KI-Schulungsnachweis: Vorlage und Auffrischung.

Ein KI-Schulungsnachweis ist in der Regel ein schlichtes internes Verzeichnis: Welche Maßnahme fand wann statt, mit welchen Inhalten und welchem Umfang, wer hat teilgenommen und zu welchen KI-Werkzeugen. Ein Zertifikat verlangt der EU AI Act dafür nicht, und eine bestimmte Form auch nicht. Die FAQ der EU-Kommission zur KI-Kompetenz (Stand 20.10.2026) sagt ausdrücklich, dass Organisationen ein internes Verzeichnis ihrer Schulungen und sonstigen Maßnahmen führen können. Seit dem Digital-Omnibus (VO (EU) 2026/1744, in Kraft seit 27.07.2026) bleibt KI-Kompetenz eine Pflicht von Anbietern und Betreibern, ein bestimmtes Kompetenzniveau schreibt Art. 4 laut FAQ aber nicht mehr vor. Gerade deshalb zählt, dass sich die Maßnahmen nachvollziehen lassen. Dieser Beitrag liefert eine Feldliste als Vorlage, klärt den Unterschied zwischen Teilnahmebestätigung, Zertifikat und Verzeichnis, zeigt, wie externe Kräfte hineingehören, wann eine Auffrischung fällig ist und was beim Datenschutz zu beachten ist. Stand Oktober 2026.

Hinweis: Dieser Beitrag gibt den Rechts- und Steuerstand zum unten angegebenen Datum allgemein wieder. Er ist keine Rechts- oder Steuerberatung und ersetzt nicht die Prüfung Ihres Einzelfalls durch eine Rechtsanwältin, einen Rechtsanwalt, eine Steuerberaterin oder einen Steuerberater. Alle Angaben ohne Gewähr für Vollständigkeit und Aktualität.

Was muss ein KI-Schulungsnachweis enthalten?

Vorgeschrieben ist kein bestimmter Inhalt. Die FAQ der Kommission beantwortet die Frage, wie Organisationen ihre Maßnahmen dokumentieren sollen, knapp: Ein Zertifikat ist nicht nötig, ein internes Verzeichnis der Schulungen und sonstigen Maßnahmen ist möglich. Eine bestimmte Governance-Struktur, etwa ein Pflicht-KI-Beauftragter, ist ebenfalls nicht vorgeschrieben. Was im Verzeichnis stehen sollte, ergibt sich deshalb aus seinem Zweck: Es soll später zeigen, dass die Organisation die KI-Kompetenz ihrer Leute ernsthaft und passend zu den eingesetzten Systemen unterstützt hat.

Eine brauchbare Orientierung liefert das Hinweispapier der Bundesnetzagentur vom Juni 2025. Es empfiehlt, die durchgeführten Maßnahmen ausreichend zu dokumentieren, unter anderem die Art der Maßnahmen, den inhaltlichen und zeitlichen Umfang und die teilnehmenden Personen. Wichtig zur Einordnung: Das Papier stammt von vor dem Omnibus und spricht noch davon, ein ausreichendes Maß an KI-Kompetenz „sicherzustellen“. Diese Formulierung ist überholt. Die Dokumentationslogik bleibt aber praktisch nützlich, weil sie genau die Fragen beantwortet, die bei einer Nachfrage gestellt werden.

Zusätzlich lohnt es sich, zwei Dinge festzuhalten, die das Hinweispapier nicht ausdrücklich nennt: auf welche KI-Werkzeuge sich die Maßnahme bezieht und welche Risiken sie adressiert. Die FAQ beschreibt als Grundbausteine ein allgemeines KI-Verständnis, die Klärung der eigenen Rolle als Anbieter oder Betreiber, die Risiken der eingesetzten Systeme und die Anpassung an Vorwissen und Einsatzkontext. Wer diesen Bezug im Verzeichnis sichtbar macht, zeigt, dass die Schulung kein beliebiger KI-Vortrag war. Die rechtliche Einordnung von Art. 4 selbst steht ausführlich im Beitrag KI-Kompetenz als Pflicht nach Artikel 4; hier geht es um das Werkzeug.

