Ein später Abend an meinem Schreibtisch in Frankfurt; ich starrte auf die Mitarbeiterliste eines SaaS-Startups und erkannte, dass mein mühsam entworfener, standardisierter 4-Stunden-Schulungsentwurf für deren Tempo völlig ungeeignet war. Die Entwickler jonglierten mit Code-Sprints, der Vertrieb war permanent beim Kunden – niemand dort hatte die Muße, sich einen halben Tag lang die theoretischen Grundlagen der KI-Verordnung anzuhören. Es war der Moment, in dem mir klar wurde: Für den Mittelstand und kleine Betriebe brauchen wir keine Vorlesungen, sondern operative Leitplanken.
Kurz nach Neujahr häuften sich die Anfragen. Viele Geschäftsführer im deutschen Mittelstand – vom klassischen Maschinenbau bis hin zu Logistikdienstleistern – wirkten regelrecht paralysiert. Die Sorge war groß, man müsse nun jeden Lagermitarbeiter oder jede Buchhaltungskraft zum Data Scientist umschulen, um den Anforderungen der Künstlichen Intelligenz gerecht zu werden. Doch wer den Verordnungstext des EU AI Acts genau liest – und ich ziehe hier die englische Fassung oft vor, da die deutsche Übersetzung bei Nuancen manchmal schwächelt – findet in Artikel 4 KI-VO einen entscheidenden Hebel.
Die Pflicht zur KI-Kompetenz nach Artikel 4
Artikel 4 des EU AI Acts verpflichtet Anbieter und Betreiber (im Gesetz nun meist als 'Deployer' bezeichnet), Maßnahmen zu ergreifen, um ein angemessenes Maß an KI-Kompetenz (AI Literacy) bei ihrem Personal sicherzustellen. Dabei muss das technische Wissen, die Erfahrung und der Kontext, in dem die Systeme eingesetzt werden, berücksichtigt werden. Das Gesetz verlangt also keine akademische Ausbildung für alle, sondern eine Befähigung, die dem jeweiligen Risiko entspricht.
In der Praxis bedeutet das: Ein Mitarbeiter in der Qualitätssicherung eines Maschinenbauers, der ein KI-gestütztes Kamerasystem zur Risserkennung nutzt, benötigt ein völlig anderes Training als ein Marketing-Mitarbeiter, der Texte mit einem Large Language Model (LLM) erstellt. Während meiner Beratungstermine Mitte Mai wurde mir oft bewusst, wie sehr die Branche nach einer pragmatischen Auslegung dürstet. Ich erinnere mich gut an das trockene Gefühl im Hals nach drei Stunden Webinar, während ich versuche, den Unterschied zwischen einem 'Deployer' und einem 'Provider' ohne Juristendeutsch zu erklären – denn für die meisten KMU ist diese Unterscheidung der erste Schritt zur Effizienz.
Das Nugget-Prinzip: Warum weniger mehr ist
Um die Schulungspflicht effizient umzusetzen, habe ich das 'Nugget-Prinzip' entwickelt. Statt einer großen Frontalschulung setzen wir auf rollenbasierte 15-Minuten-Module. Dieses Konzept habe ich zuerst bei einem mittelständischen Maschinenbauer im Umland ausprobiert. Wir haben die Belegschaft nicht in einen Raum gesperrt, sondern kurze, digitale Impulse gesetzt, die genau dort ansetzen, wo die KI den Arbeitsalltag berührt.
Ein Modul befasste sich ausschließlich mit den 'Do's and Don'ts' bei der Eingabe von Kundendaten in öffentliche Chatbots. Ein anderes Modul erklärte für die Führungsebene, wie die 4 Risikostufen im AI Act – von unannehmbar bis minimal – die Beschaffung neuer Software beeinflussen. Die Überraschung in der Praxis war groß: Die Akzeptanz stieg massiv an, als wir nicht über abstrakte neuronale Netze sprachen, sondern über die Haftung bei fehlerhaften KI-Outputs im Kundenservice. Falls Sie tiefer in die inhaltliche Gestaltung einsteigen wollen, habe ich bereits früher darüber geschrieben, warum das bloße Lesen der Verordnung nicht als Schulung zählt.
