KI-Kompetenz dokumentieren: Nachweis für Art. 4 EU AI Act richtig führen

Was genau sollte dokumentiert werden?

Die Bundesnetzagentur empfiehlt eine „ausreichende Dokumentation der durchgeführten Maßnahmen, u. a. die Art der Maßnahmen, den inhaltlichen und zeitlichen Umfang, die teilnehmenden Personen“. Übersetzt in eine praktische Aufzeichnung heißt das für jede Schulung oder Maßnahme:

• Wer wurde geschult — Name, Rolle oder Abteilung der teilnehmenden Person, einschließlich Auftragnehmern und Dienstleistern, die in Ihrem Auftrag mit KI-Systemen befasst sind. Gerade dieser zweite Kreis wird in der Praxis oft vergessen, obwohl Art. 4 Abs. 1 ihn ausdrücklich mit erfasst.
• Wann — Datum und, bei mehrteiligen Maßnahmen, der Zeitraum vom ersten bis zum letzten Baustein. Das Datum ist zugleich die Grundlage für die nächste Auffrischung.
• Welche Inhalte / welche Module — worüber inhaltlich geschult wurde, damit sich Umfang und Tiefe im Nachhinein nachvollziehen lassen. Ein Stichwort wie „Grundlagen KI, Risiken, unternehmensinterne Tools“ reicht; ein vollständiges Skript muss nicht mitgeführt werden.
• Von wem — intern durchgeführt, extern beauftragt, oder über einen Online-Kurs wie KI-Pflichtschulung. Bei externen Anbietern hilft ein kurzer Verweis auf deren Kursbeschreibung, falls später nachgefragt wird, was genau vermittelt wurde.
• Mit welchem Ergebnis — bestanden/nicht bestanden bei einem Test, oder schlicht „teilgenommen“, falls kein Test vorgesehen war. Ein Testergebnis ist rechtlich nicht vorgeschrieben, macht die Aufzeichnung aber aussagekräftiger als eine reine Anwesenheitsliste.
• Nächste Auffrischung — ein Zieldatum oder Anlass (z. B. neues KI-System im Einsatz), damit die Maßnahme nicht einmalig bleibt. KI-Kompetenz ist in Art. 4 als Entwicklung angelegt, nicht als einmalig erledigter Haken.

Das ist keine amtlich vorgeschriebene Liste — Art. 4 selbst nennt keine Formvorgabe. Es ist die Übersetzung dessen, was Kommission und Bundesnetzagentur als Zweck der Dokumentation beschreiben, in konkrete Felder, die sich in einer Tabelle oder Software führen lassen. Wichtiger als die Form ist, dass sich alle sechs Punkte im Zweifel innerhalb weniger Minuten zusammenstellen lassen — nicht erst nach tagelanger Suche in E-Mail-Postfächern oder bei einzelnen Führungskräften.

Wo und wie ablegen — ein paar praktische Hinweise

Weder die Verordnung noch die Kommissions-FAQ noch die Bundesnetzagentur schreiben einen Ablageort vor. In der Praxis bewähren sich drei Grundsätze, unabhängig von der konkreten Rechtsfrage:

• Zentral statt verteilt. Eine gemeinsame Tabelle oder ein gemeinsames Tool schlägt einzelne Notizen bei verschiedenen Führungskräften — sonst lässt sich im Auditfall nicht in angemessener Zeit ein vollständiges Bild zusammenstellen.
• Zuständigkeit benennen. Eine Person oder Rolle (HR, Compliance, IT-Leitung) sollte für Pflege und Vollständigkeit der Aufzeichnung verantwortlich sein — sonst veraltet sie, sobald neue Mitarbeitende oder neue KI-Systeme hinzukommen.
• Zugriff einschränken. Die Aufzeichnung enthält Namen und Ergebnisse von Mitarbeitenden, also personenbezogene Daten — sie sollte wie andere Personalunterlagen nur den dafür zuständigen Stellen zugänglich sein, nicht unternehmensweit einsehbar.

Ob das eine Tabelle, ein HR-System oder ein spezialisiertes Dashboard ist, bleibt Ihnen überlassen — die Verordnung ist hier bewusst technologieoffen.

Warum eine interne Aufzeichnung reicht — kein Zertifikat nötig

Die Europäische Kommission schreibt in ihrer FAQ zur KI-Kompetenz wörtlich: „There is no need for a certificate“ und „Organisations can keep an internal record of trainings and/or other guiding initiatives“ — es braucht kein Zertifikat, eine interne Aufzeichnung von Schulungen oder anderen Leitmaßnahmen genügt. Die Bundesnetzagentur bestätigt das aus deutscher Aufsichtsperspektive und stellt klar, dass keine Zertifizierungen oder formalisierten Trainingsmaßnahmen, keine garantierten Kompetenzniveaus und kein eigener KI-Beauftragter verlangt werden.

Für die Dokumentation bedeutet das: Es geht nicht darum, ein amtliches Formular auszufüllen, das es gar nicht gibt, sondern darum, die eigenen Maßnahmen so festzuhalten, dass sie im Zweifel — gegenüber einer Aufsichtsbehörde, in einem Audit oder im Streitfall — nachvollziehbar sind. Die Bundesnetzagentur formuliert das als Möglichkeit, „jederzeit nachzuweisen, dass die Anforderungen des Art. 4 erfüllt werden“.

