Sechzehn Ordner in einer gemeinsamen Cloud-Ablage, jeder nach einem anderen KI-System benannt, und kein einziger davon vollständig gepflegt. Das war der Ausgangspunkt bei einem SaaS-Startup aus Frankfurt, bevor wir die Dokumentationspflichten aus dem EU AI Act in eine Struktur gebracht haben, die neben dem Tagesgeschäft tatsächlich hält. Für Compliance-Verantwortliche im Mittelstand liegt die eigentliche Schwierigkeit selten im Verständnis der Verordnung an sich, sondern in der Frage, wer was wann dokumentiert — und woran man später erkennt, dass diese Dokumentation noch aktuell ist.
Zwei Dokumentationspflichten, die im Mittelstand oft verwechselt werden
Zwei Dokumentationsstränge werden in Erstgesprächen fast immer miteinander vermischt. Der eine betrifft das KI-System selbst — die technische Beschreibung, die Risikobewertung, die Protokollierung der Ereignisse während des Betriebs. Der andere betrifft die Menschen, die mit dem System arbeiten: den Nachweis, dass Mitarbeitende im Sinne von Art. 4 KI-VO ausreichend geschult wurden und die nötige KI-Kompetenz mitbringen. Dieser zweite Strang wird in der Praxis notorisch vernachlässigt, dabei ist er bei einer Prüfung häufig der Punkt, an dem es zuerst eng wird — und genau darauf liegt hier der Schwerpunkt.
Marta Hofbauer, Compliance-Beauftragte bei genau diesem SaaS-Startup, kennt diesen Konflikt gut. Sie muss intern regelmäßig um das Budget für externe Schulungsmaßnahmen kämpfen, während die Geschäftsführung lieber behauptet, man erledige so etwas doch selbst. Beide Positionen haben ihre Berechtigung, wo Wissen im Haus vorhanden ist, muss man es nicht einkaufen. Aber sobald die Einordnung eines Systems zwischen Hochrisiko und minimalem Risiko strittig wird, lohnt sich ein Blick von außen, allein schon, um die eigene Einschätzung später dokumentiert absichern zu können.
Was gehört in einen belastbaren Schulungsnachweis?
Was in einen belastbaren Schulungsnachweis gehört, lässt sich an vier Fragen festmachen. Wer genau hat teilgenommen — mit vollständiger Namensliste, nicht nur mit der Zahl der Anmeldungen? Welche Inhalte wurden tatsächlich vermittelt, am besten belegt durch Foliensatz oder Agenda? Woran zeigt sich, dass die Teilnehmenden das Gelernte auch anwenden können, statt nur anwesend gewesen zu sein? Und wann ist die nächste Auffrischung fällig, wenn sich Systeme, Rollen oder Aufgaben ändern? Wer diese vier Punkte für jede Schulung ablegt, hat im Ernstfall mehr in der Hand als jedes hübsch gestaltete Teilnahmezertifikat.
Diese vier Punkte gelten unabhängig davon, ob Ihr Unternehmen als Anbieter ein System entwickelt oder als Betreiber lediglich einsetzt — die genaue Rollenverteilung zwischen Provider und Deployer ändert zwar, welche technischen Nachweise zusätzlich nötig sind, aber nicht, dass die Schulungsdokumentation in beiden Fällen vollständig vorliegen muss.
Eine Awareness-Kampagne allein reicht nicht
Bei einem frühen Mandanten habe ich genau diesen Punkt unterschätzt. Wir haben einen einmaligen Awareness-Tag zum EU AI Act organisiert, mit Kick-off, Impulsvortrag und spürbar guter Stimmung im Raum, ohne Folgetermine und ohne eine Methode, um hinterher zu prüfen, ob das Wissen tatsächlich hängen geblieben war. Kurz darauf konnte im Team kaum noch jemand sagen, welche Systeme im Unternehmen überhaupt als Hochrisiko gelten. Der Nachweis, den wir im Ernstfall gebraucht hätten, existierte nur noch als vage Erinnerung an einen netten Vormittag.
