Art. 4 KI-Verordnung
Welche Inhalte muss eine KI-Schulung nach Art. 4 abdecken?
Stand: 12. September 2026
„Welche Inhalte muss eine KI-Schulung nach Art. 4 abdecken?“ ist die Frage, die nach der Klärung von wer verpflichtet ist als Nächstes kommt. Dieser Artikel beantwortet sie am Wortlaut von Art. 4 Abs. 1 und Art. 3 Nr. 56 der Verordnung (EU) 2024/1689, an der ausführlichen FAQ der Europäischen Kommission zur KI-Kompetenz — die selbst eine eigene Frage zu den Mindestinhalten beantwortet — und an den Empfehlungen der Bundesnetzagentur. Methode der KI-Pflichtschulung-Redaktion: jede Rechtsaussage gegen die konsolidierte Fassung auf EUR-Lex (Stand 27.07.2026) sowie gegen den Original-HTML-Text der beiden Behördenseiten geprüft. Praxisbeispiele sind als solche gekennzeichnet und keine Rechtsberatung.
Was der Gesetzestext zum Inhalt sagt
Art. 4 Abs. 1 schreibt kein Inhaltsverzeichnis vor. Er verpflichtet Anbieter und Betreiber, „Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind“. Die Norm nennt also Kriterien, an denen sich der Inhalt ausrichten muss — nicht einen Katalog von Themen. Ein bestimmtes Kompetenzniveau einer einzelnen Person muss dabei nicht garantiert werden.
Woraus sich der Inhalt trotzdem ableiten lässt, steht in der Definition selbst: „KI-Kompetenz“ bezeichnet nach Art. 3 Nr. 56 „die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten im Rahmen dieser Verordnung ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden“. „Sachkundig einsetzen“ und „sich der Chancen und Risiken … bewusst werden“ sind die zwei Anker, an denen sich jede inhaltliche Planung orientieren kann. Wie diese Anker konkret in Inhalte übersetzt werden, beantwortet die Kommission in ihrer FAQ direkter als der Gesetzestext selbst — dazu der nächste Abschnitt.
Die vier Mindestinhalte nach der Kommissions-FAQ
Die FAQ der Europäischen Kommission beantwortet die Frage „What should be the minimum content to consider for an AI literacy programme complying with article 4 of the AI Act?“ mit vier Schritten, die Anbieter und Betreiber mindestens durchgehen sollten:
Was ist KI, wie funktioniert sie, welche KI setzt die eigene Organisation ein, und welche Chancen und Gefahren bestehen? Wörtlich aus der Kommissions-FAQ: „Ensure a general understanding of AI within their organisation: What is AI? How does it work? What AI is used in our organisation? What are its opportunities and dangers?“
Entwickelt die Organisation KI-Systeme selbst, oder nutzt sie nur von anderen entwickelte Systeme? Die Kommission unterscheidet ausdrücklich zwischen „developing AI systems“ und „just using AI systems developed by another organisation“ — die Rolle bestimmt, wie tief die weiteren Inhalte gehen müssen.
Was müssen Beschäftigte über das jeweils genutzte System wissen, welche Risiken müssen sie kennen, und wie lassen sich diese mindern? Praxisbeispiel für einen häufigen Risikofall: Halluzinationen bei Chatbot-Antworten — die Kommission nennt sie ausdrücklich als Beispiel, worüber Beschäftigte informiert werden sollten, wenn sie beruflich Systeme wie ChatGPT nutzen.
Konkrete Maßnahmen, zugeschnitten auf technische Kenntnisse, Erfahrung, Aus- und Fortbildung des Personals sowie den Einsatzkontext. Die Kommission ergänzt ausdrücklich: Alle vier Punkte schließen rechtliche und ethische Aspekte ein — Bezüge zur KI-Verordnung selbst sowie zu Ethik- und Governance-Prinzipien seien deshalb angezeigt. Praxisbeispiel für diesen Bezug: Werden personenbezogene Daten in eine Cloud-KI eingegeben, kommt neben der KI-VO regelmäßig eine DSGVO-Frage hinzu — eine praxisnahe Einordnung dieses Artikels, kein wörtliches Zitat der Kommission.
