Eine Pflichtschulung, die alle Mitarbeiter unabhängig von ihrer Rolle durch dieselbe Präsentation schickt, schützt die Geschäftsführung vor genau gar nichts. Das ist die unbequeme Realität hinter Artikel 4 der KI-Verordnung (EU AI Act), den viele mittelständische Unternehmen noch immer als freundliche Empfehlung lesen statt als das, was er ist: eine persönliche Sorgfaltspflicht für jeden Geschäftsführer, der KI-Systeme im Unternehmen einsetzen lässt. Wer die KI-Schulung der Mitarbeiter auf die lange Bank schiebt oder mit einem einzigen Pauschalkurs abhakt, verschiebt das Haftungsrisiko nicht – er vergrößert es. Ein KI-Führerschein, der diesen Namen verdient, ist keine einmalige Compliance-Schulung, sondern ein Verfahren, das im Zweifel auch vor Gericht besteht.
Konkret bedeutet das: Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber von KI-Systemen, ein ausreichendes Maß an KI-Kompetenz bei ihrem Personal sicherzustellen – und diese Pflicht landet direkt auf dem Schreibtisch der Geschäftsführung. Paragraf 43 des GmbH-Gesetzes verlangt von einem Geschäftsführer die Sorgfalt eines ordentlichen Kaufmanns. Setzt ein Mitarbeiter ein Hochrisiko-System ein, ohne dessen Tragweite zu verstehen, und entsteht daraus ein Schaden – etwa weil sensible Kundendaten in ein offenes Modell eingegeben wurden –, stellt sich vor Gericht eine einzige Frage: Wurde dieser Mitarbeiter angemessen geschult? Bleibt die Antwort vage, kann die Verletzung der Sorgfaltspflicht direkt auf das Privatvermögen der Geschäftsführung durchschlagen.
Die Bußgeld-Kaskade im EU AI Act: Drei Stufen, ein Prinzip
Was viele Geschäftsführer unterschätzen, ist die Staffelung der mit dem AI Act verbundenen Bußgelder. Die KI-Verordnung sieht ein dreistufiges Regime vor: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen Artikel 5 mit den verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 % bei Verletzung der Pflichten für Hochrisiko-Systeme, und bis zu 7,5 Millionen Euro oder 1 % für falsche Angaben gegenüber den Aufsichtsbehörden. Für kleine und mittlere Unternehmen sowie Start-ups gilt dabei jeweils der niedrigere der beiden genannten Beträge – ein Detail, das in Erstgesprächen regelmäßig übersehen wird. Die Übergangsfristen für die KI-Kompetenz-Pflicht sind bereits abgelaufen, was bedeutet: Ein Verstoß gegen die Schulungspflicht ist längst keine theoretische Möglichkeit mehr, sondern ein aktuell greifbares Risiko.
Warum eine Pauschal-Schulung die Geschäftsführerhaftung erhöht statt senkt
Eine pauschale Schulung für die gesamte Belegschaft wirkt auf den ersten Blick wie die sichere Wahl. Genau das Gegenteil ist der Fall. Sie erzeugt den Anschein einer regulatorischen Überwachung, ohne die rollenspezifische Sorgfaltspflicht tatsächlich zu erfüllen – und im Falle eines Audits oder Schadensfalls wird man Ihnen vorwerfen, die Schulung sei nicht 'angemessen' im Sinne der Verordnung gewesen. Der Vertrieb braucht ein anderes Verständnis von Diskriminierungsrisiken als die Produktion im Maschinenbau, wo funktionale Sicherheit und Datenintegrität im Vordergrund stehen. Besonders heikel wird es, wenn ein KI-System fälschlich als Nicht-Hochrisiko eingestuft wurde – eine fehlerhafte Risikoklassifizierung zieht direkte persönliche Haftungskonsequenzen für die Geschäftsführung nach sich, unabhängig davon, wie gut die restliche Schulung sonst war.
Was eine gerichtsfeste Schulung tatsächlich braucht
Vier Kriterien entscheiden in der Praxis darüber, ob eine Schulung im Ernstfall vor Gericht oder gegenüber der Aufsichtsbehörde standhält. Erstens die Dokumentation: Wer nicht belegen kann, wer wann welchen Inhalt vermittelt bekommen hat, hat faktisch nichts geschult. Zweitens das Format: Ob ein E-Learning-Modul oder ein Präsenz-Workshop die bessere Wahl ist, hängt von der Unternehmensgröße und der Risikoklasse der eingesetzten Systeme ab, nicht von der Präferenz der Personalabteilung. Drittens die Quelle: Internes Wissen und extern eingekaufte Expertise sollten sich ergänzen statt sich gegenseitig zu ersetzen. Viertens die Rollenklarheit: Ob Ihr Unternehmen als Anbieter oder als Betreiber eines Systems im Sinne der Verordnung auftritt, verändert den Umfang der Schulungspflicht erheblich.
