KI-Kompetenz nach Art. 4 AI Act: ein Schulungskonzept für Netz, Vertrieb und IT

Was der Omnibus an Artikel 4 geändert hat

Aus einer Ergebnispflicht ist eine Maßnahmenpflicht geworden. Die Verordnung (EU) 2026/1744 erschien am 24. Juli 2026 im Amtsblatt und gilt seit dem 27. Juli. Artikel 1 Nummer 5 gibt Artikel 4 eine neue Fassung.

Was gleich blieb, ist für die Praxis wichtiger als die neue Formel. Der Personenkreis ist derselbe: das eigene Personal und alle, die im Auftrag mit Betrieb und Nutzung von KI-Systemen befasst sind. Auch die Maßstäbe stehen weiter im Text, nämlich technische Kenntnisse, Erfahrung, Aus- und Fortbildung, der Kontext des Einsatzes und die Menschen, bei denen die KI eingesetzt wird.

Neu sind zwei Absätze für die Gegenseite. Kommission und Mitgliedstaaten sollen die Bemühungen unterstützen, vor allem bei KMU, und die Kommission veröffentlicht Praxisbeispiele auf einer zentralen Informationsplattform. Das KI-Gremium soll Empfehlungen mit gemeinsamen Zielen beschließen. Beides stand nach den Fragen und Antworten der Kommission Ende Juli 2026 noch aus.

Die Kommission wollte im Vorschlag vom 19. November 2025 weiter gehen und die Pflicht der Unternehmen durch einen Förderauftrag an Staat und EU ersetzen. Parlament und Rat haben sie behalten. Abgeschwächt, aber behalten. Wie es zu dieser Einigung kam, steht in unserem Beitrag zum AI Act Omnibus.

Was „Maßnahmen ergreifen“ praktisch verlangt

Weniger streng heißt nicht freiwillig. Wer KI einsetzt, muss etwas tun und es belegen können, nur das Ergebnis je Person schuldet er nicht. Die EU-Kommission hat ihre Fragen und Antworten zur KI-Kompetenz am 27. Juli 2026 an die neue Fassung angepasst und nennt vier Punkte, die ein Programm mindestens prüfen sollte.

• Versteht die Organisation, was KI ist, welche KI sie nutzt und wo deren Chancen und Gefahren liegen?
• Ist sie Anbieter, entwickelt also selbst, oder Betreiber, der fremde Systeme einsetzt?
• Welche Risiken haben die eingesetzten Systeme, und was müssen die Beschäftigten darüber wissen?
• Welche Maßnahmen passen zum Vorwissen der Leute und zum Einsatzkontext, also Branche und Zweck?

Drei Sätze aus demselben Dokument räumen mit verbreiteten Annahmen auf. Artikel 4 enthält „keine Pflicht, das KI-Wissen der Beschäftigten zu messen“. Ein Zertifikat ist nicht nötig, ein internes Verzeichnis der Schulungen und anderer Maßnahmen genügt. Und ein KI-Beauftragter oder ein eigenes Gremium ist nicht vorgeschrieben (Zitate aus dem englischen Original, eigene Übersetzung).

Ein vierter Satz geht in die andere Richtung, und er wird gern überlesen. In vielen Fällen sei es wirkungslos, sich auf die Gebrauchsanweisung zu verlassen oder die Beschäftigten zu bitten, sie zu lesen. Das Rundschreiben mit dem Handbuch des Herstellers ist also keine Maßnahme im Sinne der Kommission.

Wie niedrig die Schwelle liegt, zeigt ein Beispiel der Kommission selbst. Ein Unternehmen, dessen Beschäftigte ChatGPT für Werbetexte oder Übersetzungen nutzen, fällt unter Artikel 4, die Leute sollen etwa über Halluzinationen informiert werden. Für einen Versorger heißt das: Der Textassistent im Vertrieb reicht, um betroffen zu sein.

Aufsicht und Folgen in Deutschland

Zuständig ist seit dem 29. Juli 2026 die Bundesnetzagentur, als Marktüberwachungsbehörde nach Paragraf 2 Absatz 1 des KI-MIG. Nach den Fragen und Antworten der Kommission beaufsichtigen die nationalen Behörden Artikel 4 seit dem 2. August 2026. Welche Befugnisse die Behörde sonst hat und wie sie aufgestellt ist, beschreibt unser Beitrag zum KI-MIG und der Bundesnetzagentur.

