Gesetzliche Rahmenbedingungen
Wer KI anwendet, ist Betreiber.
Das Wort klingt nach Serverraum, gemeint ist das Büro
Jemand in Ihrer Firma öffnet Copilot und lässt eine Offerte formulieren. Damit verwendet Ihre Firma ein KI-System in eigener Verantwortung, und im EU AI Act heisst das Betreiber.
Wen die Pflicht trifft
Betroffen sind zwei Gruppen. Anbieter entwickeln KI-Systeme oder bringen sie unter eigenem Namen in Verkehr. Betreiber nutzen sie geschäftlich.
Firmen, Behörden und Selbstständige zählen gleichermassen, und die Zahl der Mitarbeitenden spielt keine Rolle. Es geht auch nicht nur um die Stammbelegschaft: Wer im Auftrag Ihrer Firma mit KI arbeitet, zählt mit, von der Aushilfe bis zur Geschäftsleitung.
Was Artikel 4 verlangt, und seit wann
Von beiden verlangt Artikel 4 Massnahmen, die die KI-Kompetenz des eigenen Personals fördern.
Die Pflicht gilt seit dem 2. Februar 2025, ihr Wortlaut wurde am 27. Juli 2026 entschärft, und seit dem 2. August 2026 setzen die nationalen Marktüberwachungsbehörden sie durch.
Anwenden heisst jede berufliche Nutzung
Gemeint ist alles, was eine Arbeitsaufgabe erledigt oder eine Entscheidung vorbereitet. Ob das Werkzeug aufwendig eingerichtet ist oder als Webseite im Browser läuft, ändert daran nichts.
ChatGPT im Browser gehört dazu, und genauso die KI-Funktion, die in Ihrem CRM längst mitläuft.
Und das sieht im Alltag so aus
Wo die Grenze nicht verläuft
Entscheidend ist der berufliche Zusammenhang, nicht das Gerät und nicht das Konto.
Wenn jemand den privaten Zugang auf dem eigenen Telefon benutzt, um einen Firmentext zu überarbeiten, ist das berufliche Nutzung. Dass niemand sie freigegeben hat, macht die Sache nicht kleiner: Dann weiss die Firma nicht einmal, wohin ihre Texte gehen.
Angesprochen ist nicht die IT-Abteilung, sondern jede Person, die ein solches Werkzeug im Arbeitsfluss benutzt.
Was das für Ihre Messung heisst
Artikel 4 sagt nicht, was Ihre Mitarbeitenden können müssen.
Was gängige Auslegung darunter versteht, messen wir in vier der zwölf Kategorien: Geheimhaltung, Personendaten, Ergebnisse prüfen und Angriffe. Acht weitere messen wir dazu.
Belegen müssen Sie am Ende beides: Den Stand Ihrer Mitarbeitenden und die Massnahmen, die Sie ergriffen haben.
Messen, gezielt schulen, dokumentieren: In dieser Reihenfolge entsteht beides.
Was eine Person dafür können muss
Programmieren gehört nicht dazu. Sicheres Verhalten schon.
- 01
Was hineindarf. Kundendaten, Geschäftsgeheimnisse und Personendaten gehören nicht in ein Werkzeug, das dafür nicht freigegeben ist.
- 02
Was herauskommt. Zahlen, Zitate und Quellen am Original nachrechnen statt sie zu übernehmen. Erfundenes sieht man einer Antwort nicht an.
- 03
Was von aussen kommt. Präparierte Dokumente, die dem Assistenten Anweisungen unterschieben. Täuschend echte Phishing-Mails. Geklonte Stimmen am Telefon. Hier macht die Person nichts falsch und wird trotzdem getroffen.
- 04
Wer geradesteht. Die Verantwortung für das Ergebnis bleibt beim Menschen. Das ist keine eigene Kategorie, sondern der Satz, aus dem die anderen folgen.
Der Zeitplan
2. Februar 2025
Die Pflicht aus Artikel 4 gilt.
27. Juli 2026
Der Wortlaut wird entschärft.
2. August 2026
Die Marktüberwachungsbehörden setzen sie durch.