Dreißig Mitarbeitende, keine eigene Rechtsabteilung, keine IT-Abteilung und keine einzige Stelle, die nur für Compliance zuständig ist. So beschreibt ein Leser seinen Betrieb, der unter einem früheren Eintrag kommentierte, bei ihm sehe es genauso aus, nur habe er nicht einmal eine HR-Person für solche Themen. Uwe Hoffmann führt eine Firma mit knapp 30 Leuten in Mönchengladbach. Bei uns im Mittelstand sind es 78 Mitarbeitende, eine Geschäftsführung und ein IT-Kollege, der sich nebenbei mit den Systemen auskennt. Trotzdem greift für beide Betriebe seit dem 2. Februar 2025 exakt dieselbe Pflicht: Der AI Act verlangt in Artikel 4 der EU-KI-Verordnung von jedem Betreiber eines KI-Systems, dass die Mitarbeitenden nachweisbar KI-kompetent sind — unabhängig von der Unternehmensgröße und selbst dann, wenn KI-Tools nur gelegentlich zum Einsatz kommen. Deshalb vergleiche ich in diesem Eintrag zwei sehr unterschiedliche Wege, dieser KI-Schulungspflicht gerecht zu werden, und zeige, wo beide am Ende wieder zusammenlaufen.
Um halb elf abends saß ich noch am Küchentisch, der Verordnungstext auf dem Bildschirm offen, weil ich nicht schlafen gehen wollte, solange nicht klar war, ob wir das wirklich richtig verstanden hatten. KI-Schulung bedeutet in der Praxis nämlich nicht, dass Mitarbeitende programmieren lernen müssen. Es geht um Risikoerkennung: Wer eine KI-gestützte Prüfsoftware bedient, muss wissen, dass die Maschine sich irren kann, und wer ein Text-Tool nutzt, muss wissen, was mit den eingegebenen Daten passiert. Genau das ist der Kern der Pflicht aus Artikel 4 — und genau darüber schreibe ich hier, weil weder Uwes Betrieb noch unserer daran vorbeikommt.
Was der AI Act mit KI-Schulung im Mittelstand wirklich verlangt
Was "nachweisbare KI-Kompetenz" in der Praxis heißt, wird im Gesetzestext nicht sehr konkret. Am ehesten lässt es sich so übersetzen: Mitarbeitende müssen verstehen, was ein KI-System in ihrem Arbeitsbereich tut, wo es Fehler machen kann und wann sie eingreifen müssen, statt eine Ausgabe einfach zu übernehmen. Wie intensiv diese Schulung ausfallen muss, hängt stark vom Risikolevel des eingesetzten Systems ab — das entscheidet, welche Mitarbeitenden wie tief geschult werden müssen, und wer das nicht kennt, schult am Bedarf vorbei.
Der externe Weg: Fertigschulung einkaufen
Uwe macht in seinem Betrieb ziemlich alles selbst, weil sonst niemand da ist, der es täte — von der Urlaubsplanung bis zur Ersatzteilbestellung, und jetzt eben auch die KI-Schulungspflicht. Für ihn kam nur eine externe Lösung infrage: Er hat sich für eine Präsenzschulung bei der IHK zu Düsseldorf am Ernst-Schneider-Platz angemeldet, weil dort ein Trainer die rechtlichen Grundlagen erklärt, ohne dass er selbst tagelang Verordnungstexte wälzen muss. Bei einem Betrieb ohne eigene HR-Management-Funktion ist das vermutlich der einzig realistische Weg.
Ich habe einen ähnlichen Reflex gehabt, bevor ich zum internen Weg gewechselt bin: Ich habe in mehreren LinkedIn-Gruppen nach fertigen KI-Richtlinienvorlagen für Betriebe unserer Größe gesucht, in der Hoffnung, mir die Denkarbeit zu sparen. Gefunden habe ich vor allem Werbeposts großer Beratungsfirmen, die alle dasselbe versprachen und keine einzige branchennahe Antwort lieferten. Das war der Punkt, an dem mir klar wurde, dass eine Fertigvorlage unsere tatsächlichen Anwendungsfälle nicht kennt, und dass wir zumindest einen Teil der Arbeit selbst machen müssen.
Julia, eine Bekannte aus dem Studium, die heute als IT-Rechtsanwältin arbeitet, war mein erster Anlaufpunkt für eine Einschätzung. Auf die Frage, ob eine gekaufte Fertigschulung rechtlich reicht, antwortete sie wie fast immer: das kommt drauf an — und ergänzte, wie immer, dass das keine verbindliche Rechtsberatung sei. Genau diese Antwort war am Ende hilfreicher, als sie klingt, weil sie mich dazu gebracht hat, unsere eigenen Risikofälle genauer anzuschauen, statt eine pauschale Schulung von der Stange zu kaufen.
