Zwischen zwei Browser-Tabs wechsle ich gerade hin und her, links das XML-Gerüst eines SCORM-1.2-Pakets, rechts ein xAPI-Statement-Log, das in Echtzeit mitschreibt, welcher Mitarbeiter welchen Klick macht. Beide gehören zum selben gesetzlichen Auftrag: den KI-Führerschein für zwei völlig unterschiedliche Mandanten ins bestehende Learning Management System zu bringen. Derselbe Pflichtsatz aus der KI-Verordnung, zwei technische Antworten, die kaum unterschiedlicher sein könnten.
Der erste Fall: ein Maschinenbauer mit rund 500 Mitarbeitern, klassische Mittelstandsstruktur, IT-Abteilung ohne große Personalreserve und kein Schulungsbudget in Konzerngröße. Vor unserer Zusammenarbeit hatte die Geschäftsführung bereits reagiert — mit Webinaren einer überregionalen Unternehmensberatung, deren Fallbeispiele fast ausschließlich DAX-Konzerne betrafen. Vorstandsstrukturen mit eigener Compliance-Abteilung, Prozesse, die in einem Betrieb dieser Größe schlicht nicht existieren. Die Teilnahme brach schnell ein, und übrig blieb ein PDF, das kaum jemand wirklich gelesen hatte.
Genau an dieser Stelle setzt Art. 4 KI-VO an: Anbieter und Betreiber müssen ein angemessenes Maß an KI-Kompetenz bei ihrem Personal sicherstellen, nicht nur behaupten. Was als angemessen gilt, hängt stark davon ab, ob das eingesetzte System unter Anhang III als Hochrisiko gilt oder nicht; die genaue Abgrenzung dieser Risikoklassen ist ein eigenes Thema für sich, das an anderer Stelle ausführlicher behandelt gehört. Für den Maschinenbauer bedeutete es zunächst: ein SCORM-1.2-Modul mit Quiz am Ende, verknüpft mit der digitalen Unterschrift im LMS.
Warum ein SCORM-Häkchen den Nachweis nicht erbringt
Ein Multiple-Choice-Quiz beweist, dass jemand eine Frage richtig geraten hat — mehr nicht. Für die Nachweispflicht der Verordnung reicht das in der Praxis oft nicht, weil Auditoren inzwischen genauer hinschauen, ob echtes Verständnis oder bloßes Abhaken dokumentiert wurde; wie diese Dokumentation im Detail auszusehen hat, ist wieder ein eigenes Kapitel. Dazu kommt, dass die Haftung der Geschäftsführung bei mangelhafter Schulung ein Thema ist, das in solchen Gesprächen regelmäßig zur Sprache kommt, auch wenn ich dazu keine Rechtsberatung gebe.
Beim zweiten Mandanten, einem SaaS-Anbieter mittlerer Größe, lief es anders. Dort hatten wir das LMS von Anfang an nur als Ankerpunkt für die Dokumentation begriffen — die eigentliche Prüfung fand in einer Sandbox statt, in der Mitarbeitende eine echte KI-Halluzination in generiertem Code aufspüren mussten. Erst nach bestandener Aufgabe meldete das System den Erfolg zurück, verknüpft über xAPI-Statements, die auch außerhalb des LMS protokollieren, ob Prompting-Leitfäden im Arbeitsalltag tatsächlich genutzt werden.
Der xAPI-Ansatz zeigt Verhalten, nicht nur Wissen
Die Formatwahl ist dabei keine Nebensache. Ob ein Unternehmen auf ein klassisches E-Learning-Modul oder einen Workshop mit Praxisanteil setzt, entscheidet technisch vor, wie sich der Führerschein überhaupt ins LMS einspielen lässt und ob die Nachweisführung am Ende automatisch oder manuell erfolgt — ein Vergleich, der ein eigenes Kapitel füllt. Bei besagtem SaaS-Anbieter zeigte sich schnell ein Nebeneffekt: Sobald das System Lernfortschritt pro Kopf mitschreibt, wird die Lernplattform selbst zu einer Überwachungseinrichtung im Sinne der Mitbestimmung, und der Betriebsrat muss eingebunden werden, bevor das erste Tracking live geht.
Ein Freund von mir, der regelmäßig im Kletterzentrum Frankfurt-West bouldert, hat mir unbeabsichtigt die beste Analogie dafür geliefert. In der Kletterhalle zählt nicht, ob jemand das Sicherheitsplakat gelesen hat — gezählt wird, welche Route tatsächlich sauber geklettert wurde. Genau diesen Unterschied zwischen Wissen-Behaupten und Können-Zeigen versuche ich seither in jedes Beratungsgespräch mitzunehmen, wenn es um die Wahl zwischen statischem Modul und Workflow-Integration geht.
