Es war einer dieser schwülen Nachmittage Mitte Juni, als ich in einem Frankfurter Konferenzraum saß und beobachtete, wie ein erfahrener Produktionsleiter eines mittelständischen Maschinenbau-Unternehmens stirnrunzelnd auf sein frisch ausgedrucktes Zertifikat starrte. Er hatte gerade einen der gängigen Kurse zum Thema „KI-Führerschein“ abgeschlossen. Auf dem Papier war er nun zertifiziert, doch als ich ihn fragte, wie er nun das Monitoring für sein neues Predictive-Maintenance-Tool gemäß der EU-KI-Verordnung dokumentieren wolle, erntete ich nur einen leeren Blick. Das Zertifikat half ihm in der operativen Realität seines Betriebs schlichtweg nicht weiter.
Diese Situation ist symptomatisch für eine Entwicklung, die ich seit Anfang Februar dieses Jahres bei vielen Mandanten beobachte. Die Verordnung ist in Kraft, die Fristen rücken näher, und der Markt wird mit Schulungsangeboten überflutet, die zwar nett klingen, aber die spezifischen Pflichten eines „Betreibers“ — im Englischen präziser als „Deployer“ bezeichnet — völlig vernachlässigen. Wer in der EU ein KI-System unter eigener Verantwortung einsetzt, ist rechtlich oft ein Betreiber gemäß Art. 3 (4) KI-VO. Und das bringt Pflichten mit sich, die weit über das bloße Wissen hinausgehen, wie man eine freundliche E-Mail von einem Sprachmodell schreiben lässt.
Die begriffliche Falle: Warum „Betreiber“ oft missverstanden wird
In meinen Beratungen seit Ende letzten Jahres stelle ich immer wieder fest, dass der deutsche Begriff „Betreiber“ für Verwirrung sorgt. Viele Geschäftsführer denken dabei sofort an die IT-Abteilung oder den Cloud-Provider. Ich wünschte oft, die deutsche Übersetzung hätte konsequent das Wort „Anwender“ oder „Einsetzender“ genutzt, um die Abgrenzung zur technischen Infrastruktur klarer zu machen. Ein Deployer im Sinne der Verordnung ist das Unternehmen, das die KI-Anwendung für seine Zwecke nutzt — sei es eine Software zur automatisierten Lebenslauf-Vorauswahl in der HR oder ein System zur Routenoptimierung in der Logistik.
Die Schulungspflicht ergibt sich primär aus Art. 4 KI-VO, der von allen Betreibern verlangt, Maßnahmen zu ergreifen, um ein angemessenes Maß an „KI-Kompetenz“ bei ihrem Personal sicherzustellen. Das gilt insbesondere für diejenigen, die mit dem Betrieb und der Nutzung der Systeme betraut sind. Doch hier beginnt das Problem: Ein Standard-Kurs von der Stange, der für 400 bis 600 Euro pro Kopf verkauft wird, deckt meist nur allgemeine Grundlagen ab. Er erklärt nicht, wie man die spezifischen Anweisungen des Herstellers umsetzt, die für Hochrisiko-Systeme zwingend vorgeschrieben sind.
Der Art. 13-Moment: Wenn die Dokumentation zur Realität wird
Ein entscheidender Wendepunkt in meinen Pilot-Workshops Ende April war die Konfrontation mit der tatsächlichen Dokumentationslast. Ich erinnere mich gut an den trockenen, leicht metallischen Geruch eines Hochleistungs-Laserdruckers in einem Darmstädter Büro, der gerade die 80 Seiten starke Dokumentation gemäß Art. 13 KI-VO für einen SaaS-Mandanten ausspuckte. Das ist kein Lesestoff für den Feierabend, sondern die Arbeitsgrundlage für den Deployer.
Gemäß Art. 13 müssen Anbieter von Hochrisiko-KI-Systemen dem Betreiber detaillierte Gebrauchsanweisungen zur Verfügung stellen. Eine sinnvolle Schulung für Deployer muss genau hier ansetzen: Wie liest man diese Dokumente? Wie übersetzt man die darin enthaltenen Überwachungspflichten in tägliche Checklisten? Ein allgemeiner „KI-Führerschein“, der diese Schnittstelle ignoriert, ist für einen mittelständischen Betrieb wertlos. Er vermittelt ein trügerisches Gefühl von Sicherheit, während die Compliance-Lücken bei der tatsächlichen Anwendung des Systems weit offen bleiben.
