Nach der dritten Stunde beginnt jeder Bildschirm zu flackern, wenn zweihundert Seiten Verordnungstext am Stück durchgescrollt werden. Otto Wesseler, Geschäftsführer eines Logistikunternehmens aus dem Rhein-Ruhr-Korridor, meldete sich bei mir, nachdem eine interne Revision aufgedeckt hatte, dass seine KI-gestützte Routenoptimierung ohne jede formale Risikoklassifizierung im Einsatz war. Paragrafen wollte er nicht hören. Er wollte wissen, mit welchem Bußgeld er rechnen musste, falls ein Prüfer diese Lücke findet, und genau in dieser Sprache erkläre ich seither vielen Geschäftsführern im Mittelstand, warum eine technische AI-Act-Schulung für Ingenieure kein Nice-to-have ist, sondern eine Frage der Haftung.
Was ein Rechtsgutachten nicht leisten kann
Bevor er bei mir landete, hatte Wesseler bereits eine Rechtsanwaltskanzlei beauftragt. Zurück kam ein sauber formatiertes Gutachten mit ausführlicher Risikoeinschätzung, aber keine einzige Seite dazu, was seine Disponenten und Entwickler konkret anders machen sollten. Das Dokument landete ungelesen in einem Ordner, weil niemand im Unternehmen wusste, wie man aus einer juristischen Bewertung einen Trainingsplan für technisches Personal macht. Diese Lücke zwischen Rechtsberatung und Umsetzung sehe ich bei fast jedem Mandanten, der zuerst den klassischen Weg über eine Kanzlei gegangen ist.
Mit diesem Gutachten in der Schublade fingen wir bei null an. Also setzte ich mich mit Wesselers Entwicklungsleiter zusammen und sortierte, was tatsächlich abgedeckt werden musste: Die gesetzliche KI-Kompetenz-Pflicht aus Art. 4 KI-VO war der rechtliche Rahmen, aber die eigentliche Arbeit bestand darin, daraus ein Curriculum zu bauen, das technisches Personal wirklich braucht. Ein Entwickler, der in Python die Routenoptimierung pflegt, braucht anderes Wissen als ein Ingenieur im Maschinenbau, der Sicherheitsbauteile überwacht, und wieder anderes als ein Data Scientist bei einem SaaS-Anbieter für HR-Tools.
Woran erkennen Sie eine wirklich technische AI-Act-Schulung?
Bei der Suche nach einem passenden Anbieter bin ich auf ein Muster gestoßen, das sich seither wiederholt: Rund 80 Prozent der Kurse, die mit "KI-Fortbildung" werben, sind umetikettierte DSGVO-Schulungen. Der Kurs "AI Act Ready", den mir mehrere Mandanten in letzter Zeit vorlegten, ist ein gutes Beispiel: viel Ethik-Leitlinien und Transparenzpflichten, aber keine einzige Folie zu Bias-Metriken, Robustheitstests oder dazu, wie man die Genauigkeit eines Modells so dokumentiert, dass sie einer Marktüberwachungsbehörde standhält. Wie man die Qualität guter KI Act Schulungen jenseits von Hochglanz-Videos erkennen kann, habe ich an anderer Stelle bereits beschrieben. Wer beim Einkauf systematisch vorgehen will, braucht vorher ohnehin eine eigene Checkliste. Ein Probemodul vor Vertragsabschluss zu verlangen, ist keine Unhöflichkeit, sondern Sorgfaltspflicht.
Für technisches Personal sortiere ich Angebote inzwischen nach drei Kriterien, unabhängig vom Anbieter-Logo auf der Startseite. Erstens: Verlangt der Kurs, dass Teilnehmer am Ende ein konkretes Dokument produzieren, oder bleibt alles bei Theorie? Zweitens: Trennt der Lehrplan klar zwischen der Rolle als Anbieter und der Rolle als Betreiber, weil sich die Pflichten je nach Rolle fundamental unterscheiden? Drittens: Sprechen die Trainer über Risikoklassen anhand echter Branchenbeispiele oder nur abstrakt an der Tafel? An diesem dritten Punkt verheddert sich in Gesprächen selbst so mancher Berater, weil die Abgrenzung in der Praxis seltener eindeutig ist, als die Verordnung es klingen lässt.
Diesen ersten Punkt habe ich übrigens von Ludwig Sachse übernommen, einem früheren Kollegen, der heute Audits für einen Prüf- und Zertifizierungsdienstleister begleitet. Wir trafen uns auf der Zeil zum Kaffee, kurz bevor er zu einem Termin musste, und er sagte mir unverblümt: Ein Zertifikat ohne überprüfbare Dokumentationsausgabe ist für ihn als Auditor das Papier nicht wert, auf dem es gedruckt ist. Genau diese Ausgabe (ein Datenblatt, ein Protokoll, irgendetwas Konkretes) fehlt bei den meisten Online-Kursen komplett.
