Der Einkaufsleiter schiebt mir den ausgedruckten Originaltext von Artikel 4 der KI-Verordnung zurück über den Tisch — auf Englisch, ohne eine einzige Anmerkung — und sagt, sein Team habe nach der zweiten Seite aufgegeben. Genau das hatte ich ihm selbst so vorgeschlagen: die Verordnungstexte unkommentiert weiterreichen und darauf vertrauen, dass sich die geforderte KI-Kompetenz von allein einstellt. Für die Einkauf-Compliance im Mittelstand funktioniert das nicht, und an diesem Punkt zeigt sich, warum ein KI-Führerschein fürs Vendor Management etwas anderes braucht als eine x-beliebige EU-AI-Act-Schulung.
Warum der reine Verordnungstext den Einkauf nicht weiterbringt
Zwei Wochen vorher hatte ich selbst geraten, den Mitarbeitenden einfach die Originaltexte zu geben, damit sie sich mit der Materie vertraut machen. Das war ein Fehler. Ohne Einordnung — welche Passage für den Einkauf überhaupt relevant ist, welche eher für die Entwicklung — blieb der Text ein zäher Brocken Juristendeutsch, egal ob englisch oder deutsch. Ich lese die englischen Originalfassungen selbst gern parallel zu den deutschen, weil die Übersetzung an einzelnen Stellen Nuancen verliert, aber genau das kann man niemandem zumuten, der nebenbei noch Bestellungen freigeben muss.
Viele Anbieter am Markt lösen dieses Problem nicht, sie umgehen es. Sie verkaufen einen generischen "KI-Führerschein", der erklärt, wie man mit einem Chatbot bessere Prompts schreibt, und nennen das dann KI-Kompetenz. Für einen Einkäufer, der beurteilen soll, ob ein Software-Anbieter überhaupt ein Hochrisiko-System nach Anhang III liefert, bringt das wenig. Die Pflicht aus Artikel 4 richtet sich ausdrücklich an das Personal, das mit KI-Systemen umgeht — und wer Verträge über KI-gestützte Produkte unterschreibt, gehört dazu, auch ohne selbst eine Zeile Code zu schreiben.
Otto Wesselers Bestandsaufnahme nach der internen Revision
Otto Wesseler leitet ein Logistikunternehmen im Rhein-Ruhr-Korridor, und er meldete sich, nachdem eine interne Revision aufgedeckt hatte, dass seine Disponenten seit Monaten ein KI-gestütztes Tool zur Routenoptimierung nutzten, ohne dass jemand geprüft hatte, in welche Risikoklasse es überhaupt fällt. Wir trafen uns in einem Café an der Berger Straße in Frankfurt-Bornheim, weil er ohnehin einen Termin in der Stadt hatte, und er entschied noch am Tisch, dass er eine Bestandsaufnahme plus Schulungskonzept für seine Disponenten wollte — kein langes Abstimmen mit dem Vorstand, einfach ein Ja.
Die Bestandsaufnahme brachte etwas anderes ans Licht: Die eigentliche Lücke lag nicht bei den Disponenten, sondern beim Einkauf, der das Tool ursprünglich beschafft hatte. Niemand hatte den Softwareanbieter gefragt, welche Nachweise er zur Konformität liefern kann, bevor der Vertrag unterschrieben wurde — dabei ist genau das die Aufgabe, die ein KI-Führerschein für den Einkauf eigentlich vermitteln soll: welche Qualifikationsnachweise man beim Lieferanten abfragt, bevor ein KI-gestütztes Produkt überhaupt bestellt wird.
In Woche vier klingt das Meeting plötzlich anders
Wir hatten das Training in kurze, thematisch enge Blöcke aufgeteilt statt in einen zweitägigen Frontalkurs, und in der vierten Woche saß ich mit dem IT-Leiter von Wesselers Unternehmen und zwei Disponenten zusammen, um den Zwischenstand zu besprechen. Zwischen zwei Webinar-Blöcken hing noch der Geruch von Kaffee im Raum, als der IT-Leiter unaufgefordert Artikel 4 der KI-Verordnung in eigenen Worten zusammenfasste, korrekt und ohne dass ich ein einziges Mal nachhelfen musste, und gleich erklärte, warum das für die Bewertung des Routenoptimierungs-Tools relevant war.
Für den Einkauf selbst zeigte sich der Effekt langsamer, weil die Kolleginnen und Kollegen dort seltener mit einer einzelnen Verordnungsklausel und öfter mit einem ganzen Vertragswerk konfrontiert sind. Genau deshalb lohnt es sich, das Curriculum nach Rollen zu trennen — IT bekommt andere Fallbeispiele als Einkauf, auch wenn beide am Ende dieselbe Risikoklassifizierung verstehen müssen, und die kleinteiligen wöchentlichen Blöcke griffen hier spürbar besser als ein einmaliger Frontalvortrag, den viele Anbieter stattdessen verkaufen.
