Die stillste Pflicht des AI Act hat die größte Reichweite

Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, dafür zu sorgen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. In Kraft seit dem 2. Februar 2025. Verbindlich. Und in den meisten deutschen Finanzinstituten nicht systematisch umgesetzt.

Das liegt nicht an Gleichgültigkeit, sondern an einer falschen Erwartung. Da Artikel 4 kein eigenes Bußgeldregime mitbringt, wird er als zahnlos abgetan. Das ist ein Fehler. Wer ein KI-System betreibt und dessen Ergebnis zu einem Schaden führt, etwa einer fehlerhaften Kreditentscheidung oder einem falschen Compliance-Flag, steht ohne dokumentierten Kompetenznachweis deutlich schlechter da. Die fehlende Sanktion macht die Pflicht nicht weniger real, sie verlagert nur das Risiko von der Bußgeldstelle in die Haftung.

Was KI-Kompetenz bedeutet, und was nicht

KI-Kompetenz im Sinne des Artikels 4 ist kein einheitlicher Pflichtkurs, den alle absolvieren. Die Verordnung verlangt ein Maß an Kompetenz, das zur jeweiligen Rolle, zum Kontext und zu den eingesetzten Systemen passt. Eine Vorständin, die über den Einsatz von KI entscheidet, braucht ein anderes Verständnis als eine Sachbearbeiterin, die ein KI-gestütztes Werkzeug bedient, und beide ein anderes als die Fachabteilung, die das System auswählt und überwacht.

Das ist die eigentliche Schwierigkeit. Eine pauschale Schulung für alle erfüllt die Anforderung nur scheinbar. Sie ist entweder für die einen zu oberflächlich oder für die anderen überfrachtet. Wirksame KI-Kompetenz ist differenziert, sie gibt jeder Rolle genau das Verständnis, das sie für ihre Verantwortung braucht.

Das Drei-Stufen-Modell

In der Praxis hat sich eine Aufteilung in drei Ebenen bewährt. Die erste Ebene ist die Führung. Vorstand und Bereichsleitung müssen verstehen, was KI grundsätzlich leisten kann und wo ihre Grenzen und Risiken liegen, um verantwortlich über Einsatz, Priorisierung und Governance zu entscheiden. Sie müssen keine Modelle bauen, aber sie müssen die richtigen Fragen stellen können und die Tragweite ihrer Entscheidungen einschätzen.

Die zweite Ebene ist der Fachbereich, der KI-Systeme auswählt, einführt und überwacht. Diese Gruppe braucht ein tieferes Verständnis: Wie beurteilt man die Eignung eines Systems? Welche Daten verlangt es, und woran erkennt man, dass es im Betrieb abdriftet? Wer trägt die Verantwortung für ein Ergebnis, und wie wird es dokumentiert? Hier liegt der anspruchsvollste Teil der Kompetenzpflicht, weil hier die operative Verantwortung sitzt.

Die dritte Ebene sind die Anwender, die mit KI-gestützten Werkzeugen täglich arbeiten. Sie müssen wissen, was das Werkzeug tut und was nicht, wann sie seinen Ergebnissen vertrauen dürfen und wann nicht, und wie sie einen Zweifelsfall erkennen und melden. Gerade diese Ebene wird oft übersehen, obwohl hier die meisten konkreten Fehler entstehen oder verhindert werden.

Warum die Haftung der eigentliche Hebel ist

Die fehlende Bußgelddrohung verführt zur Untätigkeit, aber sie verkennt, wie Haftung in der Praxis funktioniert. Kommt es zu einem Schaden durch ein KI-System, wird die Frage gestellt, ob das Institut die nach dem Stand der Technik und der Rechtslage gebotene Sorgfalt gewahrt hat. Ein dokumentierter, rollenbezogener Kompetenzaufbau ist genau der Nachweis dieser Sorgfalt. Sein Fehlen kehrt die Beweislage zuungunsten des Instituts.

Hinzu kommt die Verzahnung mit den übrigen Pflichten. Die menschliche Aufsicht über Hochrisiko-Systeme nach dem AI Act ist nur so gut wie die Kompetenz der aufsichtführenden Personen. Auch die kommenden Anforderungen der MaRisk-Novelle an Modellsteuerung und Erklärbarkeit setzen Menschen voraus, die verstehen, was sie steuern. KI-Kompetenz ist damit kein isoliertes Schulungsthema, sondern das Fundament, auf dem die anderen Pflichten überhaupt erst tragen.