Und ein Bußgeld? Paragraf 15 KI-MIG zählt die Ordnungswidrigkeiten auf, die Deutschland selbst geregelt hat: Verstöße gegen einzelne Pflichten aus vier Artikeln der Verordnung, darunter die Grundrechte-Folgenabschätzung nach Artikel 27, mit einer Geldbuße bis zu 50.000 Euro. Artikel 4 steht nicht in der Liste.

Folgenlos ist ein fehlendes Programm deshalb nicht. Die Kommission schreibt, Sanktionen nach nationalem Recht müssten verhältnismäßig sein und hingen am Einzelfall, sie würden aber wahrscheinlicher, wenn ein Vorfall auf fehlende Schulung und Anleitung zurückgeht. Die Bundesnetzagentur formuliert es auf ihrer Seite zur KI-Kompetenz so: „Ein Mangel an KI-Kompetenz kann als Verletzung der Sorgfaltspflicht angesehen werden, insbesondere wenn dadurch ein Schaden entsteht.“ Sie empfiehlt deshalb, die Maßnahmen gut zu dokumentieren.

Das ist die realistische Lage. Kein Bußgeldrisiko für die Lücke an sich, aber eine Behörde, die nachfragen kann, und eine Beweislage, die nach einem Fehler gegen den Versorger arbeitet, der nichts aufgeschrieben hat.

Gesetzgeber gegen Bundesrat

Über die Abschwächung wurde gestritten, und der Streit ist nicht entschieden, nur abgestimmt.

Parlament und Rat begründen die Neufassung in Erwägungsgrund 8 der Verordnung vom 8. Juli 2026. Die Erfahrungen der Interessenträger zeigten, dass strenge Verpflichtungen für ein ausreichendes Maß an KI-Kompetenz „nicht für alle Arten von Anbietern und Betreibern geeignet“ seien. Solche Pflichten verursachten „insbesondere für kleinere Unternehmen“ zusätzlichen Aufwand, während KI-Kompetenz „unabhängig von gesetzlichen Verpflichtungen und möglichen Sanktionen eine strategische Priorität sein sollte“.

Die Ausschüsse des Bundesrats hatten am 16. März 2026 das Gegenteil empfohlen. Schon die alte Pflicht sei zu eng gewesen, weil sie nur nach innen wirkte. „Die vorgeschlagene Neufassung schwächt diese Schutzvorkehrung erheblich. Der Bundesrat bittet daher, von der Änderung abzusehen.“ Aus verbraucherrechtlicher Sicht weise die Reform „in die falsche Richtung“ (Drucksache 33/1/26).

Die Bundesnetzagentur, die das Ergebnis jetzt beaufsichtigt, legt sich auf keine Seite fest. Sie nennt KI-Kompetenz ein Eigeninteresse der Unternehmen und erinnert zugleich an die Sorgfaltspflicht.

Wer hat recht? Der Gesetzgeber setzt darauf, dass Unternehmen schulen, weil es sich lohnt. Die Länder bezweifeln, dass das ohne Pflicht passiert. Die Zahlen aus der Branche lassen beide Lesarten zu.

Wer im Versorger was braucht

Zielgruppen ergeben sich aus dem Kontakt mit KI, nicht aus dem Organigramm. Ein Versorger mit Netz, Vertrieb und Messstellenbetrieb hat fünf typische Gruppen, dazu die Dienstleister. Die PwC-Studie zur KI in der Energiewirtschaft (ZfK, 13. April 2026) zeigt, wo die Systeme heute laufen: Kundenservice 29 Prozent, Unterstützungsfunktionen 21, Vertrieb 12, die technischen Kernbereiche deutlich dahinter.

In der Leitwarte läuft KI laut PwC noch seltener als im Kundenservice, ein Fehler wiegt dort aber schwerer als irgendwo sonst im Haus. Die Energietechnische Gesellschaft im VDE hat im Juli 2025 ein Einführungsmodell für KI in der Netzleittechnik vorgelegt, das sich an technischem Sicherheitsmanagement und ISMS orientiert. Ein Rollenmodul für Schichtleiter gehört in dieselbe Logik: kontrollierter Betrieb heißt auch, dass die Menschen am Pult wissen, wann sie der Zahl nicht trauen.

