Ich sortiere gerade die Rückfragen der letzten Tage in drei Stapel: Risikoklassifizierung, Dokumentationspflichten und eine dritte, unbequeme Kategorie, die mich beschäftigt, seit ich AI-Act-Schulungen für Mandanten vergleiche. Nämlich: Wie tief muss ein Compliance Officer im Mittelstand die KI-Verordnung selbst beherrschen, bevor er überhaupt eine passende Weiterbildung einkaufen kann?
Bevor ich das beantworte, kurz zur Transparenz: In diesem Beitrag verlinke ich Schulungsanbieter, deren Inhalte ich für Mandanten geprüft habe — darunter auch Partnerlinks, über die ich eine Provision erhalte, ohne dass sich Ihr Preis dadurch ändert. Empfohlen wird nur, was ich selbst mindestens zwei Mandanten konkret vorgeschlagen habe. Und, damit das klar ist: Ich bin Berater für die praktische Umsetzung, kein Anwalt und kein Auditor — diese Einschätzungen ersetzen keine Rechtsberatung.
Warum reicht eine allgemeine KI-Schulung für Compliance Officer im Mittelstand nicht aus?
Die häufigste Verwechslung, die ich in Erstgesprächen erlebe: Compliance Officer und IT-Leiter denken, eine gute Schulung bringe ihnen vor allem ein besseres Gefühl für Künstliche Intelligenz als Technologie. Das greift zu kurz. Es geht um Haftung — um die Frage, welches System im eigenen Haus unter die Hochrisiko-Klassifizierung fällt und welche Pflichten daraus entstehen, wenn Sie als Betreiber oder gar als Anbieter auftreten. Kurt Dallmann, IT-Leiter eines mittelständischen Maschinenbauers aus der Rhein-Main-Region und einer meiner ersten AI-Act-Mandanten, wollte anfangs nur eine einseitige Pflichtübersicht. Aus dem Erstgespräch wurde ein mehrstufiger Compliance-Fahrplan, weil sich herausstellte, dass gleich mehrere interne Tools — von der Bewerbervorauswahl bis zur Qualitätskontrolle in der Fertigung — genauer geprüft werden mussten, als er zunächst angenommen hatte.
Das Gespräch mit Kurt zeigt auch, wo eine gute Schulung ansetzen muss: bei der Übersetzung der Verordnung in unternehmensspezifische Beispiele. Art. 4 KI-VO verlangt ausreichende KI-Kompetenz im Unternehmen — ein Punkt, den viele Anbieter nur als Folie abhaken, statt ihn an der tatsächlichen Systemlandschaft eines Maschinenbauers oder SaaS-Anbieters durchzuspielen.
Muss der Compliance Officer tiefer geschult werden als der Rest der Belegschaft?
Ja — und zwar aus einem Grund, der in Erstgesprächen oft übersehen wird. Der Compliance Officer bildet die Schnittstelle zu externen Zulieferern und muss deshalb tief genug ausgebildet sein, um zugelieferte Risikoeinschätzungen und Dokumentationen fachlich zu bewerten; die restliche Belegschaft braucht diese Tiefe nicht. Ein Vertriebsmitarbeiter muss wissen, dass er ein KI-System nicht unbemerkt am Betriebsrat vorbei einführen darf. Der Compliance Officer muss wissen, ob die technische Dokumentation, die ein externer Softwarelieferant mitliefert, überhaupt den Anforderungen aus Kapitel III standhält.
Genau diese Rückfragen erreichen mich meistens spät. Kurt Dallmann zum Beispiel schickt seine Nachfragen fast immer nach Feierabend, oft erst gegen 22 Uhr — eine kurze E-Mail mit der Frage, ob ein Lieferant seine Pflichten als Anbieter trägt oder er selbst als Betreiber in der Verantwortung steht. Auch bei einem lediglich leicht angepassten Standardtool ist mir diese Grenze nicht immer auf Anhieb klar — das sage ich Mandanten auch so, wenn die Frage aufkommt.
E-Learning, Workshop oder Individualschulung: die Wahl für die IT-Governance im Unternehmen
Die generelle Abwägung zwischen E-Learning und Live-Workshop für die breite Belegschaft habe ich an anderer Stelle ausführlicher verglichen — dort geht es vor allem um Reichweite und Kosten pro Kopf. Für den Compliance Officer selbst zählt etwas anderes: Er oder sie muss Rückfragen stellen können, die kein Videokurs beantwortet, etwa wie sich eine neue KI-gestützte Angebotserstellung im Vertrieb in die IT-Governance und das bestehende Qualitätsmanagement einfügt. Ein reines Aufzeichnungsformat lässt genau diese Fragen offen.
