Art. 4 adressiert Tätigkeiten, nicht Organigramme
Der persönliche Zuschnitt beginnt bei der realen Tätigkeit. Art. 4 nennt das Personal des Anbieters oder Betreibers sowie andere Personen, die in dessen Auftrag mit Betrieb und Nutzung eines KI-Systems befasst sind. Dazu können abhängig vom Auftrag überlassene Arbeitskräfte, freie Mitarbeitende oder Beschäftigte eines Dienstleisters gehören. Abteilungsnamen oder Vertragsformen entscheiden nicht allein; maßgeblich sind Aufgabe, Auftrag, Zugriff und tatsächlicher Nutzungskontext.
Die Neufassung durch den Digital Omnibus verlangt unterstützende, angemessene Maßnahmen. Sie verpflichtet das Unternehmen nicht dazu, bei jeder einzelnen Person einen identischen Wissensstand herzustellen oder zu garantieren. Für die Praxis folgt daraus eine funktionsbezogene Bestandsaufnahme: Wer wählt Systeme aus, wer gibt Daten ein, wer prüft Ergebnisse und wer darf Entscheidungen oder Ausnahmen freigeben?
- Personen über konkrete KI-Tätigkeiten erfassen
- Interne und externe Rollen gemeinsam betrachten
- Zugriff, Entscheidungseinfluss und mögliche Schäden dokumentieren
Adressaten systematisch und ohne Übererfassung bestimmen
Eine belastbare Erhebung verbindet das KI-Inventar mit Personal- und Prozessinformationen. Für jedes System wird festgehalten, welche Personen es administrieren, konfigurieren, produktiv verwenden, überwachen oder beschaffen. Kunden und sonstige außenstehende Personen werden nicht allein deshalb zu Schulungsadressaten, weil sie mit einem Produkt in Kontakt kommen; entscheidend ist eine Tätigkeit im Auftrag des Anbieters oder Betreibers.
Die Erhebung sollte proportional bleiben. Für ein freigegebenes Übersetzungstool mit unkritischen Texten genügt eine andere Tiefe als für ein System, dessen Ausgaben Personal-, Kredit- oder Sicherheitsentscheidungen beeinflussen. HR, IT, Einkauf und Fachbereich sollten ihre Listen abgleichen, damit Servicekonten, eingebettete Funktionen und externe Supportrollen nicht zwischen Zuständigkeiten verschwinden.
- System und Geschäftsprozess als Ausgangspunkt verwenden
- Externe nach Auftrag und Einbindung prüfen
- Grenzfälle mit Begründung in der Rollenmatrix festhalten
Sechs Rollencluster mit unterschiedlichen Lernzielen
Leitung und Aufsicht benötigen Entscheidungswissen: Rollen des Unternehmens, Risikogrenzen, Freigaben, Berichtslinien und Stoppschwellen. Allgemeine Nutzer brauchen sichere Eingaberegeln, Qualitätskontrolle und Meldewege. Power-User benötigen zusätzlich Wissen über Konfiguration, Automatisierung und Reichweite. Entwicklung und Technik müssen Modellgrenzen, Datenqualität, Tests, Sicherheit und Änderungsfolgen verstehen.
Beschaffung muss Anbieterunterlagen, Rollenverteilung, Datenflüsse und Vertragszusagen kritisch einordnen. Legal, Datenschutz und Compliance benötigen genügend technisches Prozessverständnis, um Tatbestände und Schutzmaßnahmen nicht abstrakt zu prüfen. Personen mit menschlicher Aufsicht müssen erkennen, wann sie eingreifen, eine Ausgabe verwerfen, einen Vorgang anhalten oder eine fachlich zuständige Stelle einschalten müssen.
- Leitung: entscheiden und überwachen
- Nutzer: sicher anwenden und Ergebnisse prüfen
- Technik und Power-User: konfigurieren, testen und Änderungen beherrschen
- Kontrollfunktionen: Recht, Risiko und Nachweise verbinden
Vorwissen berücksichtigen, aber nicht überschätzen
Art. 4 nennt Vorwissen, Erfahrung sowie Aus- und Fortbildung ausdrücklich als Faktoren. Ein erfahrener Data Scientist benötigt deshalb möglicherweise keine allgemeine Einführung in maschinelles Lernen. Das bedeutet aber nicht, dass technisches Vorwissen systemspezifische Freigaberegeln, Datenschutzanforderungen, Grenzen menschlicher Aufsicht oder den Umgang mit betroffenen Personen automatisch abdeckt.
Umgekehrt brauchen gelegentliche Nutzer nicht die Modellarchitektur zu beherrschen. Sie müssen jedoch wissen, welche Daten eingegeben werden dürfen, wie verlässlich der konkrete Output ist und wann fachliche Kontrolle zwingend bleibt. Ein kurzer Selbsteinschätzungstest, Praxisfälle und Rückfragen der Führungskraft können Vorwissen sichtbar machen; sie sind Auswahlhilfen und keine gesetzlich vorgeschriebene Prüfung.