Im Kundenservice liegt das Risiko woanders. Hier spricht die KI direkt mit Kunden, und seit dem 2. August 2026 gilt dafür die Kennzeichnungspflicht nach Artikel 50. Wie Versorger Chatbots und Churn-Modelle heute einsetzen, steht im Beitrag zu KI im Kundenservice, die Marktkommunikation behandelt der Beitrag zu KI für Klärfälle.

Bleiben die Externen. Artikel 4 erfasst Personen, die im Auftrag des Versorgers mit dessen KI arbeiten, und die Kommission nennt Auftragnehmer und Dienstleister ausdrücklich. Das Callcenter, das in Spitzenzeiten den Chat übernimmt, gehört dazu.

Ein Schulungskonzept in drei Ebenen

Ein Konzept, das zur Rechtslage und zur Größe eines Versorgers passt, hat drei Ebenen: eine kurze Basis für alle mit KI-Zugang, ein Modul je Zielgruppe und die Einweisung in jedes einzelne System. Die Bundesnetzagentur schlägt einen ähnlichen Stufenbau vor, von Grundlagen über fortgeschrittene Inhalte bis zu rollenspezifischen Trainings, ausdrücklich als Anregung und nicht als Pflicht.

Die Basis ist die Ebene, an der die meisten Programme zu lang werden. Sie muss klären, was KI ist, welche Tools im Haus erlaubt sind, welche Daten nicht hineingehören und wie typische Fehler aussehen. Mehr nicht. Wer hier zwei Tage ansetzt, verliert die Leute, die KI nur gelegentlich nutzen.

Die Rollenmodule tragen das Programm. Sie arbeiten mit Fällen aus dem eigenen Bereich: eine falsche Chatbot-Antwort zum Abschlag, eine Prognose, die am Feiertag danebenlag, ein Klärfall, den die KI falsch sortiert hat. Solche Fälle findet jeder Bereich in seinen eigenen Tickets.

Die Systemeinweisung hängt am Rollout, nicht am Kalender. Wird ein neues System eingeführt oder ändert sich sein Zweck, kommt die Einweisung, mit den Unterlagen des Anbieters als Grundlage und nicht als Ersatz. Für Hochrisiko-Systeme ist genau diese Ebene ab Dezember 2027 durch Artikel 26 Absatz 2 abgesichert.

Woher die Inhalte kommen, ist zweitrangig. Intern, extern, E-Learning oder Präsenz, die Bundesnetzagentur lässt alles zu. Das Living Repository der Kommission sammelt Beispiele aus anderen Organisationen, verschafft nach der Kommission aber keine Vermutung, Artikel 4 damit erfüllt zu haben.

Nachweis, Dokumentation, Mitbestimmung

Ein internes Verzeichnis genügt, und es muss nicht kompliziert sein. Die Bundesnetzagentur nennt, was hineingehört: die Art der Maßnahme, ihr inhaltlicher und zeitlicher Umfang und die teilnehmenden Personen, dazu eine regelmäßige Bewertung, ob die Maßnahme wirkt, und eine Auffrischung bei Bedarf.

Wir würden das Verzeichnis an das KI-Register koppeln. Steht dort je System, welche Zielgruppe es nutzt, ergibt sich daraus, welches Modul wer braucht, und ein neues System im Register löst die Einweisung aus. Wie ein solches Register aufgebaut sein kann, zeigen unsere KI-Governance-Bausteine.

Was viele Programme vergessen: Eine KI-Schulung ist betriebliche Berufsbildung im Sinne der Paragrafen 96 bis 98 des Betriebsverfassungsgesetzes. Bei ihrer Durchführung bestimmt der Betriebsrat mit (Paragraf 98 Absatz 1). Ändert die Einführung einer KI die Tätigkeit so, dass die bisherigen Kenntnisse nicht mehr reichen, bestimmt er auch über die Einführung der Bildungsmaßnahme mit (Paragraf 97 Absatz 2). Und eine Lernplattform, die Ergebnisse je Person auswertet, berührt Paragraf 87 Absatz 1 Nummer 6.

