Artikel 4 KI-Verordnung: Was die Pflicht zur KI-Kompetenz von einem Betrieb verlangt

Seit dem 2. Februar 2025 sind Unternehmen in der gesamten EU verpflichtet, die KI-Kompetenz ihrer Mitarbeitenden zu fördern. Der Satz steht in Artikel 4 der KI-Verordnung, er gilt für jeden Betrieb, dessen Leute beruflich mit KI arbeiten, und er gilt auch dann, wenn das gesamte KI-Ensemble aus zwei ChatGPT-Zugängen und Microsoft Copilot besteht. In den meisten Betrieben ist das bis heute nicht angekommen. Der Grund ist einfach: Für Artikel 4 ist kein eigenes Bußgeld vorgesehen, also behandelt ihn die Praxis als Empfehlung.

Das ist ein Denkfehler, nur mit Verspätung.

Was nach dem Digital Omnibus gilt

Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft und hat Artikel 4 neu gefasst. Der Unterschied sitzt im Detail:

Es ist eine Entschärfung im Wortlaut, keine Streichung. Aus einer Erfolgspflicht wurde eine Bemühenspflicht. Wer nachweisbar etwas tut, ist fein raus, auch ohne Zertifikat, ohne Schulungsstunden und ohne KI-Beauftragten. Wer nichts tut, erfüllt die Pflicht weiterhin nicht, nur ist der Streit darüber einer über Anordnungen und nicht über Strafen.

Dazu kommen die Termine, an denen es konkret wird:

Warum die Pflicht ohne Bußgeld nicht folgenlos bleibt

Vier Hebel wirken trotzdem, und keiner davon steht im Bußgeldkatalog. Der Omnibus hat den Katalog in Artikel 99 sogar erweitert, nur nicht um Artikel 4. Neu aufgenommen wurden Pflichten aus Artikel 25, und für kleine Midcap-Unternehmen gilt künftig jeweils der niedrigere der beiden Beträge.

• Auskunft. Die Marktüberwachung kann seit August 2026 verlangen, dass ein Betrieb darlegt, was er zur KI-Kompetenz getan hat. Eine Anordnung ist kein Bußgeld, aber sie kostet Geld und Nerven.
• Verbundwirkung. Artikel 50 droht bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. In so einem Verfahren landet die Frage nach der Befähigung des Personals automatisch auf dem Tisch. Artikel 4 wird dann zur Nebenklage.
• Haftung. Hier liegt der eigentliche Punkt, und die RTR-Servicestelle sagt es selbst: Der AI Act sieht für Artikel 4 keine verwaltungsstrafrechtliche Sanktion vor, fehlende Mitarbeiterschulungen sind aber nach § 1313a ABGB dem Unternehmer zuzurechnen. Artikel 4 sei insofern eine Präzisierung der unternehmerischen Sorgfaltspflichten für KI. Erzeugt eine KI-Auskunft an einen Kunden einen Schaden, ist fehlende Befähigung damit ein Organisationsverschulden, das zivilrechtlich gegen den Betrieb spricht. Das ist der teure Weg, nicht der Behördengang.
• Nachweis der Ausnahme. Wer seine Beiträge ohne Kennzeichnung veröffentlicht, beruft sich darauf, dass inhaltlich ein Mensch geprüft hat und eine namentlich bekannte Person dafür einsteht. Beides muss man im Zweifel vorlegen können. Ein Blatt Papier, das es nicht gibt, gewinnt keinen Streit.

Dazu kommt ein Kanal jenseits der Behörden: Kunden mit eigenen Pflichten fragen ihre Lieferanten zunehmend nach KI-Richtlinie und Systemverzeichnis. Dann zählt dasselbe Blatt, nur mit anderem Publikum. Wie dieselbe Frage von der Datenseite aussieht und warum eine eigene Modellstrecke sie einfacher macht, steht in Warum lokale KI die regulatorische Frage beantwortet.

Österreich: gleiche Verordnung, anderer Behördentisch

Wer sich durch deutsche Ratgeber arbeitet, lernt dabei vor allem die deutsche Architektur kennen: die Bundesnetzagentur als Marktüberwachung, dazu BDSG und Betriebsverfassungsgesetz als flankierendes Recht. Diese Institute gibt es in Österreich nicht. Die KI-Verordnung gilt als EU-Verordnung unmittelbar und in jeder Sprachfassung wortgleich, der Apparat darum herum ist national.

Anlaufstelle ohne Zahn. Für Österreich ist die KI-Servicestelle bei der Rundfunk und Telekom Regulierungs-GmbH die richtige erste Adresse, eingerichtet Anfang 2024 auf Grundlage von § 20c KOG und § 194a TKG. Sie ist Informationsdrehscheibe und Ansprechpartner, ausdrücklich keine Vollzugsbehörde. Wer dort anfragt, bekommt Einordnung, keine Genehmigung und keinen Bescheid.

