KI-Kompetenz nach Art. 4 KI-VO: Was kleine Betriebe im Marketing wirklich tun müssen

Seit Februar 2025 verlangt die EU-KI-Verordnung von jedem Unternehmen, das KI-Systeme einsetzt, etwas für die KI-Kompetenz seiner Leute zu tun. Das betrifft nicht nur Konzerne mit eigener Rechtsabteilung, sondern auch den Malerbetrieb, der seine Instagram-Texte mit ChatGPT vorformuliert, oder die Steuerkanzlei, die einen Chatbot auf der Website laufen hat. Wer KI beruflich nutzt, ist Betreiber im Sinne der Verordnung – und damit in der Pflicht.

Dieser Artikel ordnet ein, was Art. 4 KI-VO verlangt, was sich im Sommer 2026 geändert hat und wie sich das in einem kleinen oder mittleren Betrieb ohne großen Aufwand umsetzen lässt. Der Schwerpunkt liegt auf dem Bereich, in dem KI in den meisten Betrieben tatsächlich zuerst ankommt: Marketing, Texte, Bilder, Website und Kundenkommunikation.

Die Rechtslage in Kürze

Art. 4 KI-VO gilt seit dem 2. Februar 2025. In der ursprünglichen Fassung sollten Anbieter und Betreiber „nach besten Kräften“ sicherstellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Der Digital Omnibus zur KI (Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit 27. Juli 2026) hat diesen Maßstab abgeschwächt: Anbieter und Betreiber müssen jetzt Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz unterstützen; ein garantiertes individuelles Kompetenzniveau wird ausdrücklich nicht mehr verlangt.

Aus einer Sicherstellungspflicht ist damit eine Unterstützungspflicht geworden. In der Begründung heißt es sinngemäß, strenge Pflichten passten nicht für alle Unternehmen und verursachten gerade bei kleineren Betrieben zusätzlichen Aufwand, KI-Kompetenz solle aber unabhängig von Sanktionen eine strategische Priorität bleiben.

Wichtig ist, was sich nicht geändert hat: Die Pflicht besteht weiterhin, und sie gilt für jedes KI-System, nicht nur für Hochrisiko-Anwendungen. Textgeneratoren, Bildgeneratoren, Chatbots und Übersetzungstools fallen genauso darunter wie Bewerbungssoftware.

Drei Punkte, die in der Diskussion oft durcheinandergehen:

Es gibt kein Format und kein Zertifikat. Weder die KI-Verordnung noch die Hinweise der Bundesnetzagentur verlangen ein Zertifikat, eine standardisierte Schulung oder einen KI-Beauftragten. Wer ein Zertifikat verkauft, verkauft etwas, das das Gesetz nicht fordert.

Es gibt kein eigenes Bußgeld für Art. 4. Der Bußgeldkatalog der KI-VO und das deutsche KI-MIG nennen Art. 4 nicht als eigenen Tatbestand. Fehlende KI-Kompetenz kann aber als Organisationsverschulden relevant werden, wenn sie zu einem Verstoß gegen andere, bußgeldbewehrte Pflichten beiträgt. Die Bundesnetzagentur formuliert es so: Ein Mangel an KI-Kompetenz kann als Verletzung der Sorgfaltspflicht gewertet werden, vor allem wenn daraus ein Schaden entsteht. Die in vielen Artikeln zitierten 35 Millionen Euro oder 7 Prozent des Umsatzes beziehen sich auf verbotene KI-Praktiken, nicht auf fehlende Schulungen.

Die Aufsicht ist jetzt da. In Deutschland ist die Bundesnetzagentur Marktüberwachungsbehörde; das Gesetz zur Durchführung der KI-Verordnung ist seit dem 29. Juli 2026 in Kraft. Seit August 2026 gibt es also eine Behörde, die im Zweifel nachfragen kann, was ein Betrieb unternommen hat.

Was KI-Kompetenz bedeutet – und was sie im Marketing konkret heißt

Die Verordnung definiert KI-Kompetenz in Art. 3 Nr. 56 als die Fähigkeiten, Kenntnisse und das Verständnis, KI-Systeme sachkundig einzusetzen und sich ihrer Chancen, Risiken und möglichen Schäden bewusst zu sein. Das klingt abstrakt. Auf den Marketing-Alltag eines kleinen Betriebs übersetzt heißt es:

Wer mit einem Textgenerator arbeitet, muss wissen, dass das Werkzeug plausibel klingende Falschaussagen produziert. Ein KI-generierter Blogartikel über Förderprogramme für Wärmepumpen kann Fristen, Beträge und Behördennamen enthalten, die es nicht gibt. Wer das ungeprüft veröffentlicht, hat ein Problem, das mit Art. 4 nichts zu tun hat, aber genau dort anfängt.

Wer mit einem Bildgenerator arbeitet, muss wissen, dass KI-Bilder in Deutschland nach aktueller Rechtsauffassung keinen Urheberrechtsschutz genießen, dass sie Markenlogos, geschützte Designs oder erkennbare reale Personen enthalten können, und dass bestimmte Bilder gekennzeichnet werden müssen.