Die Kommission stellt klar, dass diese Mindestinhalte auf einem risikobasierten Ansatz aufbauen: Organisationen sollen ihre Rolle (Anbieter oder Betreiber) und die Risiken der von ihnen bereitgestellten oder eingesetzten Systeme berücksichtigen und ihren Ansatz entsprechend anpassen — bei Hochrisiko-Systemen nach Kapitel III der KI-VO können demnach zusätzliche Maßnahmen angezeigt sein.
Der Dreiklang der Bundesnetzagentur: Bedarf, Maßnahmen, Dokumentation
Während die Kommission beschreibt, welche Inhalte mindestens vorkommen sollten, liefert die Bundesnetzagentur den Prozess drumherum — drei Grundsteine zum Aufbau der KI-Kompetenz:
- Bedarf ermitteln: welche Personen KI-Systeme entwickeln, betreiben oder nutzen, welche Systeme das konkret sind, zu welchem Zweck und welche Risiken und Chancen damit verbunden sind.
- Maßnahmen gestalten: die Rolle der eigenen Organisation entlang der KI-Wertschöpfungskette einordnen, individuelle Faktoren der betroffenen Personen (Ausbildung, Erfahrung, Tätigkeit) beachten, Kontext und Risiko der eingesetzten Systeme berücksichtigen und Ziele sowie Verantwortlichkeiten festlegen.
- Dokumentieren, evaluieren, auffrischen: die durchgeführten Maßnahmen ausreichend dokumentieren (Art, inhaltlicher und zeitlicher Umfang, teilnehmende Personen), regelmäßig evaluieren und bedarfsorientiert auffrischen — etwa weil sich KI-Systeme oder deren Nutzungskontext ändern.
Zum Format ist die Bundesnetzagentur ausdrücklich offen: Die KI-Verordnung lege kein bestimmtes Format der Maßnahmen fest — das Format könne von Selbstlernprogrammen über Workshops und Schulungen bis zu mehrstufigen Fortbildungsprogrammen reichen, organisationsintern wie -extern.
Wie Umfang und Tiefe je nach Rolle skaliert werden
Art. 4 schreibt bewusst kein festes Stundenformat vor. Die Kommission hält in ihrer FAQ allgemein fest: „Given the difference between AI systems and the knowledge and experience … might vary, having different levels of training or learning approaches could be appropriate.“ Für die eigene Verwaltung beschreibt die Kommission zusätzlich ein konkretes Beispiel ihrer eigenen Praxis: intern unterscheidet sie Lernpakete für Generalisten, Führungskräfte und Entwickler, kategorisiert als essenziell, dringend empfohlen und empfohlen — ausdrücklich als Beispiel der Kommission für die eigenen Beschäftigten, nicht als allgemeine Vorgabe für alle Organisationen.
Die Bundesnetzagentur empfiehlt dazu einen interdisziplinären und stufenweisen Aufbau der Inhalte, „da die technischen, rechtlichen und ethischen Aspekte der künstlichen Intelligenz und ihre Interaktion effektiv berücksichtigt werden“ können, und schlägt drei Stufen vor:
Grundlagen von Daten und KI (Begriffe, Historie), ein Überblick über KI-Technologien wie maschinelles Lernen und große Sprachmodelle, sowie allgemeine Chancen und Risiken, etwa anhand von Anwendungsfällen oder Rollenspielen vermittelt.
Die eigene Rolle in der KI-Wertschöpfungskette (Entwickler oder Nutzer), technische Aspekte der eingesetzten KI sowie deren spezifische Chancen, Risiken und rechtliche Einordnung.
Individuelle Schwerpunkte je nach Aufgabe, zum Beispiel Technik, Recht oder Ethik.
Die Bundesnetzagentur betont ausdrücklich, diese drei Stufen seien eine Anregung und weder verpflichtend noch abschließend; sie sollten an Größe, Branche und technologischen Reifegrad der Organisation sowie an den individuellen Bedarf der betroffenen Personen angepasst werden. In der Praxis heißt das: ein Endnutzer, der einen Chatbot für Textentwürfe nutzt, braucht vor allem Stufe 1 in überschaubarer Tiefe. Wer über den Einsatz von KI-Systemen entscheidet oder sie konfiguriert, braucht zusätzlich Stufe 2 und rollenspezifische Vertiefung nach Stufe 3. Ein modular aufgebauter Kurs kann diese Abstufung über Module statt über Stundenpläne abbilden — ein feststehendes Kursformat verlangt weder Art. 4 noch die Bundesnetzagentur dafür.
