Artikel 4 verlangt Maßnahmen, kein Zeugnis.
Die Bestimmung richtet sich an Anbieter und Betreiber von KI-Systemen. Sie sollen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen — abgestimmt auf Wissen, Erfahrung, Ausbildung und den konkreten Einsatzkontext.
Was dabei regelmäßig missverstanden wird, stellt die KI-Servicestelle der RTR ausdrücklich klar: Die Verpflichtung zwingt Anbieter oder Betreiber nicht dazu, für eine einzelne Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren. Es gibt keine vorgeschriebene Prüfung, kein verpflichtendes Zertifikat und keinen Mindestpunktestand je Mitarbeiterin oder Mitarbeiter.
Gefordert ist etwas anderes: ein nachvollziehbarer Prozess. Wer welche Systeme nutzt, welche Risiken damit verbunden sind, welche Maßnahmen daraus folgen — und dass diese Maßnahmen tatsächlich stattgefunden haben.
Warum viele Betriebe das Thema liegen lassen.
In den meisten Unternehmen wird Regulierung nach Strafhöhe sortiert. Wer so vorgeht, landet bei Artikel 4 zwangsläufig unten auf der Liste: Der AI Act sieht für diese Bestimmung keine verwaltungsstrafrechtliche Sanktionierung vor. Es gibt keinen Bußgeldrahmen, an dem sich eine Risikobewertung festmachen ließe.
Daraus wird dann schnell der Schluss gezogen, die Sache habe Zeit. Dieser Schluss ist nachvollziehbar — und er greift zu kurz, weil er nur eine von zwei Richtungen betrachtet, aus denen Konsequenzen kommen können.
Der Hebel liegt nicht im Verwaltungsrecht, sondern im Zivilrecht.
Die KI-Servicestelle verweist an dieser Stelle auf einen Paragrafen, der lange vor jeder KI-Regulierung existierte: § 1313a ABGB. Wer sich zur Erfüllung einer Verbindlichkeit anderer Personen bedient, haftet für deren Verschulden wie für eigenes. Der Erfüllungsgehilfe ist ein Klassiker des österreichischen Schuldrechts.
Übertragen auf den Arbeitsalltag heißt das: Wenn eine Mitarbeiterin bei der Erfüllung eines Auftrags eine KI-Ausgabe ungeprüft übernimmt und daraus ein Schaden entsteht, ist das nicht ihr privates Problem. Es ist eines des Unternehmens, das den Auftrag angenommen hat.
Der Unterschied zur Verwaltungsstrafe ist praktisch bedeutsam. Eine Behörde muss erst prüfen und tätig werden. Ein geschädigter Vertragspartner meldet sich von selbst — und die Frage, ob das Unternehmen seine Leute für den Umgang mit dem eingesetzten Werkzeug überhaupt befähigt hat, steht dann sehr konkret im Raum.
Quelle: KI-Servicestelle der RTR, KI-Kompetenz nach Art. 4 AI Act
Wie ein Gericht einen konkreten Fall beurteilt, hängt von dessen Umständen ab. Dieser Beitrag ordnet ein und ersetzt keine Rechtsberatung; für die Bewertung des Einzelfalls sind Rechtsanwältinnen und Rechtsanwälte zuständig.
Was daraus praktisch folgt.
Die Schlussfolgerung lautet nicht „Zertifikat für alle“. Sie lautet: Die Maßnahmen müssen zu den Rollen passen, und es muss später erkennbar sein, dass sie stattgefunden haben. Die KI-Servicestelle nennt dafür vier Bausteine:
- Interne KI-Richtlinien entwickeln: Was ist erlaubt, was nicht, wer entscheidet bei Unsicherheit?
- Eingesetzte KI-Systeme erheben: offiziell bereitgestellte ebenso wie informell genutzte.
- Schulungsmaßnahmen konzipieren: technische, rechtliche und ethische Inhalte, abgestimmt auf die jeweilige Rolle.
- Schulungen dokumentieren: nachvollziehbar festhalten, wer wann woran teilgenommen hat.
Die Reihenfolge ist dabei keine Formsache. Wer nicht weiß, welche Werkzeuge im Haus tatsächlich verwendet werden, kann weder eine passende Richtlinie schreiben noch eine Schulung planen, die an der Realität ansetzt. Genau hier scheitern Initiativen am häufigsten: Die Richtlinie regelt ein freigegebenes System, während die Arbeit längst mit privaten Zugängen erledigt wird.
Was am Ende dokumentiert gehört.
Dokumentation wirkt nach Bürokratie, erfüllt hier aber einen einfachen Zweck: Sie ist der einzige Beleg dafür, dass ein Prozess stattgefunden hat. Sinnvoll festgehalten werden:
- Ausgangslage und ZielgruppenWelche Rollen wurden betrachtet, welche Systeme sind im Einsatz?
- Inhalte und LernzieleWas wurde vermittelt — und was ausdrücklich nicht?
- Datum, Dauer, Format und TeilnahmeAuf Unternehmensebene, ohne Leistungsbewertung Einzelner.
- Empfehlungen für die FortsetzungWas steht als Nächstes an, wann wird aktualisiert?
Diese Unterlagen begründen keine automatische Rechtskonformität. Sie machen aber den Unterschied zwischen „wir haben uns darum gekümmert“ und „wir können zeigen, wie wir uns darum gekümmert haben“.