Vor einigen Monaten habe ich einen Artikel zu den wichtigen EU AI Act Fristen für Unternehmen veröffentlicht, und innerhalb einer einzigen Woche gingen vierzig direkte Anfragen aus dem gesamten deutschsprachigen Raum ein, deutlich mehr als ich sonst in vergleichbarer Zeit bearbeite. In der fünften Woche nach Veröffentlichung ließ der Anfragestrom spürbar nach, aber ein Muster blieb: Die wenigsten Fragen drehten sich tatsächlich um Stichtage. Die meisten wollten wissen, was konkret dokumentiert werden muss, bevor überhaupt eine Frist relevant wird. Das war für mich der Auslöser, diesen Text als eigenständigen Schwerpunkt aufzusetzen.
Wer im Unternehmen die Dokumentation verantwortet
Wer im Unternehmen am Ende für diese Nachweise verantwortlich zeichnet, ist selten von Anfang an klar — und genau da hakt es oft zuerst. Eine gezielte KI Schulung für Projektleiter im Mittelstand hilft in solchen Fällen häufiger als ein weiteres Rundschreiben, weil sie diese Verantwortung an eine konkrete Rolle im Team bindet, statt sie diffus bei „der IT" oder „dem Datenschutz" abzuladen. Wer die deutsche Fassung der Verordnung unbesehen als Grundlage für eine interne Richtlinie übernimmt, riskiert dabei vor allem im Maschinenbau Nuancenverluste, die an anderer Stelle eine eigene Betrachtung wert sind. Was eine gute externe Schulung am Ende pro Kopf kostet, ist wiederum eine eigene Rechnung, die stark vom gewählten Format abhängt.
Wenn ich gemeinsam mit Johanna Ertl ein Webinar vorbereite, spielt sie bei Haftungsfragen zuverlässig den Advocatus Diaboli und stellt genau die Frage, die Geschäftsführer am liebsten vermeiden würden: Wer haftet eigentlich, wenn die Dokumentation lückenhaft bleibt? An solchen Abenden sitze ich im Coworking-Space im Ostend, der zweite Monitor hochkant gedreht und ausschließlich für die Verordnungstexte reserviert, während das Lüftungsrauschen im Rücken lauter wird, je voller die Plätze um mich herum werden. Die Antwort auf Johannas Frage ist selten so eindeutig, wie Mandanten sie sich wünschen — aber ohne einen lückenlosen Schulungsnachweis wird sie garantiert unangenehmer.
Am Markt kursieren nach wie vor eintägige „AI-Act-Zertifikate", die auf jedem Branchenevent gut aussehen, aber bei einer echten Nachfrage der Aufsichtsbehörden wenig hergeben, weil sie weder auf Maschinenbau noch auf SaaS zugeschnitten sind, sondern austauschbare Standardfolien verwenden. Dass Nutzer bestimmter KI-Anwendungen darüber informiert werden müssen, dass sie es überhaupt mit einem KI-System zu tun haben, ist ein verwandtes Thema mit eigenen Dokumentationsanforderungen für Marketing und Vertrieb. Ohne eine belastbare Risikoübersicht bleibt jede Schulungsdokumentation ohnehin Stückwerk — meine Notizen zum KI Risikomanagement nach EU AI Act gehen genauer darauf ein, wie diese Übersicht in der Praxis entsteht.
Dokumentation, die im Alltag Bestand hat
Der Schulungsnachweis zählt am Ende nicht, weil eine Akte gut aussehen soll, sondern weil er beweist, dass eine Organisation weiß, wer wann worüber informiert wurde. Das lässt sich nicht durch einen einzelnen guten Termin ersetzen, sondern nur durch einen Rhythmus aus Schulung, Beleg und Auffrischung. Wer die vier Fragen aus diesem Text für jedes System einmal durchspielt und sie danach als festen Termin im Kalender verankert, hat mehr erreicht als mit jedem einmaligen Kick-off. Das ist der Unterschied zwischen einer Dokumentation, die im Schrank verstaubt, und einer, die im Alltag tatsächlich Bestand hat.