Ein Volljurist, der jeden Absatz der KI-Verordnung auswendig zitieren kann, und eine Justiziarin, die ein technisches Datenblatt eines KI-Anbieters lesen und einordnen kann. Das sind zwei völlig unterschiedliche Kompetenzen, und die meisten Anbieter von KI-Act-Compliance-Schulungen verkaufen ausschließlich die erste. Für die Rechtsabteilung eines Mittelstandsunternehmens, die eine Legal-Tech-Fortbildung zur KI-Kompetenz-Pflicht aus Art. 4 KI-VO sucht, ist das ein teures Missverständnis: Wer die Schulung danach auswählt, wer am lautesten mit Paragrafen wirbt, bekommt eine Vorlesung über Gesetzestexte statt eine Fähigkeit, mit der die Abteilung im Alltag tatsächlich etwas anfangen kann.
Warum reicht juristisches Fachwissen für KI-Act-Compliance nicht aus?
Der Irrglaube, dem ich in Erstgesprächen fast immer begegne, klingt einleuchtend: Ein Jurist muss vor allem den Verordnungstext beherrschen, der Rest ergibt sich von selbst. Das stimmt nicht — was die Rechtsabteilung laut Art. 4 KI-VO an Kompetenz nachweisen muss, ist ein eigenes, größeres Thema; für die Anbieterauswahl reicht die Feststellung, dass ein Jurist beurteilen können muss, ob die technische Dokumentation eines Systems die Transparenzanforderungen tatsächlich erfüllt. Das setzt ein Grundverständnis von Risikomanagement voraus, wie es eher Ingenieure mitbringen als frisch examinierte Volljuristen. Ob es dabei um die Kreditwürdigkeitsprüfung in der Versicherung oder die Bauteilprüfung im Maschinenbau geht, ändert an dieser Grundanforderung wenig.
Gutachten statt Schulungsplan: eine teure Fehlentscheidung
Vor einiger Zeit hat ein Unternehmen, das ich beraten habe, zunächst eine Rechtsanwaltskanzlei mit dem Thema beauftragt. Herausgekommen ist ein sauber formuliertes juristisches Gutachten — mit Fußnoten, mit Verweisen, mit allem, was ein Gutachten braucht, nur eben keinen einzigen Schulungsplan, den die Justiziare am Montag danach hätten anwenden können. In einem Nachgespräch in einem Café nahe der Zeil in der Frankfurter Innenstadt musste ich dem zuständigen Justiziar erst erklären, was eine Schulung von einem Rechtsgutachten unterscheidet. Genau diesen Unterschied sollten Sie bei der Anbieterauswahl im Kopf behalten: Eine Kanzlei liefert eine rechtliche Würdigung, eine Fortbildung liefert eine Fähigkeit. Mein früherer Kollege Ludwig Sachse, der heute auf der Prüferseite bei einem Zertifizierungsdienstleister sitzt, bringt es auf den Punkt — er fragt bei jeder Schulung zuerst, welches Nachweisdokument am Ende dabei herauskommt, nicht welche Rechtsfrage besprochen wurde. Wer die eigene Schulung intern mit Fachanwälten aufbaut statt komplett einzukaufen, muss diese Grundsatzfrage ohnehin für sich beantworten.
Technisches Verständnis schlägt reines Paragrafenwissen
Klassische Software verhält sich deterministisch, ein KI-System dagegen probabilistisch. Und diesen Unterschied muss die Rechtsabteilung verinnerlichen, bevor sie Verträge oder Freigabeprozesse entwirft. Ein Anwalt, der das nicht auf dem Schirm hat, fordert in Vertragsklauseln schnell eine hundertprozentige Fehlerfreiheit bei einem Bilderkennungssystem — eine Anforderung, die technisch schlicht nicht einlösbar ist. Wie teuer diese Wissenslücke werden kann, habe ich in einem Vorstandsmeeting in Stuttgart gesehen, in dem der Geschäftsführer ein Hochrisiko-KI-System vorstellte, als handle es sich um eine gewöhnliche Kalkulationstabelle — niemand im Raum, auch die anwesende Rechtsabteilung nicht, konnte die Einstufung ernsthaft hinterfragen. Zugegeben, in einem Punkt komme ich selbst regelmäßig ins Grübeln: Ab wann ein intern angepasstes Sprachmodell zu einem eigenständigen KI-System im Sinne der Verordnung wird statt einer bloßen Anwendung eines bestehenden GPAI-Modells, ist auch nach etlichen Mandaten kein Fall, den ich im ersten Satz beantworten kann. Wenn ein Kurs solche Grenzfälle nicht einmal andeutet, bleibt er für die Rechtsabteilung auf dem Niveau einer Pressemitteilung.
