Wie dokumentiere ich KI-Schulungen für die Aufsichtsbehörde?
Was in eine Nachweismappe zur KI-Kompetenz gehört, welche Belege die Verordnung tatsächlich verlangt, wie lange du sie aufbewahrst und wer sie in Deutschland abfragt. Mit Vorlage für die vier Pflichtangaben.
Dokumentiere je Person vier Angaben: welche KI-Systeme sie im Arbeitsalltag nutzt, welche Schulungsmaßnahme sie wann durchlaufen hat, welche Inhalte diese Maßnahme abgedeckt hat und woran die Teilnahme belastbar erkennbar ist. Diese vier Angaben zusammen belegen den Bezug zwischen Geschultem und tatsächlich Eingesetztem, und genau darauf kommt es seit dem Digital Omnibus an. Ein Stapel Teilnahmelisten ohne Rollenbezug belegt ihn nicht.
Was du aus diesem Artikel mitnimmst:
- Die KI-Verordnung schreibt kein bestimmtes Zertifikat und kein bestimmtes Schulungsformat vor. Sie verlangt nachvollziehbare Maßnahmen.
- Der Nachweis steht und fällt mit der Zuordnung von Person zu eingesetztem System. Ohne diese Zuordnung ist auch ein hochwertiges Zertifikat wenig wert.
- Artikel 4 hat keinen eigenen Bußgeldtatbestand. Abgefragt wird die Dokumentation trotzdem, weil andere Pflichten auf ihr aufbauen.
- Eine ausdrückliche Aufbewahrungsfrist für Artikel-4-Nachweise steht nicht in der Verordnung. Praktisch sinnvoll ist die Laufzeit des eingesetzten Systems plus Puffer.
- Zentrale Ansprechstelle in Deutschland ist seit dem 2. August 2026 die Bundesnetzagentur.
Wie dokumentiere ich KI-Schulungen für die Aufsichtsbehörde?
Führe eine Liste, in der jede Person mit den von ihr genutzten KI-Systemen, der absolvierten Schulungsmaßnahme samt Datum, den behandelten Inhalten und einem Teilnahmebeleg steht. Ergänze eine kurze Beschreibung, warum diese Inhalte zu diesen Systemen passen. Damit ist die Maßnahmenpflicht aus Artikel 4 der KI-Verordnung nachvollziehbar belegt.
Die Verordnung verlangt keine bestimmte Form. Eine Tabelle im Qualitätsmanagement, ein Bereich im HR-System oder ein sauber geführter Ordner erfüllen den Zweck gleichermaßen. Was sie leisten muss: Eine dritte Person soll ohne Rückfragen erkennen können, wer womit arbeitet und was diese Person dazu gelernt hat.
In der Praxis scheitert die Dokumentation selten an der Ablage. Sie scheitert daran, dass niemand aufgeschrieben hat, welche KI-Werkzeuge im Betrieb überhaupt im Einsatz sind. Ohne diese Bestandsliste gibt es keinen Bezugspunkt, gegen den eine Schulung belegt werden könnte.
Welche Nachweise muss ich für KI-Compliance liefern?
Für die Kompetenzpflicht aus Artikel 4 reichen Belege über durchgeführte Maßnahmen und deren Bezug zum Einsatzkontext. Für Systeme mit höherem Risiko und für die Transparenzpflichten aus Artikel 50 kommen weitere Unterlagen dazu, etwa zur Kennzeichnung ausgehender Inhalte und zur menschlichen Aufsicht.
Für den Mittelstand, der KI als Betreiber einsetzt und keine Hochrisiko-Systeme betreibt, besteht das realistische Paket aus vier Teilen. Erstens die Bestandsliste der eingesetzten KI-Systeme mit Zweck und betroffenen Rollen. Zweitens die Zuordnung, welche Person mit welchem System arbeitet. Drittens die Schulungsnachweise je Person. Viertens eine kurze schriftliche Regel, was im Betrieb mit KI erlaubt ist und was nicht.
