Artikel 4: KI-Literacy im Unternehmen umsetzen

Der Artikel für Anbieter und Betreiber

Artikel 4 des EU AI Act gilt seit dem 2. Februar 2025. Nach der derzeit bei EUR-Lex veröffentlichten Fassung ergreifen Anbieter und Betreiber Maßnahmen, um nach besten Kräften sicherzustellen, dass Beschäftigte und andere Personen, die in ihrem Auftrag mit Betrieb und Nutzung befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen.

Für viele Unternehmen kann Artikel 4 ein früher Berührungspunkt mit dem EU AI Act sein. Welche weiteren Vorschriften gelten, hängt von Rolle, System und Zweck ab.

Geltende Fassung und angenommene Änderung

Die geltende Fassung stellt auf Maßnahmen ab, die nach besten Kräften ein ausreichendes Maß an KI-Kompetenz sicherstellen sollen. Zu berücksichtigen sind:

• technische Kenntnisse
• Erfahrung sowie Aus- und Fortbildung
• Kontext der Nutzung
• Personen und Gruppen, bei denen das KI-System eingesetzt wird

Artikel 4 schreibt weder eine bestimmte Schulungsdauer noch eine Prüfung oder ein Zertifikat vor. Die EU-Kommission nennt interne Aufzeichnungen über Schulungen und andere Leitmaßnahmen als mögliche Dokumentation.

Der von Parlament und Rat angenommene Änderungstext verpflichtet Anbieter und Betreiber nach seinem Inkrafttreten dazu, Maßnahmen zu ergreifen, welche die Entwicklung der KI-Kompetenz unterstützen. Er stellt zugleich klar, dass kein bestimmtes Kompetenzniveau garantiert werden muss. Die Kriterien zu Wissen, Erfahrung, Aus- und Fortbildung, Nutzungskontext und betroffenen Personen bleiben erhalten.

Was KI-Literacy konkret bedeutet

KI-Literacy ist mehr als ein Schlagwort. Sie umfasst die Fähigkeit, KI-Systeme informiert, verantwortungsvoll und sachgerecht zu nutzen. Konkret heißt das:

Grundverständnis der Funktionsweise. Mitarbeitende sollten wissen, was ein LLM ist, wie es zu Antworten kommt und warum Halluzinationen möglich sind. Sie müssen nicht Informatiker werden — aber sie sollten die Basis verstehen.

Einschätzung von Chancen und Risiken. Was kann KI gut, was nicht? Wo sind die Grenzen? Wann sollte man das Ergebnis kritisch prüfen?

Rechtlicher und ethischer Rahmen. Welche Pflichten gibt es (DSGVO, Urheberrecht, Geheimhaltung)? Wie geht man mit sensiblen Inhalten in Prompts um?

Praktische Kompetenz. Wie prüft man eine KI-Ausgabe? Wie schreibt man einen guten Prompt? Wie erkennt man, wenn das Modell eine Aufgabe nicht bewältigt?

Zielgruppen und Differenzierung

Nicht alle Mitarbeitenden brauchen dasselbe Wissen. Ein realistischer Ansatz unterscheidet mindestens drei Gruppen:

Ausführende Anwender. Mitarbeitende, die KI im Alltag im Auftrag des Unternehmens einsetzen, brauchen ein zum Einsatz passendes Grundverständnis und klare Arbeitsregeln.

Fach- und Projektverantwortliche. Personen, die KI-Systeme in ihren Bereichen einführen oder betreuen. Für sie kommen Fragen zur Bewertung des Anwendungsfalls, zur Risikoeinordnung und zu Nachweisanforderungen hinzu.

Entscheidungsträger und IT-Verantwortliche. Geschäftsführung, IT-Leitung, Datenschutz, Rechtsabteilung. Hier steht die strategische und regulatorische Dimension im Vordergrund.

Ein mögliches Vorgehensmodell definiert für jede Gruppe Lernziele, Inhalte und eine zweckangemessene Dokumentation.

So setzen Sie Art. 4 pragmatisch um

Die folgenden Schritte sind ein organisatorisches Vorgehensmodell, keine gesetzlich vorgegebene Reihenfolge:

Schritt 1: Bestandsaufnahme

Wer im Unternehmen setzt heute KI ein? In welchem Kontext? Welche Systeme? Eine einfache Liste pro Abteilung reicht.

Schritt 2: Zielgruppen-Definition

Welche Rollen haben welchen Bedarf? Welche Inhalte sind Pflicht, welche sind optional?

Schritt 3: Content-Auswahl

Inhalte können intern erstellt oder extern bezogen werden. Vorgefertigte Programme wie die Conveso Akademie können Grundlagen abdecken. Unternehmensspezifische Systeme, Rollen, Risiken und Arbeitsregeln müssen für den konkreten Einsatz ergänzt und geprüft werden.

Schritt 4: Durchführung

Kurse, Workshops, Nutzungsrichtlinien oder begleitete Praxiseinheiten können kombiniert werden. Die Form sollte zum technischen Wissen, zum Nutzungskontext und zu den möglichen Auswirkungen passen.

Schritt 5: Dokumentation

Ein internes Register kann festhalten, welche Zielgruppe welche Maßnahme erhalten hat und wann sie durchgeführt wurde. Ob eine personenbezogene Dokumentation nötig und zulässig ist, sollte das Unternehmen anhand des Zwecks und seiner internen Regeln prüfen.

Schritt 6: Wiederholung

Überprüfen Sie Inhalte erneut, wenn eingesetzte Systeme, Risiken, Rollen oder rechtliche Vorgaben sich ändern. Ein fester jährlicher Rhythmus kann organisatorisch sinnvoll sein, ist aber keine in Artikel 4 genannte Mindestfrequenz.

Häufige Fehler

Die Rund-E-Mail. Ein allgemeiner Hinweis allein berücksichtigt Wissen, Rolle, System und Nutzungskontext häufig nicht ausreichend.

Die einmalige Initiative. Ein Workshop kann veralten, wenn sich Systeme, Rollen, Risiken oder rechtliche Vorgaben ändern. Dann sollten Inhalte erneut geprüft werden.

Das Mittel-über-alle-Schema. Ein einziger Kurs für Geschäftsführung, Mitarbeitende und Entwickler. Er ist für die einen zu oberflächlich, für die anderen zu technisch.

Die Dokumentationslücke. Schulungen werden durchgeführt, aber niemand dokumentiert systematisch. Ohne Nachweise wird die Compliance-Prüfung schwierig.

Was Sie aus dieser Lektion mitnehmen

Die geltende und die angenommene Fassung des Artikels 4 verwenden unterschiedliche Maßstäbe, verlangen aber beide Maßnahmen der Anbieter und Betreiber zur KI-Kompetenz. Zielgruppenspezifische Inhalte, nachvollziehbare Durchführung und anlassbezogene Aktualisierung sind ein mögliches Vorgehensmodell. Im letzten Kapitel geht es um organisatorische Dokumentationshilfen.