Vorlage: die Felder des internen Verzeichnisses.

Praktisch ist eine Aufteilung in zwei Tabellen. Die Maßnahmenliste beschreibt jede Schulung oder Unterweisung einmal und enthält keine Namen. Die Teilnahmeliste ordnet Personen den Maßnahmen zu. So kann die Maßnahmenliste offen im Intranet liegen, während die Teilnahmeliste nur für wenige Personen zugänglich ist. Beide lassen sich in einer Tabellenkalkulation, einer SharePoint-Liste oder im vorhandenen Lernmanagementsystem führen.

Maßnahmenliste (eine Zeile je Maßnahme):

Teilnahmeliste (eine Zeile je Person und Maßnahme): Maßnahmen-Nr., Name oder Personalnummer, Organisationseinheit, Rolle in Bezug auf KI, intern oder extern (bei Externen: Firma), Datum der Teilnahme, Status (teilgenommen, entschuldigt, nachgeholt). Mehr braucht es in der Regel nicht. Eine Spalte für Testpunkte oder Bewertungen ist für Art. 4 nicht nötig, dazu mehr im Abschnitt zum Datenschutz.

Kleine Betriebe kommen oft mit einer einzigen Tabelle aus, in der die Teilnehmenden direkt in einer Spalte stehen. Das genügt in der Regel und bleibt übersichtlich, solange der Zugriff passend beschränkt ist.

Teilnahmebestätigung, Zertifikat oder Verzeichnis?

Die drei Begriffe werden oft vermischt, erfüllen aber unterschiedliche Zwecke. Für die Organisation zählt in erster Linie das Verzeichnis. Teilnahmebestätigung und Zertifikat sind Belege, die darin abgelegt oder referenziert werden können.

Eine Teilnahmebestätigung sollte mindestens Namen, Datum, Dauer, Themen und die durchführende Stelle nennen. Für Beschäftigte ist sie auch persönlich nützlich, etwa für die eigene Weiterbildungsmappe. Ein Zertifikat sagt dagegen nur aus, dass jemand eine Prüfung bei einem bestimmten Anbieter bestanden hat. Ob die Inhalte zu Ihren Werkzeugen und Risiken passten, beantwortet es nicht. Angebote, die mit einem angeblichen Pflichtzertifikat werben, sollten Sie deshalb kritisch prüfen.

Auch Maßnahmen ohne Schulungscharakter gehören ins Verzeichnis: die Unterweisung zur internen KI-Richtlinie, eine regelmäßige KI-Sprechstunde, ein Merkblatt zu neuen Funktionen. Die FAQ spricht ausdrücklich von Schulungen und sonstigen Maßnahmen. Sich nur auf die Gebrauchsanweisung eines Werkzeugs zu verlassen oder sie lesen zu lassen, kann laut FAQ unwirksam sein; bei Hochrisiko-Systemen reicht es nach der FAQ ausdrücklich nicht, dort sind weitere Maßnahmen nötig.

Gehören Freelancer und Dienstleister in den KI-Schulungsnachweis?

Art. 4 betrifft nicht nur das eigene Personal, sondern auch andere Personen, die im Auftrag der Organisation mit KI-Systemen arbeiten. Die FAQ beschreibt sie als Personen, die keine Beschäftigten sind, aber im weiteren organisatorischen Verantwortungsbereich arbeiten, und nennt Auftragnehmer, Dienstleister und, je nach Risiko, auch Kunden. Wer für einen Dienstleister arbeitet, braucht laut FAQ die für die jeweilige Aufgabe passenden KI-Fähigkeiten. Wie das belegt wird, legt die FAQ nicht fest.

