Warum Artikel 4 längst tickt – und was du vor jedem KI-Prompt wissen musst

Stell dir einen Stapel vor, der auf dem Schreibtisch der Compliance-Abteilung wächst, Seite für Seite:

• Unten: eine unterschriebene KI-Richtlinie, die niemand gelesen hat.
• Darüber: ein E-Learning-Zertifikat, das im Hintergrund durchgeklickt wurde.
• Ganz oben: der Satz „Wir nutzen ja nur Microsoft Copilot – das ist doch sicher."

Das ist der Alibi-Stapel – und er beantwortet keine einzige der Fragen, die Artikel 4 des EU AI Act seit dem 2. Februar 2025 stellt.

Ich nutze KI täglich – in Projekten, in Texten, in Abläufen. Und ich begleite mit AI:mpulskraft den kostenlosen Live-Workshop „KI-Kompetenz nach Art. 4 EU AI Act": vier Stunden an zwei Terminen, interaktiv, für KMU. Was mich dabei immer wieder trifft, ist nicht fehlende Neugier. Die meisten Teams nutzen ChatGPT, Copilot oder Gemini längst. Viele haben eine DSGVO-Schulung hinter sich. Trotzdem fehlt an einem Punkt fast überall Klarheit: Wo liegt der Nachweis, dass eure Beschäftigten die KI-Kompetenz haben, die das Gesetz verlangt?

„Wir haben doch letztes Jahr eine Richtlinie unterschreiben lassen – reicht das nicht?"

Eine Unterschrift beweist, dass jemand etwas zur Kenntnis nehmen soll. Artikel 4 fragt etwas anderes: ob dein Team handlungsfähig ist, wenn KI halluziniert, sensible Daten preisgibt oder Entscheidungen vorsortiert. Das merkst du im Alltag – oder spätestens, wenn jemand nachfragt.

Die Compliance-Uhr tickt

Seit dem 2. Februar 2025 verpflichtet Artikel 4 des EU AI Act Anbieter und Betreiber von KI-Systemen, ein angemessenes Maß an KI-Kompetenz ihrer Beschäftigten sicherzustellen. Nicht erst ab August 2026. Jetzt.

Ab dem 2. August 2026 greifen die Bußgeldvorschriften. Ob dein Unternehmen zehn Personen hat oder 500 – sobald KI im Auftrag des Unternehmens genutzt wird, betrifft dich das. Der Digital Omnibus hat Hochrisiko-Pflichten aus Anhang III verschoben, nicht Artikel 4. Wer auf August 2026 wartet, um überhaupt anzufangen, hat die eigentliche Pflicht seit über einem Jahr verpasst – und baut sich unter Zeitdruck genau den Alibi-Stapel, den die Regulierung nicht honorieren wird.

Artikel 4 verlangt aktive Befähigung: dein Team muss verstehen, was KI kann, wo sie scheitert, welche Daten tabu sind und wer am Ende die Verantwortung trägt.

Im Workshop haben wir dafür acht inhaltliche Bausteine – von „KI verstehen" bis „Unternehmensrichtlinie". Dieser Essay verdichtet sie zu vier Fragen, die du vor jedem geschäftlich relevanten Prompt stellen kannst

KI einordnen – bevor du fragst

Bevor die vier Fragen Sinn ergeben, brauchst du ein klares Bild von dem Werkzeug, das du täglich benutzt.

Große Sprachmodelle wie ChatGPT, Claude oder Gemini sind Sprachvorhersagemaschinen. Sie berechnen statistisch, welches Wort als Nächstes plausibel klingt – keine Wissensdatenbank, kein Faktencheck, kein Urteilsvermögen. Out of the box liefern sie überzeugend formulierten Text, nicht garantiert wahren.

Wenn du das verinnerlichst, hörst du auf, KI zu fürchten oder zu vergöttern. Du behandelst sie wie ein Werkzeug – mächtig, schnell, und nur so gut wie der Mensch, der es führt. Genau darum geht es im ersten Modul des Art.-4-Workshops:

Wenn ich meinen gestrigen Tag zurückspiele, stolpere ich über KI dutzende Male: Recherche, Formulierung, Code, Zusammenfassungen. Genau da liegt die Lücke: Privat nutze ich KI selbstverständlich – im Unternehmen fehlt oft noch der Rahmen, der aus Gewohnheit Compliance macht. Vor fünf Jahren war das Science-Fiction. Heute ist es Alltag – und trotzdem behandeln viele Teams es noch wie ein privates Experiment, nicht wie einen regulierten Unternehmensprozess.