Ob am Ende ein Standardformat wie der KI-Führerschein reicht oder eine Individualschulung nötig ist, hängt stark davon ab, wie viele unterschiedliche KI-Systeme bereits im Haus im Einsatz sind. Bei einem einzelnen Anwendungsfall — sagen wir, einer Software zur Angebotskalkulation — reicht ein strukturiertes Standardformat meist aus. Sobald mehrere Abteilungen mit unterschiedlichen Tools arbeiten, wie bei Kurt Dallmanns Maschinenbauer zwischen Personalabteilung und Fertigung, wird eine individuelle Begleitung schnell zur besseren Investition. Für IT-Leiter im Speziellen habe ich diesen Zusammenhang in einem eigenen Beitrag zum KI-Führerschein für IT-Leiter genauer aufgeschlüsselt.
Erkennungszeichen für oberflächliche AI-Act-Schulungen
Ein klares Warnsignal: Der Anbieter stellt nach einer kurzen Klickstrecke ein Zertifikat aus, ohne die Teilnehmer inhaltlich zu prüfen. Solche reinen Zertifikatsmühlen sind im Audit-Fall wenig wert, weil Aufsichtsbehörden nach der tatsächlichen Kompetenz fragen, nicht nach der PDF-Urkunde. Ich habe das selbst am eigenen Leib erfahren, allerdings von der anderen Seite: In einem meiner ersten Mandate habe ich versucht, die Verordnung intern über PowerPoint-Folien mit dem reinen Verordnungstext zu vermitteln. Keine einzige Person im Team hat die Präsentation bis zur letzten Folie durchgeklickt — die Rückmeldungen blieben bei den ersten Folien stecken, der Rest verpuffte. Seitdem baue ich jede Schulung, die ich empfehle oder selbst halte, um konkrete Fallbeispiele aus der jeweiligen Branche herum, nicht um den reinen Verordnungstext.
Was ein guter KI-Führerschein für Compliance Officer konkret leisten muss
Nach einem Vortrag bei der IHK Frankfurt am Main am Börsenplatz zu den Fristen der KI-Verordnung kamen innerhalb einer Woche über vierzig Direktanfragen aus dem gesamten deutschsprachigen Raum in mein Postfach — die meisten mit derselben Grundfrage: Welches Format schult einen Compliance Officer so, dass er im Audit tatsächlich besteht? Meine Antwort ist inzwischen immer dieselbe: Das Format muss die Risikoklassifizierung anhand echter Systeme durchspielen, nicht nur an abstrakten Beispielen aus Anhang III, und es muss zeigen, wie eine Dokumentation aussieht, die im Ernstfall vor einer Behörde besteht.
Der KI-Führerschein deckt genau diese Lücke für die meisten Mittelständler, die ich begleite, gut ab — nicht, weil er der einzige Anbieter am Markt ist, sondern weil er Dokumentationspflichten so aufbereitet, dass ich sie nicht mehr mühsam einzeln in Tabellen nachbauen muss. Einen Normierungsbericht, den mir mein ehemaliger Kollege Reinhard Wulff kürzlich unkommentiert zugeschickt hat, deckt sich in den Grundzügen mit genau diesen Anforderungen — er sitzt heute in einem Normungsgremium und schickt solche Berichte grundsätzlich, ohne eine Rückmeldung zu erwarten.
Die Entscheidung, die Sie nicht aufschieben sollten
Ob Sie sich für ein Standardformat oder eine Individualschulung entscheiden, hängt von Ihrer Systemlandschaft ab — einen ausführlicheren Vergleich für KMU habe ich an anderer Stelle zusammengestellt. Was in jedem Fall zählt: Die Compliance-Anforderungen aus Kapitel III verlangen eine lückenlose Dokumentation über den gesamten Lebenszyklus eines Systems, und diese Dokumentation entsteht nicht rückwirkend in einer Audit-Woche. Wer nur auf die IT-Abteilung zeigt, wenn die KI-Verordnung zur Sprache kommt, wird im Zweifel selbst zur Haftungsfrage.
Nutzen Sie die verbleibende Zeit, um zu klären, welches Format zu Ihrer Unternehmensgröße passt, statt die Entscheidung auf die lange Bank zu schieben. Wenn Sie unsicher sind, ob ein Standardformat wie der KI-Führerschein für Ihr Team reicht oder eine Individualschulung nötig ist, sprechen Sie das konkret mit Ihrer IT-Abteilung und, wo vorhanden, mit Ihrem Datenschutzbeauftragten ab — die Überschneidungen zwischen beiden Themenfeldern sind größer, als die meisten Compliance Officer zu Beginn denken.