EU AI Act Art. 4 — AI Literacy: Der vollständige Guide

1. Was ist AI Literacy?

AI Literacy (KI-Kompetenz) bezeichnet nach Artikel 4 des EU AI Act (Verordnung (EU) 2024/1689) die Fähigkeiten, Kenntnisse und das Verständnis, die Mitarbeiter benötigen, um KI-Systeme informiert und verantwortungsvoll einzusetzen.

Definition nach Art. 4 EU AI Act: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die im Auftrag des Anbieters oder Betreibers mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, ein ausreichendes Maß an KI-Kompetenz besitzen.

1.1 Wichtige Punkte

• Keine Bagatellgrenze — Art. 4 gilt für ALLE Unternehmen, unabhängig von Größe oder Branche
• Keine Risikoschwelle — Auch bei risikoarmen KI-Systemen (z.B. Chatbots) ist AI Literacy Pflicht
• Alle Mitarbeiter betroffen — Nicht nur KI-Entwickler, sondern auch Verwaltung, Vertrieb, HR, etc.
• Dokumentationspflicht — Die Schulungsmaßnahmen müssen nachweisbar sein

1.2 Wer ist betroffen?

• Alle EU-Unternehmen, deren Mitarbeiter KI-Tools nutzen
• Anbieter (Provider): Entwickeln oder trainieren KI-Systeme
• Betreiber (Deployer): Setzen KI-Systeme ein (auch wenn sie sie nicht selbst entwickelt haben)
• Auftragnehmer, Freelancer und Leiharbeiter fallen ebenfalls unter die Schulungspflicht

Frage: Gilt Art. 4 auch für Unternehmen, die nur ChatGPT für Textentwürfe nutzen? Antwort: Ja! AI Literacy gilt für jede KI-Nutzung unabhängig von der Risikoklasse. Auch die Nutzung von ChatGPT, Copilot oder DeepL fällt unter die Schulungspflicht.

2. Der EU AI Act im Überblick

2.1 Zeitlicher Fahrplan

| Datum | Meilenstein | | ------------------- | ----------------------------------------------------------------------------------- | | 2. Februar 2025 | Art. 4 (AI Literacy) in Kraft — sofort geltendes Recht | | 2. August 2025 | Verbotene Praktiken (Art. 5) in Kraft | | 3. August 2026 | Marktüberwachungsbehörden erhalten Durchsetzungsbefugnisse | | Dezember 2027 | High-Risk-Compliance-Pflichten (ursprünglich August 2026, verschoben durch Omnibus) |

2.2 Die vier Risikoklassen

1. Verboten (Art. 5) — Systeme mit inakzeptablem Risiko
2. Hochrisiko (Annex III) — Strenge Auflagen: Konformitätsbewertung, Risikomanagement, Datenqualität, Transparenz, Human Oversight
3. Begrenztes Risiko (Art. 50) — Transparenzpflichten (Kennzeichnung von KI-Inhalten)
4. Minimales Risiko — Keine besonderen Pflichten außer Art. 4

Praktische Risikoeinschätzung: Die meisten Büro-KI-Tools (ChatGPT, Copilot, DeepL, Grammarly, Midjourney) fallen in die Kategorien 'Minimal' oder 'Begrenztes Risiko'. Trotzdem gilt Art. 4! Hochrisiko-Systeme sind z.B. KI in der Personalauswahl, Bonitätsprüfung, medizinischer Diagnose oder kritischen Infrastrukturen.

2.3 Verbotene KI-Praktiken (Art. 5)

Nach Art. 5 sind folgende KI-Systeme verboten:

• Manipulative KI (Art. 5.1.a) — KI, die menschliches Verhalten manipuliert
• Ausbeutung von Schwächen (Art. 5.1.b) — KI, die gezielt Schwachstellen von Personen ausnutzt (Alter, Behinderung, soziale Lage)
• Social Scoring (Art. 5.1.c) — Bewertung von Personen durch staatliche Stellen
• Individuelles Risiko-Assessment (Art. 5.1.d) — Vorhersage von Straftaten auf Basis von Persönlichkeitsmerkmalen
• Ungezieltes Scraping (Art. 5.1.e) — Extrahieren von Gesichtsbildern aus dem Internet
• Emotionserkennung am Arbeitsplatz (Art. 5.1.f) — In Bildung und Beschäftigung
• Biometrische Echtzeit-Überwachung (Art. 5.1.g) — Im öffentlichen Raum (eng begrenzte Ausnahmen für Strafverfolgung)

3. Transparenzpflichten (Art. 50)

3.1 Kennzeichnungspflichten

KI-generierte Inhalte müssen gekennzeichnet werden:

| Medium | Kennzeichnung | | ----------- | --------------------------------------------------- | | Chatbot | "Ich bin ein KI-Assistent" zu Beginn des Gesprächs | | Text | "KI-generiert" oder "Mit KI-Unterstützung erstellt" | | Bild | Wasserzeichen oder Metadaten "KI-generiert" | | Video/Audio | Deutlicher Hinweis auf KI-Erstellung | | Code | Hinweis auf KI-Assistenz bei der Code-Generierung |