Dokumentation wiegt schwerer als Zertifikate
Hier kommt ein Punkt, den viele Berater übersehen: Ein schönes Teilnahmezertifikat an der Wand ist zwar nett, aber im Falle einer Prüfung durch die Aufsichtsbehörde ist die prozessuale Dokumentation der KI-Nutzung rechtlich weitaus bedeutender. Kleine Unternehmen sollten den Fokus primär darauf legen, wie die Mitarbeiter die gelernten Inhalte im Alltag anwenden.
In meinen Projekten während der ersten Hitzewelle im Juli habe ich begonnen, einfache 'Usage Policies' (Nutzungsrichtlinien) direkt mit den Schulungen zu verknüpfen. Wenn ein Mitarbeiter bestätigt, dass er verstanden hat, dass keine Quellcodes in ungesicherte KI-Systeme kopiert werden dürfen, ist das ein Compliance-Baustein. Wenn das Unternehmen gleichzeitig ein internes Verzeichnis der freigegebenen KI-Tools führt, ist das der zweite. Diese Kombination ist für KMU oft wertvoller als ein teures E-Learning-Abonnement von der Stange, das an der Realität der Werkbank oder des Büros vorbeigeht.
Die 24-monatige Übergangsfrist klug nutzen
Obwohl die allgemeine Standard-Umsetzungsfrist 24 Monate nach Inkrafttreten beträgt, ist Abwarten die schlechteste Strategie. Nach etwa drei Wochen Testphase mit den Kurz-Modulen in einem Logistikunternehmen zeigte sich, dass die Fehlerquote bei der Nutzung von KI-Tools bereits sank, bevor überhaupt die erste offizielle Compliance-Prüfung anstand. Effizienz entsteht hier nicht durch Abhacken einer Liste, sondern durch den Aufbau einer Unternehmenskultur, die KI als Werkzeug versteht, dessen Grenzen man kennen muss.
Der Moment, in dem ich die deutsche Übersetzung lese und merke, dass das Wort 'angemessen' im Gesetzestext die größte Chance für den Mittelstand ist, nicht an der Bürokratie zu ersticken, ist mein persönlicher Ankerpunkt in der Beratung. Es erlaubt uns, die Kirche im Dorf zu lassen. Wir müssen nicht jeden Prozess zertifizieren, aber wir müssen nachweisen können, dass wir uns Gedanken gemacht haben. Ein gut strukturierter KI-Führerschein für Unternehmen kann hier als Basis dienen, muss aber zwingend durch interne Richtlinien ergänzt werden.
Fazit für die Praxis
Wenn Sie als Geschäftsführer oder IT-Verantwortlicher vor der Aufgabe stehen, die KI-Kompetenz in Ihrem Haus zu stärken, bewahren Sie Ruhe. Compliance ist in diesem Fall kein einmaliges IT-Großprojekt, sondern eine Frage gezielter, kurzer Impulse. Ich bin kein Anwalt und kein Auditor, aber meine Erfahrung aus über einem Dutzend Begleitungen seit 2023 zeigt: Die Aufsichtsbehörden werden bei kleinen Betrieben eher auf die gelebte Praxis und die Risikominimierung schauen als auf die Anzahl der absolvierten Stunden in einem generischen Videokurs.
Konzentrieren Sie sich auf die kritischen Schnittstellen: Wo fließen personenbezogene Daten? Wo werden automatisierte Entscheidungen getroffen, die Kunden oder Mitarbeiter betreffen (Stichwort Anhang III der KI-VO)? Wenn Sie diese Bereiche identifiziert haben und Ihre Leute dort punktgenau schulen, haben Sie das Ziel von Artikel 4 bereits zu einem großen Teil erreicht. Es geht nicht darum, in der Verordnung zu ertrinken, sondern sicher darin zu navigieren. Und vergessen Sie nicht: Diese Einschätzungen basieren auf meiner Erfahrung als Berater; eine individuelle Rechtsberatung können und dürfen sie nicht ersetzen.