recruiting-Agenturen mit CV-Screening, freie Entwickler mit Code-Assistenten, Marketing-Agenturen mit generativer KI. Hogan Lovells nennt das Third-Party-Management als Top-3-Schritt.

Die 12-Punkte-Checkliste — operativ, ohne Rechtsrat

Kein Audit-Standard, sondern eine Hands-on-Arbeitsliste. Sie können den Status pro Punkt lokal markieren — wird nur in Ihrem Browser gespeichert.

0 von 12 erledigt0%

01 · KI-System-Inventar
Zentrales Register aller KI-Tools — inkl. eingebetteter KI in SaaS-Produkten, Browser-Extensions und Code-Assistenten. Update mindestens quartalsweise.
02 · Klassifizierung pro System
Anbieter- vs. Betreiber-Rolle, Risikoklasse nach Annex III, Einsatzkontext, betroffene Datenklasse — pro System dokumentiert.
03 · Rolle-zu-System-Matrix
Wer nutzt was, in welchem Entscheidungs-Kontext, unter wessen Autorität? Zuordnung explizit gemacht — nicht im Kopf.
04 · Lernziele pro Rolle
Basis-User (Prompting, Risikobewusstsein), Power-User (Validierung, Halluzinationen, Prompt-Injection), Oversight-Rollen (Art. 14 / Art. 26(2)), Geschäftsführung (Governance, Verantwortung).
05 · 3-Stufen-Curriculum (BNetzA-Modell)
(a) Grundlagen KI/Daten und Chancen/Risiken; (b) Vertiefung rechtlich-technisch entlang Ihrer Wertschöpfungskette; (c) rollenspezifische Trainings (Tech · Recht · Ethik).
06 · Anbieter-Dokumentation gelesen
Instructions for use, System Cards, Model Cards, DPIA-/FRIA-Inputs von Microsoft, OpenAI, Anthropic & Vendor — und Personal, das sie lesen und verstehen kann.
07 · AI Acceptable Use Policy
Schriftlich, von der GF freigegeben, kommuniziert. Regeln zu vertraulichen Daten, Kundendaten, verbotenen Anwendungsfällen (Art. 5), Kennzeichnungspflichten (Art. 50).
08 · Trainings-Nachweise
Name, Rolle, Datum, Module, Stunden, Bewertung — als Audit-Evidenz aufbewahrt. Bitkom-Zertifikat oder gleichwertig OK; eine Zertifizierung ist nicht vorgeschrieben.
09 · Refresher-Kadenz
Jährlich Minimum. Ad hoc bei großen Tool-Roll-outs oder Regulierungs-Updates. Inhalte halbjährlich reviewen.
10 · Verträge mit Auftragnehmern & Lieferanten
Klauseln zu Art.-4-äquivalentem Kompetenz-Commitment. Nachweise beim Onboarding einfordern.
11 · Incident- & Eskalations-Kanal
Mitarbeitende wissen, wie sie KI-Fehler, Halluzinationen, Bias oder Prompt-Injection-Versuche melden. Kanal dokumentiert, Vorfälle geloggt.
12 · Betriebsrat & Betriebsvereinbarung KI
Mitbestimmung nach §87 BetrVG bei Schulungen und leistungsbezogenen KI-Tools. „Betriebsvereinbarung KI“ als Referenzdokument.

Bonus: Der 30-Minuten-Walkthrough-Test

Quelle aiactblog.nl: Kann die verantwortliche Führungskraft binnen 30 Minuten erklären, welche Systeme existieren, wer sie nutzt, was wer geschult wurde, welche Lücken bestehen und was das Management dagegen tut? Wenn ja — Sie sind reif für den Vollzug.

Walkthrough-Test (aiactblog.nl)

Bußgeld-Realität: Art. 4 ist NICHT in Art. 99

Klarstellung, die wir oft hören müssen: Art. 4 steht nicht im Bußgeld-Katalog von Art. 99. Das Risiko bohrt sich über drei Umwege durch.

Zumessungs-Faktor

Art. 99 Abs. 7 zählt auf, was Behörden bei der Zumessung einer Geldbuße berücksichtigen — neben Art, Schwere und Dauer des Verstoßes auch „jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall“. Der Katalog greift nur, wenn wegen eines anderen Verstoßes ohnehin eine Geldbuße im Raum steht, etwa nach Art. 26 oder Art. 5. Wie eine Behörde den Stand der KI-Kompetenz dabei gewichtet, ist durch veröffentlichte Praxis bislang nicht geklärt.

Sorgfaltspflicht-Verletzung

Noerr und CMS: Das Versäumnis kann von deutschen Zivilgerichten als Sorgfaltspflicht-Verletzung in Schadensersatz-, Arbeitsrechts- oder Gesellschafterklagen nach KI-Schadensereignissen gewertet werden. Die Verjährungsuhr läuft seit 02.02.2025.