3.2 Human Oversight

Drei Formen der menschlichen Aufsicht:

1. Human-in-the-Loop (HITL): Jede KI-Entscheidung muss von einem Menschen bestätigt werden
2. Human-on-the-Loop (HOTL): Mensch überwacht das System und greift bei Bedarf ein
3. Human-in-Command (HIC): Mensch trifft strategische Entscheidungen über den KI-Einsatz

4. Datenschutz & DSGVO

4.1 Wichtige DSGVO-Prinzipien für KI

• Rechtsgrundlage: Berechtigtes Interesse (Art. 6.1.f) oder Einwilligung (Art. 6.1.a)
• Datenminimierung (Art. 5.1.c): Nur die Daten verarbeiten, die für den Zweck notwendig sind
• Speicherbegrenzung (Art. 5.1.e): Daten nach Zweckerfüllung löschen oder anonymisieren
• DPIA (Art. 35): Datenschutz-Folgenabschätzung bei hohem Risiko erforderlich
• AVV (Art. 28): Auftragsverarbeitungsvertrag mit KI-Dienstleistern abschließen

4.2 KI und Cloud-Dienste

Bei Nutzung von Cloud-KI (ChatGPT, Claude, etc.) mit personenbezogenen Daten:

1. AVV nach Art. 28 DSGVO abschließen
2. Opt-Out von Training bei öffentlichen Diensten aktivieren
3. Keine Geschäftsgeheimnisse oder Passwörter eingeben
4. Alternative: DSGVO-sichere Enterprise-Tarife nutzen

5. Haftung & Compliance

5.1 Bußgelder nach EU AI Act

| Verstoß | Bußgeld (höherer Wert gilt) | | ---------------------------- | ----------------------------------------------------- | | Verbotene Praktiken (Art. 5) | Bis €35 Mio. oder 7% des weltweiten Jahresumsatzes | | Hochrisiko-Pflichten | Bis €15 Mio. oder 3% des weltweiten Jahresumsatzes | | Falsche Angaben | Bis €7,5 Mio. oder 1,5% des weltweiten Jahresumsatzes |

5.2 Verantwortlichkeiten

• Der Betreiber (Deployer) haftet für KI-Entscheidungen — Haftung kann nicht auf die KI abgewälzt werden
• Kommende AI Liability Directive erleichtert Schadensersatzklagen und sieht Beweiserleichterung für Geschädigte vor

5.3 Nachweis der AI Literacy

Für die Dokumentation nach Art. 4 sind erforderlich:

1. Teilnehmerlisten — Wer wurde geschult (Namen, Rollen, Abteilungen)
2. Schulungsinhalte — Was wurde vermittelt (Curriculum, Agenda)
3. Zeitraum — Wann fand die Schulung statt (Datum, Dauer, Häufigkeit)
4. Lernerfolgskontrollen — Quiz-Ergebnisse, praktische Übungen
5. Teilnahmebestätigungen — Zertifikate oder Teilnahmescheine

6. KI-Governance im Unternehmen

6.1 Rollen und Verantwortlichkeiten

| Rolle | Verantwortung | | ------------------------------------------- | ------------------------------------------------------------- | | KI-Beauftragter (AI Compliance Officer) | Überwachung der KI-Compliance, Freigaben, Audits | | Fachbereichsleiter | Verantwortung für KI-Einsatz im Bereich | | IT-Abteilung | Technische Umsetzung, Sicherheit, Integration | | Datenschutzbeauftragter | DSGVO-Compliance, DPIA-Prüfung | | Mitarbeiter | Einhaltung der KI-Richtlinien, aktive Teilnahme an Schulungen |

6.2 AI Policy — Die KI-Richtlinie

Eine AI Policy sollte mindestens enthalten:

1. Zweck und Geltungsbereich — Für wen gilt die Richtlinie?
2. Definitionen — Was ist KI, Hochrisiko, etc.?
3. Erlaubte und verbotene Nutzung — Welche KI-Tools sind erlaubt?
4. Rollen und Verantwortlichkeiten — Wer macht was?
5. Freigabeprozess — Wie werden neue KI-Tools eingeführt?
6. Datenschutz — Welche Daten dürfen in KI-Tools?
7. Schulungspflichten — Wer muss wann geschult werden?
8. Meldewege — Was tun bei KI-Vorfällen?
9. Sanktionen — Konsequenzen bei Verstößen

Die AI Policy sollte mindestens jährlich sowie bei wesentlichen Änderungen der Rechtslage, neuen KI-Tools oder Vorfällen aktualisiert werden.

