Ein Prompt-Workshop für die halbe Belegschaft und eine Schulung für interne Auditoren haben ungefähr so viel gemeinsam wie ein Bedienungshandbuch und ein Prüfbericht: beide drehen sich um KI, aber nur einer von beiden hält einer Prüfung durch die Aufsichtsbehörde stand. Genau diese Verwechslung sehe ich bei der KI-Act-Compliance im Mittelstand ständig: Geschäftsführungen kaufen einen 'KI-Führerschein' für die gesamte Belegschaft, und die interne Revision bekommt am Ende dieselben Grundlagenfolien wie der Vertrieb. Wer die passende Schulung für seine Auditoren sucht, sollte zuerst eine einzige Frage klären: Lernt die Person, wie man KI benutzt, oder lernt sie, wie man ein KI-System prüft? Nur die zweite Antwort ist für die interne Revision brauchbar.
Diese Frage stellte mir vor Kurzem sogar ein Bekannter aus meinem Schachclub, der beruflich nichts mit IT zu tun hat, aber wissen wollte, ob sein Betrieb überhaupt schulen muss. Mir begegnen im Erstgespräch mit Geschäftsführern und IT-Verantwortlichen im Mittelstand fast immer dieselben Fragen, sobald es um die passende Schulung für die interne Revision geht — und genau diese Fragen beantworte ich hier der Reihe nach, so wie sonst am Telefon.
Prompt-Kurs oder Auditoren-Schulung: Wo der Unterschied wirklich liegt
Ein interner Auditor muss nicht wissen, wie man in Midjourney ein hübsches Bild erzeugt. Er muss beurteilen können, ob die Daten-Governance nach Artikel 10 KI-VO eingehalten wird und ob eine Risikoklassifizierung sauber dokumentiert ist — wie genau man Hochrisiko-Systeme nach Anhang III im Alltag erkennt, ist ein eigenes Thema für sich, das hier zu weit führen würde. Trotzdem verkaufen etliche Anbieter denselben zweitägigen 'KI-Führerschein' mit dem Versprechen 'KI-Experte in zwei Tagen' an die komplette Belegschaft und wundern sich, wenn der Auditor danach ChatGPT-Prompts formulieren kann, aber nicht erklären kann, wie die Pflicht zur KI-Kompetenz aus Artikel 4 KI-VO in der Praxis geprüft wird.
Dass ich selbst weder Anwalt noch zertifizierter Auditor bin, ändert nichts daran, dass genau das mein Job ist: solche Textungetüme in Schulungspläne zu übersetzen, die im Ernstfall vor den Aufsichtsbehörden bestehen.
Welche Module eine Auditoren-Schulung wirklich braucht
Eine passende Schulung klärt zuerst die Rollenfrage: Ist Ihr Unternehmen Anbieter, Betreiber oder Importeur des Systems, denn davon hängt der Umfang der Pflichten ab. Danach folgt die Risikoklassifizierung nach Anhang III, die Prüfung der Datenqualität — was 'Repräsentativität' und 'Freiheit von Fehlern' in der Praxis bedeuten — und die Validierung der menschlichen Aufsicht, damit der Mensch nicht nur zum Abnicker der KI-Entscheidung wird. Wie diese Prüfungen anschließend dokumentiert werden müssen, damit sie einer Kontrolle standhalten, ist noch einmal ein eigenes Thema; wichtig ist an dieser Stelle nur, dass die Schulung Ihren Auditor überhaupt in die Lage versetzt, danach zu fragen.
Interne Auditoren im Mittelstand kommen häufig aus der klassischen Qualitätsmanagement-Ecke oder aus der IT-Sicherheit und beherrschen ISO 9001 oder ISO 27001 im Schlaf. Was ihnen fehlt, ist die Brücke zwischen diesen etablierten Systemen und den neuen Anforderungen der KI-Verordnung — eine gute Schulung verbringt deshalb weniger Zeit mit der Technik an sich und mehr mit dem prozessualen Risikomanagement der KI-Output-Validierung.
Kosten pro Mitarbeiter und die Frist, die dahintersteckt
Artikel 4 der KI-VO verpflichtet Anbieter und Betreiber dazu, ein angemessenes Maß an KI-Kompetenz beim eigenen Personal sicherzustellen, und das gilt selbst dann, wenn im Haus nur eine zugekaufte Software für das HR-Recruiting läuft. Für allgemein verwendbare KI gilt eine Übergangsfrist von 12 Monaten nach Artikel 113, für die meisten anderen Pflichten sind es 24 Monate — wie eng dieser Zeitplan für ein mittelständisches Unternehmen mit begrenzten Ressourcen wird, hängt stark vom Einzelfall ab. Was pro Kopf an Schulungsbudget realistisch ist, unterscheidet sich ebenfalls von Betrieb zu Betrieb und hat weniger mit der Kursdauer zu tun als mit der Frage, wie tief ein einzelner Mitarbeiter in die Materie einsteigen muss. Wer diese Vorbereitung auslässt, verlässt sich darauf, dass die Geschäftsführung persönlich haftet, denn die Verantwortung dafür bleibt in der Chefetage hängen — und die Bußgelder können bis zu 7 % des weltweiten Jahresumsatzes betragen.