Es gibt bislang niemanden, der durchgreift. Die KI-Verordnung verlangt von jedem Mitgliedstaat, Marktüberwachungsbehörden zu benennen, Frist war der 2. August 2025. Die RTR hält dazu fest, dass es derzeit noch keine nationale Umsetzung der Zuständigkeiten gibt, weder für die Marktüberwachung noch für die notifizierende Behörde. Ein Entschließungsantrag, die KI-Behörde endlich zu benennen, liegt seit Oktober 2025 im Nationalrat. Im Wissenschaftsausschuss wurde er im November 2025 und erneut im Juni 2026 vertagt. Benannt sind bisher die Grundrechtsbehörden nach Artikel 77, also etwa das Parlamentarische Datenschutzkomitee und die Gleichbehandlungsanwaltschaft. Für den Betrieb heißt das: Es gibt in Österreich niemanden, der einen Artikel-4-Fall aktenkundig macht, und eine Verwaltungspraxis, an der man sich orientieren könnte, gibt es ebensowenig.

Das ist keine Entwarnung, nur eine andere. Wer mit Kundendaten oder im regulierten Umfeld arbeitet, hängt nicht an einer KI-Behörde, sondern an der bestehenden Aufsicht: Der Datenschutzbeauftragte prüft die Datenschutzseite der KI-Nutzung ohnehin und unabhängig von der Verordnung, und wer Kredite vergibt oder versichert, ist der FMA näher als dem KI-Recht.

Nebenrecht. Mitbestimmung heißt in Österreich nicht Mitbestimmung nach deutschem Muster. § 96a ArbVG verlangt die Zustimmung des Betriebsrats für die Einführung von Systemen, die personenbezogene Daten der Arbeitnehmer über die allgemeinen Personangaben hinaus verarbeiten, und für Systeme zur Beurteilung von Beschäftigten. Ohne Betriebsrat gibt es diesen Tatbestand nicht, und die Zustimmung ist durch die Schlichtungsstelle ersetzbar. Bei der Rechtsgrundlage für ein internes Register lohnt der Blick ins eigene Datenschutzgesetz: Das DSG kennt keinen eigenen Beschäftigtendaten-Paragrafen, ein österreichisches Pendant zu § 26 BDSG existiert nicht. Grundlage ist Artikel 6 Abs. 1 lit. b oder lit. f DSGVO, flankiert von § 1 und § 6 DSG. Landet Bild- oder Videomaterial in denselben Ablagen, greifen zusätzlich § 12 und § 13 DSG.

Ein Hinweis, weil er jedem auffällt, der nachliest: Die FAQ der KI-Servicestelle beschreibt den Digitalen Omnibus noch als Text, der zwischen den Gesetzgebern vereinbart, aber nicht förmlich angenommen sei, während dieselbe Stelle beim Zeitplan schon mit den Omnibus-Termen rechnet. Der Zustand ist normal, wenn eine Behörde an mehreren Seiten zugleich arbeitet, und trotzdem eine Falle. Die Verordnung (EU) 2026/1744 liegt seit 24. Juli 2026 im Amtsblatt und gilt seit dem 27. Juli 2026. Wer sich auf den Stand einer Quelle verlässt, prüft das Datum und nicht die Herkunft.

Die drei Blätter, die den Nachweis tragen

Ein Register für alles wird unpflegbar. Drei Blätter mit klaren Schnittstellen über IDs für Person, System und Inhalt funktionieren auch in einer Tabelle, die ein Azubi führt.

Blatt A: Kompetenz. Wir führen hier je Person und je Maßnahme eine Zeile. Pflichtspalten sind: wer (Rolle und Funktion), welche KI-Systeme im Einsatz, in welchem Kontext und mit welcher Wirkung nach außen, welche Maßnahme mit welchen Lernzielen, wann und mit welchem Teilnahmenachweis, und wer die Maßnahme zu verantworten hat. Die Spalte für die nächste Auffrischung ist diejenige, die einem die Frage beantwortet, wenn die letzte Schulung zwei Jahre her ist. Wer die Spalten mit der Empfehlung der RTR-Servicestelle abgleicht, landet fast am selben Ort: Art der Schulung, Veranstalter, Inhalt und Ziel, Zeitpunkt, Wiederholungen. Zertifizierungen dafür gibt es derzeit keine, und interne Schulungen durch eine qualifizierte Person im Haus sind ausdrücklich möglich.

