Vierzehn Mittelstandsunternehmen habe ich seit 2023 durch die Vorbereitung auf die KI-Verordnung begleitet, und nur bei einem einzigen saß der Projektleiter von der allerersten Sprint-Planung an mit am Tisch. Bei allen anderen kam die KI-Act-Schulung erst, nachdem das erste KI-Feature schon halb gebaut war, und genau an diesem einen Unterschied lässt sich ablesen, wie stark sich zwei Modelle für agile Compliance in der Praxis unterscheiden.
Modell eins schaltet eine zentrale Pflichtschulung vor den Projektstart, Modell zwei verteilt die Anforderungen der KI-Verordnung als einzelne Aufgaben über die laufenden Sprints. Für Teams, die regelmäßig neue KI-Funktionen ausliefern, schlägt Modell zwei in meiner Erfahrung deutlich durch. Für ein einzelnes, klar abgegrenztes Hochrisiko-System mit einem festen Prüftermin kann die vorgeschaltete Variante trotzdem die richtige Wahl sein, dazu später mehr.
Zwei Wege zum KI-Führerschein für Projektleiter im Mittelstand
Der Begriff 'KI-Führerschein' klingt nach einem Stück Papier für die Wand, gemeint ist aber ein Vorgehen: Anforderungen aus der KI-Verordnung werden in Checklisten und Backlog-Einträge übersetzt, die ein Projektleiter tatsächlich benutzt. Wie dieses Vorgehen organisiert wird, unterscheidet sich zwischen den beiden Modellen fundamental. Ob ein Team sein Board in Jira oder in einem anderen Werkzeug pflegt, ändert an diesem Grundmuster wenig, entscheidend ist, ob Compliance vor dem ersten Sprint abgehakt wird oder während der Sprints entsteht.
Weg A bremst genau dort, wo Agilität zählt
Bei einem mittelständischen Maschinenbauer war die erste Reaktion auf die KI-Verordnung eine Reihe Webinare bei einer großen Unternehmensberatung. Die Inhalte waren erkennbar für DAX-Konzerne konzipiert: Fallbeispiele aus internationalen Konzernstrukturen, Referenzen auf Compliance-Abteilungen, die es im Betrieb schlicht nicht gab. Die Projektleiter saßen zwei Tage im Konferenzraum und konnten hinterher kaum sagen, welche ihrer eigenen KI-Features überhaupt betroffen waren.
Genau an solchen Fällen wird deutlich, warum es sich lohnt, vor der Buchung genau zu prüfen, wer eine Schulung überhaupt anbietet und für welche Unternehmensgröße sie gedacht ist. Ob dabei ein Standard KI-Führerschein oder eine Individualschulung besser passt, ist eine eigene Abwägung, unabhängig vom Format bleibt das strukturelle Problem beim Gate-Ansatz aber bestehen: Die Schulung findet einmalig statt, bevor jemand weiß, welche konkreten Features im nächsten Quartal überhaupt gebaut werden.
Was ändert sich, wenn Compliance im Backlog landet?
Beim zweiten Modell wird die Risikoklassifizierung nicht in einem Workshop erklärt, sondern als Aufgabe formuliert, sobald ein Feature konkret genug ist. Wie diese Einstufung im Detail funktioniert, ist ein eigenes Thema für sich, im Sprint reicht zunächst die Gewohnheit, bei jedem neuen KI-Feature kurz zu prüfen, ob es überhaupt in diese Kategorie fallen könnte. Aus einem 'Wartungs-Tool mit KI-Unterstützung' wird so eine User Story wie 'Als System muss ich die Herkunft meiner Trainingsdaten nachvollziehbar dokumentieren', konkret genug, dass sie im Sprint tatsächlich bearbeitet wird. Wie diese Dokumentation am Ende lückenlos und prüfbar bleibt, ist wieder eine andere Frage, im Tagesgeschäft zählt zunächst, dass sie überhaupt entsteht, statt erst kurz vor einem Audit nachgereicht zu werden.