Für den Sachbearbeiter mag ein Basis-Kurs reichen, für den Auditor braucht es Deep Dives in die Annex-Strukturen der Verordnung. Ein KI-Führerschein für den Mittelstand kann dafür eine gute Basis sein, sofern er die gesetzlichen Schulungspflichten wirklich adressiert und nicht nur Software-Funktionen erklärt.
eLearning oder Workshop – was für Auditoren wirklich funktioniert
Ob ein Format taugt, hängt weniger vom Etikett eLearning oder Workshop ab als davon, ob es Fallarbeit an echten Dokumenten enthält. Bei der Anbieterwahl lohnt sich außerdem ein Blick darauf, wer die Inhalte entwickelt hat und ob branchenspezifische Beispiele vorkommen, statt sich von einem generischen Lehrplan blenden zu lassen. Ein reines Video-Abo ohne Praxisteil bringt einem Auditor wenig, egal wie professionell die Produktion wirkt.
Intern schulen oder externe Expertise holen?
Intern aufbauen oder extern hinzuziehen — diese Abwägung hängt von der Unternehmensgröße und der vorhandenen Kompetenz im Haus ab. Ich habe selbst einige Zeit darauf gewartet, dass eine Aufsichtsbehörde einen brauchbaren Leitfaden veröffentlicht, bevor ich Mandanten aktiv unterstütze — die Wartezeit zog sich über Monate, und als das Papier endlich kam, ließen sich die Hinweise kaum auf den Alltag eines Mittelständlers übertragen. Reines Abwarten auf offizielle Vorgaben ist deshalb keine Strategie, sondern ein verschenkter Vorsprung. Der Anruf aus Hanau erreichte mich, während ich am Konstablerwache auf die nächste Straßenbahn wartete: Der dortige Geschäftsführer erklärte mir, seine Leute würden die Risikoklassifizierung ihrer Systeme inzwischen komplett selbst durchführen, einen externen Berater brauche er dafür nicht mehr. Genau das ist das Ziel jeder guten Auditoren-Schulung — dass sie sich irgendwann selbst überflüssig macht.
Der Maschinenbau-Fall: Wenn KI Teil des Produkts wird
Nehmen wir einen mittelständischen Maschinenbauer, bei dem die KI Teil eines größeren Produkts ist. Der interne Auditor steht dort vor einer ungewohnten Situation: Software-Zyklen laufen deutlich schneller ab als der klassische Maschinenzyklus, und plötzlich muss er die Versionierung eines KI-Modells in der technischen Dokumentation nach Anhang IV verifizieren, obwohl er bislang nur Schweißnähte geprüft hat. Ob der eigene Betrieb dabei als Anbieter oder nur als Betreiber der KI-Komponente gilt, entscheidet, wie weit diese Pflichten überhaupt reichen. Für Zulieferer kommt häufig noch eine weitere Schicht dazu: Pflichten, die der Endhersteller vertraglich einfach nach unten durchreicht — auch das gehört inzwischen in jede Schulung für Auditoren aus der Zulieferkette.
Wir haben den Schulungsplan für diesen Maschinenbauer radikal umgestellt — weg von allgemeinen Webinaren, hin zu einer 1:1-Begleitung bei der ersten Konformitätsbewertung, was in der Praxis oft mehr bringt als jeder Massenkurs. Falls Sie später ein Zertifikat brauchen, schauen Sie genau hin, welchen Nachweis der Kurs tatsächlich liefert; in meinem Artikel über zertifizierte KI Schulung für KMU gehe ich im Detail darauf ein, welche Nachweise vor einer Behördenprüfung wirklich standhalten. Ein glänzendes PDF mit dem Titel 'KI-Experte' beeindruckt niemanden, wenn die Inhalte an der KI-VO vorbeigehen.
Sprache, Betriebsrat, Datenschutz – drei Nebenfragen, die trotzdem zählen
Ob Ihre Auditoren die Verordnung auf Deutsch oder im englischen Original lesen sollten, ist eine eigene Diskussion für sich, denn die deutsche Übersetzung verliert an manchen Stellen Nuancen, die im Original klarer sind — der Begriff 'KI-Kompetenz' bringt mich selbst nach vielen Übersetzungsvergleichen noch kurz ins Stocken, und das gestehe ich hier offen. Sobald eine Schulung verpflichtend für die Belegschaft eingeführt wird, hat in vielen Betrieben zusätzlich der Betriebsrat ein Wörtchen mitzureden, was den Auswahlprozess selbst betrifft. Wo sich die KI-Kompetenzpflicht mit der Arbeit des betrieblichen Datenschutzbeauftragten überschneidet, ist ein weiterer Punkt, den viele Schulungspläne schlicht übersehen. Und wenn KI-Systeme im Marketing oder Vertrieb eingesetzt werden, kommen zusätzliche Transparenzpflichten gegenüber Kunden ins Spiel, die ein Auditor ebenfalls kennen sollte.
Woran Sie erkennen, dass die Schulung ihr Geld wert war
Bevor Sie das Budget für die nächste Schulungswelle freigeben, stellen Sie Ihrem Auditor eine einzige Testfrage: Lernt er gerade, wie man ein Bild generiert, oder lernt er, wie er Ihr Unternehmen vor genau den Bußgeldern schützt, die weiter oben schon zur Sprache kamen? Der Mittelstand braucht dafür keine KI-Philosophen, sondern Leute, die die Brücke zwischen Technik und Recht wirklich schlagen können — mit Mut zur Lücke bei den technischen Spielereien und Genauigkeit bei den regulatorischen Prozessen. Sprechen Sie vorher mit Ihren eigenen Fachleuten, denn die IT-Verantwortlichen im Haus wissen meistens sehr genau, wo die Wissenslücken in der Revision wirklich klaffen. Während ich das hier für Sie zusammenschreibe, spüre ich die kühle Tischplatte unter den Handgelenken — und aus vielen ähnlichen Gesprächen weiß ich, dass genau diese eine Testfrage die meiste Klarheit bringt.