Blatt B: KI-Inventar. Eine Zeile je System: Name und Version des Werkzeugs, Einsatzfälle, die Rolle des Betriebs also Betreiber oder Anbieter, Risikoklasse, freigegebene Datenkategorien, Systemverantwortlicher. Die Datenkategorie ist die praktisch wichtigste Spalte des ganzen Inventars, weil sie die Frage beantwortet, die als Erstes kommt: Darf eine Kundenliste da hinein?

Blatt C: Inhaltsprotokoll. Eine Zeile je veröffentlichtem Inhalt mit KI-Beteiligung: Kanal und URL, Inhaltstyp, Werkzeug und Modell, Anteil der KI, Thema mit Risikoklasse, Prüfer und Freigeber mit Datum, Kennzeichnung samt Begründung und bei Bild und Video die Rechte- und Einwilligungslage.

Was ausdrücklich nicht dazugehört: Zertifikate, Prüfungsergebnisse, Mindeststunden. Was als Randbedingung dazugehört: Ein Kompetenzregister zeigt Personen und deren Verhalten, deshalb läuft es über Artikel 6 Abs. 1 lit. b oder lit. f DSGVO, nicht über eine österreichische Spezialnorm, die es dafür nicht gibt. Wer einen Betriebsrat hat, holt dafür vor dem ersten Eintrag die Zustimmung nach § 96a ArbVG. Und keine Speicherung der Prompts. Eingaben enthalten Geschäftsgeheimnisse und Personendaten, ihr Wortlaut ist für den Nachweis wertlos. Protokolliert wird Werkzeug, Anteil, Prüfung und Freigabe, nicht die Eingabe.

Die Prüffrage, an der sich alles entscheidet

Die Kennzeichnungsdebatte wird meist am Thema festgemacht, und genau dort wird sie falsch. Zwei Fragen reichen, um jeden Inhalt einzuordnen:

1. Ist das Thema von öffentlichem Interesse? Klassische Werbung, Produkttexte, Stellenanzeigen und der übliche Social-Media-Post sind es nicht. Recht, Gesundheit, Wirtschaft, Technologie und Sicherheit mit Allgemeinrelevanz sind es.
2. Zeigt der Inhalt etwas Reales? Eine Person, die es gibt, ein Ort, der existiert, ein Vorfall, den es nie gegeben hat, in der Optik einer echten Aufnahme.

Daraus ergeben sich vier Felder statt einer Feinklassen-Skala:

Das obere rechte Feld ist der Fehler, den fast alle machen: Ein fotorealistisches KI-Bild in einem Werbepost ist kennzeichnungspflichtig, auch wenn der Text daneben nicht müsste. Umgekehrt zählt reine Technik nicht, solange die Aussage gleich bleibt. Farbkorrektur, Zuschnitt oder Entrauschung machen aus einem echten Foto kein KI-Bild. Die Ausnahmeregelung für redaktionell geprüfte Texte gilt außerdem nur für Text, nicht für Bild, Video und Ton. Und die Prüfung, die diese Ausnahme trägt, muss eine inhaltliche sein: Stimmen die Fakten, ist die Darstellung plausibel, und darf der Prüfer den Text tatsächlich kippen? Wer bloß die Rechtschreibung korrigiert, hat nicht geprüft.

Der Teil, den beinahe alle übersehen

Artikel 50 Abs. 1 betrifft nicht Inhalte, sondern die Interaktion selbst. Ein Chatbot oder ein Sprachassistent, der mit Menschen spricht, muss das selbst deutlich machen, spätestens bei der ersten Interaktion und so, dass es tatsächlich wahrgenommen wird. Ein Hinweis versteckt in den Allgemeinen Geschäftsbedingungen reicht nicht, und ein Label wie „Assistent“ ist zu vage, weil es ebenso gut eine Person sein könnte. Konstruiert wird diese Pflicht vom Anbieter des Systems. Wer einen fertigen Assistenten einkauft, muss die Information in der eigenen Oberfläche beibehalten und darf sie nicht entfernen. Für jeden Betrieb, der gerade einen Auskunftsassistenten für Kunden oder Monteure ausrollt, ist das die naheliegendste und am häufigsten vergessene Pflicht der gesamten Verordnung. Sie ist themenunabhängig und kennt keine redaktionelle Ausnahme.

