EU AI Act Art. 4 — AI Literacy: Der vollständige Guide

1. Was ist AI Literacy?

AI Literacy (KI-Kompetenz) bezeichnet nach Artikel 4 des EU AI Act (Verordnung (EU) 2024/1689) die Fähigkeiten, Kenntnisse und das Verständnis, die Mitarbeiter benötigen, um KI-Systeme informiert und verantwortungsvoll einzusetzen.

Definition nach Art. 4 EU AI Act: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die im Auftrag des Anbieters oder Betreibers mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, ein ausreichendes Maß an KI-Kompetenz besitzen.

1.1 Wichtige Punkte

• Keine Bagatellgrenze — Art. 4 gilt für ALLE Unternehmen, unabhängig von Größe oder Branche
• Keine Risikoschwelle — Auch bei risikoarmen KI-Systemen (z.B. Chatbots) ist AI Literacy Pflicht
• Alle Mitarbeiter betroffen — Nicht nur KI-Entwickler, sondern auch Verwaltung, Vertrieb, HR, etc.
• Dokumentationspflicht — Die Schulungsmaßnahmen müssen nachweisbar sein

1.2 Wer ist betroffen?

• Alle EU-Unternehmen, deren Mitarbeiter KI-Tools nutzen
• Anbieter (Provider): Entwickeln oder trainieren KI-Systeme
• Betreiber (Deployer): Setzen KI-Systeme ein (auch wenn sie sie nicht selbst entwickelt haben)
• Auftragnehmer, Freelancer und Leiharbeiter fallen ebenfalls unter die Schulungspflicht

Frage: Gilt Art. 4 auch für Unternehmen, die nur ChatGPT für Textentwürfe nutzen? Antwort: Ja! AI Literacy gilt für jede KI-Nutzung unabhängig von der Risikoklasse. Auch die Nutzung von ChatGPT, Copilot oder DeepL fällt unter die Schulungspflicht.

2. Der EU AI Act im Überblick

2.1 Zeitlicher Fahrplan

Datum	Meilenstein
2. Februar 2025	Art. 4 (AI Literacy) in Kraft — sofort geltendes Recht
2. August 2025	Verbotene Praktiken (Art. 5) in Kraft
3. August 2026	Marktüberwachungsbehörden erhalten Durchsetzungsbefugnisse
Dezember 2027	High-Risk-Compliance-Pflichten (ursprünglich August 2026, verschoben durch Omnibus)

2.2 Die vier Risikoklassen

1. Verboten (Art. 5) — Systeme mit inakzeptablem Risiko
2. Hochrisiko (Annex III) — Strenge Auflagen: Konformitätsbewertung, Risikomanagement, Datenqualität, Transparenz, Human Oversight
3. Begrenztes Risiko (Art. 50) — Transparenzpflichten (Kennzeichnung von KI-Inhalten)
4. Minimales Risiko — Keine besonderen Pflichten außer Art. 4

Praktische Risikoeinschätzung: Die meisten Büro-KI-Tools (ChatGPT, Copilot, DeepL, Grammarly, Midjourney) fallen in die Kategorien 'Minimal' oder 'Begrenztes Risiko'. Trotzdem gilt Art. 4! Hochrisiko-Systeme sind z.B. KI in der Personalauswahl, Bonitätsprüfung, medizinischer Diagnose oder kritischen Infrastrukturen.

2.3 Verbotene KI-Praktiken (Art. 5)

Nach Art. 5 sind folgende KI-Systeme verboten:

• Manipulative KI (Art. 5.1.a) — KI, die menschliches Verhalten manipuliert
• Ausbeutung von Schwächen (Art. 5.1.b) — KI, die gezielt Schwachstellen von Personen ausnutzt (Alter, Behinderung, soziale Lage)
• Social Scoring (Art. 5.1.c) — Bewertung von Personen durch staatliche Stellen
• Individuelles Risiko-Assessment (Art. 5.1.d) — Vorhersage von Straftaten auf Basis von Persönlichkeitsmerkmalen
• Ungezieltes Scraping (Art. 5.1.e) — Extrahieren von Gesichtsbildern aus dem Internet
• Emotionserkennung am Arbeitsplatz (Art. 5.1.f) — In Bildung und Beschäftigung
• Biometrische Echtzeit-Überwachung (Art. 5.1.g) — Im öffentlichen Raum (eng begrenzte Ausnahmen für Strafverfolgung)

3. Transparenzpflichten (Art. 50)

3.1 Kennzeichnungspflichten

KI-generierte Inhalte müssen gekennzeichnet werden:

Medium	Kennzeichnung
Chatbot	"Ich bin ein KI-Assistent" zu Beginn des Gesprächs
Text	"KI-generiert" oder "Mit KI-Unterstützung erstellt"
Bild	Wasserzeichen oder Metadaten "KI-generiert"
Video/Audio	Deutlicher Hinweis auf KI-Erstellung
Code	Hinweis auf KI-Assistenz bei der Code-Generierung

