KI-Kompetenz nach Artikel 4 KI-Verordnung: Was Organisationen in Luxemburg tun müssen

Jede Organisation in Luxemburg, die ein KI-System entwickelt oder nutzt, unterliegt seit dem 2. Februar 2025 der Pflicht zur KI-Kompetenz aus Artikel 4 der KI-Verordnung. Seit dem 27. Juli 2026, als der Digital-Omnibus zur KI in Kraft trat, müssen Anbieter und Betreiber Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals fördern, statt ein „ausreichendes Maß“ zu garantieren. Die Pflicht wurde abgeschwächt, nicht gestrichen, und sie gilt unabhängig vom Risiko des Systems.

Was Artikel 4 regelt

In der ursprünglichen Fassung verlangte Artikel 4 der Verordnung (EU) 2024/1689 von Anbietern und Betreibern, nach besten Kräften sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Die Verordnung (EU) 2026/1744, der Digital-Omnibus zur KI, hat diese Formulierung ersetzt: Nun sind Maßnahmen zu ergreifen, die die Entwicklung der KI-Kompetenz des Personals und anderer Personen unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind.

Die Kriterien bleiben gleich: technische Kenntnisse, Erfahrung, Ausbildung und Schulung der Beteiligten, der Kontext, in dem die KI-Systeme eingesetzt werden, sowie die Personen oder Personengruppen, bei denen sie eingesetzt werden. Ein neuer zweiter Absatz verpflichtet Kommission und Mitgliedstaaten, Anbieter und Betreiber – insbesondere KMU – zu unterstützen; die Kommission soll praktische Beispiele für die Umsetzung veröffentlichen.

Die KI-Verordnung definiert KI-Kompetenz als die Fähigkeiten, Kenntnisse und das Verständnis, die einen sachkundigen Einsatz von KI-Systemen ermöglichen und das Bewusstsein für Chancen, Risiken und mögliche Schäden schaffen.

Wer betroffen ist

Die Pflicht trifft Anbieter (die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen) und Betreiber (die ein KI-System in eigener Verantwortung beruflich nutzen). Eine Bank mit einem generativen KI-Assistenten, eine Gemeinde mit einem Chatbot und ein Softwarehaus, das ein KI-Produkt baut, fallen gleichermaßen darunter.

Nach den Fragen und Antworten der Kommission können zu den im Auftrag handelnden Personen auch Auftragnehmer, Dienstleister und – je nach Risiko – Kunden gehören. Die Hinweise der CNPD nennen zusätzlich Leiharbeitskräfte, Praktikanten und Auszubildende.

Was vom „ausreichenden Maß“ bleibt

Schon vor dem Omnibus verstand die Kommission das „ausreichende Maß“ als kontextabhängig und nicht als festen Standard. Die am 27. Juli 2026 aktualisierten Fragen und Antworten stellen nun klar, dass KI-Kompetenz eine Pflicht der Anbieter und Betreiber bleibt, aber kein bestimmtes oder „ausreichendes“ Niveau mehr vorgeschrieben ist. Fachkommentare sprechen von einem Wechsel von einer Erfolgs- zu einer Bemühenspflicht.

In der Praxis empfiehlt die Kommission weiterhin eine risikobasierte Analyse zu vier Punkten:

• ein allgemeines Verständnis von KI in der Organisation;
• die Rolle der Organisation (Anbieter oder Betreiber);
• die Risiken der bereitgestellten oder genutzten KI-Systeme;
• technische Kenntnisse, Erfahrung und Schulung des Personals sowie der Einsatzkontext, einschließlich rechtlicher und ethischer Aspekte.

Laut Kommission reicht es unter Umständen nicht, sich allein auf die Betriebsanleitung eines KI-Systems zu verlassen. Für Hochrisiko-Systeme gelten eigene Regeln: Betreiber müssen die menschliche Aufsicht Personen mit der nötigen Kompetenz und Schulung übertragen. Diese Pflicht greift mit den Hochrisiko-Vorschriften ab dem 2. Dezember 2027.

Aufsicht in Luxemburg

Artikel 4 wird von den nationalen Marktüberwachungsbehörden beaufsichtigt. Laut Kommission ist kein Zertifikat erforderlich, und Sanktionen müssen Art, Schwere und Vorsatz eines Verstoßes angemessen berücksichtigen. Geschädigte können zudem nach nationalem Recht Ansprüche geltend machen.

In Luxemburg benennt der am 23. Dezember 2024 eingebrachte Gesetzentwurf Nr. 8476 die Commission nationale pour la protection des données (CNPD) als Auffang-Marktüberwachungsbehörde und zentrale Anlaufstelle. Die Commission de Surveillance du Secteur Financier (CSSF) und das Commissariat aux Assurances (CAA) wären für die von ihnen beaufsichtigten Unternehmen zuständig. Laut parlamentarischem Dossier lag der Entwurf im Oktober 2026 noch im Ausschuss; das jüngste Dokument ist die Stellungnahme des Staatsrats vom 10. Juli 2026. Solange der Entwurf nicht verabschiedet ist, ist die darin vorgesehene nationale Sanktionsregelung nicht in Kraft.

Die CNPD hat das Thema dennoch aufgegriffen: Auf der Konferenz „L’AI Act en action“ am 20. Januar 2026 betonte sie, dass alle Organisationen ihr Personal für einen sicheren und regelkonformen KI-Einsatz schulen müssen.

Was jetzt zu tun ist

1. KI-Inventar erstellen. Alle entwickelten oder genutzten KI-Systeme erfassen, einschließlich als Dienst eingekaufter generativer KI-Tools, und jeweils festhalten, ob die Organisation Anbieter oder Betreiber ist.
2. Betroffene Personen bestimmen. Klären, wer welches System betreibt oder nutzt, auch Auftragnehmer und Dienstleister.
3. Rollenbasiert schulen. Ein allgemeines Grundlagenmodul für alle mit vertieften Schulungen für jene kombinieren, die KI konfigurieren, überwachen oder deren Ergebnisse in Entscheidungen nutzen. Schulungsprogramme zur KI-Kompetenz für Mitarbeitende lassen sich nach Rolle und Risikoniveau aufbauen.
4. Dokumentieren. Ein internes Verzeichnis der Schulungen, Leitfäden und Nutzungsrichtlinien führen, wie es Kommission und CNPD nahelegen.
5. Regelmäßig überprüfen. Schulungen bei neuen Systemen aktualisieren und Kennzahlen wie Teilnahmequoten verfolgen, wie die CNPD empfiehlt.
6. Nationales Gesetz verfolgen. Den Fortgang des Gesetzentwurfs Nr. 8476 und aktualisierte CNPD-Hinweise zum Omnibus im Blick behalten.