Neulich saß ich in einer Videokonferenz, als der Geschäftsführer eines Stuttgarter Zulieferbetriebs mitten im Vorstandsmeeting selbst erklärte, warum das firmeneigene Prognosetool als Hochrisiko-System einzustufen ist — ohne dass ich ihm ein Wort soufflieren musste. Das war der Moment, in dem mir klar wurde, dass die Workflow-Integration bei ihm tatsächlich gegriffen hatte, nicht nur auf dem Papier. Bei Zulieferbetrieben kommt ohnehin eine zusätzliche Ebene dazu: Pflichten aus der Lieferkette werden oft an sie weitergereicht, ein Thema, das eine eigene, ausführlichere Betrachtung verdient.
Was beide Modelle am Ende wirklich trennt
Der Aufwand pro Kopf unterscheidet sich zwischen beiden Ansätzen spürbar, und eine seriöse Kosten-Gegenüberstellung würde hier den Rahmen sprengen — die gehört an anderer Stelle im Detail durchgerechnet. Ähnlich verhält es sich mit den Übergangsfristen der Verordnung: Wer seinen konkreten Zeitplan bis wann welche Pflicht greift noch nicht kennt, sollte das vor der Formatwahl klären, nicht danach. Und bei der Frage, ob man diese Integration intern mit der eigenen IT stemmt oder extern vergibt, gilt für mich eine einfache Faustregel — intern, wenn die IT-Abteilung Kapazität und Verordnungskenntnis hat, extern, wenn beides fehlt.
Anbieter prüfen, Rollen sauber trennen
Wer extern einkauft, sollte nicht nur auf den Preis schauen, sondern auf eine nachvollziehbare Checkliste, an der sich Anbieter messen lassen — Referenzen aus der eigenen Branche, Nachweisformate, Aktualisierungszyklen bei neuen Leitlinien. Genau hier scheitern viele Portale großer Wirtschaftskanzleien, die zwar juristisch sauber wirken, aber keine mittelstandsspezifischen Praxisbeispiele liefern. Wichtig ist außerdem, sauber zwischen der Rolle als Anbieter und der als Betreiber zu unterscheiden — ein Punkt, an dem mir die Abgrenzung in Graubereichen selbst manchmal schwerfällt, gerade wenn ein Unternehmen ein KI-System anpasst und dadurch faktisch zum Anbieter wird.
Auch Transparenzpflicht und Datenschutz entscheiden mit
Zwei weitere Punkte gehören in jede Abwägung, auch wenn sie hier nur kurz Platz finden. Zum einen die Transparenzpflicht gegenüber Mitarbeitenden in Vertrieb und Marketing, die im Kundenkontakt offenlegen müssen, wo KI im Spiel ist — ein eigenes Thema für sich. Zum anderen die Schnittmenge zur Datenschutz-Grundverordnung, sobald Lernfortschritt personenbezogen gespeichert wird; spätestens dann gehört der betriebliche Datenschutzbeauftragte an den Tisch. Auch die Frage, ob man den englischen Originaltext oder die deutsche Übersetzung der Verordnung als Grundlage nimmt, ist keine akademische Spitzfindigkeit — aber auch das würde hier zu weit führen.
Welches Modell passt zu welchem Unternehmen?
Für kleinere Betriebe mit überschaubarer Belegschaft und einem KI-Einsatz, der klar nicht in die Hochrisiko-Kategorie fällt, reicht ein sauber dokumentiertes SCORM-Modul oft aus — vorausgesetzt, das Quiz wird durch echte Fallbeispiele aus der eigenen Branche ergänzt und nicht nur abgehakt. Sobald jedoch ein Hochrisiko-System im Einsatz ist, mehrere Abteilungen unterschiedliche KI-Werkzeuge nutzen oder die Geschäftsführung im Ernstfall vor einem Auditor bestehen muss, würde ich immer zur xAPI-Workflow-Integration raten, so aufwendig sie in der Einrichtung auch ist. Wenn Sie unsicher sind, in welche Kategorie Ihr Unternehmen fällt, lesen Sie sich in die KI-Führerschein für den Mittelstand-Grundlagen ein, bevor Sie sich für ein Format entscheiden — und werfen Sie danach einen Blick darauf, wie andere zertifizierte KI Schulungen für KMU ihre Nachweisführung tatsächlich aufbauen.
Beide Wege erfüllen am Ende denselben Artikel 4 — nur mit völlig unterschiedlichem Aufwand und völlig unterschiedlicher Beweiskraft, falls es jemals zur Prüfung kommt. Bevor Sie also in ein LMS-Modul investieren, klären Sie zuerst, welche der beiden Fragen bei Ihnen im Vordergrund steht: Wissen nachweisen oder Verhalten verändern.