Der vierte Teil wird am häufigsten vergessen und ist der billigste. Eine einseitige Regelung, die Werkzeugfreigabe, Datengrenze und Kennzeichnungspflicht benennt, ist in einem Nachmittag geschrieben und beantwortet die meisten Rückfragen, bevor sie gestellt werden.
Muss ich KI-Kompetenzschulungen überhaupt dokumentieren?
Die Verordnung nennt keine ausdrückliche Dokumentationspflicht für Artikel 4. Sie verlangt Maßnahmen zur Förderung der KI-Kompetenz, und wer Maßnahmen schuldet, muss sie im Zweifel belegen können. Ohne Aufzeichnung gibt es keinen Beleg.
Der Digital Omnibus, in Kraft seit dem 27. Juli 2026, hat Artikel 4 von „sicherstellen” auf „fördern” justiert. Das senkt die Anforderung an das Ergebnis, nicht die an den Vorgang. Ein bestimmtes Kompetenzniveau muss niemand garantieren. Dass etwas unternommen wurde und dass es zum konkreten Einsatz passte, bleibt die Kernaussage, die belegt werden muss.
Dazu kommt der praktische Grund. In Ausschreibungen, bei Cyberversicherungen und in Lieferantenfragebögen taucht die Frage nach KI-Kompetenz inzwischen regelmäßig auf. Wer die Mappe hat, beantwortet sie in fünf Minuten.
Wer fragt die Nachweise in Deutschland ab?
Seit dem 2. August 2026 ist die Bundesnetzagentur die zentrale KI-Aufsichtsbehörde in Deutschland. Daneben bleiben die fachlich zuständigen Stellen im Spiel, etwa die Datenschutzaufsicht bei personenbezogenen Daten und die Marktüberwachung bei Produkten mit KI-Anteil.
Für einen Betrieb mit 50 bis 500 Mitarbeitenden, der Sprachmodelle im Büroalltag nutzt, ist eine anlasslose Prüfung derzeit unwahrscheinlich. Realistischer sind drei andere Wege, auf denen die Frage auf den Tisch kommt: eine Beschwerde, ein Vorfall mit Außenwirkung oder ein Geschäftspartner, der die Unterlagen im Rahmen seiner eigenen Prüfpflichten anfordert.
Das ändert nichts an der Empfehlung. Eine Mappe, die es gibt, kostet einmal einen halben Tag. Eine Mappe, die es im Ernstfall nicht gibt, kostet Wochen.
Reicht ein Teilnahmezertifikat als Nachweis?
Allein reicht es nicht. Ein Zertifikat belegt, dass jemand eine Maßnahme abgeschlossen hat. Es belegt nicht, dass die Inhalte zu den Systemen passten, mit denen diese Person tatsächlich arbeitet. Diesen Bezug stellt erst die Rollenzuordnung her.
Deshalb ist die Reihenfolge in der Mappe wichtig. Zuerst die Bestandsliste der Systeme, dann die Zuordnung der Personen, dann die Nachweise. Wer mit den Zertifikaten anfängt, produziert einen Stapel, der die entscheidende Frage offen lässt.
Ein Zertifikat mit Lernkontrolle ist trotzdem deutlich stärker als eine reine Anwesenheitsliste, weil es einen überprüften Abschluss dokumentiert statt bloßer Teilnahme. Die PASSION4IT Academy stellt je abgeschlossenem Modul ein archivierbares Zertifikat aus, was den vierten Baustein der Mappe automatisiert.
Wie lange muss ich die Nachweise aufbewahren?
Die KI-Verordnung nennt für Artikel-4-Maßnahmen keine ausdrückliche Aufbewahrungsfrist. Als praktischer Maßstab hat sich bewährt, die Nachweise so lange vorzuhalten, wie das zugehörige KI-System im Einsatz ist, und danach noch einige Jahre entsprechend der im Betrieb üblichen Aufbewahrung für Compliance-Unterlagen.
Wichtiger als die Dauer ist die Wiedervorlage. Werkzeuge und Rechtsstand ändern sich schnell, zuletzt durch den Digital Omnibus im Juli 2026 und die Anwendbarkeit von Artikel 50 seit dem 2. August 2026. Eine Mappe von 2025, die seither niemand angefasst hat, belegt für den heutigen Einsatz wenig.