Es ist wichtig zu verstehen, dass die Anforderungen an die KI-Kompetenz je nach Kontext variieren. Ein Mitarbeiter im Einkauf, der lediglich Softwarelizenzen verwaltet, braucht ein anderes Wissen als der Ingenieur, der die Ausgaben eines KI-basierten Qualitätskontrollsystems validieren muss. In diesem Zusammenhang habe ich bereits früher darauf hingewiesen, dass beispielsweise ein KI-Führerschein für Logistikunternehmen ganz andere Schwerpunkte setzen muss als eine Schulung in der Verwaltung.
Die conträre Wahrheit: Das Risiko liegt in der Dateneingabe
Hier kommt ein Punkt, den viele Compliance-Berater und Kursanbieter gerne übersehen: Die Zertifizierung der technischen Deployer ist oft zweitrangig gegenüber der Schulung der Fachabteilungen in Bezug auf die Dateneingabe. Die größten rechtlichen und operativen Risiken entstehen nicht dadurch, dass die KI-Software an sich falsch konfiguriert ist, sondern dass Endanwender sie mit Daten füttern, die für den spezifischen Zweck nicht zulässig sind oder Verzerrungen (Bias) verstärken.
Wenn ein Personalleiter ein KI-System zur Analyse von Bewerbungen nutzt, das vom Hersteller für den US-Markt validiert wurde, aber im deutschen Kontext mit hiesigen Antidiskriminierungsgesetzen betrieben wird, hilft ihm kein technisches Zertifikat. Er muss verstehen, wie seine Eingaben das Ergebnis beeinflussen. Eine gute Schulung für Deployer im Mittelstand sollte daher modular aufgebaut sein:
- Modul 1: Rechtliche Grundlagen für alle (Was ist KI, was ist ein Hochrisiko-System?).
- Modul 2: Spezifische Pflichten nach Art. 26 KI-VO (Überwachung, Aufzeichnungspflichten).
- Modul 3: Operative Anwendung basierend auf der Art. 13-Dokumentation des Herstellers.
Vom „Box-Ticking“ zum risikobasierten Kompetenzaufbau
Nach den ersten drei Pilot-Workshops im Frühjahr wurde mir klar, dass wir weg müssen von der reinen „Abhaken“-Mentalität. Viele Anbieter werben mit „zertifizierten“ Kursen, aber wer zertifiziert hier eigentlich wen? Die EU hat bisher keine offiziellen Prüfsiegel für solche Schulungen vergeben. Was zählt, ist die Nachweisbarkeit der Kompetenz im Falle einer Prüfung durch die Aufsichtsbehörden. Ich rate meinen Mandanten mittlerweile dazu, einen internen „KI-Pass“ zu entwickeln, anstatt teure, generische Badges zu kaufen.
Dieser interne Pass dokumentiert nicht nur, dass ein Mitarbeiter ein Video gesehen hat, sondern dass er die spezifischen Risiken des im Unternehmen eingesetzten Systems verstanden hat. Das ist besonders in regulierten Bereichen kritisch. Wer sich beispielsweise mit einem KI-Führerschein für Medizintechnik befasst, weiß, dass die Fehlertoleranz dort gegen Null geht. Ein ähnliches Maß an Präzision sollten wir auch im Maschinenbau oder in der Versicherungswirtschaft anstreben.
Ein Fazit aus meiner Praxis: Sparen Sie sich das Geld für Schulungen, die nur erklären, wie man bessere „Prompts“ schreibt. Das ist ein nettes Werkzeug, aber keine Compliance-Strategie. Investieren Sie stattdessen in Formate, die Ihre Mitarbeiter befähigen, die Verantwortlichkeiten als Deployer ernst zu nehmen. Dazu gehört auch das Eingeständnis — und das sage ich auch meinen Mandanten ganz offen —, dass die Verordnung an manchen Stellen, etwa bei der genauen Abgrenzung von GPAI-Modellen in der Lieferkette, selbst erfahrene Berater noch vor Herausforderungen stellt.
Wenn Sie heute entscheiden müssen, welche Schulung sinnvoll ist, fragen Sie den Anbieter: „Wie wird die Umsetzung der herstellerspezifischen Instruktionen gemäß Art. 13 in Ihrem Kurs behandelt?“ Wenn die Antwort vage bleibt, suchen Sie weiter. Compliance im Mittelstand funktioniert nur, wenn sie nah am Prozess und nah am Produkt bleibt. Alles andere ist teures Theater für die Galerie, das beim ersten Audit wie ein Kartenhaus in sich zusammenbrechen wird. Ich bin kein Anwalt und diese Zeilen ersetzen keine Rechtsberatung, aber als jemand, der die technischen und organisatorischen Abläufe in über einem Dutzend Unternehmen gesehen hat, kann ich Ihnen sagen: Die Praxis schlägt die Theorie jedes Mal.