3.2 Human Oversight

Drei Formen der menschlichen Aufsicht:

1. Human-in-the-Loop (HITL): Jede KI-Entscheidung muss von einem Menschen bestätigt werden
2. Human-on-the-Loop (HOTL): Mensch überwacht das System und greift bei Bedarf ein
3. Human-in-Command (HIC): Mensch trifft strategische Entscheidungen über den KI-Einsatz

4. Datenschutz & DSGVO

4.1 Wichtige DSGVO-Prinzipien für KI

• Rechtsgrundlage: Berechtigtes Interesse (Art. 6.1.f) oder Einwilligung (Art. 6.1.a)
• Datenminimierung (Art. 5.1.c): Nur die Daten verarbeiten, die für den Zweck notwendig sind
• Speicherbegrenzung (Art. 5.1.e): Daten nach Zweckerfüllung löschen oder anonymisieren
• DPIA (Art. 35): Datenschutz-Folgenabschätzung bei hohem Risiko erforderlich
• AVV (Art. 28): Auftragsverarbeitungsvertrag mit KI-Dienstleistern abschließen

4.2 KI und Cloud-Dienste

Bei Nutzung von Cloud-KI (ChatGPT, Claude, etc.) mit personenbezogenen Daten:

1. AVV nach Art. 28 DSGVO abschließen
2. Opt-Out von Training bei öffentlichen Diensten aktivieren
3. Keine Geschäftsgeheimnisse oder Passwörter eingeben
4. Alternative: DSGVO-sichere Enterprise-Tarife nutzen

5. Haftung & Compliance

5.1 Bußgelder nach EU AI Act

Verstoß	Bußgeld (höherer Wert gilt)
Verbotene Praktiken (Art. 5)	Bis €35 Mio. oder 7% des weltweiten Jahresumsatzes
Hochrisiko-Pflichten	Bis €15 Mio. oder 3% des weltweiten Jahresumsatzes
Falsche Angaben	Bis €7,5 Mio. oder 1,5% des weltweiten Jahresumsatzes

5.2 Verantwortlichkeiten

• Der Betreiber (Deployer) haftet für KI-Entscheidungen — Haftung kann nicht auf die KI abgewälzt werden
• Kommende AI Liability Directive erleichtert Schadensersatzklagen und sieht Beweiserleichterung für Geschädigte vor

5.3 Nachweis der AI Literacy

Für die Dokumentation nach Art. 4 sind erforderlich:

1. Teilnehmerlisten — Wer wurde geschult (Namen, Rollen, Abteilungen)
2. Schulungsinhalte — Was wurde vermittelt (Curriculum, Agenda)
3. Zeitraum — Wann fand die Schulung statt (Datum, Dauer, Häufigkeit)
4. Lernerfolgskontrollen — Quiz-Ergebnisse, praktische Übungen
5. Teilnahmebestätigungen — Zertifikate oder Teilnahmescheine

6. KI-Governance im Unternehmen

6.1 Rollen und Verantwortlichkeiten

Rolle	Verantwortung
KI-Beauftragter (AI Compliance Officer)	Überwachung der KI-Compliance, Freigaben, Audits
Fachbereichsleiter	Verantwortung für KI-Einsatz im Bereich
IT-Abteilung	Technische Umsetzung, Sicherheit, Integration
Datenschutzbeauftragter	DSGVO-Compliance, DPIA-Prüfung
Mitarbeiter	Einhaltung der KI-Richtlinien, aktive Teilnahme an Schulungen

6.2 AI Policy — Die KI-Richtlinie

Eine AI Policy sollte mindestens enthalten:

1. Zweck und Geltungsbereich — Für wen gilt die Richtlinie?
2. Definitionen — Was ist KI, Hochrisiko, etc.?
3. Erlaubte und verbotene Nutzung — Welche KI-Tools sind erlaubt?
4. Rollen und Verantwortlichkeiten — Wer macht was?
5. Freigabeprozess — Wie werden neue KI-Tools eingeführt?
6. Datenschutz — Welche Daten dürfen in KI-Tools?
7. Schulungspflichten — Wer muss wann geschult werden?
8. Meldewege — Was tun bei KI-Vorfällen?
9. Sanktionen — Konsequenzen bei Verstößen

Die AI Policy sollte mindestens jährlich sowie bei wesentlichen Änderungen der Rechtslage, neuen KI-Tools oder Vorfällen aktualisiert werden.