Was akzeptiert ein Prüfer im Vendor Management als Nachweis?
Ludwig Sachse, ein früherer Kollege, der heute als Projektleiter bei einem Prüf- und Zertifizierungsdienstleister arbeitet, beantwortet mir diese Frage meistens mit einem Lachen. Er hält selbst nichts von kleinteiligen Risikomatrizen, benutzt im Audit-Alltag aber eine mit fünfzehn Feldern, weil die Prüfstelle es so verlangt. Sein Hinweis für den Einkauf ist trotzdem nützlich: Ein Prüfer will selten das Schulungszertifikat sehen, sondern die Dokumentation, die im Rahmen der Schulung entstanden ist — wer hat wann welches Tool bewertet und mit welchem Ergebnis.
Diese Dokumentationspflicht wird im Einkauf gern unterschätzt, weil sie wie Papierkram wirkt, den man nach Vertragsabschluss noch nachreichen kann. Prüfen Sie deshalb vor der Kurswahl, ob das Format überhaupt vorsieht, dass Ihr Team die eigene Bewertung schriftlich festhält — ein eLearning-Modul ohne diese Übung deckt das selten ab, ein Workshop mit Fallarbeit eher schon. Ob interne Trainer das leisten können oder ob Sie dafür externe Expertise brauchen, hängt stark davon ab, wie tief Ihr eigenes Team schon in der Vertragsprüfung steckt, und weil die Kosten pro Mitarbeiter je nach Format spürbar schwanken, lohnt sich ein Vergleich, bevor Sie für das ganze Team dasselbe Paket buchen. Wer zuerst abwägen will, ob interne Multiplikatoren oder ein externer Kurs besser passen, findet das in der KI Schulung für interne Multiplikatoren oder externe Kurse im Vergleich, und einen strukturierten Weg, um Anbieter danach überhaupt zu filtern, habe ich in der KI Compliance Schulung Anbieter finden: Eine Checkliste für den Einkauf beschrieben.
Haftung in den AGB verhandeln statt Zertifikate sammeln
Mein Ansatz weicht hier von dem vieler Akademien ab: Statt auf ein weiteres Zertifikat zu setzen, sollte der Einkauf die Haftungsklauseln in den bestehenden Allgemeinen Geschäftsbedingungen der Anbieter systematisch prüfen. Ein Kurszertifikat an der Wand nützt wenig, wenn der Softwareanbieter in seinen Klauseln die Verantwortung für die Konformität mit der KI-Verordnung vollständig auf Sie überträgt. Und ja, selbst mir fällt die Abgrenzung zwischen Bereitsteller und Betreiber nicht immer leicht, gerade wenn ein KI-Modul in eine Software integriert wird, die Sie ursprünglich als reines Standardprodukt eingekauft haben. Die Verordnung ist an dieser Stelle nicht so eindeutig, wie Marketingtexte von Schulungsanbietern gern behaupten.
Wer diese Klauseln erkennen soll, muss auch wissen, wo die Transparenzpflichten für KI-gestützte Produkte enden und wo der Datenschutz weiterläuft — die DSGVO verschwindet mit der KI-Verordnung schließlich nicht, sie überschneidet sich nur an neuen Stellen. Bei größeren Beschaffungen sollte außerdem der Betriebsrat früh eingebunden werden, weil die Auswahl des Schulungsformats für die eigene Belegschaft mitbestimmungspflichtig sein kann, und die Frist bis zur verpflichtenden KI-Kompetenz nach Artikel 4 gilt unabhängig davon, ob diese Abstimmung schon abgeschlossen ist.
Am Ende trägt die Geschäftsführung die Haftung, wenn diese Prüfung unterbleibt, nicht der einzelne Einkäufer, der den Vertrag unterschrieben hat — genau deshalb sollte sie ein Interesse daran haben, dass ihr Team diese Klauseln überhaupt erkennt. Besonders für IT-Verantwortliche, die eng mit dem Einkauf zusammenarbeiten, ist dieses Wissen relevant, und ich habe es ausführlicher im Kontext des KI-Führerscheins für IT-Leiter beschrieben.
Eine Lehre für den Einkaufsalltag
Was von Wesselers Fall bleibt, ist eine einfache Regel, die ich seitdem jedem Einkaufsteam mitgebe: Fragen Sie beim Kauf eines KI-gestützten Produkts vorher nach denselben Nachweisen, die ein Prüfer später von Ihnen selbst verlangen würde — nicht danach, wenn der Vertrag schon unterschrieben ist. Ein KI-Führerschein für den Einkauf ist am Ende kein Zertifikat, sondern diese Gewohnheit, konsequent angewendet, Vertrag für Vertrag.