Was ein Betrieb mit dreißig Leuten konkret tut

1. Inventar in einem Nachmittag. Alle Zugänge zusammensuchen, die irgendein Bereich schon nutzt, zwölf Zeilen in eine Tabelle. Das Inventar ist fast immer größer als die offizielle Freigabeliste.
2. Zwei Seiten Richtlinie. Was darf in ein Werkzeug, was nicht, wer prüft, wer gibt frei, wie wird gekennzeichnet. Eine namentlich genannte Person für die redaktionelle Verantwortung.
3. Ein rollengerechter Termin. Zwei Stunden für die Verwaltung, separat eine Stunde für die Vertriebsinnendienstgruppe mit ihren tatsächlichen Anwendungsfällen. Inhaltlich gehören Halluzinationen, Datenschutz, Freigabewege und Kennzeichnung hinein, und nicht bloß die Bedienung.
4. Ein Blatt je veröffentlichtem Inhalt. Wer die Protokollzeile gleich beim Entstehen des Beitrags mitgeneriert, ist bei einer Minute pro Beitrag.
5. Quartalsweise Stichprobe. Fünf Zeilen ziehen, Beiträge öffnen, Kennzeichnung und Freigabe gegenprüfen, Ergebnis in einer Zeile festhalten. Nach dieser Stichprobe wird zuerst gefragt.
6. Betriebsrat fragen, wo es einen gibt. Ein Register, das zeigt, wer welches System nutzt, fällt unter die Zustimmungspflicht nach § 96a ArbVG, und die Zustimmung ist notfalls durch die Schlichtungsstelle ersetzbar.
7. Aufbewahrung bewusst wählen. Wir starten bei drei Jahren nach Veröffentlichung, das ist durch die Zweckbegrenzung der DSGVO gut vertretbar. Abgesichert ist damit nichts: Die ordentliche Verjährung nach § 1478 ABGB liegt mit dreißig Jahren weit darüber, die kurzen Schadenersatzfristen deutlich darunter. Wer später beweisen will, dass geprüft wurde, orientiert sich an dem Zeitraum, in dem er in Anspruch genommen werden kann, und nicht an der mindesten datenschutzrechtlich erlaubten Frist.

Unser Standpunkt

Der Mangel ist nicht das Wissen, die Leitlinien der Kommission stehen frei im Netz. Der Mangel ist die Übersetzung in etwas, das ein Zwanzig-Betrieb am Dienstag nachmittags erledigen kann, ohne eine Compliance-Stelle zu gründen. Genau da sitzen die Artikel-4-Fragen: Nicht die Verordnung ist zu kompliziert, sondern die meisten Umsetzungsangebote sind für Unternehmen gebaut, die es in Österreich kaum gibt.

Wer heute mit einem Auskunfts-Chatbot oder einem KI-Assistenten in der Auftragsabwicklung startet, sollte die drei Blätter vor dem Livegang füllen, nicht danach. Ein Protokoll im Nachhinein zu schreiben, das eine Kontrolle suggeriert, die es nicht gab, ist schlimmer als gar kein Papier. Wir raten deshalb zum Gegenteil: das erste Blatt vor dem ersten Beitrag füllen, nicht danach.

Dieser Beitrag ist eine fachliche Einordnung aus dem Betrieb, keine Rechtsberatung. Die Begriffe „öffentliches Interesse" und „Realitätsbezug" sind Auslegungsfragen, und Behörden können sie enger oder weiter lesen als hier dargestellt. Für den Einzelfall klärt das eine Rechtsanwältin oder ein Rechtsanwalt.

Weiterführende Quellen

• Verordnung (EU) 2024/1689, konsolidierte Fassung: EUR-Lex
• Verordnung (EU) 2026/1744, Digital-Omnibus-Verordnung zur KI, ABl. L vom 24. Juli 2026, mit der Neufassung von Artikel 4 und den neuen Geltungsbeginnen: Amtsblatttext
• Kommission, Leitlinien zu den Transparenzpflichten nach Artikel 50, Endfassung C(2026) 5083 final vom 20. Juli 2026: digital-strategy.ec.europa.eu
• Kommission, Verhaltenskodex für die Transparenz KI-generierter Inhalte: digital-strategy.ec.europa.eu
• Kommission, Fragen und Antworten zur KI-Kompetenz nach Artikel 4: digital-strategy.ec.europa.eu
• RTR-GmbH, KI-Servicestelle Österreich: Übersicht, KI-Kompetenz mit Doku-Empfehlung, FAQ, Sanktionen, Zeitplan
• Digital Austria, Behörden nach Artikel 77 KI-Verordnung: Übersicht
• Parlament, Entschließungsantrag zur Benennung einer KI-Behörde, 517/A(E): parlament.gv.at
• § 96a ArbVG, ersetzbare Zustimmung: RIS, § 1478 ABGB, allgemeine Verjährung: RIS
• Wirtschaftskammer, AI Act: Pflichten für Unternehmen: wko.at
• Praktische Anleitung mit Registern, Risikomatrix und Prompts, Rechtsstand Deutschland: NxtLvlOrg, Artikel 4 KI-Verordnung
• Intern: Der KI-Check für den Einstieg, KI-Beratung Tirol