6.3 AI-Inventory (KI-Kataster)

Systematische Erfassung aller KI-Systeme im Unternehmen:

Feld	Beschreibung	Beispiel
Name	Bezeichnung des KI-Tools	ChatGPT Enterprise
Typ	LLM, Bildgenerierung, etc.	Sprachmodell
Hersteller	Anbieter des Systems	OpenAI
Risikoklasse	Nach EU AI Act	Minimal
Einsatzbereich	Wofür und in welchem Prozess genutzt	Textentwürfe Marketing
Verantwortlicher	Wer ist fachlich zuständig	Abteilungsleiter Marketing
Freigabedatum	Wann wurde das Tool genehmigt	2026-01-15
Status	Aktiv / In Evaluation / Inaktiv	Aktiv

6.4 Freigabeprozess für neue KI-Tools

1. Anforderung durch Fachbereich
2. Risikobewertung — Klassifizierung nach EU AI Act (Verboten, Hochrisiko, Begrenzt, Minimal)
3. Datenschutz-Folgenabschätzung (DPIA) bei personenbezogenen Daten
4. IT-Sicherheitscheck — Datensicherheit, Verschlüsselung, Zugriffskontrollen
5. Freigabe durch KI-Beauftragten
6. Eintrag ins AI-Inventory
7. Schulung der Nutzer
8. Monitoring nach Einführung

7. Shadow AI — Die unsichtbare Gefahr

Shadow AI bezeichnet die nicht genehmigte Nutzung von KI-Tools durch Mitarbeiter — oft ohne Wissen der IT- oder Rechtsabteilung.

Typische Beispiele

• Private ChatGPT-Accounts für Geschäftsdaten
• Nicht geprüfte KI-Erweiterungen im Browser
• Kostenlose KI-Tools für sensible Aufgaben (z.B. Übersetzung von Verträgen)
• KI-Nutzung ohne Wissen der IT-Abteilung

Gegenmaßnahmen

• Regelmäßige anonyme Mitarbeiter-Umfragen zu genutzten KI-Tools
• Klare Richtlinien in der AI Policy (was ist erlaubt, was nicht)
• Bereitstellung geprüfter und genehmigter Alternativen
• Technische Maßnahmen (Browser-Policies, Netzwerk-Filter, DLP)
• Positive Fehlerkultur — keine Sanktionen, sondern Aufklärung und Unterstützung

8. Praktische Umsetzung — Schritt-für-Schritt

Schritt 1: AI-Inventory erstellen (sofort)

Erfasse alle KI-Tools, die in deinem Unternehmen genutzt werden. Frage alle Abteilungen. Rechne mit Überraschungen — Shadow AI ist weit verbreitet.

Schritt 2: KI-Beauftragten benennen (sofort)

Bestimme eine verantwortliche Person für KI-Compliance. Diese Person koordiniert die Umsetzung der AI Literacy und ist Ansprechpartner für alle KI-Fragen.

Schritt 3: AI Literacy Schulung durchführen (sofort)

Alle Mitarbeiter, die KI-Tools nutzen, müssen geschult werden. Der Kurs auf courses.graphwiz.ai deckt alle geforderten Inhalte ab: 8 Lektionen, 145+ Praxis-Fragen, audit-fähiges Zertifikat.

Schritt 4: AI Policy verabschieden (bis Aug 2026)

Erstelle eine verbindliche KI-Richtlinie mit erlaubter/verbotener Nutzung, Freigabeprozessen und Konsequenzen bei Verstößen.

Schritt 5: Dokumentation aufbauen (bis Aug 2026)

Sammle Nachweise: Teilnehmerlisten, Schulungsinhalte, Zeiträume, Lernerfolgskontrollen, Zertifikate.

Schritt 6: High-Risk-Compliance (bis Dez 2027)

Falls du Hochrisiko-KI-Systeme betreibst: Konformitätsbewertung durchführen, CE-Kennzeichnung, Human Oversight einrichten.

Schritt 7: Kontinuierliches Monitoring (dauerhaft)

Regelmäßige Aktualisierung von AI-Inventory, AI Policy und Schulungen. Neue Mitarbeiter schulen. Neue KI-Tools prüfen. Gesetzesänderungen verfolgen.

9. Häufige Fehler und Irrtümer

❌ Irrtum	✅ Richtig
"Art. 4 ist noch nicht in Kraft"	Art. 4 gilt seit Februar 2025
"Wir nutzen keine KI"	Jeder Chatbot, jede KI-Suche, jeder KI-Assistent zählt
"Der Anbieter ist verantwortlich"	Auch der Betreiber muss Schulung nachweisen
"Einmalige Schulung reicht"	Kontinuierliche Aktualisierung wird erwartet
"Betriebsvereinbarung ersetzt Schulung"	Aktive Schulung muss separat nachgewiesen werden
"Nur IT-Mitarbeiter müssen geschult werden"	Alle Mitarbeiter, die KI nutzen, fallen unter Art. 4
"Nur bezahlte KI-Tools sind relevant"	Auch kostenlose KI-Tools fallen unter die Regelung

10. Ressourcen und Vorlagen

• EU AI Act Volltext (EUR-Lex)
• EU AI Pact — Freiwillige Selbstverpflichtung
• AI Literacy Kurs — 8 Lektionen
• Practice-Prüfung mit 145+ Fragen
• Zertifikat erstellen bei Abschluss
• Fragenkatalog durcharbeiten — alle Domänen