AI Literacy nach Art. 4 EU AI Act

Aktualisiert am 01.08.2026. Der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27.07.2026) hat Artikel 4 abgeschwächt: Statt bestimmte Kompetenzniveaus sicherzustellen, sind Anbieter und Betreiber nun zur Förderung der Kompetenzentwicklung ihrer Beschäftigten verpflichtet. Die Pflicht besteht unverändert seit dem 02.02.2025 und hat weiterhin keinen eigenen Bußgeldtatbestand. Der im Folgenden beschriebene rollenbezogene Nachweis bleibt der praktikable Weg, weil er im GxP-Umfeld ohnehin über die Schulungsmatrix geführt wird. Die vollständige Fristenlage nach dem Omnibus steht im Beitrag EU AI Act nach dem Digital Omnibus.

AI Literacy (KI-Kompetenz) ist seit dem 02.02.2025 eine eigenständige Pflicht des EU AI Act. Artikel 4 verlangt von Anbietern und Betreibern, dass Beschäftigte und beauftragte Dritte KI-Systeme sachkundig einsetzen können. Für Pharma-Hersteller entsteht daraus keine isolierte E-Learning-Pflicht, sondern ein Nachweisproblem im regulierten Betrieb: Die Schulung muss zur Rolle, zum KI-System, zur GxP-Relevanz und zum Validierungsstatus passen.

Geltung seit 02.02.2025

Artikel 4 der Verordnung (EU) 2024/1689, des EU AI Act, gilt seit dem 02.02.2025. Die Europäische Kommission ordnet AI Literacy zusammen mit den Verboten bestimmter KI-Praktiken den ersten anwendbaren Pflichten der Verordnung zu. Die späteren Pflichten zu GPAI-Modellen, Transparenz und Hochrisiko-Systemen folgen einer gestaffelten Zeitleiste; Artikel 4 läuft bereits.

Der Begriff KI-Kompetenz ist in Artikel 3 Nummer 56 EU AI Act definiert. Gemeint sind Fähigkeiten, Kenntnisse und Verständnis, die Anbieter, Betreiber und betroffene Personen benötigen, um KI-Systeme sachkundig einzusetzen und die jeweiligen Rechte und Pflichten einzuordnen. Der Maßstab ist also nicht ein allgemeines KI-Grundwissen, sondern der konkrete Nutzungskontext.

Für Pharma-Hersteller ist dieser Punkt entscheidend. Eine LLM-Unterstützung für SOP-Recherche, eine Computer-Vision-Anwendung in der Sichtprüfung, ein Pharmakovigilanz-Signal-Tool und ein KI-Modul im eQMS stellen unterschiedliche Anforderungen. Artikel 4 gilt für alle vier Konstellationen, aber die Schulungstiefe muss nicht identisch sein.

Adressaten im Pharma-Kontext

Die Verordnung unterscheidet zwischen Anbieter und Betreiber. Anbieter ist nach Artikel 3 Nummer 3, wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Betreiber ist nach Artikel 3 Nummer 4, wer ein KI-System in eigener Verantwortung verwendet, außerhalb rein privater Nutzung.

Pharma-Hersteller sind bei vielen Systemen Betreiber. Das gilt etwa bei KI-Funktionen in Veeva Vault, bei OEM-Bildauswertung in der Produktion, bei Microsoft-Copilot-Nutzung im regulierten Umfeld oder bei LLM-Schnittstellen für Dokumentation und Recherche. Anbieterrolle entsteht zusätzlich, wenn ein Unternehmen eigene KI-Systeme entwickelt und anderen Marktteilnehmern bereitstellt oder unter eigener Marke in eine Plattform integriert.

Externe Mitwirkende sind mit umfasst. Artikel 4 spricht nicht nur vom Personal, sondern auch von Personen, die im Auftrag des Anbieters oder Betreibers mit Betrieb oder Nutzung von KI-Systemen befasst sind. CMO/CDMO-Partner, Validierungsberater, externe Data-Science-Teams und SaaS-Administratoren können deshalb in den Nachweis einbezogen werden müssen. Der Nachweis läuft dann nicht nur über Schulungsunterlagen, sondern auch über Vertrag, Lieferantenaudit und Onboarding-Dokumentation.

Maßstab der Schulungstiefe

Artikel 4 gibt keinen Stundenkatalog vor. Die EU-Kommission weist im AI-Literacy-Repository ausdrücklich darauf hin, dass dort gesammelte Beispiele keine automatische Vermutung der Konformität auslösen. Für Pharma-Unternehmen ist deshalb eine eigene Begründung nötig: welche Rolle welche KI-Kompetenz braucht, warum diese Tiefe ausreicht und wann eine Auffrischung erforderlich wird.