Häufige Fragen
Schreibt Art. 4 KI-VO ein festes Curriculum oder eine Mindeststundenzahl vor?
Nein. Weder Art. 4 der Verordnung (EU) 2024/1689 noch die FAQ der Europäischen Kommission zur KI-Kompetenz nennen ein festes Stundenformat oder ein verbindliches Curriculum. Die Kommission schreibt dazu wörtlich: „There is no one size fit all when it comes to AI literacy and no strict requirements or mandatory trainings are imposed.“ Auch die Bundesnetzagentur stellt fest, die KI-Verordnung lege kein bestimmtes Format fest — von Selbstlernprogrammen über Workshops bis zu mehrstufigen Fortbildungsprogrammen sei alles möglich.
Welche Mindestinhalte nennt die Europäische Kommission konkret?
Die Kommissions-FAQ beantwortet die Frage „What should be the minimum content to consider for an AI literacy programme complying with article 4“ mit vier Schritten: (a) allgemeines Verständnis von KI in der Organisation, (b) die eigene Rolle als Anbieter oder Betreiber, (c) das Risiko der eingesetzten Systeme, und (d) darauf aufbauende, an Kenntnisstand und Kontext angepasste Maßnahmen. Die Kommission ergänzt, alle vier Punkte schlössen rechtliche und ethische Aspekte ein.
Muss eine Führungskraft dieselbe Schulung durchlaufen wie ein Endnutzer?
Nein. Die Kommissions-FAQ hält allgemein fest, dass unterschiedliche Trainingstiefen oder Lernansätze je nach Rolle angemessen sein können. Für die eigene Verwaltung beschreibt die Kommission zusätzlich ein eigenes Beispiel: intern unterscheidet sie Lernpakete für Generalisten, Führungskräfte und Entwickler — das ist ihre eigene Umsetzung, keine allgemeine Vorgabe für alle Organisationen. Die Bundesnetzagentur empfiehlt dazu einen stufenweisen Aufbau von allgemeinen Grundlagen bis zu rollenspezifischen Trainings.
Muss die Schulung ausdrücklich auf die DSGVO eingehen?
Art. 4 selbst nennt die DSGVO nicht ausdrücklich. Die Kommission schreibt aber, ihre vier Mindestinhalte schlössen rechtliche und ethische Aspekte ein, und die Bundesnetzagentur nennt „rechtliche Einordnung“ ausdrücklich als Bestandteil der zweiten Ausbaustufe. Dass dabei häufig Datenschutzfragen auftauchen, etwa sobald personenbezogene Daten in Cloud-KI-Systeme eingegeben werden, ist eine praxisnahe Einordnung dieses Artikels, keine wörtliche Vorgabe des Gesetzestexts.
Reicht eine einmalige Schulung, oder müssen Inhalte aktualisiert werden?
Die Bundesnetzagentur nennt als dritten Baustein ihres Dreiklangs „Dokumentieren, Evaluieren, Auffrischen“: durchgeführte Maßnahmen sollen ausreichend dokumentiert, regelmäßig evaluiert und bedarfsorientiert aufgefrischt werden — etwa weil sich KI-Systeme oder deren Nutzungskontext ändern oder neue Technologien entstehen.
Gibt es eine amtlich vorgegebene Reihenfolge der Themen?
Nein. Weder die Kommission noch die Bundesnetzagentur schreiben eine Reihenfolge vor. Die Bundesnetzagentur empfiehlt lediglich einen stufenweisen Aufbau — von allgemeinen Grundlagen zu vertieften, rollenspezifischen Inhalten —, ausdrücklich als Anregung und nicht abschließend.
Rechtsgrundlagen und Quellen
Dieser Kurs unterstützt bei der Erfüllung der KI-Kompetenz-Pflicht nach Art. 4 EU AI Act. Er stellt keine Rechtsberatung dar und garantiert keine Compliance im Einzelfall.