Fünfzehn Kolleginnen und Kollegen saßen bei unserer allerersten Schulung zur KI-Verordnung im Raum, und heute könnte mir kaum noch jemand von ihnen sagen, was ein Hochrisiko-System überhaupt ist. Genau das ist die Frage, die mich als HR-Verantwortliche seitdem umtreibt: Wie hält man KI-Kompetenz in einem KMU am Leben, wenn die erste Schulung längst vorbei ist? Bei uns im Maschinenbau-Betrieb mit 78 Leuten häufen sich seitdem die Rückfragen aus der Belegschaft, aus der Geschäftsführung und aus dem HR-Management anderer KMU, die mir schreiben. Eine schriftliche KI-Nutzungsrichtlinie haben wir zwar, aber die hilft niemandem, wenn keiner merkt, dass sie sich gerade geändert hat. Deshalb sammle ich hier die Fragen, die am häufigsten kommen, und beantworte sie so, wie wir sie bei uns tatsächlich gelöst haben, nicht wie es im Lehrbuch stehen würde.
Unterschätzt hatte ich vor allem eines: dass Wissen bei KI schneller kippt als bei jedem anderen Thema, das ich in der Personalarbeit kenne. Zwar sagt Artikel 4 der KI-Verordnung nur, dass Unternehmen für ausreichende KI-Kompetenz ihrer Beschäftigten sorgen müssen, ohne zu definieren, was 'ausreichend' bedeutet, wenn sich Tools alle paar Wochen ändern. Also mussten wir uns das selbst zusammenbauen, Frage für Frage, und ich bin nach wie vor keine Juristin, das ändert auch diese Liste nicht.
Der KI-Führerschein als laufendes Update-System
Eine einmalige Schulung reicht nicht, so viel steht fest. Wir haben deshalb früh auf ein Modulsystem umgestellt, das wir intern KI-Führerschein nennen: kurze Einheiten statt eines ganzen Tages im Seminarraum, die sich austauschen lassen, sobald sich etwas ändert. An anderer Stelle habe ich beschrieben, wie wir mit dem KI-Führerschein die Fortbildung im Team digitaler gestalten, und genau dieser digitale Kern macht das Update-System erst möglich: Module lassen sich austauschen, sobald sie veraltet sind, ohne dass jemand neue Handbücher drucken muss.
Zugegeben, am Anfang haben wir das zu selten gemacht, weil ich dachte, ein Update im Frühjahr reicht für das ganze Jahr. Nach dem dritten Mal, dass jemand mit einer veralteten Anleitung dastand, war klar: Die Taktung muss sich am Tool richten, nicht am Kalender.
Muss ich der Geschäftsführung den kompletten Verordnungstext vorlegen?
Nein, und ich spreche da aus eigener, ziemlich unangenehmer Erfahrung. Einmal habe ich genau das versucht: den vollständigen Verordnungstext ausgedruckt und in einem Termin mit der Geschäftsführung Absatz für Absatz durchgehen wollen. Nach zehn Minuten war der Termin beendet, ohne dass wir auch nur bei den Risikoklassen angekommen waren. Das war mein Fehler, nicht ihrer: Ich dachte, Vollständigkeit überzeugt. Konkrete Beispiele aus der eigenen Fertigung überzeugen deutlich schneller als jeder Paragraf.
Seitdem übersetze ich die Risikoklassen in ein einziges DIN-A4-Blatt mit Beispielen aus unseren eigenen Maschinen und Prozessen, bevor ich überhaupt einen Termin anfrage. Wer als Unternehmen selbst entwickelte oder stark angepasste KI-Systeme einsetzt, übernimmt außerdem eine andere Rolle als jemand, der nur ein fertiges Tool einkauft, aber diese Anbieter-Betreiber-Frage kläre ich lieber vorab mit Tobias aus der IT, bevor ich sie der Geschäftsführung überhaupt vorlege.
Neue Kolleginnen und Kollegen bringen neues Risiko mit
Wer nach der ersten Schulung neu ins Team kommt, hat die ganze Lernkurve vor sich und bringt oft eigene Gewohnheiten mit. Tobias hat mittlerweile eine feste Viertelstunde im Kalender, in der er mir zeigt, welche Tools gerade neu im Netzwerk auftauchen, weil neue Kolleginnen und Kollegen häufig eigene Anwendungen aus früheren Jobs mitbringen, die vorher niemand auf dem Schirm hatte. Manche davon fallen eindeutig unter die verbotenen Anwendungen der Verordnung, also unter Praktiken, die wir schlicht nicht einsetzen dürfen, und die kläre ich sofort und ohne Diskussion. Bei allem, was automatisiert Entscheidungen über Menschen trifft, bestehe ich außerdem darauf, dass am Ende jemand mit Augen und Verstand draufschaut, bevor etwas umgesetzt wird, und keine Software allein entscheidet.
Brauche ich einen offiziellen Nachweis über KI-Kompetenz?
Die Frage kommt inzwischen ständig, meistens von Leuten außerhalb unseres Betriebs, die selbst gerade ein Schulungskonzept aufbauen. Ob sich ein Zertifikat lohnt oder ein interner Workshop reicht, hängt stark davon ab, wie oft ihr nachweisen müsst, dass geschult wurde; die Gegenüberstellung KI-Führerschein oder Workshop habe ich an anderer Stelle einmal ausführlicher gemacht. Für uns hat sich das Zertifikats-Modell durchgesetzt, weil wir damit dokumentieren können, wer welchen Stand hat, ohne jedes Mal eine neue Excel-Liste zu bauen.