- Technisches, rechtliches und prozessuales Wissen getrennt bewerten
- Lerninhalte nur bei belegbarem Vorwissen verkürzen
- Praxisaufgabe statt bloßer Selbstauskunft nutzen
Die Rollenmatrix als Steuerungsinstrument aufbauen
Eine praxistaugliche Matrix enthält Personengruppe, System oder Systemklasse, konkrete Aufgabe, zulässigen Zweck, typische Daten, mögliche Fehlerfolgen, vorhandenes Vorwissen und erforderliches Lernziel. Ergänzt werden Maßnahme, verantwortliche Stelle, Zeitpunkt, Nachweis und Anlass für eine Aktualisierung. Damit wird die Kompetenzplanung anschlussfähig an Freigabe, Zugriff und Änderungsmanagement.
Die Matrix ist kein Selbstzweck und keine vom AI Act ausdrücklich vorgeschriebene Form. Sie unterstützt jedoch die begründete Auswahl angemessener Maßnahmen. Für häufig wechselnde Teams können rollenbasierte Profile gepflegt werden; individuelle Zuordnungen erfolgen über Funktion und Systemzugriff. Ausnahmen sollten befristet und nachvollziehbar sein, damit stillschweigende Dauerfreigaben vermieden werden.
- Rolle und Systemzugriff verknüpfen
- Lernziel vor Format oder Kurs festlegen
- Owner und Aktualisierungsanlass je Profil benennen
Umsetzung zwischen HR, Governance und Fachbereich teilen
Die Unternehmensleitung setzt Risikorahmen und Verantwortlichkeiten. KI-Governance oder Compliance übersetzt diesen Rahmen in Rollenprofile und Mindestanforderungen. HR organisiert Lernwege und nachvollziehbare Zuordnung, IT steuert Zugänge, und der Fachbereich prüft, ob Übungen und Regeln zur tatsächlichen Arbeit passen. Externe werden über Leistungsbeschreibung, Onboarding und Zugangsvoraussetzungen eingebunden.
Ein sinnvoller Pilot beginnt mit wenigen repräsentativen Systemen und Rollen. Nach Übungen, Vorfällen und Nutzerfeedback wird geprüft, ob Personen kritische Grenzen erkennen und richtig eskalieren. Die Ergebnisse dienen der Anpassung von Maßnahmen und Kontrollen, nicht der Behauptung vollständiger Kompetenz. Vor Veröffentlichung oder grundlegender Änderung sind Rechtsstand, Empfehlungen und österreichische Durchsetzungslage erneut zu prüfen.
- Verantwortung für Inhalt, Durchführung und Zugriff trennen
- Pilot mit realen Arbeitsfällen durchführen
- Erkenntnisse in Richtlinie, Freigabe und Wiederholung zurückspielen
Entscheidungsbox für die Praxis
- Zuerst alle produktiven und geplanten KI-Systeme mit ihren Tätigkeiten erfassen.
- Für jede Tätigkeit ein Rollenprofil mit konkretem Lernziel festlegen.
- Externe nur nach Auftrag, Zugriff und tatsächlicher Einbindung einordnen.
- Zugang oder Freigabe an die für die Rolle erforderlichen Maßnahmen koppeln.
- Matrix bei Rollen-, System-, Zweck- oder Risikowechsel aktualisieren.
Häufige Fragen
Müssen alle Beschäftigten dieselbe KI-Schulung absolvieren?
Nein. Art. 4 verlangt angemessene, kontextbezogene Unterstützungsmaßnahmen für die tatsächlich mit Betrieb oder Nutzung befassten Personen. Eine breite Grundinformation kann organisatorisch sinnvoll sein, ersetzt aber nicht die rollen- und systemspezifische Auswahl der Lernziele.
Sind externe Dienstleister von Art. 4 erfasst?
Sie können erfasst sein, wenn sie im Auftrag des Anbieters oder Betreibers mit Betrieb oder Nutzung eines KI-Systems befasst sind. Vertragstyp und Firmenzugehörigkeit sind nicht allein entscheidend; Aufgabe, Zugriff, Weisungen und organisatorische Einbindung müssen konkret geprüft werden.
Reicht technisches Vorwissen für Power-User aus?
Nicht automatisch. Technische Erfahrung kann Inhalte verkürzen, deckt aber interne Freigaben, zulässige Daten, betroffene Personengruppen, rechtliche Grenzen und Eskalationswege nicht zwingend ab. Diese systemspezifischen Aspekte sollten gesondert beurteilt und vermittelt werden.
Primärquellen
- EUR-Lex: Konsolidierte Fassung der Verordnung (EU) 2024/1689
- EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus)
- Europäische Kommission: Fragen und Antworten zur KI-Kompetenz
Rechtsstand: 16. September 2026. Art. 4 ist nach dem Digital Omnibus als Pflicht zu angemessenen Unterstützungsmaßnahmen darzustellen, nicht als Garantie eines bestimmten individuellen Kompetenzniveaus oder als pauschale Zertifikats- und Schulungspflicht. Vor Veröffentlichung sind Empfehlungen des KI-Gremiums, Kommissionsbeispiele und die österreichische Behörden- und Sanktionslage erneut zu prüfen.