KI-Kompetenz im Mittelstand: Warum das bloße Lesen der Verordnung nicht als Schulung zählt

Es war ein später Abend in meinem Frankfurter Home-Office — die Lichter der Skyline flackerten bereits im Hintergrund — als ich zum dritten Mal den englischen Originaltext von Artikel 4 der KI-Verordnung mit der offiziellen deutschen Übersetzung verglich. Während das Deutsche hölzern von 'Maßnahmen zur Förderung der KI-Kompetenz' spricht, nutzt das Englische den Begriff 'AI Literacy'. Es klingt nach einer Nuance, aber für meine Arbeit im Mittelstand ist dieser Unterschied entscheidend: Es geht nicht nur darum, Wissen anzubieten, sondern eine messbare Befähigung zu schaffen.

Hinweis: Diese Seite enthält Affiliate-Links zu Anbietern, deren Kurse ich für meine Mandanten geprüft habe. Wenn Sie über diese Links buchen, erhalte ich eine Provision — für Sie ändert sich nichts am Preis. Ich verlinke ausschließlich Anbieter, die ich mindestens zwei Mandanten konkret empfohlen habe. Ich bin kein Anwalt und kein Auditor, sondern Berater, der Compliance-Anforderungen in die Praxis übersetzt. Diese Inhalte ersetzen keine Rechtsberatung.

Die 'PDF-Falle' im Maschinenbau

Ende letzten Jahres saß ich bei einem langjährigen Mandanten, einem mittelständischen Maschinenbauer aus der Region. Der Geschäftsführer fragte mich ganz direkt: 'Herr Berater, reicht es nicht, wenn ich meinen Konstrukteuren eine E-Mail mit dem Verordnungstext und einer kurzen Belehrung schicke? Dann haben sie es gelesen und wir sind safe, oder?'

Meine Antwort war ein klares Nein. Artikel 4 der KI-Verordnung (KI-VO) verpflichtet Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zu ergreifen, um ein ausreichendes Maß an KI-Kompetenz bei ihrem Personal sicherzustellen. Wer nur ein Dokument verschickt, kann im Ernstfall nicht nachweisen, dass die Mitarbeiter die Risiken — etwa bei der Nutzung generativer KI für Code-Snippets in der Steuerungstechnik — wirklich verstanden haben. Bei Verstößen gegen verbotene KI-Praktiken drohen Bußgelder von bis zu 7 Prozent des weltweiten Vorjahresumsatzes (Art. 99 KI-VO). Das ist kein theoretisches Schreckgespenst, sondern ein massives Haftungsrisiko für die Geschäftsführung.

Warum 'Lesen' keine 'Kompetenz' ist

Im Laufe des Frühjahrs wurde mir bei der Durchsicht verschiedener Schulungsunterlagen klar: Ohne messbaren Nachweis der Kompetenz steht ein Unternehmen bei einer Prüfung durch die Marktüberwachungsbehörde mit leeren Händen da. Die Behörden, die voraussichtlich eng mit den Datenschutzbeauftragten verzahnt sein werden, verlangen Dokumentation. Wer hat wann was gelernt? Und wurde der Kontext der Anwendung berücksichtigt?

Ein pauschales 'One-size-fits-all'-Video ist oft rechtlich angreifbar, weil es die spezifischen Gefahren im jeweiligen Sektor ignoriert. In der Logistik sind andere Aspekte relevant als bei einem SaaS-Anbieter für HR-Software. Was gute Programme enthalten müssen, geht weit über die reine Theorie hinaus. Es braucht Fallbeispiele, die den Arbeitsalltag der Mitarbeiter widerspiegeln. Wenn ein Konstrukteur nicht weiß, warum er vertrauliche CAD-Daten nicht in ein öffentliches GPAI-Modell (General Purpose AI) hochladen darf, nützt ihm das Wissen über die Existenz von Anhang III der Verordnung wenig.

Der Wendepunkt: Strukturierte Nachweise statt 'Glaubensbekenntnis'

Nach den ersten Pilot-Workshops im Juni stellte ich fest, dass viele Geschäftsführer zwar den Ernst der Lage erkannt hatten, aber vor dem administrativen Aufwand zurückschreckten. Hier liegt ein interessanter Trade-off: Die Implementierung von Standard-KI-Compliance-Modulen spart zwar initiale Entwicklungszeit, erfordert jedoch langfristig einen höheren administrativen Anpassungsaufwand als individuell zugeschnittene, schlanke Schulungslösungen. Warum? Weil Standardmodule oft zu breit gefächert sind und Mitarbeiter mit Informationen überfrachten, die sie nie brauchen, während kritische interne Prozesse fehlen.

Ich habe begonnen, strukturierte Ansätze gegen meine eigenen Webinar-Konzepte zu testen. Dabei hat sich gezeigt, dass standardisierte Nachweise wie ein KI-Führerschein die Haftungssicherheit massiv erhöhen. Solche Programme bieten einen klaren Rahmen, sind aber flexibel genug, um nicht das Budget zu sprengen. Besonders für den Einkauf und das Vendor Management ist dies essenziell, da hier die Weichen für die gesamte Compliance-Kette gestellt werden.

Umsetzungsfristen und der Druck der Aufsicht

Während einer ruhigen Phase im Spätsommer analysierte ich die Übergangsfristen. Für allgemeine KI-Modelle (GPAI) gilt eine Frist von 12 Monaten nach Inkrafttreten. Das klingt nach viel Zeit, ist es aber nicht. Wer jetzt nicht anfängt, die Belegschaft zu sensibilisieren, wird 2026 von der regulatorischen Realität überholt. Die Marktüberwachungsbehörden werden keine Mitleidspunkte für 'wir haben es versucht' verteilen. Sie werden nach der Dokumentation der KI-Kompetenz gemäß Art. 4 fragen.

In meiner Beratungspraxis empfehle ich mittlerweile oft den KI-Führerschein als Basis. Er deckt die geforderten Grundlagen ab und lässt sich gut durch spezifische Inhouse-Sessions ergänzen. Es geht darum, die Mitarbeiter so zu befähigen, dass die Rechtsabteilung nachts ruhig schlafen kann. Compliance im Mittelstand ist kein Selbstzweck; es ist Risikomanagement in seiner reinsten Form.

Fazit für die Geschäftsführung

Verlassen Sie sich nicht darauf, dass Ihre IT-Abteilung 'das schon irgendwie mitmacht'. Die Pflicht zur KI-Kompetenz ist eine Organisationspflicht der Geschäftsführung. Ein strukturiertes Schulungsprogramm ist die günstigste Versicherung gegen Bußgelder und Reputationsschäden. Sprechen Sie mit Ihrem Rechtsbeistand oder einem qualifizierten Berater, um sicherzustellen, dass Ihre Schulungsmaßnahmen den Anforderungen der KI-Verordnung standhalten. Der aktuelle Preis für solche Programme ist auf den Seiten der Anbieter einsehbar und kann je nach Umfang variieren — investieren Sie lieber in fundiertes Wissen als später in teure Bußgelder.