Eine Fortbildung an der Praxis der Rechtsabteilung ausrichten
Bauen Sie die Auswahl auf wenigen, aber harten Kriterien auf, statt auf einer Hochglanzbroschüre. Verlangen Sie einen Praxisteil, in dem das Team ein Sandbox-System aktiv an seine Grenzen bringt, statt nur zuzuhören. Erst im eigenen Versuch, ein System zu diskriminierenden Ausgaben zu bewegen, entsteht ein Gefühl für die Kontrollpflichten, die tatsächlich greifen. Bestehen Sie außerdem auf einer Vorlage für den Nachweis der KI-Kompetenz, denn was genau dabei dokumentiert werden muss, ist eine eigene, größere Frage, die die Fortbildung zumindest mit einer brauchbaren Vorlage beantworten sollte. Fragen Sie auch, ob Präsenzworkshop oder E-Learning zur Struktur Ihrer Rechtsabteilung passt — das eine eignet sich für Diskussionsfälle, das andere für Auffrischung im eigenen Tempo, und die Antwort hängt eher von Ihrer Teamgröße ab als von der Qualität des Anbieters. Wird die Schulung unternehmensweit ausgerollt, sollten Sie zudem früh klären, welche Mitbestimmungsrechte der Betriebsrat bei der Einführung hat — das gehört in die Planung, nicht erst in die Umsetzung danach. Und weil Anbieter- und Betreiberpflichten nach der Verordnung unterschiedlich ausfallen, sollte im Kurs zumindest kurz geklärt werden, in welcher Rolle Ihr Unternehmen jeweils steckt.
Ein Geschäftsführer braucht weniger Tiefe als die eigene Rechtsabteilung
Otto Wesseler, Geschäftsführer eines Logistikunternehmens im Rhein-Ruhr-Korridor, wollte am Anfang unseres ersten Gesprächs nur eine Antwort: Welche Pflicht gilt für sein Unternehmen, und was kostet es, sie zu erfüllen? Für einen Geschäftsführer ist das eine legitime Priorität, für die Rechtsabteilung reicht sie nicht — im Streitfall muss ein Justiziar gegenüber der Marktüberwachungsbehörde begründen können, warum eine Einstufung so und nicht anders ausgefallen ist, nicht nur, dass sie eingehalten wurde. Wie eng die Übergangsfristen für einzelne Pflichten bemessen sind, würde hier zu weit führen, aber eine Schulung, die dieses Thema komplett ausklammert, ist für die Terminplanung der Rechtsabteilung wenig wert. Wo die Kompetenzen aus dem Datenschutzrecht ohnehin schon vorhanden sind, muss die Rechtsabteilung zudem entscheiden, welche bestehenden Prozesse für die KI-VO weiterverwendet werden können und wo ein eigenes Verfahren nötig wird — auch das gehört in eine gute Fortbildung, wird aber gerne übersprungen. Wer eine solidere Grundlage sucht, bevor die Rechtsabteilung überhaupt so tief einsteigt, findet in meinem Beitrag zum KI-Führerschein für den Mittelstand bei gesetzlichen Schulungspflichten eine gute Basis — für die Rechtsabteilung selbst braucht es danach trotzdem die tiefere Ebene.
Wie erkennen Sie die passende Fortbildung im Erstgespräch?
Reine 'Paragrafen-Webinare', wie sie viele IT-Sicherheitszertifizierer im Baukastenformat anbieten, bleiben oft an der Oberfläche des Gesetzestexts hängen, ohne dass ein Teilnehmer danach ein technisches Dokumentationsblatt selbstständig lesen könnte — genau daran erkennen Sie eine Fortbildung, die an der eigentlichen Aufgabe der Rechtsabteilung vorbeigeht. Bevor Sie unterschreiben, prüfen Sie eine einzige Sache: Kann der Trainer im Raum einer Justiziarin in einfachen Worten erklären, wo bei einem konkreten System die Grenze zwischen automatisierter Vorschlagsfunktion und autonomer Entscheidung verläuft? Wenn ja, haben Sie eine Schulung gefunden. Wenn nein, haben Sie ein Gutachten gekauft, das sich als Kurs verkleidet. Bevor ich einer Rechtsabteilung grünes Licht für einen Anbieter gebe, tippe ich die Entscheidungsvorlage meist selbst noch einmal durch — die kühle Tischplatte unter den Handgelenken ist mir dabei inzwischen vertrauter als jede einzelne Verordnungsklausel. Dieser Beitrag ersetzt keine individuelle Prüfung durch einen Fachanwalt für IT-Recht oder Ihren externen Datenschutzbeauftragten — er soll Ihnen nur helfen, vor der Buchung die richtigen Fragen zu stellen.