IT-Sicherheit als Pflichttermin behandeln, nicht als Sonderaktion
Sicherheitswissen veraltet genauso schnell wie alles andere, deshalb verschicken wir alle zwei Wochen ein kurzes Update statt eines einzigen großen Sicherheitsblocks im Jahr. Ich hatte schon einmal aufgeschrieben, wie wir Sicherheitsrisiken durch KI im Büro ohne IT-Fachwissen minimieren, und genau dieses Prinzip trägt uns bis heute: kleine, regelmäßige Erinnerungen schlagen einen langen Vortrag, an den sich ohnehin niemand mehr erinnert. Tobias sagt, er bekommt seitdem weniger Rückfragen dazu, was ich ihm zwar nicht hundertprozentig glaube, aber gern so stehen lasse.
Was mache ich, wenn ich selbst nicht weiterweiß?
Niemand erwartet von mir, dass ich Volljuristin oder IT-Sicherheitsexpertin bin, und das nehme ich mir inzwischen auch selbst nicht mehr übel. Wenn ich an einer Stelle nicht weiterkomme, sitze ich abends manchmal in der Stadtbücherei Düsseldorf am Bertha-von-Suttner-Platz und lese mich durch aktuelle Fachartikel, bis ich zumindest die Größenordnung des Problems verstehe. Für den fachlichen Austausch tausche ich mich außerdem regelmäßig mit Oliver Franke aus, einem KI-Compliance-Coach, wobei ich seine Tool-Empfehlungen inzwischen vorsichtig behandle, weil er zu praktisch jedem KI-Tool eine feste Meinung hat, auch wenn er es selbst nie ausprobiert hat.
Auf meiner eigenen Liste, die ich nach jedem größeren Update durchgehe, stehen außerdem ein paar Dauerbrenner: die Kennzeichnungspflicht für KI-generierte Inhalte, das Auskunftsrecht von Mitarbeitenden gegenüber automatisierten Entscheidungen, unser Notfallplan für den Fall, dass doch mal etwas schiefläuft, die Frage nach dem Urheberrecht an KI-erzeugten Bildern für interne Präsentationen, wie wir algorithmische Diskriminierung bei KI-gestützten Personalentscheidungen von vornherein vermeiden, eine einfache Dateninventur, die wir intern bescheiden Governance nennen, und die Dokumentationspflichten, die zeigen, wer wann worüber informiert wurde. Keines dieser Themen erkläre ich hier im Detail, dafür gibt es eigene Einträge, aber wer die eigene KI-Kompetenz aktuell halten will, sollte diese Liste kennen und regelmäßig durchgehen.
Wie halte ich den Betriebsrat eingebunden, nicht nur informiert?
Einbindung ist etwas anderes als eine E-Mail zur Kenntnisnahme, das musste ich mir von einem Leser sagen lassen. Christian Weber, Betriebsratsvorsitzender in einem Lebensmittelbetrieb im Ruhrgebiet, schreibt mir regelmäßig und widerspricht mir dabei höflich, aber bestimmt, sobald es um KI-Tools geht, die irgendwie die Arbeitsleistung messen könnten. Er hat damit nicht unrecht: Sobald ein neues Tool Leistungsdaten sammelt oder auswerten könnte, gehört die Mitbestimmung des Betriebsrats von Anfang an in den Prozess, nicht erst, wenn das Tool schon läuft. Bei uns bedeutet das inzwischen, dass jede Aktualisierung unserer Richtlinie zuerst durch eine kurze Rückmeldeschleife mit der Arbeitnehmervertretung geht, bevor sie verschickt wird.
Wissen, das zwischen den Kolleginnen und Kollegen wandert
Der wahrscheinlich größte Fortschritt kam nicht von mir, sondern aus der Fertigung selbst. Jemand aus dem Team, der sich privat intensiv mit Technik beschäftigt, korrigierte mich kürzlich höflich bei einer Detailfrage, und aus der anfänglichen Verlegenheit wurde schnell die Erkenntnis, dass Wissen bei uns längst nicht mehr nur von oben nach unten fließt. In der Kaffeeküche wird inzwischen genauso über neue KI-Funktionen diskutiert wie früher über das Wetter, und wenn die Tür zur Fertigung aufgeht, kommt manchmal ein Hauch Maschinenöl mit herein, kurz bevor Frau Krüger hereinkommt, um zu fragen, ob das neueste Update etwas an ihrer Freigabe ändert.
Über die Definitionen von Algorithmen muss in unserem Betrieb inzwischen niemand mehr grübeln, und das war ohnehin nie der Punkt der Verordnung. Der eine Satz, den ich aus alldem mitnehme: KI-Kompetenz ist kein Zertifikat, das man einmal erwirbt, sondern eine Gewohnheit, die man im Team verteilt, damit nicht eine einzelne Person zum Nadelöhr wird. Wer diese Fragen für den eigenen Betrieb durchgeht, merkt meistens schnell, an welcher Stelle das eigene System gerade hakt, und genau da lohnt es sich anzusetzen, bevor die nächste Schulung ohnehin wieder ansteht.