Ein tragfähiges Schulungskonzept verbindet vier Ebenen:

Systemverständnis. Die geschulte Person kennt Zweck, Grenzen, Fehlermodi und zulässige Nutzung des eingesetzten KI-Systems.
Regulatorischer Kontext. Die Rolle versteht, ob EU AI Act, Annex 22, GAMP AI Guide, MDR oder interne GxP-SOPs betroffen sind.
Risikobarrieren. Die Rolle weiß, welche menschlichen Reviews, Eskalationen und Freigaben zwischen KI-Output und GxP-Entscheidung stehen.
Nachweisführung. Die Rolle kann im Audit erklären, wo Schulung, SOP, Validierungsdossier und Anbieterunterlagen zusammenlaufen.

Damit unterscheidet sich AI Literacy von einer allgemeinen Einführung in generative KI. Für einen Mitarbeiter im Labor reicht es nicht, Halluzination als Begriff zu kennen, wenn er nicht weiß, wann ein KI-generierter Vorschlag in einen geprüften Laborbericht übernommen werden darf. Für IT-Validation reicht eine juristische AI-Act-Schulung nicht, wenn Performance-Monitoring, Drift und Datenbasis des Systems fachlich nicht verstanden werden.

Rollenmatrix für Pharma-Hersteller

Ein mittelständischer Hersteller kann die Pflicht über eine Rollenmatrix abbilden. Die Integration in die vorhandene GxP-Schulungsmatrix verhindert, dass der Nachweis neben dem Quality Management System steht.

Rolle	Typische KI-Berührung	Erforderliche Kompetenz	Nachweisartefakt
Geschäftsleitung / Prozessverantwortliche	Freigabe von KI-Use-Cases, Budget, Risikobereitschaft	EU-AI-Act-Grundlogik, Betreiberpflichten, Eskalationsverantwortung	Management-Briefing, Freigabeprotokoll, Policy-Acknowledgement
QA / Regulatory Affairs	Scope-Prüfung, Auditführung, externe Dokumentation	Art. 4, Annex 22, GxP-Schulungssystem, Anbieterpflichten, CAPA-Bezug	Rollenmodul, SOP-Training, Audit-Q&A, Schulungsmatrix
IT-Validation / CSV	Validierungsstrategie, Testtiefe, Monitoring, Change Control	GAMP AI Guide, Modellgrenzen, Testdaten, Drift, Traceability	Validierungsdossier, Trainingsnachweis, technische Schulungsunterlagen
Produktion / Labor	Nutzung im Arbeitsprozess, Review von KI-Outputs	zulässige Nutzung, Fehlermodi, Review-Grenzen, Eskalationsweg	SOP-bezogenes Training, Arbeitsanweisung, System-Onboarding
Pharmakovigilanz / Medical Affairs	Signal-Erkennung, Textklassifikation, Übersetzung, Recherche	Datenqualität, Bias, menschliche Letztentscheidung, Dokumentationspflicht	Rollenmodul, Fallbeispiele, Review-Protokolle
Externe Mitwirkende	Implementierung, Validierung, Betrieb, Support	Pflichten aus Auftrag, Systemgrenzen, Zugriff auf regulierte Daten	Vertragsklausel, Lieferantennachweis, Audit-Trail

Die Matrix ersetzt keine Schulung. Sie begründet, warum ein Schulungspaket für eine Rolle ausreicht oder erweitert werden muss. Bei kritischen GMP-Anwendungen im Scope des Annex-22-Entwurfs wird die Begründung enger ausfallen als bei rein administrativen KI-Tools ohne Produktqualitätsbezug.

Nachweis im Audit

Zum Zeitpunkt der Veröffentlichung dieses Beitrags am 22.01.2026 sind die zuständigen nationalen Aufsichtsstrukturen für den EU AI Act in Deutschland noch nicht etabliert: Die Benennungsfrist des Art. 70 Abs. 2 EU AI Act lief am 02.08.2025 ab, das deutsche Durchführungsgesetz, das die Marktüberwachung bei der Bundesnetzagentur bündeln soll, liegt erst als Entwurf vor. Für Pharma-Unternehmen ist dennoch klar, wo der Nachweis zuerst sichtbar wird: in GMP-Inspektionen, internen Audits, Lieferantenaudits und Validierungsreviews.

Ein belastbarer Nachweis besteht aus mehreren Bausteinen:

AI-Literacy-Policy mit Bezug zu Artikel 4 EU AI Act und zur internen GxP-Schulungs-SOP,
Rollenmatrix mit Begründung der Schulungstiefe pro Funktion,
Schulungsmatrix im LMS oder eQMS, mit Datum, Version, Inhalt, Trainer oder E-Learning-Protokoll,
SOP-Verweise, wenn KI-Systeme in regulierten Prozessen genutzt werden,
Validierungsdossier mit Verweis auf geschulte Rollen, Systemgrenzen und Review-Barrieren,
Anbieter- und Dienstleisterunterlagen, soweit externe Personen KI-Systeme betreiben oder konfigurieren,
Change-Trigger für neue KI-Use-Cases, neue Modellversionen, neue Prozessrollen oder regulatorische Änderungen.