Bei einem Kunden in Darmstadt hat mich vor kurzem eine Nachricht überrascht, die nicht von mir kam: Der Betriebsrat hatte eigenständig Schulungsunterlagen zur KI-Verordnung in die interne Mitarbeiter-App hochgeladen, ohne dass ich oder die Geschäftsführung darum gebeten hatten. Für mich ist das bis heute eines der klarsten Zeichen dafür, dass ein Team die Regeln verstanden hat, statt sie nur abzunicken. Dass der Betriebsrat hier überhaupt ein Mitspracherecht hat und dieses auch nutzen sollte, ist vielen Geschäftsführungen im Mittelstand noch gar nicht bewusst. Für die Mittelstands-Digitalisierung zählt ein Team, das solche Fragen von selbst stellt, am Ende mehr als jedes Zertifikat an der Wand.
Ob dieses Wissen langfristig im Unternehmen selbst aufgebaut oder dauerhaft von außen zugekauft wird, ist noch mal eine andere Rechnung, die von Team zu Team unterschiedlich ausfällt. Unabhängig davon bringt es wenig, wenn ein Projektleiter die Paragraphen auswendig kennt, aber nicht erkennt, dass sein Team gerade personenbezogene Daten in ein nicht konformes Sprachmodell schüttet. Genau darum geht es bei der AI Literacy nach Artikel 4 im Mittelstand, nicht um Auswendiglernen, sondern um ein Gespür, das im Alltag greift.
Beide Ansätze im direkten Vergleich
Wo genau die Grenze zwischen einem einfachen Automatisierungs-Feature und einem prüfpflichtigen Hochrisiko-System verläuft, sorgt bei mir in Beratungsgesprächen regelmäßig für Rückfragen an Kollegen, so eindeutig, wie der Verordnungstext es suggeriert, ist die Abgrenzung in der Praxis nicht. Wer den englischen Verordnungstext neben die deutsche Fassung legt, merkt schnell, dass Begriffe wie 'adequate' hier mit 'hinreichend' übersetzt werden und dadurch mehr Auslegungsspielraum bekommen, als den meisten bewusst ist.
Welche Frist dabei als nächstes im Kalender rot markiert werden sollte, hängt vom Unternehmen und vom betroffenen System ab und würde hier zu weit führen. Was sich pro Kopf an Schulungsaufwand rechnet, hängt ebenso stark vom gewählten Format ab wie von der Teamgröße, auch das ist eine eigene Rechnung. Als Faustregel aus vierzehn Projekten würde ich sagen: Setzen Sie auf Modell eins, die vorgeschaltete Pflichtschulung, wenn Sie ein einzelnes klar abgegrenztes Hochrisiko-System mit einem festen externen Prüftermin haben und das Team dafür nur einmal zusammenkommt. Setzen Sie auf Modell zwei, die Einbettung in die Sprints, wenn Ihr Team laufend neue KI-Funktionen ausliefert und Compliance eine dauerhafte Gewohnheit werden soll statt eines einmaligen Ereignisses.
Struktur schlägt Zufall
Für Projektleiter im Mittelstand bedeutet das vor allem eins: Warten Sie nicht darauf, dass die Rechtsabteilung ein fertiges Konzept liefert, das wird in der agilen Welt fast immer zu spät kommen. Nehmen Sie die KI-Kompetenz im Team selbst in die Hand, unabhängig davon, für welches der beiden Modelle Sie sich entscheiden.
Ich bin kein Anwalt und kein Auditor, sondern jemand, der diese Anforderungen tagtäglich in Schulungspläne übersetzt, meine Einschätzungen hier ersetzen keine rechtliche Prüfung im Einzelfall. Die Haftungsvermeidung durch KI-Schulungen gehört trotzdem auf jede Agenda der Geschäftsführung, gerade weil Compliance-Anforderungen je nach Unternehmensgröße, Branche und Einsatzkontext unterschiedlich ausfallen und sich nicht pauschal beantworten lassen.