Ab hier wird es konkret. Vier Fragen. Vor jedem Prompt, der geschäftlich relevant ist.

Frage 1: Darf ich?

Die erste Frage ist nicht technisch. Sie ist rechtlich und organisatorisch: Darf ich diese Daten in dieses Tool geben – in diesem Kontext?

KI hungert nach Kontext. Die DSGVO verlangt Datenminimierung. Je mehr du der Maschine gibst, desto besser klingt die Antwort – und desto größer wird dein Risiko. Ein praktischer Anker ist der Dreistufentest nach DSGVO-Logik:

1. Berechtigtes Interesse – Ist das Ziel legitim?
2. Erforderlichkeit – Brauche ich wirklich alle diese Daten, oder geht es auch mit weniger?
3. Interessenabwägung – Überwiegen die Rechte der Betroffenen?

An Tag 2 des Art.-4-Workshops gehen wir diesen Test an einem konkreten Fall durch – personalisierte Werbung auf Basis von Kundendaten. Die Folie zeigt die drei Stufen und das Szenario nebeneinander:

Schritt eins und zwei können legitim sein. Bei Schritt drei kippt es – ohne explizite Einwilligung der Kunden ist die tiefe Auswertung des Verhaltens nicht per se erlaubt. Das heißt nicht: KI und Marketing geht nicht. Es heißt: Darf ich? ist eine echte Frage.

Dazu kommt die Tool-Ebene. Sobald ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag (AV-Vertrag / DPA). Privates ChatGPT im Free Tier ohne Firmenaccount? Daten können zum Modelltraining genutzt werden – für Firmendaten schnell der falsche Weg. Was Verantwortlicher und Auftragsverarbeiter bedeutet – und was im Vertrag stehen sollte – fassen wir im Workshop so zusammen:

Im Alltag hilft ein kurzer STOPP-Check vor dem Absenden – drei Felder, die du dir mental abhaken kannst:

• Sind sensible Daten entfernt?
• Ist das Tool freigegeben?
• Ist der Zweck klar?

Die Folie aus unserem Workshop-Material fasst das als Merkkarte zusammen – zum Nachschlagen, nicht als Pflicht-Ausdruck

Praktisch heißt das: Data Sanitization – personenbezogene Daten durch Rollen ersetzen („Kundin A" statt Name), Beträge und Nummern entfernen, Firmennamen neutralisieren, bevor der Text in ein KI-Tool geht. Nicht aus Paranoia, sondern um ein Datenleck durch versehentliches Kopieren aus der CRM-Notiz zu verhindern.

Darf ich? ist die Frage, die Schatten-KI am häufigsten überspringt – weil der Prompt so verlockend schnell geht.

Frage 2: Stimmt's?

Die zweite Frage klingt harmlos. Sie ist es nicht: Stimmt das, was die KI da behauptet – und ist es für meinen Zweck geeignet?

Halluzinationen sind kein Randphänomen. Wenn ein Modell falsche Informationen mit hoher Überzeugungskraft ausgibt, klingt das oft perfekt: glatt, kompetent – und beim Abgleich mit der Realität fällt es auseinander. Warnsignale, dass du zu früh aufgehört hast zu prüfen:

• Die Antwort ist zu glatt – keine Nuancen, keine Einschränkungen.
• Sie überrascht dich nicht – du hättest das selbst so formulieren können.
• Sie ist sehr allgemein – könnte für jeden gelten.
• Die KI fragt nicht zurück – sie produziert nur.

An Tag 1 des Art.-4-Workshops halten wir diese Punkte als Merkhilfe fest:

Dann gibt es Fälle, in denen Stimmt's? ethisch wird – nicht nur faktisch.

