Seit dem 27. Juli 2026 lautet Artikel 4 des AI Act, der europäischen Verordnung über künstliche Intelligenz, nicht mehr wie zuvor. Die Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt am 24. Juli, hat ihren Text vollständig ersetzt, ohne ihn zu streichen. Unternehmen müssen nun eine neu formulierte Verpflichtung lesen, deren Tragweite eine sorgfältige Lektüre erfordert.
Die Fassung von 2024 verlangte von Anbietern und Betreibern von KI-Systemen, Maßnahmen zu ergreifen, um « soweit wie möglich ein ausreichendes Niveau » an KI-Kompetenz ihres Personals zu « gewährleisten ». Die neue Fassung greift dasselbe Thema und dieselben Kriterien auf: Kenntnisse, Erfahrung, Ausbildung und Schulung der Personen, Nutzungskontext und betroffene Personen. Das Verb ändert sich jedoch. Es geht nun darum, Maßnahmen zu ergreifen, um « die Entwicklung » dieser Kompetenz zu « fördern », und der Text präzisiert, dass die Verpflichtung nicht vorschreibt, ein bestimmtes Niveau für jeden Einzelnen zu garantieren.
Zwei Absätze wurden hinzugefügt. Die Kommission und die Mitgliedstaaten müssen Unternehmen unterstützen, insbesondere durch Schulungen, Informationsressourcen und den Austausch bewährter Verfahren, während der Europäische KI-Ausschuss Empfehlungen verabschieden wird. Erwägungsgrund 8 besagt, dass strenge Verpflichtungen nicht für alle Akteure geeignet sind und insbesondere kleine Unternehmen belasten.
Eine nach wie vor geltende Verpflichtung der Sorgfalt
Diese Änderung als Streichung zu lesen, wäre ein Fehler. Artikel 4 gilt nach wie vor für alle Anbieter und Betreiber, unabhängig von ihrer Größe. Ein Unternehmen, dessen Mitarbeiter einen Chat-Assistenten, ein Schreibwerkzeug oder einen in ihren Messenger integrierten Agenten nutzen, bleibt im Sinne der Verordnung ein Betreiber.
Die Verpflichtung hat sich von einer Ergebnis- zu einer Sorgfaltspflicht gewandelt, die an den tatsächlich umgesetzten Maßnahmen gemessen wird. Wenn ein Kunde, ein Prüfer, ein Auftraggeber oder eine Behörde nachfragt, hält die Antwort « wir haben nichts getan, der Text wurde entschärft » nicht stand. Der Rest der Verordnung behielt zudem seinen Zeitplan: Die Transparenzpflichten gemäß Artikel 50 gelten seit dem 2. August 2026, während die Pflichten für Hochrisikosysteme auf den 2. Dezember 2027 für die in Anhang III genannten, wie Personalbeschaffung oder Bonitätsbewertung, und auf den 2. August 2028 für die in Produkte nach Anhang I integrierte KI verschoben wurden.
Was ein Unternehmen nachweisen können muss
Der Text schreibt kein Format vor. In der Praxis reichen drei Elemente aus, um die meisten Anfragen zu beantworten. Das erste ist ein Inventar der Nutzungen: welche KI-Werkzeuge werden eingesetzt, von welchen Teams, für welche Aufgaben und mit welchen Daten. Ohne dieses Inventar lässt sich nicht überprüfen, ob die Schulungen den tatsächlichen Nutzungen entsprechen.
Das zweite ist ein Maßnahmenregister. Für jede Maßnahme sind Datum, Zielgruppe, Inhalt, Dauer, Format (Schulung, Workshop, interner Leitfaden oder Nutzungsrichtlinie) und der Bezug zu einer identifizierten Nutzung zu vermerken, möglichst gestützt durch eine Teilnahme- oder Erfolgsbestätigung. Das dritte ist eine verantwortliche Person, eine benannte Person, die dieses Register aktuell hält und bei Einführung jedes neuen Werkzeugs überprüft. In einem KMU ist dies oft der Geschäftsführer oder der Leiter der IT-Systeme.
Häufige Fehler
Der erste besteht darin, alles einzustellen, obwohl die Entschärfung das zu garantierende Niveau betrifft, nicht das Bestehen der Verpflichtung. Der zweite ist, alle gleich zu schulen: Ein einstündiges generisches Webinar beantwortet schlecht die Frage eines Juristen, der ein Vertragszusammenfassungswerkzeug nutzt, oder eines Personalteams, das ein Vorauswahlwerkzeug testet. Der dritte verwechselt Schulung und Dokumentation. Geschulte Mitarbeiter ohne schriftlichen Nachweis können nichts belegen, und ein ausgefülltes Register ohne tatsächliche Schulung hält einer präzisen Nachfrage nicht stand. Schließlich deckt ein im Jahr 2025 eingefrorenes Register einen 2026 eingesetzten Agenten nicht ab: Es muss dem Nutzungsinventar folgen.
Ein Unternehmen, das bei null anfängt, kann in drei Schritten vorgehen: die tatsächlichen Nutzungen erfassen, auch solche, die die Geschäftsleitung nicht genehmigt hat, für jede eine angemessene Maßnahme planen und dann diese Maßnahmen in einem Register mit einer benannten Verantwortlichen dokumentieren. Diese Arbeit, die laut Darstellung des Artikels einige Tage dauert, dient auch über Artikel 4 hinaus, etwa gegenüber einem Kunden, der den KI-Einsatz in einer Leistung hinterfragt, oder bei der Vorbereitung auf die Pflichten für Hochrisikosysteme.