KI-MIG (Member-State-Penalties)

Art. 99(1) verlangt von den Mitgliedstaaten seit dem Digital Omnibus ausdrücklich Sanktionen einschließlich Geldbußen für jeglichen Verstoß gegen die Verordnung. In Deutschland setzt das KI-MIG das um, in Kraft seit dem 29.07.2026. Sein Bußgeldkatalog in § 15 zählt die bewehrten Verstöße abschließend auf — Art. 4 ist nicht darunter, und der Rahmen liegt bei bis zu 50.000 Euro.

Und die nicht-monetären Risiken — die treffen heute schon

Ausschluss aus RFP / Lieferanten-Pool: Öffentliche Auftraggeber und Konzerne verlangen Art.-4-Nachweise.
D&O-Versicherung: fehlende Programm-Dokumentation zählt zunehmend als Risiko-Faktor.
ISO 42001 / SOC 2 / Jahresabschluss-Audits: AI-Governance-Evidenz wird Pflicht-Eintrag.
Betriebsrat-Friktion: Ohne Betriebsvereinbarung kann Copilot-Roll-out gestoppt werden.

Häufige Fragen

1. Drohen Bußgelder konkret wegen Art. 4?

Nein — Art. 4 steht weder im Bußgeldkatalog des Art. 99 EU AI Act noch in § 15 KI-MIG. Folgenlos ist ein Verstoß deshalb nicht: Wird wegen eines anderen AI-Act-Verstoßes eine Geldbuße verhängt, kann der Stand der KI-Kompetenz nach Art. 99 Abs. 7 in deren Zumessung einfließen. Hinzu kommen marktaufsichtsrechtliche Maßnahmen und der zivilrechtliche Sorgfaltsmaßstab. Reputations- und Procurement-Folgen wirken ohnehin schon.

2. Wir nutzen nur Microsoft Copilot — sind wir „Betreiber“?

Ja. Wer ein KI-System in seinem Verantwortungsbereich produktiv nutzt, ist Betreiber im Sinne von Art. 3(4). Der Anbieter (Microsoft) trägt die Art.-4-Pflicht für sein Personal — Sie tragen sie für Ihre Mitarbeitenden und Auftragnehmer.

3. Reicht eine einmalige Schulung — Stempel „gemacht“?

Nein. BNetzA und Bitkom v2.0 verlangen einen Refresher-Zyklus, weil sich Tools und Use-Cases quartalsweise ändern. Mindeststandard: jährliche Auffrischung, halbjährliche Content-Review.

4. Gibt es eine offizielle Zertifizierung?

Nein. Es gibt kein vorgeschriebenes Zertifikat. Bitkom-Zertifikate, hauseigene Abschlüsse oder Trainings-Nachweise sind akzeptabel — entscheidend ist die nachvollziehbare Dokumentation: Name, Rolle, Datum, Module, Bewertung.

5. Müssen wir externe Dienstleister einbeziehen?

Ja. Art. 4 erfasst „andere Personen, die in Ihrem Auftrag“ KI-Systeme betreiben oder nutzen — Auftragnehmer, Freelancer und externe Agenturen, die in Ihrem Auftrag mit KI arbeiten. Hogan Lovells nennt Third-Party-Management als Top-3-Schritt.

6. Was ist mit der Schweiz?

Die Schweiz hat kein eigenes EU-AI-Act-Äquivalent erlassen (Bundesratsentscheid vom 12.02.2025). Ob und wieweit der EU AI Act ein Schweizer Unternehmen erfasst, hängt vom räumlichen Anwendungsbereich der Verordnung im Einzelfall ab. Dazu machen wir hier bewusst keine pauschale Aussage, sondern klären es im Erstgespräch anhand Ihrer konkreten Konstellation. (Stand: 14.08.2026)

Wo steht Ihr Unternehmen — heute?

10 Fragen, 4 Minuten. Sie erhalten einen Ampel-Score und eine personalisierte PDF-Auswertung mit den fünf wichtigsten Lücken in Ihrer Konstellation. Kostenlos, ohne Anmeldung, DSGVO-konform.

KI-Check starten →Beratungs-Termin buchen

Anonym bis zur letzten Frage · keine KI-Kosten · keine versteckte Bewerbung.

Quellen & Primärtexte

Diese Checkliste ersetzt keine Rechtsberatung. Sie ist ein operatives Arbeitsdokument auf Basis öffentlich zugänglicher Quellen (BNetzA, Bitkom, EU AI Office, IAPP, deutsche und internationale Kanzleien) — Stand 10. August 2026, Rechtsstand VO (EU) 2026/1744 und KI-MIG. Für rechtsverbindliche Bewertung Ihres konkreten Falls ziehen Sie bitte eine Rechtsanwältin / einen Rechtsanwalt hinzu.