Der letzte Punkt entscheidet im Audit über die Belastbarkeit des Nachweises. Eine einmalige Schulung im Februar 2025 belegt nicht, dass eine Organisation im Januar 2026 noch passend geschult ist, wenn seitdem ein LLM in die Abweichungsbearbeitung aufgenommen wurde. Das Schulungssystem muss erkennen, wann ein KI-System neu in einen regulierten Prozess kommt oder eine bestehende Anwendung ihre Funktion verändert.

Verbindung zu Annex 22

Annex 22 liegt seit 07.07.2025 als EU-Kommissions-Konsultationsentwurf vor; die Konsultation endete am 07.10.2025. Er ist noch nicht final, aber die Grundlogik passt eng zu Artikel 4: Die Schulungstiefe hängt nicht nur von der Technologie ab, sondern vom Einsatzkontext. Ein LLM für administrative SOP-Recherche verlangt andere Kompetenz als ein Computer-Vision-System, das fehlerhafte Tabletten aussortiert.

Für die Vorbereitung bietet sich eine gemeinsame Dokumentationslogik an:

Das AI Use Case Inventory listet alle KI-Anwendungen.
Die Annex-22-Scope-Prüfung beschreibt kritische GMP-Wirkung, Modellart und Datenbezug.
Die AI-Literacy-Matrix ordnet Rollen und Schulungstiefe zu.
Das Validierungsdossier verweist auf die geschulten Rollen und Review-Barrieren.

Damit wird Artikel 4 nicht als separates Compliance-Projekt geführt. Er wird Teil des Kontrollsystems für KI-Anwendungen. Diese Integration reduziert Doppelarbeit und erleichtert die Erklärung gegenüber Inspektoren, weil Schulung, Validierung und Betreiberpflichten auf denselben Use Case verweisen.

Sanktionen und Eskalation

Artikel 4 enthält keinen eigenen Bußgeldtatbestand, der isoliert auf fehlende AI Literacy zugeschnitten ist. Ein fehlender Nachweis ist deshalb nicht automatisch ein Bußgeldfall. Er kann aber andere Feststellungen verschärfen: unklare Betreiberrolle, unvollständige Validierungsunterlagen, fehlende menschliche Aufsicht oder unzureichende Anbietersteuerung.

Für Pharma-Hersteller ist die praktischere Frage nicht zuerst das Bußgeld, sondern der Audit-Finding-Pfad. Ein Inspektor, der ein KI-System im GxP-Prozess prüft, wird fragen, wer das System freigibt, wer Output bewertet, wer Abweichungen erkennt und wer Änderungen eskaliert. Fehlt der Schulungsnachweis, fehlt zugleich ein Teil der Begründung, warum diese Kontrollpunkte funktionieren.

Der allgemeine Sanktionsrahmen des EU AI Act (Art. 99) bleibt relevant, insbesondere bei Verstößen gegen andere Pflichten. Für Artikel 4 liegt der interne Fokus belastbarer auf CAPA-Vermeidung, Dossier-Vollständigkeit und Betreiberkontrolle. Das ist näher an der Auditrealität als eine isolierte Bußgeldbetrachtung.

Prüfpfad bis 02.08.2026

Bis zum 02.08.2026 kommen weitere AI-Act-Pflichten hinzu. Für Pharma-Hersteller ist dieses Datum ein sinnvoller Kontrollpunkt, um den Artikel-4-Nachweis zu stabilisieren.

KI-Bestandsaufnahme abschließen. Alle aktiven, pilotierten und extern bereitgestellten KI-Systeme erfassen, einschließlich Copilot-Instanzen, LLM-APIs, eQMS-KI-Funktionen und Bildauswertung.
Rollen pro Use Case bestimmen. Für jedes System festlegen, welche Funktionen das System konfigurieren, nutzen, reviewen, freigeben oder auditieren.
Schulungstiefe begründen. Pro Rolle dokumentieren, welche Kompetenz erforderlich ist und welche Schulung diese Kompetenz abdeckt.
Nachweis in LMS/eQMS verankern. Schulungen versionieren, Rollen zuweisen, Teilnahme dokumentieren und Change-Trigger definieren.
Dienstleister einbeziehen. Verträge, Onboarding und Lieferantenaudits um KI-Kompetenz und Systemgrenzen ergänzen.

Der Prüfpfad ist bewusst dokumentationsnah. Pharma-Hersteller mit bestehender GxP-Schulungsmatrix können den Artikel-4-Nachweis dort einhängen. Ein neues Nebensystem ist nur sinnvoll, wenn LMS oder eQMS die rollenbezogene Auswertung nicht leisten.