6.3 AI-Inventory (KI-Kataster)

Systematische Erfassung aller KI-Systeme im Unternehmen:

| Feld | Beschreibung | Beispiel | | ---------------- | ------------------------------------ | -------------------------- | | Name | Bezeichnung des KI-Tools | ChatGPT Enterprise | | Typ | LLM, Bildgenerierung, etc. | Sprachmodell | | Hersteller | Anbieter des Systems | OpenAI | | Risikoklasse | Nach EU AI Act | Minimal | | Einsatzbereich | Wofür und in welchem Prozess genutzt | Textentwürfe Marketing | | Verantwortlicher | Wer ist fachlich zuständig | Abteilungsleiter Marketing | | Freigabedatum | Wann wurde das Tool genehmigt | 2026-01-15 | | Status | Aktiv / In Evaluation / Inaktiv | Aktiv |

6.4 Freigabeprozess für neue KI-Tools

1. Anforderung durch Fachbereich
2. Risikobewertung — Klassifizierung nach EU AI Act (Verboten, Hochrisiko, Begrenzt, Minimal)
3. Datenschutz-Folgenabschätzung (DPIA) bei personenbezogenen Daten
4. IT-Sicherheitscheck — Datensicherheit, Verschlüsselung, Zugriffskontrollen
5. Freigabe durch KI-Beauftragten
6. Eintrag ins AI-Inventory
7. Schulung der Nutzer
8. Monitoring nach Einführung

7. Shadow AI — Die unsichtbare Gefahr

Shadow AI bezeichnet die nicht genehmigte Nutzung von KI-Tools durch Mitarbeiter — oft ohne Wissen der IT- oder Rechtsabteilung.

Typische Beispiele

• Private ChatGPT-Accounts für Geschäftsdaten
• Nicht geprüfte KI-Erweiterungen im Browser
• Kostenlose KI-Tools für sensible Aufgaben (z.B. Übersetzung von Verträgen)
• KI-Nutzung ohne Wissen der IT-Abteilung

Gegenmaßnahmen

• Regelmäßige anonyme Mitarbeiter-Umfragen zu genutzten KI-Tools
• Klare Richtlinien in der AI Policy (was ist erlaubt, was nicht)
• Bereitstellung geprüfter und genehmigter Alternativen
• Technische Maßnahmen (Browser-Policies, Netzwerk-Filter, DLP)
• Positive Fehlerkultur — keine Sanktionen, sondern Aufklärung und Unterstützung

8. Praktische Umsetzung — Schritt-für-Schritt

Schritt 1: AI-Inventory erstellen (sofort)

Erfasse alle KI-Tools, die in deinem Unternehmen genutzt werden. Frage alle Abteilungen. Rechne mit Überraschungen — Shadow AI ist weit verbreitet.

Schritt 2: KI-Beauftragten benennen (sofort)

Bestimme eine verantwortliche Person für KI-Compliance. Diese Person koordiniert die Umsetzung der AI Literacy und ist Ansprechpartner für alle KI-Fragen.

Schritt 3: AI Literacy Schulung durchführen (sofort)

Alle Mitarbeiter, die KI-Tools nutzen, müssen geschult werden. Der Kurs auf courses.graphwiz.ai deckt alle geforderten Inhalte ab: 8 Lektionen, 145+ Praxis-Fragen, audit-fähiges Zertifikat.

Schritt 4: AI Policy verabschieden (bis Aug 2026)

Erstelle eine verbindliche KI-Richtlinie mit erlaubter/verbotener Nutzung, Freigabeprozessen und Konsequenzen bei Verstößen.

Schritt 5: Dokumentation aufbauen (bis Aug 2026)

Sammle Nachweise: Teilnehmerlisten, Schulungsinhalte, Zeiträume, Lernerfolgskontrollen, Zertifikate.

Schritt 6: High-Risk-Compliance (bis Dez 2027)

Falls du Hochrisiko-KI-Systeme betreibst: Konformitätsbewertung durchführen, CE-Kennzeichnung, Human Oversight einrichten.

Schritt 7: Kontinuierliches Monitoring (dauerhaft)

Regelmäßige Aktualisierung von AI-Inventory, AI Policy und Schulungen. Neue Mitarbeiter schulen. Neue KI-Tools prüfen. Gesetzesänderungen verfolgen.

9. Häufige Fehler und Irrtümer

| ❌ Irrtum | ✅ Richtig | | ------------------------------------------- | ------------------------------------------------------ | | "Art. 4 ist noch nicht in Kraft" | Art. 4 gilt seit Februar 2025 | | "Wir nutzen keine KI" | Jeder Chatbot, jede KI-Suche, jeder KI-Assistent zählt | | "Der Anbieter ist verantwortlich" | Auch der Betreiber muss Schulung nachweisen | | "Einmalige Schulung reicht" | Kontinuierliche Aktualisierung wird erwartet | | "Betriebsvereinbarung ersetzt Schulung" | Aktive Schulung muss separat nachgewiesen werden | | "Nur IT-Mitarbeiter müssen geschult werden" | Alle Mitarbeiter, die KI nutzen, fallen unter Art. 4 | | "Nur bezahlte KI-Tools sind relevant" | Auch kostenlose KI-Tools fallen unter die Regelung |

10. Ressourcen und Vorlagen

• EU AI Act Volltext (EUR-Lex)
• EU AI Pact — Freiwillige Selbstverpflichtung
• AI Literacy Kurs — 8 Lektionen
• Practice-Prüfung mit 145+ Fragen
• Zertifikat erstellen bei Abschluss
• Fragenkatalog durcharbeiten — alle Domänen