Kurz gesagt: Die KI-Verordnung wurde im Sommer 2026 an zwei Stellen nachgeschärft. Die EU hat mit der Verordnung (EU) 2026/1744 („Digital-Omnibus zur KI“) unter anderem Artikel 4 neu gefasst, die Fristen für Hochrisiko-KI verschoben und zwei neue Verbote eingeführt. Deutschland hat mit dem KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) die Aufsicht und ergänzende Bußgelder geregelt. Für KMU heißt das: Die Pflicht, Mitarbeitende im Umgang mit KI zu befähigen, bleibt. Ein Bußgeld für fehlende Schulung gibt es nicht. Wer KI-Tools nutzt, sollte trotzdem schulen und das dokumentieren.
1. Artikel 4: neuer Wortlaut, gleiche Richtung
Artikel 4 gilt seit dem 2. Februar 2025 für alle Unternehmen, die KI-Systeme anbieten oder beruflich nutzen, also auch für jedes KMU mit ChatGPT, Microsoft Copilot oder ähnlichen Werkzeugen. Seit dem 27. Juli 2026 lautet Absatz 1:
„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Aus- und Fortbildung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“
(Artikel 4 Absatz 1 in der Fassung der Verordnung (EU) 2026/1744, ABl. L vom 24.7.2026)
| Bisherige Fassung (2024) | Neue Fassung (seit 27.7.2026) | |
|---|---|---|
| Kern der Pflicht | Maßnahmen, um „nach besten Kräften“ ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen | Maßnahmen, die die Entwicklung der KI-Kompetenz unterstützen |
| Ergebnis | Ausreichende Kompetenz als Ziel | Ausdrücklich kein bestimmtes Niveau garantiert |
| Wer ist betroffen | Personal und weitere Personen im Auftrag | unverändert |
| Was zählt | Kenntnisse, Erfahrung, Ausbildung, Einsatzkontext | unverändert |
Was das praktisch bedeutet: Niemand muss beweisen, dass alle Mitarbeitenden „ausreichend kompetent“ sind. Sie müssen aber nachvollziehbar etwas tun, das zum tatsächlichen KI-Einsatz passt. Eine dokumentierte Schulung mit Inhalten, Datum und Teilnehmenden ist dafür der einfachste Beleg. Eine bestimmte Form schreibt die Verordnung nicht vor.
2. Kein Bußgeld für Artikel 4
Artikel 99 KI-VO regelt die Geldbußen, zum Beispiel bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes für Verstöße gegen Betreiberpflichten. Artikel 4 ist dort nicht genannt. Für KMU gilt bei den genannten Verstößen jeweils der niedrigere der beiden Beträge (Artikel 99 Absatz 6).
Das deutsche KI-MIG ergänzt in § 15 Bußgelder bis 50.000 Euro für einige wenige Pflichten, etwa die fehlende Grundrechte-Folgenabschätzung bestimmter Betreiber (Artikel 27) oder eine fehlende Erläuterung gegenüber Betroffenen beim Einsatz bestimmter Hochrisiko-Systeme (Artikel 86). Artikel 4 gehört auch hier nicht dazu.
Warum Schulung trotzdem wichtig ist: Wenn ein KI-Fehler einen Schaden verursacht, etwa falsche Zahlen in einem Angebot oder eine Datenpanne, stellt sich die Frage, ob das Unternehmen sorgfältig gehandelt hat. Eine dokumentierte Schulung hilft, das zu belegen. Außerdem fragen Auftraggeber und größere Kunden zunehmend nach Nachweisen zur KI-Kompetenz.
3. Neue Fristen und neue Verbote
Die Omnibus-Verordnung hat die Pflichten für Hochrisiko-KI verschoben und Artikel 5 um zwei Verbote ergänzt:
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken (Artikel 5) und KI-Kompetenz (Artikel 4) |
| 2. August 2025 | Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Sanktionsregeln |
| 2. August 2026 | Allgemeine Geltung, u. a. Transparenzpflichten nach Artikel 50 (für Anbieter bereits angebotener generativer KI mit kurzer Übergangsfrist) |
| 2. Dezember 2026 | Neue Verbote (Artikel 5): KI, die ohne Einwilligung sexualisierte Bilder, Videos oder Töne realer Personen erzeugt, und KI, die Darstellungen sexuellen Kindesmissbrauchs erzeugt |
| 2. Dezember 2027 | Hochrisiko-KI nach Anhang III, u. a. Betreiberpflichten nach Artikel 26 |
| 2. August 2028 | Hochrisiko-KI in regulierten Produkten nach Anhang I |
Die meisten KMU nutzen KI für Texte, E-Mails, Angebote und Recherche. Das ist keine Hochrisiko-KI. Anders kann es aussehen, wenn KI bei der Bewerberauswahl, bei der Bewertung von Beschäftigten oder bei Kreditentscheidungen mitentscheidet. Solche Einsatzfelder stehen in Anhang III. Bis Dezember 2027 bleibt Zeit, das sauber zu klären.
4. Was KMU jetzt tun sollten
- Übersicht anlegen: Welche KI-Tools nutzt wer wofür? Eine einfache Liste reicht, inklusive KI-Funktionen in bestehender Software.
- Passend schulen und dokumentieren: Inhalte am tatsächlichen Einsatz ausrichten (Tools, Datenschutz, typische Fehler wie Halluzinationen). Teilnahme, Datum und Inhalte festhalten. Neue Mitarbeitende einbeziehen.
- Regeln festlegen: Eine kurze KI-Richtlinie klärt, welche Tools erlaubt sind und welche Daten nicht hineingehören.
- Hochrisiko prüfen: Gibt es Einsätze, die unter Anhang III fallen könnten? Dann frühzeitig mit Fachleuten klären, was bis Dezember 2027 nötig ist.
Wer schon geschult hat, muss nichts neu machen. Die geänderte Fassung von Artikel 4 bestätigt den Ansatz „passende Maßnahmen statt garantiertes Ergebnis“.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex
- Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI), Amtsblatt der EU vom 24.7.2026
- KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG), BGBl. 2026 I Nr. 223, § 15
- Bundesnetzagentur: Hinweispapier KI-Kompetenzen nach Artikel 4 (Juni 2025)
Weiterlesen: Artikel 4 KI-VO im Detail · Kompetenznachweis · Artikel 26 und Hochrisiko-KI