Was ein tragfähiges Kompetenzkonzept enthält

Ein belastbares Konzept beginnt mit einer Bestandsaufnahme: Welche KI-Systeme setzt das Haus ein, wer arbeitet mit ihnen, und welche Rolle trägt welche Verantwortung? Daraus ergeben sich die Kompetenzprofile je Ebene. Es folgt ein differenziertes Qualifizierungsangebot, das nicht alle gleich behandelt, sondern jede Gruppe gezielt befähigt. Und es endet nicht mit einer einmaligen Schulung, sondern mit einer Routine, die Kompetenz pflegt, weil sich Technik und Rechtslage weiterentwickeln.

Entscheidend ist die Dokumentation. Was nicht nachweisbar ist, hilft im Haftungsfall nicht. Ein nachvollziehbarer Nachweis, wer wann welche Kompetenz erworben hat, ist der eigentliche Wert des Konzepts gegenüber der Aufsicht und im Schadensfall. Er verwandelt eine diffuse Pflicht in einen belastbaren Beleg gewahrter Sorgfalt.

Wie ein Kompetenzaufbau pro Ebene konkret aussieht

Für die Führungsebene geht es nicht um technische Tiefe, sondern um Urteilsfähigkeit. Eine Vorständin muss einschätzen können, welche Versprechen eines KI-Anbieters realistisch sind, welche Risiken ein Einsatz in einem bestimmten Prozess mit sich bringt und welche Governance ein Vorhaben braucht, bevor sie es freigibt. Dazu gehört ein Grundverständnis davon, wie KI-Modelle zu ihren Ergebnissen kommen, warum sie irren können und was Erklärbarkeit bedeutet. Das lässt sich in kompakten, auf Entscheidungssituationen zugeschnittenen Formaten vermitteln, nicht in technischen Schulungen.

Für die Fachbereiche, die KI auswählen und betreiben, ist der Anspruch höher. Sie müssen die Eignung eines Systems beurteilen, seine Datenanforderungen verstehen, seine Grenzen kennen und Anzeichen für ein Abdriften im Betrieb erkennen. Sie müssen wissen, welche Dokumentation die Aufsicht erwartet und wie eine menschliche Aufsicht über ein Hochrisiko-System praktisch funktioniert. Hier braucht es vertiefte, fallbezogene Qualifizierung, die nah an den konkreten Systemen des Hauses ansetzt.

Für die Anwender schließlich zählt die alltagstaugliche Souveränität im Umgang mit dem Werkzeug. Sie müssen verstehen, wofür das System gedacht ist und wofür nicht, wann sie einem Vorschlag folgen dürfen und wann eine eigene Prüfung nötig ist, und wie sie einen Zweifelsfall melden. Diese Ebene wird oft mit einer pauschalen Einführungsschulung abgetan, dabei entscheidet sie im Tagesgeschäft über die meisten konkreten Fehler.

Die häufigsten Fehler bei der Umsetzung

Der erste Fehler ist die Gießkanne. Eine identische Schulung für alle erfüllt die Anforderung nur auf dem Papier, weil sie weder der Verantwortung der Führung noch der Tiefe der Fachbereiche noch dem Alltag der Anwender gerecht wird. Sie erzeugt Aufwand ohne echte Kompetenz und im Zweifel einen Nachweis, der im Ernstfall nicht trägt.

Der zweite Fehler ist die Einmaligkeit. KI-Kompetenz, die einmal vermittelt und dann nie aktualisiert wird, veraltet schnell, weil sich Werkzeuge und Rechtslage rasch verändern. Eine tragfähige Lösung pflegt Kompetenz als Routine, mit regelmäßigen Auffrischungen, die an neue Systeme und neue Anforderungen anknüpfen.

Der dritte Fehler ist die fehlende Verbindung zur Realität des Hauses. Eine Schulung, die abstrakt über KI spricht, ohne die konkreten Systeme, Prozesse und Risiken des eigenen Instituts zu adressieren, bleibt folgenlos. Wirksame Kompetenz entsteht am eigenen Anwendungsfall, nicht am allgemeinen Lehrbuchbeispiel.