Marcus ist kein echter Name, sondern ein zusammengesetztes Fallbeispiel aus unserem Workshop-Material – die Logik ist real: 38 Jahre, zehn Jahre Projekterfahrung, die Stelle passte wie angegossen. Er schickt die Bewerbung ab und wartet – zum ersten Mal seit Monaten wieder Hoffnung auf einen Wechsel. Zwei Tage später pingt die Absage rein. Höflich. Standard. Kein Gespräch, kein Anruf.

Später wird klar: Ein KI-System hatte 200 Bewerbungen vorsortiert. Im Lebenslauf stand eine zweijährige Elternzeit. Für Marcus war das eine bewusste Familienphase, keine „Karrierelücke". Der Algorithmus wertete es als Pause = Risiko. Kein Mensch hatte die Bewerbung je gesehen. Das Unternehmen verlor nicht nur einen qualifizierten Kandidaten – es baute Diskriminierung systematisch in seinen Entscheidungsprozess ein, ohne es zu merken.

Im Workshop fragen wir: Was würdest du an Marcus' Stelle tun? Die Antworten werden still. Weil plötzlich klar wird: Das ist nicht Science-Fiction. Das ist Personal – nur ohne Person.

Bias bedeutet: Ein System benachteiligt Gruppen systematisch, weil es aus unausgewogenen Daten gelernt hat. KI reproduziert die Vergangenheit – auch wenn die Vergangenheit unfair war. Was du tun kannst, wenn du Verdacht hast: Datenherkunft hinterfragen, dokumentieren, intern melden und nicht blind übernehmen.

Stimmt's? heißt deshalb auch: Habe ich Quellen geprüft? Passt der Ton? Erkenne ich Verzerrungen? Und vor allem: Erkenne ich den Fehler, bevor er Wirkung entfaltet – in einem Angebot, einem Vertrag, einer E-Mail an einen Kunden?

Die alte Medienkompetenz hieß: Vertrauen, aber prüfen. Die neue lautet: Prüfen, dann vertrauen.

Frage 3: Wer entscheidet?

KI unterstützt. Der Mensch entscheidet – und trägt die Verantwortung. Das klingt selbstverständlich. In der Praxis verläuft es oft anders.

Drei Begriffe helfen – so ordnen wir sie an Tag 2 des Art.-4-Workshops ein:

• Human in the Loop – Du gibst jedes wichtige Ergebnis selbst frei.
• Human on the Loop – Die KI läuft, du überwachst stichprobenartig und kannst stoppen.
• Human out of the Loop – Die KI entscheidet allein. Für viele geschäftskritische Prozesse ist das der falsche Modus.

Die gefährliche Mitte heißt Rubber Stamping: Du weißt, dass du prüfen musst – und hakst nur ab. Formal war ein Mensch beteiligt. Inhaltlich war es eine automatisierte Entscheidung mit Unterschrift. Das reicht rechtlich nicht, wenn echte Kompetenz und Korrekturbefugnis fehlen.

Im Art.-4-Workshop nutzen wir eine 5-Punkte-Checkliste für den ganzen Weg – vom Prompt bis zur Weitergabe. Nicht nur für den Klick auf Senden, sondern für jeden Moment, in dem ein KI-Ergebnis Wirkung entfalten soll:

1. Verstehe ich die Aufgabe der KI? – schon beim Formulieren des Prompts
2. Habe ich sensible Daten entfernt? – bevor etwas in ein Tool geht
3. Kann ich das Ergebnis nachvollziehen? – bevor ich es nutze oder weiterreiche
4. Habe ich Fakten, Ton und Bias geprüft? – bevor es nach außen geht
5. Übernehme ich die Verantwortung für die Nutzung? – die Freigabe-Entscheidung

Wer entscheidet? ist die Frage, die in der Geschäftsführung ankommt, wenn etwas schiefgeht. Nicht: „Welches Tool war das?" Sondern: Wer hat freigegeben – mit welchem Mandat und welcher Sachkenntnis?

Frage 4: Was steht in der Richtlinie?

Die vierte Frage ist die, die Teams am häufigsten unterschätzen: Was ist bei uns erlaubt – und wann eskaliere ich?

Ohne schriftliche, bekannte Regeln interpretiert jeder „erlaubt" anders. Der eine nutzt ChatGPT mit Kundendaten. Der andere verbietet KI pauschal. HR fragt nach Nachweisen – und niemand weiß, welche Schulung zählt.

