Bei einem Automobilzulieferer, den ich beraten habe, reichte eine einzige Folie aus, damit ein Mitarbeiter in der Qualitätssicherung aufhörte, die Schulung zur KI-Verordnung ernst zu nehmen: die erste. Die interne IT hatte Verordnungstext, Paragraphen und Begriffsdefinitionen in eine umfangreiche PowerPoint-Präsentation gepackt, in der festen Annahme, Wissen über die KI-Verordnung ließe sich wie ein Qualitätshandbuch verteilen. Keiner aus der Belegschaft hat die Datei bis zur letzten Folie geöffnet. Genau dieser Irrtum — KI-Act-Schulung als reine Textvermittlung statt als Werkzeug für Lieferketten-Compliance — erklärt, warum so viele Programme für Automobilzulieferer im Mittelstand trotz KI-Führerschein-Etikett auf dem Zertifikat wirkungslos bleiben.
Entscheidend ist nämlich nicht, ob jemand den Verordnungstext gelesen hat. Entscheidend ist, ob die richtigen Personen im Betrieb erkennen, wann ein System unter Anhang III der KI-Verordnung fällt — und wann sie im Audit die Hand heben müssen, bevor ein OEM es für sie tut. Nach 13 Jahren zwischen Datenschutz- und KI-Regulierungsarbeit sehe ich diesen Fehler in fast jedem zweiten Mandat: Schulung wird mit Informationsvermittlung verwechselt, nicht mit Handlungsfähigkeit.
Warum reicht TISAX allein nicht aus?
In der Automobilbranche sind Zertifizierungen Alltag. TISAX prüft Informationssicherheit gründlich, doch über die regulatorische Einordnung von Algorithmen sagt ein TISAX-Label nichts aus. Große OEMs verlangen inzwischen von ihren Tier-1- und Tier-2-Zulieferern Nachweise über die KI-Kompetenz der Belegschaft — gestützt auf Artikel 4 der KI-Verordnung, der Unternehmen verpflichtet, ein ausreichendes Maß an KI-Kompetenz im Personal sicherzustellen. Was diese Pflicht konkret für einzelne Rollen bedeutet, ist ein eigenes Thema für sich — KI-Kompetenz im Mittelstand geht darauf im Detail ein.
Vorausschauende Wartung und sensorbasierte Qualitätskontrolle sind die Systeme, die in der Automobilzulieferung am häufigsten nah an die Hochrisiko-Schwelle aus Anhang III geraten; wo genau diese Grenze verläuft, ist eine eigene, oft unterschätzte Prüfung für sich. Ebenso unübersichtlich wird es, wenn ein Unternehmen eine KI-Lösung zukauft und sie an die eigene Produktionslinie anpasst — dadurch kann aus dem bloßen Betreiber plötzlich rechtlich ein Anbieter werden, mit ganz anderen Pflichten. Diese Grenze ist selbst unter Beratern umstritten, und ich ziehe sie in Zweifelsfällen nicht immer gleich. Die Nachweispflicht wandert in der Lieferkette ohnehin nach unten, vom OEM über den Tier-1- bis zum Tier-3-Zulieferer; wie diese Weitergabe im Einzelnen funktioniert, ist komplex genug für ein eigenes Kapitel. Welche Frist am Ende für welche Systemklasse gilt, lässt sich ohnehin nicht pauschal beantworten, sondern hängt von genau dieser Einstufung ab.
Der Irrtum mit der einen KI-Act-Schulung für alle Automobilzulieferer
Viele Geschäftsführer gehen davon aus, es gäbe die eine Schulung, die man einkauft und dann abhaken kann. Genau das ist der Mythos, der in der Zulieferindustrie am teuersten wird. Ich habe mehrere am Markt angebotene Kurse gesichtet, die zwei Stunden lang über die Ethik von Chatbots referieren, ohne je zu erklären, wie ein Qualitätsmanager die technische Dokumentation für ein Hochrisiko-System rechtssicher aufbereitet. Ein solches Webinar hilft niemandem, der gegenüber einem Auditor die statistische Genauigkeit seiner Modelle rechtfertigen muss.
In der Praxis zerfällt die Aufgabe in mehrere getrennte Entscheidungen, die selten gemeinsam gedacht werden: ob ein eLearning-Modul oder ein Präsenz-Workshop besser zur jeweiligen Rolle passt, wie man einen Anbieter anhand einer nüchternen Checkliste statt anhand seines Marketings auswählt, ob interne Fachkompetenz reicht oder externe Begleitung nötig ist, welches Zertifikat im Ernstfall vor einem Auditor überhaupt etwas zählt, und was die Schulung pro Kopf wirklich kostet, wenn man Vorbereitung und Nacharbeit mitrechnet. Jede dieser Fragen verdient eine eigene, saubere Antwort — keine davon lässt sich mit einer einzigen Pauschallösung erschlagen.