Setz dir einen festen Termin, einmal jährlich, an dem drei Dinge geprüft werden: Ist die Systemliste noch aktuell, sind neue Mitarbeitende zugeordnet, hat sich am Rechtsstand etwas geändert.
Wie sieht die Nachweismappe konkret aus?
Vier Dokumente, mehr braucht es im Regelfall nicht.
| Dokument | Inhalt | Aufwand beim ersten Mal |
|---|---|---|
| Systemliste | Welche KI-Werkzeuge sind freigegeben, wofür, wer darf sie nutzen | 2 bis 3 Stunden |
| Rollenzuordnung | Person, Rolle, genutzte Systeme, Risikoeinordnung | 1 bis 2 Stunden |
| Schulungsnachweise | Datum, Inhalte, Format, Abschlussbeleg je Person | läuft mit der Schulung mit |
| KI-Regelung | Freigabe, Datengrenze, Kennzeichnung, Ansprechperson | 2 Stunden |
Die Zeitangaben gelten für einen Betrieb mit einer überschaubaren Werkzeuglandschaft. Wenn die Systemliste länger als eine Seite wird, ist das selbst ein Befund und meist ein Hinweis auf gewachsene Schatten-KI.
Der Aufwand fällt einmal an. Danach ist es Pflege, und die hängt sich an bestehende Prozesse, etwa an das Onboarding neuer Mitarbeitender.
Häufig gestellte Fragen (FAQ)
Braucht jede Person ein eigenes Zertifikat? Nein. Verlangt ist eine nachvollziehbare Maßnahme je Person. Ein Zertifikat ist der bequemste Beleg, eine dokumentierte interne Unterweisung mit Lernkontrolle erfüllt den Zweck ebenfalls.
Gilt das auch, wenn wir nur ChatGPT im Büro nutzen? Ja. Die Kompetenzpflicht knüpft an den Einsatz von KI-Systemen an, nicht an deren Risikoklasse. Der Umfang der Maßnahme richtet sich allerdings nach dem Risiko, und für allgemeine Büroanwendungen fällt er entsprechend schlank aus.
Was passiert, wenn die Dokumentation fehlt? Artikel 4 hat keinen eigenen Bußgeldtatbestand. Das Risiko liegt in der zivilrechtlichen Haftung nach einem Vorfall und in den Pflichten, die auf Kompetenz aufbauen, insbesondere der seit dem 2. August 2026 bußgeldbewehrten Kennzeichnungspflicht nach Artikel 50.
Reicht eine Excel-Tabelle? Ja, wenn sie die vier Angaben enthält und gepflegt wird. Die Verordnung schreibt kein System vor. Ein Werkzeug, das niemand pflegt, ist schlechter als eine Tabelle, die jemand pflegt.
Müssen auch Führungskräfte geschult werden? Ja, und sie kommen sinnvollerweise zuerst dran. Ohne Entscheidung darüber, welche Werkzeuge freigegeben sind, lässt sich für die übrigen Rollen keine passende Maßnahme zuschneiden.
Weiterführende Ressourcen
- Wie erfülle ich die KI-Schulungspflicht aus dem EU AI Act für meinen Betrieb? für das Vorgehen von der Bestandsaufnahme bis zur Maßnahme.
- Welche Inhalte braucht eine KI-Schulung für die Belegschaft? für die inhaltliche Seite der Rollenzuordnung.
- Welches KI-Zertifikat ist anerkannt? für den Vergleich der Anbieter und die Frage nach offizieller Anerkennung.
Du willst die Nachweismappe einmal sauber aufsetzen und danach nur noch pflegen? Jetzt Gespräch buchen.
Quellen: KI-Verordnung Art. 4 und Art. 50 · Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), in Kraft seit 27. Juli 2026 · Europäische Kommission, Fragen und Antworten zur KI-Kompetenz (digital-strategy.ec.europa.eu) · Bundesnetzagentur als zentrale KI-Aufsichtsbehörde seit 2. August 2026 · PASSION4IT Academy, Stand August 2026. Praxishinweis, keine Rechtsberatung. Stand: 18. August 2026.