Art. 4 als Kompetenz-Kreislauf im KMU

Warum eine einmalige Schulung nicht reicht — und wie der laufende Kompetenz-Prozess im Mittelstand konkret aussieht.

Autor: Manuel Wolfsteiner, ISO-zertifizierter KI-Manager (Personenzertifizierung P85 der Austrian Standards plus GmbH), Schulungsleiter der EU-AI-Act-Basisschulung im KI-Forum.

Wer Art. 4 als Checkliste versteht, hat den Sinn verfehlt. Die Verordnung beschreibt eine Dauer-Verpflichtung: KI-Kompetenz muss laufend passen zu den KI-Systemen, die im Unternehmen tatsächlich im Einsatz sind. Das ist ein Kreislauf, kein Häkchen.

Was der Kreislauf konkret bedeutet

Die visuelle Logik ist einfach: Ein KI-System wird im Unternehmen genutzt. Menschen bedienen es — sie brauchen dafür Kompetenz und tragen Verantwortung. Diese Kompetenz führt zu sicherer Anwendung. Sichere Anwendung wiederum erlaubt, das nächste KI-System einzuführen. Der Kreis schließt sich.

Das Interessante: Jede Kreis-Station ist eine Erwartung, die Art. 4 sowohl an Unternehmen als auch an Mitarbeitende richtet. Wer eine Station überspringt, hat den Nachweis verloren — nicht durch Bußgeld-Klausel, sondern durch fehlende Belegkette bei einer Prüfung.

Die vier Stationen im Detail

Station 1 · KI-System (Auslöser)

Beginnt bei jeder KI, die im Unternehmen produktiv im Einsatz ist. Wichtig: „KI-System" nach Art. 3 Nr. 1 umfasst nicht nur maßgeschneiderte Modelle, sondern auch generative Standard-Tools wie ChatGPT-Plus, Microsoft Copilot, Google Gemini, Perplexity. Auch die Frage „Wo nutzen wir überhaupt KI?" ist Teil der Station — und meist unterschätzt.

Station 2 · Nutzung durch Mitarbeitende

Jede Person, die ein KI-System bedient, ist im Anwendungsbereich. Das gilt für den Marketing-Mitarbeitenden, der Bilder generiert, ebenso wie für den Vertrieb, der Angebote entwerfen lässt. Die Nutzung selbst löst die Kompetenz-Pflicht aus — nicht der Kaufentscheid, nicht die IT-Beschaffung.

Station 3 · Kompetenz & Verantwortung

Hier greift der Nachweis: Sind die Nutzenden über Fähigkeiten, Grenzen und Risiken des Systems informiert? Können sie Halluzinationen erkennen, Datenschutz-Grenzen einordnen, Ergebnisse validieren? Die Kompetenz ist rollenspezifisch: eine Marketing-Fachkraft braucht andere Tiefe als ein Compliance-Officer. Verantwortung heißt: es gibt eine benannte Person, die für diese Kompetenz sorgt.

Station 4 · Sichere Anwendung (zurück zur Nutzung)

Sichere Anwendung ist der Kreis-Schluss. Sie zeigt sich in dokumentierten Prozessen: Wie wird geprüft, ob KI-Antworten korrekt sind? Was passiert bei einer offensichtlichen Halluzination? Welche Daten dürfen in welche Systeme? Sichere Anwendung ist beobachtbar — sie zeigt sich in Verhalten, nicht in Absichtserklärungen.

Woran Sie erkennen, dass der Kreislauf funktioniert

Fünf Indikatoren aus der Beratungspraxis, die einen intakten Kompetenz-Kreislauf markieren:

1. Es gibt eine schriftliche Liste aller im Unternehmen eingesetzten KI-Systeme, aktualisiert innerhalb der letzten 90 Tage.
2. Jede Person, die KI nutzt, hat mindestens eine dokumentierte Schulung im letzten Jahr absolviert.
3. Es gibt einen benannten KI-Verantwortlichen, dessen Name Mitarbeitende auf Nachfrage kennen.
4. Ein Vorfall („KI hat Blödsinn erzählt und wurde übernommen") wurde in den letzten 6 Monaten dokumentiert und ausgewertet.
5. Neue Mitarbeitende erhalten vor dem produktiven KI-Zugriff ein Awareness-Format.

Fehlen zwei oder mehr dieser Punkte, ist der Kreislauf strukturell defekt. Das ist keine Formalie, sondern die faktische Basis für den Nachweis der Sorgfaltspflicht.

Wo der Kreislauf typisch abbricht

Bruchstelle 1: Onboarding neuer Mitarbeitender

Sobald ein neuer Kollege ohne strukturiertes KI-Onboarding startet, hat das Unternehmen eine unbeaufsichtigte KI-Nutzung im Haus. Das ist die häufigste Bruchstelle in KMU — weil KI-Zugriff meist im ersten IT-Setup mitgegeben wird, aber die Schulung erst „später" folgt.

Bruchstelle 2: Einführung neuer KI-Systeme

Ein Fachbereich probiert ein neues Tool aus, es funktioniert, es wird produktiv genutzt — ohne dass die Governance-Ebene davon erfährt. Die Kompetenz-Nachschulung findet nicht statt. Nach drei Monaten hat das Unternehmen einen blinden Fleck im eigenen KI-Portfolio.

Bruchstelle 3: Ausbleibende Fehler-Dokumentation

Wenn KI-Fehler passieren (und sie passieren immer), müssen sie beobachtet, dokumentiert und in die Kompetenz-Auffrischung zurückgespielt werden. Ohne diesen Feedback-Loop ist der Kreis geöffnet: Kompetenz wird gelernt, aber nicht am realen Fall geschärft.

Art. 4 ist keine Aufforderung, mehr zu schulen. Er ist eine Aufforderung, den Zusammenhang zwischen Schulung, Anwendung und Verantwortung sichtbar zu machen. Wer diesen Zusammenhang dokumentiert, hat die Sorgfaltspflicht erfüllt.

Ein tragfähiges Kompetenz-Modell für KMU

Für Mittelständler unter 250 Mitarbeitenden reicht ein bewusst schlankes Modell:

• 3 Rollen: KI-Verantwortlicher (Governance), IT-Zuständiger (Freigabe), Fachbereichs-Ansprechpartner (Praxis-Feedback).
• 2 Formate: Awareness-Schulung für alle Nutzenden mit Zertifikat (jährlich), Kurz-Update bei Roll-out neuer Systeme (30–60 Min).
• 1 Dokumentations-Ort: Ein einziges Register — Notion-Seite, SharePoint, Excel, egal. Enthält: Liste KI-Systeme, Schulungsnachweise pro Person, Fehler-Log, KI-Verantwortlicher.

Dieses Minimum-Modell erfüllt Art. 4 nachweisbar und ist in unter 20 Stunden pro Quartal wartbar. Wer mehr braucht (Hochrisiko-Systeme, Legal-Bereich, Personal-Entscheidungen mit KI), setzt darauf auf — nicht darunter.

Manuel Wolfsteiner, MBA Geschäftsführer ki-fit.at · ISO-zertifizierter KI-Manager (Personenzertifizierung P85) · Co-Gründer KI-Forum
Autoren-Profil · LinkedIn