Zwölf Wochen später meldet sich der Betriebsrat
Bei Wesseler zogen wir das Konzept in mehreren Etappen durch: zunächst die Disponenten, die täglich mit der Routenoptimierung arbeiten, danach die Entwickler, die das Modell pflegen. Für die Disponenten ging es vor allem darum, wie man die Passgenauigkeit für Transport-Anwendungen im Alltag sicherstellt, während die Entwickler lernten, Drift-Metriken im laufenden Betrieb zu überwachen.
In der zwölften Woche der Zusammenarbeit bekam ich eine Nachricht aus dem Darmstädter Standort des Unternehmens. Der dortige Betriebsrat hatte die Schulungsunterlagen völlig eigenständig in die interne Mitarbeiter-App hochgeladen, ohne dass ich noch einmal nachfassen musste. Das war der Moment, in dem klar wurde, dass die Schulung nicht mehr nur bei mir und Wesseler hing, sondern im Unternehmen selbst weiterlebte.
Dass ein Betriebsrat bei der Auswahl und Ausgestaltung solcher Schulungen ohnehin ein Mitbestimmungsrecht hat, wird in vielen Mittelstandsunternehmen komplett übersehen. Es lohnt sich, ihn von Anfang an einzubinden, statt ihn vor vollendete Tatsachen zu stellen.
Fragen aus dem Erstgespräch, kurz beantwortet
Ein paar Fragen kommen in praktisch jedem Erstgespräch, und ich beantworte sie hier bewusst nur in einem Satz, weil sie jeweils einen eigenen Beitrag verdienen. Was die Schulung pro Kopf kostet, hängt stark vom gewählten Format ab und ist eine eigene Rechnung. Wie viel Zeit bis zur nächsten verbindlichen Frist bleibt, beantworte ich Mandanten inzwischen lieber mit einem Kalendertermin als mit einem Blogartikel. Ob E-Learning oder Präsenzworkshop die bessere Wahl ist, hängt weniger vom Preis als von der Unternehmensgröße ab. Und ob Sie das Wissen intern aufbauen oder extern einkaufen, ist eher eine Frage der Kapazität als der Kompetenz.
Bei Wesseler kam noch ein Punkt hinzu, den viele Maschinenbauer ebenfalls kennen: Seine Zulieferer wollten schriftlich wissen, welche Pflichten sie übernehmen, sobald das System bei ihnen im Einsatz ist — eine Frage, die in Lieferketten regelmäßig auftaucht und eigene Sorgfalt verdient. Dass die englische Originalfassung der Verordnung an manchen Stellen präziser ist als die deutsche Übersetzung, habe ich in einem anderen Beitrag bereits ausführlich behandelt, deshalb belasse ich es hier bei diesem Hinweis. Wer wissen will, ob ein einfacher KI-Führerschein für den Mittelstand: Hilfe bei gesetzlichen Schulungspflichten? ausreicht, findet dort eine erste Einordnung; für die Nachweisfrage speziell hilft der Blick auf Zertifizierte KI Schulung für KMU: Welche Nachweise vor Prüfungen schützen.
Weil Wesselers Marketingteam KI auch für automatisierte Angebote nutzt, kam am Rande noch die Transparenzpflicht gegenüber Kunden zur Sprache — ein Thema, das ich in der Schulung nur gestreift habe, weil es dort nicht der Schwerpunkt war. Ein Datenschutzbeauftragter war bei diesem Mandat nicht direkt eingebunden, aber die Überschneidung mit dem Datenschutzrecht kommt in nahezu jedem Projekt irgendwann zur Sprache, meistens dann, wenn jemand fragt, ob die KI-Schulung die DSGVO-Schulung ersetzt. Tut sie nicht, auch wenn sich beide Themen berühren.
Grenzen einer technischen Schulung
Wesselers Entwicklungsleiter fragte mich am Ende, ob er jetzt selbst jede Risikoeinstufung vornehmen könne, ohne mich noch einmal anzurufen. Die ehrliche Antwort: bei einfachen Fällen ja, bei Grenzfällen sollte weiterhin jemand gefragt werden. Eine technische Schulung nimmt Ingenieuren die Angst vor der Verordnung, aber sie macht aus ihnen keine Juristen, und das soll sie auch nicht. Sie soll zeigen, welche Parameter zu loggen sind, welches Dokument am Ende in der Hand liegen muss und wann eine Frage tatsächlich an einen Fachanwalt oder externen Datenschutzbeauftragten weitergeht. Das ist die einzige Kompetenz, die wirklich zählt: zu wissen, wo die eigene Zuständigkeit endet.