Wer Kundendaten, Angebote, Verträge oder Mitarbeiterinformationen in ein KI-Tool eingibt, muss wissen, wo diese Daten landen und ob das mit der DSGVO und den eigenen Vertraulichkeitspflichten vereinbar ist. Bei kostenlosen Consumer-Versionen vieler Tools ist das oft nicht der Fall.

Wer einen Chatbot auf der Website betreibt, muss wissen, dass Besucher darüber informiert werden müssen, dass sie mit einer KI sprechen.

Das ist der Kern von KI-Kompetenz im Marketing-Kontext: nicht zu verstehen, wie ein Sprachmodell technisch funktioniert, sondern zu wissen, wo die Werkzeuge im eigenen Arbeitsalltag versagen können und welche Regeln dabei gelten.

Die zweite Baustelle: Kennzeichnungspflicht seit August 2026

Für Betriebe, die KI im Marketing nutzen, ist Art. 4 nur die halbe Geschichte. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50 KI-VO: Menschen sollen erkennen, wann sie mit einem KI-System interagieren oder KI-generierten Inhalten begegnen. Diese Pflichten hat der Digital Omnibus nicht verschoben, anders als die Hochrisiko-Vorschriften.

Für den Betreiber, also das Unternehmen, das Inhalte veröffentlicht, sind zwei Fallgruppen relevant. Art. 50 Abs. 4 nennt zum einen KI-generierte oder KI-manipulierte Bild-, Audio- oder Videoinhalte, die einen Deepfake darstellen, zum anderen KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.

Was heißt das praktisch?

Ein Deepfake liegt nach der Verordnung vor, wenn Bild, Ton oder Video realen Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen merklich ähneln und einer Person fälschlicherweise echt erscheinen würden. Eine KI-generierte Visualisierung des sanierten Kundenhauses, das Foto eines angeblichen Mitarbeiters, der nie existiert hat, oder ein täuschend echtes Bild der eigenen Werkstatt mit Maschinen, die nicht dort stehen – all das kann unter diese Definition fallen. Ein offensichtlich stilisiertes Symbolbild in der Regel nicht.

Bei Texten greift die Pflicht nur, wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Ein Blogartikel über die eigenen Leistungen oder ein Newsletter mit Aktionsangeboten fällt normalerweise nicht darunter. Außerdem entfällt die Kennzeichnung, wenn der Text einer menschlichen Überprüfung und redaktionellen Kontrolle unterlegen hat und eine Person die redaktionelle Verantwortung trägt. Das ist der entscheidende Punkt: Wer KI-Texte vor der Veröffentlichung tatsächlich prüft und verantwortet, ist für den Großteil seines Marketings auf der sicheren Seite. Wer sie ungelesen durchreicht, nicht.

Für Inhalte, die vor dem 2. August 2026 erzeugt wurden, besteht keine Pflicht zur nachträglichen Kennzeichnung. Die technische, maschinenlesbare Markierung der Inhalte ist Sache der Tool-Anbieter, nicht des Betriebs; für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt dafür eine Übergangsfrist bis zum 2. Dezember 2026.

Art. 4 und Art. 50 gehören zusammen: Wer nicht weiß, was ein Deepfake im Sinne der Verordnung ist, kann die Kennzeichnungspflicht nicht einhalten. Die Kompetenzpflicht ist die Voraussetzung dafür, dass die Transparenzpflicht im Alltag funktioniert.

Was ein kleiner Betrieb tatsächlich braucht

Die Bundesnetzagentur empfiehlt einen Kreislauf aus Bestandsaufnahme, Bedarfsanalyse, Qualifizierung und Dokumentation. Das lässt sich für einen Betrieb mit fünf bis fünfzig Beschäftigten auf ein überschaubares Format herunterbrechen.

Bestandsaufnahme. Eine Liste: Welche KI-Tools werden genutzt, von wem, wofür, mit welchem Account (privat oder geschäftlich, kostenlos oder bezahlt)? In der Praxis ist das der aufschlussreichste Schritt. Viele Inhaber wissen nicht, dass die Bürokraft seit einem Jahr Kundenanschreiben mit einem kostenlosen Tool formuliert oder der Lehrling die Social-Media-Bilder generiert. Diese Schatten-Nutzung ist das eigentliche Risiko, nicht die bewusst eingeführten Werkzeuge.

Spielregeln. Eine Seite, nicht zwanzig. Welche Tools sind freigegeben, welche Daten dürfen hinein, was wird vor der Veröffentlichung geprüft, wer gibt frei, wann wird gekennzeichnet. Juristisch heißt das KI-Richtlinie; für einen Handwerksbetrieb reicht ein Aushang oder ein Dokument im Teamordner. Entscheidend ist, dass die Regeln zu den tatsächlichen Abläufen passen und nicht aus einer Vorlage für Konzerne stammen.

