KI-Kompetenz nachweisen: Dokumentation, die trägt

Art. 4 der KI-Verordnung verpflichtet Anbieter und Betreiber, Maßnahmen für ausreichende KI-Kompetenz zu ergreifen. Eine ausdrückliche Dokumentationspflicht steht dort nicht. Trotzdem gilt praktisch: Was nicht dokumentiert ist, lässt sich nicht belegen. Fragt eine Aufsichtsbehörde, ein Kunde im Rahmen eines Lieferantenaudits oder ein Gericht nach einem Schadensfall, zählt, was schriftlich vorliegt.

Hinzu kommt, dass andere Regeln Rechenschaft ausdrücklich verlangen. Die DSGVO verpflichtet Verantwortliche in Art. 5 Abs. 2, die Einhaltung ihrer Grundsätze nachweisen zu können. Hochrisiko-Betreiber müssen nach Art. 26 Abs. 2 die menschliche Aufsicht Personen übertragen, die über die nötige Kompetenz, Ausbildung und Befugnis verfügen — auch das muss man im Zweifel zeigen können.

Eine gute Dokumentation hat drei Ebenen, die aufeinander aufbauen. Die erste ist das Konzept: Welche KI-Systeme sind im Einsatz, welche Gruppen nutzen sie, welches Kompetenzniveau braucht jede Gruppe und warum? Hier zeigt sich, dass die Maßnahmen an Vorwissen und Einsatzkontext ausgerichtet sind, wie es Art. 4 verlangt.

Die zweite Ebene sind die Inhalte: Lehrpläne, Kursunterlagen und Prüfungsfragen in der Fassung, die zum Zeitpunkt der Schulung galt. Wer später belegen will, was gelehrt wurde, braucht die damalige Version, nicht die heutige.

Die dritte Ebene sind die individuellen Nachweise: wer, wann, welcher Kurs, welches Ergebnis, gültig bis wann. Diese Ebene ist am häufigsten lückenhaft, weil Teilnahmelisten in Tabellen gepflegt werden, die niemand mit dem Schulungsplan abgleicht.

Ein individueller Nachweis sollte für sich allein verständlich sein. Er nennt die Person, die Schulung mit Titel und Version, das Datum des Abschlusses, die Form der Lernerfolgskontrolle mit Ergebnis, den Aussteller und gegebenenfalls ein Ablaufdatum. Bei rollenbezogenen Schulungen hilft ein Hinweis auf die Rolle, für die die Schulung vorgesehen war.

Teilnahme allein ist ein schwacher Beleg. Eine kurze Wissensprüfung zeigt, dass Inhalte verstanden wurden, und unterscheidet Anwesenheit von Kompetenz. Sie muss nicht schwer sein, aber zu den Lernzielen passen.

Eine unterschriebene Teilnahmeliste ist besser als nichts, aber schwer auszuwerten und leicht zu verlieren. Ein PDF-Zertifikat ist bequemer, lässt sich aber ebenso leicht verändern. Prüfbare digitale Nachweise lösen das: Ein QR-Code oder Prüfcode führt auf eine Prüfseite des Ausstellers, die zeigt, ob der Nachweis echt, gültig und nicht widerrufen ist. Nach offenen Standards wie W3C Verifiable Credentials ist der Nachweis zusätzlich kryptografisch signiert und maschinell prüfbar.

Für interne Zwecke reicht oft ein zentrales Verzeichnis in der Lernplattform, das je Person und Schulung den Stand zeigt und sich als Bericht exportieren lässt. Für Nachweise gegenüber Dritten, etwa Kunden, die KI-Kompetenz ihrer Lieferanten prüfen, sind prüfbare Nachweise im Vorteil, weil der Prüfende nicht dem Unternehmen vertrauen muss, sondern selbst prüfen kann.

Schulungsnachweise sind personenbezogene Daten. Ihre Verarbeitung lässt sich im Beschäftigungsverhältnis begründen, aber Zweckbindung und Speicherbegrenzung gelten (Art. 5 Abs. 1 Buchst. b und e DSGVO). Sinnvoll ist eine Löschregel, die sich an der Gültigkeit und an möglichen Nachweisbedarfen orientiert. Prüfungsergebnisse sollten nicht für Leistungsbeurteilungen verwendet werden, wenn das nicht vorher festgelegt und, wo nötig, mit dem Betriebsrat vereinbart ist.

Dieser Beitrag erklärt die Rechtslage allgemein und ist keine Rechtsberatung. Für den Einzelfall gilt der amtliche Normtext in der aktuellen Fassung; bei Zweifeln helfen anwaltliche Beratung, der Datenschutzbeauftragte oder die zuständige Aufsichtsbehörde.