Eine unterschriebene Teilnehmerliste gilt in vielen Geschäftsführungsetagen als vollständiger Nachweis erledigter KI-Act-Compliance — für eine Aufsichtsbehörde ist genau dieses Blatt oft der erste Beleg, der bei einer Prüfung durchfällt. Der Unterschied zwischen "der Mitarbeiter war im Raum" und "der Mitarbeiter kann die Risiken der eingesetzten KI-Anwendung einschätzen" entscheidet am Ende, ob ein Nachweis der Kompetenz-Schulung standhält oder nur teures Altpapier bleibt. Genau diese Frage stellen mir IT-Verantwortliche und Geschäftsführer im Mittelstand — dem klassischen Terrain von IT-Recht und Dokumentationspflichten — inzwischen in fast jedem Erstgespräch.
In den Schulungen, die ich heute halte, kommt diese Frage selten noch aus reiner Neugier. Die Teilnehmer fragen zunehmend nach der Dokumentation gemäß Art. 16 KI-VO für das System, das sie täglich bedienen, nicht mehr nach den Grundlagen von künstlicher Intelligenz an sich. Das verschiebt auch den Maßstab dafür, was als Nachweis überhaupt zählt: Wer schon über Artikelnummern diskutiert, erwartet zu Recht, dass die eigene Schulungsteilnahme ähnlich präzise dokumentiert wird.
Der rechtliche Rahmen dafür liefert das KI-Gesetz selbst, nicht die deutsche Zusammenfassung davon — wer nur die Übersetzung liest, verpasst regelmäßig Nuancen. Welche Behörde in Deutschland am Ende die Aufsicht führt, ist offiziell noch nicht abschließend geklärt, auch wenn immer wieder über die Bundesnetzagentur als zentrale Stelle spekuliert wird. Für die Nachweisfrage spielt das ohnehin eine untergeordnete Rolle: Unabhängig davon, wer am Ende prüft, gelten dieselben Maßstäbe an Dokumentation und Kompetenznachweis.
Reicht eine Teilnehmerliste als Nachweis?
Nein — jedenfalls nicht allein, und genau das ist der Punkt, an dem die meisten Selbstverständnisse in der Praxis scheitern. Eine Anwesenheitsliste beweist Körperanwesenheit, sei es im Schulungsraum oder im Teams-Call, aber sie sagt nichts über die tatsächlich vermittelte Kompetenz aus. Wie genau die Behörde später hinschaut, hängt stark davon ab, wie das eingesetzte System eingestuft ist — die Risikoklassifizierung selbst ist ein eigenes, umfangreiches Thema, das an anderer Stelle ausführlicher behandelt gehört, aber grob gilt: je höher das Risiko, desto genauer die spätere Prüfung.
Maßgeblich ist Art. 4 KI-VO, der Anbieter wie Betreiber gleichermaßen verpflichtet, ein angemessenes Maß an KI-Kompetenz ihres Personals sicherzustellen — was genau als "angemessen" gilt, ist im Übrigen ein Punkt, an dem selbst erfahrene Berater unterschiedlicher Meinung sind, weil die Verordnung hier bewusst Interpretationsspielraum lässt. Was diese Vorschrift im Einzelnen an Inhalten fordert, würde hier zu weit führen und ist an anderer Stelle besser aufgehoben. Für die reine Nachweisfrage reicht die Feststellung: Eine Unterschrift dokumentiert Anwesenheit, keine Kompetenz — und genau diese Lücke sucht eine Prüfung zuerst.
Dokumentationspflichten allein reichen nicht
Was im Einzelnen dokumentiert werden muss, damit KI-Kompetenz überhaupt als vermittelt gilt, ist eine eigene, ziemlich umfangreiche Fragestellung — dazu gibt es an anderer Stelle einen ganzen Beitrag, der sich ausschließlich mit den Inhalten für die KI Act Unterweisung beschäftigt. Hier interessiert mich etwas Engeres: Welches Dokument besteht tatsächlich vor der Aufsichtsbehörde, wenn diese konkret nachfragt? Aus inzwischen 13 Jahren Compliance-Arbeit — aktuell als Berater rund um den KI Act, davor im Datenschutz — lässt sich sagen: Ein belastbarer Nachweis braucht mindestens vier Bestandteile, nämlich die konkreten Inhalte abgestimmt auf Rolle und Risikoprofil des Mitarbeiters, Datum und Dauer der Vermittlung, das Ergebnis einer objektivierbaren Erfolgskontrolle wie einem kurzen Quiz oder einer Fallstudie, und die Bestätigung, dass der Mitarbeiter über die konkreten Grenzen des eingesetzten Systems aufgeklärt wurde.