Die Verzahnung mit den anderen Pflichten

Artikel 4 steht nicht für sich. Die menschliche Aufsicht über Hochrisiko-Systeme, die der AI Act ab 2026 verlangt, ist nur so gut wie die Kompetenz der Personen, die sie ausüben. Eine Sachbearbeiterin, die ein Hochrisiko-System beaufsichtigen soll, ohne zu verstehen, woran sie ein Fehlverhalten erkennt, erfüllt die Aufsichtspflicht nur formal. Kompetenz ist damit die Voraussetzung dafür, dass die menschliche Aufsicht überhaupt wirkt.

Auch die kommende MaRisk-Novelle mit ihren Anforderungen an Modellsteuerung, Validierung und Erklärbarkeit setzt Menschen voraus, die verstehen, was sie steuern und validieren. Wer die Erklärbarkeit eines KI-Modells nachweisen soll, muss die Verfahren dazu beherrschen. So greifen die Pflichten ineinander: KI-Kompetenz ist das Fundament, auf dem die Aufsichtspflicht des AI Act und die Modellanforderungen der MaRisk erst tragen. Ein Institut, das Artikel 4 ernst nimmt, erfüllt damit zugleich eine Voraussetzung für die übrigen Anforderungen.

Vom Risiko zum Vorteil

Es lohnt, den Blick vom Pflichtcharakter zu lösen. Ein Institut, dessen Führung, Fachbereiche und Anwender KI wirklich verstehen, entscheidet besser darüber, wo sich der Einsatz lohnt, erkennt überzogene Anbieterversprechen früher und vermeidet kostspielige Fehlinvestitionen. Es kann KI mit Augenmaß einsetzen, statt zwischen blindem Vertrauen und pauschaler Ablehnung zu schwanken.

Genau hier fallen Pflicht und Nutzen zusammen. Der Aufwand, den Artikel 4 verlangt, ist derselbe, der ein Haus überhaupt erst befähigt, KI sinnvoll zu nutzen. Wer die Kompetenzpflicht als reine Last behandelt, verschenkt diesen Nutzen. Wer sie als Investition in die eigene Handlungsfähigkeit versteht, erfüllt die Vorschrift und gewinnt zugleich die Grundlage für jede weitere KI-Entscheidung.

Kompetenz braucht einen Anlass, kein Pflichtprogramm

Der wirksamste Weg, KI-Kompetenz aufzubauen, knüpft sie an konkrete Vorhaben statt an ein abstraktes Pflichtprogramm. Wenn ein Institut ein KI-System in der Marktfolge einführt, ist das der natürliche Anlass, genau die Menschen zu qualifizieren, die damit arbeiten und es verantworten werden. Die Kompetenz entsteht dann am echten Fall, mit echten Fragen und echtem Bezug, und sie bleibt haften, weil sie sofort angewendet wird. Eine Schulung auf Vorrat, ohne Anlass und Anwendung, verpufft dagegen schnell.

Das hat auch einen organisatorischen Vorteil. Wer Kompetenzaufbau an die ohnehin laufenden KI-Vorhaben koppelt, vermeidet ein zusätzliches Großprojekt und integriert die Anforderung in die normale Projektarbeit. Jedes neue System bringt seine eigene Qualifizierungsschleife mit, und über die Zeit entsteht so eine breite, anwendungsnahe Kompetenz, ohne dass jemals ein isoliertes Kompetenzprojekt aufgesetzt werden musste.

Die Rolle des Vorstands ist nicht delegierbar

Ein verbreiteter Reflex ist, die KI-Kompetenz an eine Stabsstelle oder die Personalabteilung zu delegieren und den Vorstand außen vor zu lassen. Das verkennt, dass gerade die Führungsebene Entscheidungen mit der größten Tragweite trifft. Eine Vorständin, die über den Einsatz eines Hochrisiko-Systems entscheidet, ohne dessen Risiken einschätzen zu können, trägt eine Verantwortung, der sie ohne eigene Kompetenz nicht gerecht wird. Die Pflicht aus Artikel 4 endet nicht unterhalb der Führungsebene, sie beginnt dort.

In der Praxis ist die Führungsebene oft die am schwersten zu erreichende Zielgruppe, weil die Zeit knapp ist und die Versuchung groß, das Thema als technisch abzutun. Genau deshalb braucht sie ein eigenes, verdichtetes Format, das nicht in Technik abgleitet, sondern Entscheidungssituationen adressiert: Welche Fragen muss ich einem Anbieter stellen? Woran erkenne ich ein überzogenes Versprechen? Welche Governance verlange ich, bevor ich freigebe? Kompetenz auf dieser Ebene bemisst sich nicht an technischem Detailwissen, sondern an der Qualität der Fragen.