Bei Zulieferbetrieben im Maschinenbau geben Vertragspartner KI-Compliance-Anforderungen zunehmend entlang der Lieferkette weiter, sodass die Schulungspflicht nicht am eigenen Werkstor endet. Existiert in Ihrem Haus ein Betriebsrat, hat dieser bei der Auswahl von Schulungsinhalten und -anbietern ein Mitbestimmungsrecht, das gerne übersehen wird. Für Vertrieb und Marketing kommt die Transparenzpflicht hinzu, sobald Kunden erkennbar mit einem KI-System interagieren. Verarbeitet ein System zusätzlich personenbezogene Daten, überschneidet sich die Schulung mit datenschutzrechtlichen Pflichten, weshalb der betriebliche Datenschutzbeauftragte früh einbezogen werden sollte. Ein Punkt, der leicht untergeht: Die deutsche Übersetzung 'KI-Kompetenz' ist an mancher Stelle unschärfer als der englische Originalbegriff 'AI Literacy', weshalb sich bei technischen Detailfragen ein Blick ins Original lohnt.
Nachweise, die Prüfer im Ernstfall akzeptieren
Mein früherer Kollege Ludwig Sachse, der heute als Projektleiter bei einem Prüf- und Zertifizierungsdienstleister arbeitet, lacht regelmäßig über zu kleinteilige Risikomatrizen – und nutzt selbst eine mit fünfzehn Feldern. Was er in der Praxis als Nachweis akzeptiert, deckt sich selten mit dem, was manche Anbieter als 'auditfest' bewerben: Entscheidend ist weniger die Optik der Matrix als die Frage, ob jede Rolle im Unternehmen einer nachvollziehbaren Risikoeinschätzung zugeordnet werden kann. Einem Mandanten hatte ich zu Beginn eines Projekts schlicht die englischen Originaltexte der Verordnung weitergegeben, in der Annahme, die Belegschaft würde sich die relevanten Passagen selbst erschließen. Ohne Einordnung konnten die Mitarbeiter mit den Paragrafen nichts anfangen, und aus der Schulung wurde erst einmal Verwirrung statt Kompetenz – seitdem übersetze ich die Anforderungen grundsätzlich zuerst in unternehmensspezifische Szenarien, bevor überhaupt ein Paragraf zitiert wird. Bei der Auswahl eines externen Anbieters lohnt sich deshalb ein kritischer Blick darauf, ob die Inhalte auf Ihre Branche zugeschnitten sind oder ob es sich um ein Schema-F-Produkt handelt, das für jedes Unternehmen gleich aussieht. Was eine KI-Schulung pro Mitarbeiter kosten darf, hängt entsprechend stärker von der Tiefe der Anpassung ab als von der reinen Modulanzahl.
Logistik als Praxisbeispiel: Klassifizierung zuerst, Schulung danach
Otto Wesseler, Geschäftsführer eines Logistikunternehmens im Rhein-Ruhr-Korridor, meldete sich, nachdem eine interne Revision aufgedeckt hatte, dass seine Disponenten ein KI-System zur Routenoptimierung einsetzten, ohne dass jemals eine formale Risikoklassifizierung stattgefunden hatte. Er trifft Entscheidungen meist direkt im Gespräch, ohne den sonst üblichen langwierigen Abstimmungsprozess, und wollte entsprechend zügig eine Bestandsaufnahme sowie ein konkretes Schulungskonzept für seine Disponenten. Genau diese Reihenfolge – erst die Klassifizierung, dann die Schulung – wird in vielen pauschalen Ein-Stunden-Webinaren übersprungen, die denselben Foliensatz für die Produktion wie für die Buchhaltung verwenden und damit an der eigentlichen Sorgfaltspflicht vorbeischulen. Zum Vergleich: Ein Geschäftsführer aus Stuttgart, mit dem ich in einem ähnlichen Fall gearbeitet habe, konnte in einer Vorstandssitzung ein Hochrisiko-System korrekt benennen und dessen Einsatz begründen, ohne dass ihm jemand assistieren musste – genau das ist der Unterschied zwischen einer Schulung, die nur ein Häkchen setzt, und einer, die im Zweifel tatsächlich schützt.
Anbieter in drei Schritten prüfen
Bevor Sie einen Anbieter beauftragen oder eine interne Schulung aufsetzen, prüfen Sie drei Dinge: eine dokumentierte Zuordnung von Rollen zu Risikoklassen, einen tatsächlichen Nachweis des Lernerfolgs statt einer reinen Teilnahmebestätigung, und eine vertraglich fixierte Aktualisierungsklausel für neue Anhang-III-Kategorien. Fehlt eines dieser drei Elemente, ist die Schulung im Ernstfall nicht das Schutzschild, für das sie gehalten wird, sondern nur ein Papier mit Unterschrift. Auch an dieser Stelle bleibt die Verordnung an einigen Punkten unklar genug, dass selbst erfahrene Berater unterschiedliche Empfehlungen geben – etwa bei der Frage, wie häufig eine Auffrischung nötig ist, wenn sich ein KI-System nur geringfügig ändert. Genau deshalb lohnt sich die individuelle Prüfung durch einen Fachanwalt für IT-Recht, bevor Sie eine unternehmensweite Lösung endgültig festlegen.