Genau an diesem Punkt entsteht der eigentliche Qualitätssprung: Statt einer Urkunde, die nur "war dabei" bestätigt, entsteht ein Beleg für Befähigung, der die Lernmodule auflistet und die erfolgreiche Bearbeitung von Kontrollfragen bestätigt. Ich erinnere mich noch gut an das erste Dokument dieser Art, das ich für einen Mandanten aus dem SaaS-Bereich entworfen habe — es fühlte sich anders an als jede Teilnahmebestätigung zuvor, weil es tatsächlich etwas über die Person aussagte, die es am Ende unterschrieben hatte.
Auf meinem zweiten Bildschirm, hochkant gedreht und ausschließlich für EUR-Lex-Texte und Stellungnahmen der Aufsichtsbehörden reserviert, sammle ich solche Formulierungen inzwischen farblich sortiert nach Thema, und wenn ich Artikel- und Absatznummern in die Anmerkungsfelder tippe, klackert die Tastatur fast im Takt der Randziffern. Diese Detailversessenheit mag pedantisch wirken, zahlt sich aber genau dann aus, wenn ein Prüfer nach der exakten Fundstelle einer Anforderung fragt.
Externe Zertifikate und interne Lücken
Bei einem Geschäftsführer einer Versicherung kam vor einiger Zeit die Frage auf, ob ein allgemeiner "KI-Führerschein" als Nachweis ausreicht. Meine Antwort ist in solchen Fällen immer dieselbe: Es kommt darauf an, wie tief das Zertifikat in die branchenspezifischen Pflichten eintaucht. Für viele Unternehmen stellt sich die Frage, ob ein KI-Führerschein oder eine eigene Plattform die bessere Lösung für die langfristige Dokumentation ist, und ob externe Anbieter überhaupt die Rollenverteilung zwischen Anbieter und Betreiber korrekt abbilden — eine Unterscheidung, die in der Praxis regelmäßig durcheinandergerät und die ich an anderer Stelle vertiefe.
Ein generisches "KI-Basiszertifikat", das ich letztes Jahr für einen Mandanten geprüft habe, deckte die komplette Verordnung in einer einzigen kurzen Session ab und endete mit einem simplen Multiple-Choice-Test, der mit der eigentlichen Nachweisfrage nach Art. 4 KI-VO nichts zu tun hatte. Woran man ein solches Format schon vorab erkennt, bevor man dafür bezahlt, ist wieder eine eigene Checkliste, die den Rahmen hier sprengen würde. Externe Zertifikate bieten eine gute Basis, aber sie müssen fast immer durch interne, rollenspezifische Schulungen ergänzt werden, um die Anforderungen der Aufsichtsbehörde an die "angemessene Kompetenz" vollständig abzudecken.
Eine Mandantin, Marta Hofbauer, Compliance-Beauftragte bei einem SaaS-Startup hier in Frankfurt, kennt diesen Zwiespalt gut: Sie kämpft intern regelmäßig um Budget für externe Schulungsmaßnahmen, während die Geschäftsführung lieber auf ein günstiges internes Format setzt, das am Ende die Prüfung nicht übersteht. Ob sich extern eingekauftes Wissen oder intern aufgebaute Kompetenz auf Dauer besser rechnet, ist eine Abwägung, die ich an anderer Stelle ausführlicher durchrechne, und wie stark sich das auf den Preis pro Kopf niederschlägt, ist wieder eine eigene Rechnung.
Nachweis pro Mitarbeiter oder eine Sammelakte?