Dokumentation als eigentlicher Wert

So unbeliebt das Thema ist, im Haftungsfall entscheidet die Dokumentation. Ein Institut, das nachweisen kann, wer wann welche rollenbezogene Kompetenz erworben hat und wie diese gepflegt wird, hat die gebotene Sorgfalt belegt. Ein Institut ohne diesen Nachweis steht im Schadensfall vor der schwierigen Aufgabe, im Nachhinein zu begründen, warum es seine Pflicht aus Artikel 4 für erfüllt hielt.

Die Dokumentation sollte deshalb von Anfang an mitgedacht werden, nicht als bürokratische Last, sondern als Ergebnis des Kompetenzaufbaus. Wer ohnehin rollenbezogen qualifiziert, hält fest, wer teilgenommen hat, welche Inhalte vermittelt wurden und wann die nächste Auffrischung ansteht. Daraus entsteht fast nebenbei der Nachweis, der gegenüber der Aufsicht und im Haftungsfall zählt. Eine Kompetenz, die niemand belegen kann, hilft im Ernstfall nicht.

Kompetenz ist kein Zustand, sondern eine Bewegung

Ein letzter Gedanke betrifft die Halbwertszeit des Wissens. KI entwickelt sich schnell, und was heute als ausreichende Kompetenz gilt, kann in zwei Jahren überholt sein. Artikel 4 verlangt deshalb nicht den einmaligen Erwerb eines Zertifikats, sondern einen fortlaufenden Zustand der Befähigung. Ein Institut, das seine Kompetenz einmal aufbaut und dann einfriert, erfüllt die Anforderung nur für den Moment.

Tragfähig ist deshalb nur ein Ansatz, der Kompetenz als wiederkehrende Aufgabe versteht, eng verzahnt mit den KI-Systemen, die das Haus tatsächlich einsetzt. Kommt ein neues System hinzu, kommt die passende Qualifizierung mit. Verändert sich die Rechtslage, wird das Wissen aktualisiert. So bleibt die Kompetenz lebendig und der Nachweis aktuell, statt zu einem Dokument zu verkommen, das mit jedem Monat weniger über den tatsächlichen Stand aussagt.

Der frühe Beginn ist der eigentliche Vorteil

Da die Pflicht aus Artikel 4 bereits seit Februar 2025 gilt, ist jeder Monat ohne strukturierten Kompetenzaufbau ein Monat im rechtlichen Graubereich. Das Risiko realisiert sich nicht durch eine Kontrolle, sondern im Schadensfall, und der lässt sich nicht planen. Wer früh beginnt, baut den Nachweis auf, bevor er gebraucht wird, und ist genau dann handlungsfähig, wenn die übrigen Pflichten des AI Act und der MaRisk greifen. Wer wartet, sammelt das Risiko an, bis es sich beim ersten Vorfall mit voller Wucht zeigt. Der frühe Beginn kostet wenig und sichert viel, und genau deshalb ist er die unternehmerisch klügere Entscheidung.

Vom Pflichtgefühl zur Handlungsfähigkeit

Es gibt einen positiven Nebeneffekt, der in der Pflichtdiskussion untergeht. Ein Institut, dessen Führung, Fachbereiche und Anwender KI wirklich verstehen, trifft bessere Entscheidungen darüber, wo sich der Einsatz lohnt und wo nicht. KI-Kompetenz erfüllt nicht nur Artikel 4, sie ist die Voraussetzung dafür, KI überhaupt sinnvoll und mit Augenmaß einzusetzen. Die Pflicht und der Nutzen fallen hier zusammen.

Mehr zum Thema: KI-Modellrisiko: Was Banken vom IRB-Modell für die KI-Governance lernen können. und Ohne Cloud-Souveränität kein prüfbarer KI-Betrieb. Der AI Act macht das zur Pflicht..

Wir bauen mit Ihnen ein rollenbezogenes KI-Kompetenzkonzept auf, das Artikel 4 erfüllt, prüfungs- und haftungsfest dokumentiert ist und Ihre Organisation tatsächlich handlungsfähig macht. Aus der Branche, für die Branche. Beginnen Sie mit einem Workshop.