Daraus folgt eine praktische Spannung. Die Kommission verlangt keine Tests, und die Bundesnetzagentur empfiehlt eine Evaluation. Wer evaluiert, ohne Personen zu bewerten, etwa über anonyme Rückmeldungen oder Stichproben im Bereich, spart sich einen Teil der Verhandlung.

In kommunalen Eigenbetrieben und Anstalten öffentlichen Rechts gilt statt des Betriebsverfassungsgesetzes das Personalvertretungsrecht des Landes. Die Logik ist ähnlich, die Verfahren unterscheiden sich von Land zu Land.

Zwei bestehende Pflichten bieten sich als Anschluss an. Die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen nach Paragraf 38 Absatz 3 BSI-Gesetz regelmäßig an Schulungen zur IT-Sicherheit teilnehmen, und die Datenschutzunterweisung läuft ohnehin. Ein KI-Teil in beiden Formaten ist billiger als ein drittes.

Stadtwerk mit 150, Konzern mit 5.000 Beschäftigten

Die Pflicht ist dieselbe, der Apparat nicht. Artikel 4 kennt keine Größenschwelle, und der neue Absatz 2 verspricht KMU nur Unterstützung, keine Ausnahme. Die Größenordnungen unten sind allgemeine Beispiele, keine Unternehmen.

Das Stadtwerk hat den kürzeren Weg und die dünnere Personaldecke. Es kann in wenigen Wochen fertig sein, wenn eine Person den Auftrag hat. Der Konzern hat die Lernplattform schon, braucht aber Monate für Abstimmung und Mitbestimmung. Und er hat ein Problem, das das Stadtwerk nicht kennt: dieselbe KI in fünf Gesellschaften mit fünf Betriebsräten.

Beide stehen vor einer Lücke, die die Branche selbst benennt. In der PwC-Studie nennen 28 Prozent der Versorger fehlende Kompetenzen als Hürde für KI. Nach der Digital@EVU-Studie von BDEW, VSE, Kearney und IMP³ROVE vom 14. April 2026 haben 56 Prozent eine genaue Vorstellung, welche Zukunftskompetenzen sie brauchen, eine Personalstrategie dafür aber nur 29 Prozent.

Was Versorger jetzt tun sollten

Fangen Sie bei dem an, was seit Februar 2025 schon passiert ist. Viele Häuser haben geschult, ohne es Artikel 4 zuzuordnen, und das lässt sich nachtragen.

Fünf Schritte bis zum belastbaren Programm

1. Bestand aufnehmen

   Welche KI-Systeme laufen, wer nutzt sie, welche Tools werden ohne Freigabe genutzt? Ohne diese Liste bleibt jedes Schulungskonzept geraten. Die Schatten-KI gehört dazu, sie ist oft der größere Teil, wie unser Beitrag zur Schatten-KI zeigt.

2. Zielgruppen und Module festlegen

   Aus der Liste folgen die Gruppen. Basis, Rollenmodul, Einweisung, je Gruppe mit Umfang und Format.

3. Betriebs- oder Personalrat einbinden

   Bevor die erste Schulung läuft.

4. Durchführen und verzeichnen

   Art, Umfang, Teilnehmende, Datum. Was seit Februar 2025 schon gelaufen ist, kommt mit Datum ins selbe Verzeichnis, Dienstleister mit ihrem eigenen Nachweis. Eine Tabelle reicht für den Anfang, solange sie gepflegt wird. Wichtiger als das Werkzeug ist, dass jemand dafür zuständig ist und es bei einer Anfrage der Bundesnetzagentur in zwei Tagen vorlegen kann.

5. Auffrischung an Änderungen koppeln

   Neues System, neuer Zweck, neues Modell: Dann wird nachgeschult. Ein fester Jahrestermin kann dazukommen, ersetzt das aber nicht.

Den rechtlichen Rahmen dahinter, also was nach dem Omnibus insgesamt gilt, fasst der Beitrag zum EU AI Act für Energieversorger zusammen. Alle Artikel zum Thema stehen im Themenfeld KI in der Energiewirtschaft. Wenn Sie Register und Schulung als ein Programm mit klaren Zuständigkeiten aufsetzen wollen, beschreibt unsere Leistung KI-Governance für Energieversorger, wie wir dabei vorgehen.

Weiterführende Informationen

Häufig gestellte Fragen