Individuell, und zwar konsequent. Ein Entwickler braucht einen anderen Nachweis als ein Sachbearbeiter, der lediglich KI-gestützte Texte zusammenfasst, und auch die Rechtsabteilung benötigt ein eigenes Format; dazu habe ich bereits gesondert über die Auswahl der richtigen KI Schulung für die Rechtsabteilung geschrieben. Wer alle Mitarbeiter in denselben Ordner steckt, verschenkt genau das Argument, das eine Behörde am meisten überzeugt: eine nachvollziehbare Differenzierung nach Rolle und Risikoprofil.
Betriebsrat, Zulieferer und die Sprache der Verordnung
Mehrere Fragen tauchen dabei regelmäßig am Rand auf, ohne dass sie den Kern der Nachweisfrage verändern. Will der Betriebsrat bei der Auswahl der Schulung mitreden, ist das eine eigene Verhandlung mit eigenen Spielregeln, die ich getrennt behandle. Überschneidet sich die KI-Kompetenz mit datenschutzrechtlichen Pflichten, etwa weil dieselben Systeme personenbezogene Daten verarbeiten, lohnt sich ein Blick auf die Schnittstelle zum Datenschutzbeauftragten, aber auch das ist ein eigenes Kapitel. Sitzt Ihr Unternehmen als Zulieferer in einer Lieferkette, in der ein größerer Kunde bestimmte Nachweise vertraglich verlangt, verschiebt sich die Fragestellung nochmal, auch das würde hier zu weit führen. Ob Sie Ihre Mitarbeiter mit dem englischen Originaltext oder der deutschen Fassung schulen, ist außerdem eine Entscheidung mit eigenen Tücken, die ich an anderer Stelle diskutiere. Selbst die Transparenzpflichten gegenüber Endkunden, die in bestimmten Konstellationen zusätzlich greifen, gehören in ein eigenes Nachweis-Kapitel, nicht in dieses hier.
Wie lange muss die Dokumentation überstehen?
Lange genug, um im Zweifel auch Jahre später noch Bestand zu haben. Wie lange genau und ab welchem Zeitpunkt die Frist zu laufen beginnt, ist eine eigene, detaillierte Fragestellung, die ich an anderer Stelle mit dem kompletten Zeitplan durchgehe. Was in der Zwischenzeit passiert, wenn eine Lücke in der Aufbewahrung ausgerechnet dann auffällt, wenn ein KI-System einen Schaden verursacht, ist die eigentlich unangenehme Frage. Meine Kollegin Johanna Ertl, freiberufliche Datenschutzanwältin, mit der ich gelegentlich gemeinsame Webinare gebe, spielt bei genau diesem Punkt konsequent den Advocatus Diaboli und fragt in jeder gemeinsamen Sitzung, wer am Ende persönlich haftet, wenn die Dokumentation fehlt. Die vollständige Antwort auf diese Haftungsfrage der Geschäftsführung würde den Rahmen hier sprengen, aber die kurze Version lautet: lückenlose Nachweise sind die wirksamste Absicherung, die es in diesem Bereich gibt.
Was ein rechtssicherer Nachweis am Ende enthalten muss
Am Ende läuft es auf eine überschaubare Checkliste hinaus: Inhalte passend zu Rolle und Risikoklasse, Datum und Dauer, ein objektives Prüfungsergebnis und eine dokumentierte Aufklärung über die Systemgrenzen, also alles in einer Struktur, die sich bei Bedarf sofort vorlegen lässt, statt erst zusammengesucht werden zu müssen. Ein Mandant hatte vor einiger Zeit den entgegengesetzten Weg versucht: eine einmalige Compliance-Awareness-Kampagne, ohne Folgeschulungen und ohne jede messbare Erfolgskontrolle danach. Als die erste konkrete Nachfrage kam, gab es nichts mehr, was diesen einen Tag noch mit aktuell vermittelter Kompetenz verband, und die gesamte Vorbereitung musste von vorn beginnen. Wer stattdessen von Anfang an auf rollenspezifische, wiederholte und geprüfte Nachweise setzt, baut etwas auf, das nicht bei der ersten Nachfrage in sich zusammenfällt. Genau das, nicht die Schulung selbst, ist am Ende der eigentliche Nachweis von Sorgfalt.