Einweisung. Ein Termin, bei dem das Team mit den eigenen Werkzeugen und den eigenen Inhalten arbeitet. Nicht „Was ist ein neuronales Netz“, sondern: Wir nehmen den letzten KI-generierten Facebook-Post, prüfen ihn auf Fehler, schauen, ob das Bild kennzeichnungspflichtig wäre, und besprechen, welche Kundendaten in der Eingabe nichts verloren hatten. Das bleibt hängen, weil es den Arbeitsalltag betrifft.

Dokumentation. Die Bundesnetzagentur empfiehlt, Art, Umfang, Inhalt und Teilnehmende der Maßnahmen festzuhalten. Für einen kleinen Betrieb heißt das: Datum, Thema, Teilnehmerliste, die Spielregeln als Anhang. Ein Blatt im Ordner genügt. Es zeigt im Zweifel, dass das Unternehmen gehandelt hat, und es ist das einzige Instrument, das bei einer Nachfrage der Behörde oder im Streitfall mit einem Kunden zählt.

Wiederholung. Die Werkzeuge ändern sich alle paar Monate. Eine kurze Auffrischung einmal im Jahr, wenn neue Tools dazukommen oder ein Vorfall passiert ist, hält das Ganze lebendig. Eine einmalige Veranstaltung mit anschließender Ablage ist weniger wert als ein jährlicher Termin von zwei Stunden.

Was dabei nicht nötig ist

Es braucht keinen KI-Beauftragten, keine externe Zertifizierung, keine E-Learning-Plattform und keinen Compliance-Berater, der die gesamte Verordnung durcharbeitet. Für Betriebe, die KI im Marketing, in der Kundenkommunikation und im Büro nutzen, aber keine Hochrisiko-Systeme betreiben, ist das Pflichtprogramm überschaubar. Der Aufwand liegt bei einem halben Tag plus etwas Nachbereitung, nicht bei Wochen.

Vorsicht ist bei Angeboten geboten, die mit Bußgeldhöhen für verbotene Praktiken werben, um Schulungen für Art. 4 zu verkaufen, oder die „zertifizierte KI-Kompetenz“ versprechen. Beides hat im Gesetz keine Grundlage. Das Hinweispapier der Bundesnetzagentur stammt im Übrigen vom Juni 2025 und zitiert noch die alte Fassung von Art. 4 – wer sich darauf stützt, sollte die Abschwächung durch den Digital Omnibus kennen.

Wo ich unterstützen kann – und wo nicht

Ich berate Handwerksbetriebe und kleine Unternehmen in der Region Straubing, Regensburg und Cham in Kommunikation, Marketing und Medien und arbeite selbst täglich mit KI-Werkzeugen für Text, Bild und Video. Als Business Coach (IHK) und Medienfachmann kann ich einen Betrieb bei genau dem Teil der Umsetzung begleiten, der in meinem Fachgebiet liegt: KI im Marketing, in der Content-Produktion und in der Kundenkommunikation.

Das Format, das sich dafür bewährt hat, ist ein halbtägiger Termin im Betrieb oder im Studio am Stadlberghof. Wir erfassen gemeinsam, welche KI-Tools im Marketing und Büro tatsächlich im Einsatz sind. Wir arbeiten mit den eigenen Texten, Bildern und Social-Media-Beiträgen des Betriebs durch, was gut läuft, wo Fehler entstehen und welche Inhalte kennzeichnungspflichtig wären. Daraus entstehen einseitige KI-Spielregeln für das Team, eine Dokumentationsvorlage und ein kurzes Protokoll, das die Teilnahme festhält. Auf Wunsch schaue ich mir vorher Website, Chatbot und Social-Media-Kanäle an und sage, wo Handlungsbedarf besteht.

Was ich nicht leiste: Rechtsberatung im Einzelfall, die Bewertung von Hochrisiko-Systemen etwa im Personalwesen oder in der Produktion, Datenschutz-Audits und die Einführung von KI in interne Prozesse außerhalb von Marketing und Kommunikation. Dafür gibt es Fachanwälte und spezialisierte Berater, und ich sage offen, wann die gebraucht werden.

Wenn Sie wissen möchten, wie Ihr Betrieb im Marketing-Bereich aufgestellt ist, reicht eine kurze Nachricht. Das Erstgespräch kostet nichts und dauert eine halbe Stunde.

Fazit

Art. 4 KI-VO ist keine Hürde, sondern eine Pflicht zum gesunden Menschenverstand: Wer Werkzeuge einsetzt, sollte wissen, wo sie versagen. Seit dem Digital Omnibus verlangt das Gesetz Maßnahmen, keine Garantie, und seit August 2026 gibt es dazu eine Aufsichtsbehörde und eine Kennzeichnungspflicht für bestimmte Inhalte. Für kleine Betriebe, die KI vor allem im Marketing nutzen, lässt sich beides an einem halben Tag ordentlich aufsetzen. Der eigentliche Nutzen liegt nicht in der Compliance, sondern darin, dass die Texte und Bilder, die den Betrieb nach außen vertreten, danach besser und sicherer werden.

---