Es war ein später Abend in meinem Frankfurter Büro, als ich mich durch die englischen und deutschen Fassungen von Artikel 4 der KI-Verordnung arbeitete. Der trockene, leicht metallische Geruch des Laserdruckers, der im Dauerbetrieb Dokumente ausspuckte, hing in der Luft, während ich die Nuancen zwischen 'AI Literacy' und der deutschen 'KI-Kompetenz' markierte. Mir wurde in diesem Moment klar: Was hier als abstrakte Anforderung steht, wird für jeden Einkaufsleiter in der EU bald zur verpflichtenden Checkliste. Wer Software einkauft, muss verstehen, was er da eigentlich unterschreibt — und genau hier scheitern die meisten generischen Schulungsangebote.
Der Frankfurt-Moment: Warum Artikel 4 den Einkauf verändert
In meiner täglichen Praxis als Compliance-Berater sehe ich oft, dass der Einkauf als letzte Instanz vor der Vertragsunterzeichnung steht, aber am schlechtesten auf die neuen Anforderungen vorbereitet ist. Art. 4 KI-VO verpflichtet Anbieter und Betreiber gleichermaßen dazu, Maßnahmen zu ergreifen, um ein angemessenes Maß an KI-Kompetenz bei ihrem Personal sicherzustellen. Das gilt insbesondere für die Menschen, die über die Beschaffung entscheiden. Wenn ich im Rahmen meiner Webinare mit Geschäftsführern spreche, herrscht oft die Meinung vor, ein kurzer Kurs über das Prompten von Texten reiche aus. Doch das ist ein gefährlicher Trugschluss.
Ein echter 'KI-Führerschein' für den Einkauf muss ganz andere Fragen beantworten: Wie erkenne ich, ob ein System in eine der 4 Risikoklassen der Verordnung fällt? Handelt es sich um ein verbotenes System, ein Hochrisiko-System, ein System mit geringem Risiko oder eines mit minimalem Risiko? Mitte Dezember letzten Jahres saß ich bei einem Mandanten aus dem SaaS-Sektor. Wir prüften die Einführung eines neuen, KI-gestützten CRM-Systems. Das Team war kurz davor, den Vertrag zu unterzeichnen, konnte mir aber nicht sagen, ob die integrierten Scoring-Modelle für die Kundenbewertung bereits als Hochrisiko-Anwendung nach Anhang III eingestuft werden müssten. Ohne dieses Wissen unterschreibt man im Zweifelsfall eine Haftungsfalle.
Kritik am Markt: Prompting-Kurse sind kein Compliance-Nachweis
Wenn Sie heute nach einem 'KI-Führerschein' suchen, werden Sie mit Angeboten überhäuft. Doch Vorsicht: Die meisten dieser Kurse sind für das Marketing oder die allgemeine Verwaltung konzipiert. Wenn ich noch ein einziges Mal ein Zertifikat sehe, das lediglich lehrt, wie man Katzenbilder generiert, statt Art. 53 KI-VO zu erklären, verliere ich langsam den Glauben an die Branche. Ein Einkäufer im Mittelstand braucht keine ästhetischen Spielereien, sondern das Handwerkszeug für das Vendor Management.
Ein Beispiel: Viele Anbieter konzentrieren sich auf die Bedienung von ChatGPT. Für den Einkauf ist es jedoch viel relevanter, die Transparenzpflichten für GPAI (General Purpose AI) zu verstehen. Wie sieht die technische Dokumentation nach Anhang IV aus? Kann der Anbieter diese liefern? In meinen 1:1-Beratungen stelle ich fest, dass viele Unternehmen für teures Geld Schulungen einkaufen, die am Ende keinen einzigen der regulatorischen Prüfpunkte abdecken, die bei einer Betriebsprüfung oder einem Audit relevant werden. Es geht nicht um die Nutzung der KI, sondern um die Fähigkeit, die Compliance des Drittanbieters zu bewerten. Hierbei hilft oft ein Blick darauf, ob man KI Schulung für interne Multiplikatoren oder externe Kurse im Vergleich betrachtet, um das Wissen nachhaltig im Haus zu halten.
Black Boxes im Maschinenbau: Die Lücke zwischen DSGVO und KI-VO
Anfang März traf ich den Einkaufsleiter eines mittelständischen Maschinenbauers. Er gestand mir an einem verregneten Nachmittag im Mai bei einem weiteren Termin, dass sie sich fühlen, als würden sie 'Black Boxes' kaufen. Ihre bisherigen Schulungen deckten zwar die DSGVO perfekt ab — sie wussten alles über Auftragsverarbeitungsverträge (AVV) — aber sie hatten keine Ahnung von den spezifischen Transparenzpflichten der KI-Verordnung. Die Sorge ist berechtigt: Wer eine KI-Lösung in eine Maschine integriert, die später exportiert wird, haftet unter Umständen für die Konformität des gesamten Systems.