Der interne Weg: Wissen im eigenen Haus aufbauen
Tobias aus der IT wusste auf Anhieb, welche KI-Tools in den einzelnen Abteilungen bereits im Einsatz waren, weil Kolleginnen und Kollegen ihn immer wieder um Freigaben gebeten hatten. Diese Bestandsaufnahme, wer welches Tool wofür nutzt, ist eine eigene Übung für sich, eine Schatten-KI-Inventur, die jedem internen Aufbau vorausgehen sollte. Auf dieser Basis haben wir die Schulung an echten Fällen aus unserem Betrieb aufgehängt, statt an generischen Beispielen aus einem Lehrbuch.
Bevor wir jemanden in die ausführliche Schulungsrunde schicken, prüfen wir inzwischen eine einzige Frage: Berührt das Tool, das die Person nutzt, sensible Daten oder eine Entscheidung mit Außenwirkung? Ist die Antwort nein, reicht eine kurze mündliche Einweisung. Ist sie ja, kommt die Person in die vollständige Schulung mit Fallbeispielen aus dem eigenen Betrieb.
Wo sich die beiden Wege wieder treffen
Ob man die Schulung extern einkauft oder sie, wie wir, intern selbst aufbaut, an einigen Stellen führt ohnehin kein Weg vorbei. Dazu gehört, dass bestimmte KI-Anwendungen im Betrieb schlicht tabu sind; welche das genau sind, habe ich in einem anderen Eintrag über diese verbotenen KI-Anwendungen im EU AI Act aufgeschrieben. Dazu gehört auch, dass Mitarbeitende lernen, eine KI-Ausgabe nicht blind zu übernehmen — die sogenannte menschliche Aufsicht, ein Baustein, den ich hier nur anschneide, weil er ein eigenes Kapitel verdient. Und dazu gehört die Frage, ob wir bei einem bestimmten System als Anbieter oder nur als Betreiber gelten, was wiederum bestimmt, wie weit unsere Pflichten überhaupt reichen — auch das ist ein eigenes Thema für sich.
Sobald KI-generierte Inhalte nach außen gehen, kommt außerdem die Kennzeichnungspflicht ins Spiel, die ich hier nur am Rand erwähne. Wie wir mit den Daten umgehen, die überhaupt erst in so ein System hineinfließen, ist eine eigene Baustelle für sich, und was wir am Ende dokumentieren müssen, damit das Ganze im Ernstfall auch nachweisbar ist, würde diesen Vergleich sprengen. Wenn ein Algorithmus unbewusst Bewerbungen oder Beurteilungen verzerrt, reden wir über ein separates Risiko, das eine eigene Betrachtung verdient, und dass der Betriebsrat bei alldem mitzureden hat, ist ebenfalls sein eigenes Kapitel. Wer sich vor der Entscheidung erst einmal orientieren will, dem hilft oft ein Blick auf einen KI-Führerschein für Mitarbeiter, unabhängig davon, für welchen der beiden Wege man sich entscheidet. Ob sich am Ende ein KI-Zertifikat für Mitarbeiter in der Verwaltung wirklich auszahlt oder nur Papier produziert, ist übrigens eine ganz ähnliche Debatte — nur eben zwei Nummern kleiner als die Frage, ob überhaupt geschult wird.
Wann lohnt sich welcher Weg?
Für einen Betrieb wie Uwes, ohne eigene HR-Struktur und ohne jemanden mit Zeit für Verordnungstexte, ist der externe Weg der ehrlichere: Eine kompakte Präsenzschulung deckt die gesetzliche Grundpflicht ab, ohne dass man sich selbst wochenlang einarbeiten muss. Für einen Betrieb wie unseren, mit einer eigenen HR-Zuständigkeit und einem IT-Kollegen, der die tatsächlich genutzten Tools kennt, lohnt sich der interne Aufbau, weil die Schulung dann auf echte Risikofälle zugeschnitten ist und nicht nur auf dem Papier existiert.
Die Grenze verläuft für mich an einer einfachen Frage: Gibt es im Haus überhaupt jemanden, der Zeit und Zugriff hat, um die eigenen KI-Anwendungsfälle zu kennen? Wenn ja, lohnt sich die interne Variante fast immer. Wenn nein, ist eine gekaufte Schulung besser als gar keine.
Am Ende bleibt die Pflicht für beide Betriebe exakt dieselbe, nur der Weg dorthin unterscheidet sich fundamental. Wenn du selbst gerade zwischen einer gekauften Schulung und einem internen Aufbau schwankst, ist das die Antwort, die ich Lesern wie Uwe inzwischen gebe: Es kommt darauf an, wie viel Kapazität im Haus tatsächlich vorhanden ist, nicht darauf, wie groß die Firma auf dem Papier aussieht.