Wie lange aufbewahren?

Weder Art. 4 noch die Kommissions-FAQ noch die Seite der Bundesnetzagentur nennen eine konkrete Aufbewahrungsfrist für Schulungsnachweise. Eine feste, gesetzlich vorgeschriebene Frist gibt es nach dem aktuell geprüften Stand also nicht — anders als etwa bei handels- oder steuerrechtlichen Aufbewahrungspflichten.

Ohne feste Frist bleibt als Orientierung das Prinzip, das hinter der Empfehlung steht: die Aufzeichnung soll im Zweifel belegen können, dass Maßnahmen ergriffen wurden. Ein naher Verwandter dieses Gedankens findet sich im Datenschutzrecht: Art. 5 Abs. 2 der Datenschutz-Grundverordnung (EU) 2016/679 verpflichtet den Verantwortlichen, die Einhaltung der Datenverarbeitungsgrundsätze „nachweisen zu können“ („Rechenschaftspflicht“). Das ist ausdrücklich eine Analogie aus einem anderen Rechtsgebiet, keine direkte Anwendung auf Art. 4 der KI-Verordnung — die DSGVO regelt den Umgang mit personenbezogenen Daten, nicht die KI-Kompetenz-Pflicht. Sie zeigt aber ein Muster, das sich sinnvoll übertragen lässt: Nachweise so lange aufbewahren, wie eine Nachfrage plausibel ist, und spätestens bei der nächsten Auffrischung nicht ersatzlos löschen, sondern fortschreiben.

In der Praxis heißt das für die meisten Organisationen: Nachweise über mehrere Jahre und über einen Personalwechsel hinaus aufbewahren, und bei jeder neuen Schulung oder Auffrischung den alten Stand nicht überschreiben, sondern ergänzen. Verlässt eine Person das Unternehmen, spricht nichts dagegen, den historischen Nachweis trotzdem für den vergangenen Zeitraum aufzubewahren — er belegt schließlich, dass die Organisation zum damaligen Zeitpunkt gehandelt hat, unabhängig davon, ob die Person noch beschäftigt ist.

Checkliste: Nachweis-Elemente je Schulung

Eine einfache Tabelle mit diesen Spalten deckt ab, was Kommission und Bundesnetzagentur an Zweck beschreiben. Eine Zeile pro Person und Schulungsereignis:

Für einzelne Personen oder kleine Teams reicht dafür eine einfache Tabelle. Sobald mehrere Abteilungen oder externe Dienstleister mitlaufen, wird das schnell unübersichtlich — dafür ist der praktische Weg über ein Werkzeug gedacht, das diese Felder automatisch pflegt (siehe unten).

Was, wenn die Dokumentation fehlt?

Die Bundesnetzagentur weist darauf hin, dass ein Mangel an KI-Kompetenz als Verletzung der Sorgfaltspflicht angesehen werden kann, insbesondere wenn dadurch ein Schaden entsteht. Eine eigene Bußgeldnorm ist Art. 4 nicht — die Norm steht nicht in der enumerativen Liste des Art. 99 Abs. 3 und 4 der KI-Verordnung (Details dazu im Grundlagenartikel). Fehlt jede Dokumentation, verschiebt sich aber die Beweislage: Im Streitfall lässt sich schwerer zeigen, dass überhaupt etwas unternommen wurde, selbst wenn tatsächlich geschult wurde.

Eigene Tabelle oder fertige Lösung?

Der Kursaufbau der KI-Pflichtschulung erzeugt die oben genannten Felder ohnehin: Teilnehmer, Datum, absolvierte Module und Testergebnis liegen nach dem Abschlusstest im Konto vor, das accountgebundene Zertifikat dient dabei als freiwilliger, interner Nachweis — kein amtliches Zertifikat, aber eine fertige Aufzeichnung im Sinne der Kommissions-FAQ.

Für einzelne Personen reicht das Zertifikat pro Account. Für Teams ab 25 Personen bündelt der Business-Tarif (29 € pro Person) das in einem Admin-Dashboard mit Doku-Export, statt Datum, Module und Ergebnis manuell in eine eigene Tabelle zu übertragen. Das ersetzt keine Rechtsprüfung im Einzelfall, spart aber genau die Pflege der oben stehenden Checkliste.

Der Unterschied zwischen beiden Wegen ist also kein rechtlicher, sondern ein organisatorischer: Eine selbst gepflegte Tabelle erfüllt formal dieselbe Funktion wie ein Dashboard, solange sie tatsächlich aktuell gehalten wird. Der Aufwand dafür wächst aber mit jeder zusätzlichen Person, jedem Team und jeder Auffrischung — genau an der Stelle setzt der Doku-Export im Business-Tarif an, indem er die Checkliste automatisch aus den absolvierten Kursdaten befüllt, statt sie manuell nachzupflegen.

Häufige Fragen

Rechtsgrundlagen und Quellen

• Verordnung (EU) 2024/1689, konsolidierte Fassung vom 27.07.2026 (EUR-Lex): Art. 4, Art. 99
• Europäische Kommission, AI Literacy — Questions & Answers
• Bundesnetzagentur, KI-Kompetenz (Art. 4) — Empfehlungen zur Dokumentation
• Verordnung (EU) 2016/679 (DSGVO), Art. 5 Abs. 2 (Rechenschaftspflicht, als Analogie)