Hier zeigt sich die Schwäche vieler Standard-Kurse. Ein guter Kurs für das Vendor Management muss den Unterschied zwischen der technischen Dokumentation und der Gebrauchsanweisung erklären können. Ich bin kein Anwalt — und diese Beratung ersetzt auch keine Rechtsberatung —, aber als jemand, der diese Texte liest, weiß ich: Die Nuancen entscheiden über die Haftung. Wenn der Anbieter keine Informationen gemäß Anhang IV bereitstellen kann, sollte der Einkauf die Reißleine ziehen. Um solche Anbieter überhaupt identifizieren zu können, empfiehlt sich eine systematische Herangehensweise, wie ich sie in der KI Compliance Schulung Anbieter finden: Eine Checkliste für den Einkauf skizziert habe.
Der strategische Hebel: Haftung in den AGB statt Theorie-Zertifikat
Mein Ansatz unterscheidet sich von dem vieler Akademien: Statt auf teure, theoretische KI-Zertifikate zu setzen, sollten Mittelständler ihr Vendor Management primär auf die prozessuale Prüfung der KI-Haftung in bestehenden Allgemeinen Geschäftsbedingungen (AGB) ausrichten. Ein Zertifikat an der Wand hilft Ihnen nicht, wenn der Software-Anbieter in seinen Klauseln jegliche Verantwortung für die Output-Genauigkeit oder die Einhaltung der KI-Verordnung auf Sie abwälzt.
Ein pragmatischer 'KI-Führerschein' für den Einkauf sollte daher folgende praktische Übung enthalten: Nehmen Sie die AGB eines bestehenden SaaS-Anbieters und suchen Sie nach Begriffen wie 'Indemnification' oder 'Liability' im Kontext von KI-generierten Inhalten. Oft finden wir dort Formulierungen, die den Käufer zum alleinigen 'Betreiber' erklären, womit alle Pflichten der KI-Verordnung bei Ihnen hängen bleiben. Ein geschulter Einkäufer muss in der Lage sein, diese Klauseln zu identifizieren und nachzuverhandeln. Das ist weit wertvoller als das Wissen über die Geschichte der neuronalen Netze.
Die drei Säulen einer wirksamen Einkauf-Schulung
Wenn Sie Kurse für Ihr Team auswählen, achten Sie darauf, dass diese drei Säulen abgedeckt sind:
- Risikoklassifizierung nach Art. 4 und Anhang III: Das Team muss eigenständig entscheiden können, ob ein Tool in den Hochrisiko-Bereich fällt (z.B. KI im Personalwesen oder bei der Kreditwürdigkeitsprüfung).
- Prüfung der Dokumentationspflichten: Verständnis für Anhang IV. Welche Unterlagen muss der Lieferant vorlegen? Wie sieht eine Konformitätserklärung aus?
- Kontinuierliches Monitoring: Compliance endet nicht mit der Unterschrift. Wie stellt der Einkauf sicher, dass der Anbieter auch nach zwei Jahren noch die Anforderungen erfüllt, wenn sich das Modell durch 'Self-Learning' verändert hat?
Besonders für IT-Verantwortliche, die oft eng mit dem Einkauf zusammenarbeiten, ist dieses Wissen essenziell. Ich habe darüber bereits detaillierter im Kontext des KI-Führerscheins für IT-Leiter geschrieben. Es bringt nichts, wenn die IT ein Tool technisch freigibt, aber der Einkauf die regulatorischen Risiken nicht im Vertrag abfedert.
Fazit für den Mittelstand: Pragmatismus schlägt Hochglanz-Zertifikat
Lassen Sie sich nicht von wohlklingenden Titeln blenden. Ein Kurs, der nicht auf die spezifischen Prozesse Ihres Unternehmens eingeht, ist verschwendete Zeit. Suchen Sie nach Trainern, die den Unterschied zwischen einem Bereitsteller und einem Betreiber erklären können, ohne dabei in juristisches Kauderwelsch zu verfallen. Und denken Sie daran: Lassen Sie die finalen Klauseln immer von Ihrer Rechtsabteilung oder einem spezialisierten Anwalt prüfen — ich übersetze nur die Anforderungen in Ihren Arbeitsalltag, ich unterschreibe nicht für die rechtliche Letztgültigkeit.
Am Ende des Tages geht es darum, dass Ihr Einkaufsteam mit demselben Selbstbewusstsein über KI-Verträge verhandelt, mit dem es heute über Stahlpreise oder Cloud-Lizenzen spricht. Die KI-Verordnung ist kein unüberwindbares Hindernis, sondern ein Regelwerk, das man beherrschen kann — wenn man die richtigen Prioritäten bei der Ausbildung setzt. Wenn Sie unsicher sind, ob ein Kurs passt, werfen Sie einen Blick in das Curriculum: Fehlt der Bezug zu den Artikeln der Verordnung, ist es wahrscheinlich nur ein weiterer Prompting-Kurs unter vielen.