Wissen ist nicht gleich Nachweis
Ein zweiter Irrtum liegt eine Ebene tiefer. Selbst wenn die Belegschaft inhaltlich informiert ist, verlangen Aufsichtsbehörden einen dokumentierten Nachweis darüber, welche Kompetenzen vermittelt wurden — ein einfaches Teilnahmezertifikat reicht dafür oft nicht. Diese Dokumentationspflicht ist ein eigenständiges Thema mit eigenen Anforderungen, das ich hier nur anreiße. Genauso bleibt die Haftungsfrage für die Geschäftsführung ein eigener Punkt, wenn die Schulung ganz ausbleibt oder das Gremium den Umgang mit einem Hochrisiko-System nicht einordnen kann — viele nehmen das erst ernst, wenn ein Auditor konkret danach fragt. Ich bin kein Anwalt und auch nicht der richtige Ansprechpartner für die letzte rechtliche Einordnung; dafür gehört ein Fachanwalt für IT-Recht dazu.
Weitere Fragen tauchen in jedem Mandat auf, sobald man genauer hinschaut: Muss der Betriebsrat bei der Auswahl der Schulung mitbestimmen? Überschneidet sich die KI-Kompetenz-Pflicht mit den Aufgaben des Datenschutzbeauftragten? Gilt eine Transparenzpflicht auch für den KI-Einsatz im Vertrieb oder Marketing, nicht nur in der Produktion? Und wie verhindert man, dass Mitarbeiter in der Zwischenzeit auf eigene Faust nicht genehmigte KI-Tools nutzen, während die offizielle Schulung noch in Planung ist? Ich lese die englische Originalfassung der Verordnung inzwischen öfter als die deutsche Übersetzung, weil an genau solchen Stellen Nuancen verloren gehen, die für die Antwort entscheidend sind.
Kleinere Zulieferer mit vierzig oder fünfzig Mitarbeitenden fragen regelmäßig, ob für sie dieselben Maßstäbe gelten wie für einen Konzern — die Verordnung sieht hier gewisse Erleichterungen vor, die man kennen sollte, bevor man sich ein überdimensioniertes Programm aufschwatzen lässt. Ebenso lohnt sich der Blick darauf, ob branchenspezifische Zusatzregeln bestehen, wie man sie etwa aus stark regulierten Bereichen der Medizintechnik kennt, auch wenn die Automobilzulieferung eigene Schwerpunkte hat. Und wer die Schulung dauerhaft verankern will, bindet sie in das bestehende Qualitätsmanagementsystem ein, statt sie als isolierte Veranstaltung neben den TISAX-Audits herlaufen zu lassen — in einem ähnlichen Geist, wie es auch beim KI-Führerschein für Sicherheitsdienstleister gedacht ist, nur dass dort die Überwachungsthematik im Vordergrund steht.
Wenn die Sicherheitskamera zur verbotenen Praxis wird
Wie wenig es braucht, um von einer harmlosen Idee in verbotenes Terrain zu rutschen, zeigte sich bei einem Workshop, den ich für mehrere Zulieferer bei der IHK Frankfurt am Main, am Börsenplatz, gehalten habe. Ein Qualitätsmanager stellte dort ein Kamerasystem vor, das prüfen sollte, ob Mitarbeitende in der Fertigungshalle die vorgeschriebene Schutzkleidung tragen — gedacht als reine Effizienzmaßnahme für die Arbeitssicherheit. Bei genauerem Hinsehen rutschte das System gefährlich nah an Artikel 5 der KI-Verordnung heran, der bestimmte Formen biometrischer Kategorisierung verbietet. Der Qualitätsmanager schluckte hörbar, als ihm klar wurde, dass die mühsam aufgebaute Datengrundlage für dieses eine Projekt komplett neu gedacht werden musste.
Was eine wirksame Schulung für Zulieferer leisten muss
Eine Schulung, die diesen Namen verdient, ist rollenspezifisch aufgebaut statt pauschal, verknüpft jede vermittelte Kompetenz mit einem dokumentierten Nachweis für den nächsten Auditor und ist von Anfang an in bestehende QM- und Freigabeprozesse eingebettet statt als separates Event daneben zu stehen. Sinnvoll ist es zudem, sie an die gesetzliche Unterweisungspflicht anzuhängen, die in der Fertigung für Arbeitssicherheit ohnehin schon existiert, statt eine komplett neue Veranstaltung zu erfinden. Welche Inhalte ein Curriculum im Detail abdecken sollte, unterscheidet sich stark nach Rolle und würde den Rahmen hier sprengen. Wer unsicher ist, ob ein eLearning-Format oder ein Präsenz-Workshop besser zur eigenen Belegschaft passt, findet dazu in E-Learning Plattformen für KI Compliance Schulungen eine genauere Abwägung.
Den sichersten Beleg dafür, dass eine Schulung wirklich wirkt, liefert nicht das Zertifikat am Ende, sondern die Fragen, die danach noch kommen. Wenn mich ein Qualitätsleiter nach Abschluss der Schulung nicht mehr fragt, was ein neuronales Netz eigentlich sei, sondern wie er die Dokumentation nach Artikel 16 der KI-Verordnung für sein nächstes Audit aufbaut, weiß ich, dass sie ihren Zweck erreicht hat. Das - und nicht die Anzahl gelesener Folien - ist der Maßstab, an dem Automobilzulieferer ihre KI-Act-Schulung messen sollten.