AI-Act-ready in 90 Tagen: Artikel-4-Konformität ohne Panik
Artikel 4 ist seit Februar 2025 anwendbar — wer strukturiert startet, erfüllt die KI-Kompetenz-Pflicht in einem Quartal. Der 90-Tage-Plan.
In 90 Tagen lässt sich Artikel 4 EU AI Act strukturell erfüllen, wenn die Reihenfolge stimmt: Inventur, Risiko-Einordnung, Policy, Schulungskonzept, Dokumentation. Wer mit „Schulung kaufen“ beginnt statt mit „wissen, was wir haben“, investiert an den realen Use-Cases vorbei.
Auf einen Blick
- Artikel 4 des EU AI Act verlangt seit Februar 2025 ein „ausreichendes Maß an KI-Kompetenz" in Unternehmen.
- Viele Mittelständler unterschätzen die Pflicht — oder schieben sie mit Verweis auf Schulungsanbieter vor sich her.
- In 90 Tagen lässt sich mit einem strukturierten Fahrplan ein tragfähiges Minimum-Viable-Compliance-Level erreichen.
- Schwerpunkt: Inventur, Risiko-Einordnung, Policy und Schulungskonzept — nicht teure Zertifikatsprogramme.
- Wer jetzt handelt, reduziert Schatten-KI-Risiken und erspart sich später hektische Aufholjagden.
- Art. 4 als Kompetenz-Kreislauf im KMU
Dieser Beitrag ist Teil der Wissensbasis rund um das KI-Forum Linz am 24. Juni 2026 im OÖNachrichten Forum. Autor: Thomas Morawek, Co-Gründer KI-Forum.
Artikel 4 ist keine „Nice-to-have-Schulung", sondern ein Strukturauftrag: Wer nicht weiß, wo KI im Einsatz ist, kann keine Kompetenz nachweisen. Der 90-Tage-Plan kombiniert Inventur, Risiko, Policy und Schulung in fünf machbaren Etappen.
Warum 90 Tage realistisch sind
Drei Monate sind genug, um Artikel 4 strukturell zu erfüllen — wenn die richtige Reihenfolge eingehalten wird. Viele Mittelständler scheitern daran, dass sie mit „Schulung kaufen" beginnen statt mit „wissen, was wir haben". Der Effekt: teure Schulungs-Pakete, die an den realen Use-Cases vorbeigehen.
Woche 1–2: Schatten-KI-Inventur und Use-Case-Mapping
Am Anfang steht die ehrliche Bestandsaufnahme. Eine anonyme Umfrage, Interviews mit Schlüsselrollen und ein Halbtags-Workshop reichen oft aus, um alle produktiven und inoffiziellen KI-Nutzungen sichtbar zu machen. Ergebnis ist ein Inventar: Tools, Daten, betroffene Prozesse und Personen. In den meisten KMU finden sich 5–10 nicht freigegebene Tools — von ChatGPT-Privat-Accounts bis Browser-Plugins.
Woche 3–4: Risiko-Einordnung und Hochrisiko-Abgrenzung
Im zweiten Schritt wird jedes KI-System grob bewertet: Welche Daten fließen hinein, welche Entscheidungen beeinflusst es, welche Personen sind betroffen? Daraus ergibt sich die Einordnung in Minimal-, begrenztes oder Hochrisiko. Anwendungen mit Nähe zu Annex-III-Bereichen — HR-Selektion, Kredit-Screening, Biometrie — werden gesondert markiert und einem strikten Freigabe-Prozess unterworfen.
Woche 5–6: KI-Richtlinie und Rollenmodell
Mit der Inventur im Rücken entsteht eine KI-Richtlinie: Geltungsbereich, Rollen und Verantwortlichkeiten, zulässige und unzulässige Nutzung, Transparenzregeln, Umgang mit Schatten-KI und Incident-Meldungen. Parallel wird ein Rollenmodell definiert: Wer ist KI-Owner, wer ist Ansprechpartner in IT und Datenschutz, wer entscheidet über neue Tools?
Woche 7–8: Schulungskonzept und Content
Erst jetzt geht es wirklich um Schulungen. Aus den Use-Cases und Rollen leitet das Unternehmen drei Ebenen ab: Awareness für alle Mitarbeitenden, vertiefte Trainings für Power-User und Spezialformate für Führungskräfte und Governance-Rollen. Inhalte basieren auf den eigenen Prozessen und Tools — nicht auf generischen „Was ist KI?"-Kursen.
Woche 9–12: Pilot-Trainings und Dokumentation
Zum Abschluss werden erste Trainings durchgeführt, Feedback eingesammelt und die Teilnahme dokumentiert. Wichtig ist ein sauberer Nachweis: Wer hat welches Training wann absolviert, welche Inhalte wurden vermittelt, welche Materialien gibt es? So entsteht ein auditierbarer Pfad für Aufsichtsbehörden.
Artikel 4 lässt sich nicht durch Schulungsbudget erfüllen. Er lässt sich durch eine saubere Reihenfolge erfüllen: erst Inventur, dann Risiko, dann Policy, dann Schulung, dann Dokumentation.
Zum Mitnehmen
- Artikel 4 ist heute schon anwendbar — Abwarten erhöht nur den Druck.
- Ein 90-Tage-Plan mit Inventur, Risiko-Einordnung, Policy, Schulung und Dokumentation ist für Mittelständler machbar.
- Kompetenzaufbau muss an den realen Use-Cases ansetzen — nicht an abstrakten KI-Grundlagen.
- Wer strukturiert startet, erfüllt nicht nur Pflichten, sondern verbessert nebenbei Prozesse und Governance.
Häufige Fragen
Brauchen wir teure Zertifikatsprogramme?
Was ist, wenn wir noch gar keine KI einsetzen?
Wie tief müssen wir Hochrisiko-Themen verstehen?
Wer ist im Unternehmen verantwortlich?
Was passiert bei Nicht-Erfüllung?
Wann sollten wir starten?
Autoren-Profil · LinkedIn
Machen Sie das KI-Forum zu Ihrem Kompetenz-Turbo
Ein Tag Praxis. Sechs Speaker. EU-AI-Act-Kompetenz-Zertifikat inklusive.
Jetzt Ticket sichern