Artikel 4 verlangt nicht nur allgemeine KI-Kompetenz. Er verlangt auch Kenntnis eurer Regeln: welche Tools freigegeben sind, was tabu ist, wie Meldewege aussehen.

Eine KI-Nutzungsrichtlinie muss nicht 40 Seiten haben. Sie muss verbindlich, auffindbar und gelebt sein – mit klaren Dos und Don'ts, Human-in-the-Loop-Vorgaben und einem Weg zu Datenschutz oder Rechtsberatung bei Grenzfällen.

Am zweiten Termin des kostenlosen Live-Workshops arbeiten Teilnehmende an einer KI-Nutzungsrichtlinie als Vorlage – freigegebene Tools, Erlaubt/Untersagt, Human-in-the-Loop, Meldewege. Das ist kein fertiges Regelwerk für eure Akte, sondern ein Startpunkt: Ihr füllt im Workshop die Kernabschnitte aus und nehmt die Vorlage mit. Die verbindliche Fassung entsteht danach bei euch intern – mit HR, IT und Rechtsberatung. Ohne diesen Schritt bleibt „Richtlinie" oft Wunschdenken der Geschäftsführung.

Was steht in der Richtlinie? ist die Brücke von persönlicher Vorsicht zu organisatorischer Compliance. Die vier Fragen reichen für dich. Artikel 4 braucht den dokumentierten Rahmen dahinter.

Vier Fragen – ein Rhythmus

1. FrageKurzDarf ich? Daten, Tool, AV-Vertrag
2. Stimmt's? Fakten, Bias, Plausibilität
3. Wer entscheidet? Freigabe mit echter Prüfung
4. Was steht in der Richtlinie? Erlaubt, verboten, eskalieren

Das ist keine Checkliste für Juristen. Das ist Alltags-KI-Kompetenz – genau das, was Artikel 4 meint.

Der Alibi-Stapel wird nicht weniger, wenn du ihn weiter aufstapelst. Was ihn ersetzt, ist geübte Kompetenz im Team – und ein Nachweis, der einer Prüfung standhält. Der EU AI Act schreibt kein bestimmtes Zertifikat vor, aber du musst zeigen können: Wer wurde geschult, womit, wann – und dass die Teilnahme dokumentiert ist. Genau dafür liefern wir im Art.-4-Workshop einen dokumentierten Lehrplan, ein Schulungsprotokoll und Teilnahmebescheinigungen.

Nächster Schritt: Vier Fragen im Live-Workshop üben

Allein lesen reicht für den Einstieg. Im Team brauchst du Dialog, Übungen und dokumentierte Nachweise.

Am 16. und 17. Juli 2026 bieten wir wieder den kostenlosen Live-Workshop „KI-Kompetenz nach Art. 4 EU AI Act" an – jeweils 2 Stunden, insgesamt 4 Stunden an zwei Terminen:

• Tag 1: KI verstehen, Grenzen kennen, Risiken erkennen, Ergebnisse prüfen
• Tag 2: Datenschutz, Ethik, verantwortungsvoller Einsatz, Unternehmensrichtlinie

Maximal 50 Teilnehmer pro Durchlauf – damit echte Fragen und Übungen möglich bleiben. Du erhältst einen dokumentierten Lehrplan, ein Schulungsprotokoll und Teilnahmebescheinigungen für deine Unterlagen.

​Jetzt Workshop-Platz sichern auf ​aimpulskraft.de​

Bring die Personen mit, die später gegenüber HR, Betriebsrat oder Prüfern die Nachweise erklären müssen: GF, HR, Compliance, Fach- und Führungskräfte. Alle sprechen dieselbe Sprache, wenn die vier Fragen einmal gemeinsam geübt wurden – und dann leben sie nicht mehr auf einem Stapel, sondern im Arbeitsalltag.

Hinweis: Dieser Text vermittelt praxisnahe KI-Kompetenz und Orientierung zum EU AI Act – keine individuelle Rechtsberatung. Bei Einzelfällen, Hochrisiko-KI oder verbindlichen Entscheidungen wende dich an deinen Datenschutzbeauftragten oder juristische Expertise.