In der Praxis gibt es drei Wege, die sich im Verzeichnis gut abbilden lassen:

• Einbeziehen: Freie Mitarbeitende, Zeitarbeitskräfte oder Werkstudierende, die im Alltag dieselben KI-Werkzeuge nutzen wie das Team, nehmen an denselben Maßnahmen teil und stehen in der Teilnahmeliste mit dem Vermerk „extern“ und der Firma.
• Bestätigen lassen: Bei Dienstleistern, die mit eigenen Leuten und eigenen Werkzeugen arbeiten, etwa einer Agentur oder einem IT-Dienstleister, ist eine vertragliche Zusage oder eine schriftliche Bestätigung ein praktikabler Beleg dafür, dass deren Personal für die beauftragte Aufgabe geschult ist. Im Verzeichnis steht dann der Verweis auf Vertrag oder Bestätigung statt einer Namensliste.
• Einweisen: Wenn Kunden oder Partner ein KI-System nutzen, das Sie bereitstellen, und das Risiko es erfordert, ist eine kurze Einweisung mit Unterlage sinnvoll, die Sie als Maßnahme erfassen.

Welcher Weg angemessen ist, hängt von System, Aufgabe und Risiko ab. Ein Übersetzungsbüro, das Texte mit eigenen Werkzeugen liefert, ist anders zu behandeln als eine freie Kraft, die im Kundenservice Ihren Chatbot betreut. Bei laufenden Verträgen lohnt ein Blick, ob eine passende Klausel fehlt; die vertragliche Gestaltung im Einzelfall gehört zu Anwalt oder Rechtsabteilung.

Wann ist eine Auffrischung der KI-Schulung fällig?

Einen festen Rhythmus nennt die Kommission nicht. Die FAQ betont lediglich bei Fachleuten mit KI-Vorbildung, dass es auf das konkrete Werkzeug ankommt, was angesichts des Tempos der technischen Entwicklung besonders relevant sei. Das Hinweispapier der Bundesnetzagentur empfiehlt, KI-Kompetenzen regelmäßig aufzufrischen, und begründet das unter anderem damit, dass sich der Nutzungskontext von Personen ändern kann und technologische Entwicklungen neue Anwendungsfelder eröffnen. Daraus folgt kein Pflichttermin, aber eine klare Logik: Aufgefrischt wird, wenn sich etwas ändert, das die Risiken oder die nötigen Kenntnisse verschiebt.

Typische Anlässe, die Sie im Feld „Anlass der nächsten Auffrischung“ festhalten können:

• Werkzeugwechsel: Ein neues KI-Werkzeug kommt hinzu oder das Team wechselt vom privaten Konto auf eine Business-Lizenz mit anderen Regeln für Daten und Freigaben.
• Neue Funktionen: Ein vorhandenes Werkzeug kann plötzlich mehr, zum Beispiel Agenten, die selbstständig Aktionen ausführen, oder Verbindungen zu Firmendaten wie E-Mail, Laufwerken oder CRM.
• Neue Rollen: Neue Beschäftigte, ein Wechsel in eine Abteilung mit sensibleren Daten oder die Übernahme von Verantwortung für ein KI-System.
• Vorfälle und Beinahe-Vorfälle: Vertrauliche Daten wurden in ein falsches Werkzeug eingegeben, eine fehlerhafte KI-Ausgabe ging an Kunden oder fiel knapp vorher auf.
• Geänderte Regeln: Die interne KI-Richtlinie wird überarbeitet, oder neue rechtliche Vorgaben betreffen den Einsatz, etwa die Transparenzpflichten nach Art. 50 AI Act, die seit 02.08.2026 gelten.

Damit das Verzeichnis nicht stillschweigend veraltet, empfiehlt sich zusätzlich ein spätester Prüftermin, zum Beispiel nach zwölf Monaten. Geprüft wird dann, ob die Maßnahme noch zu Werkzeugen und Aufgaben passt. Das muss nicht automatisch eine neue Ganztagsschulung bedeuten; oft genügt eine kurze Auffrischung zu den Änderungen, die ebenfalls ins Verzeichnis kommt.

Datenschutz, Mitbestimmung und Grenzen des Nachweises.

Die Teilnahmeliste enthält personenbezogene Daten von Beschäftigten und Externen. Damit gelten die Grundsätze der DSGVO, insbesondere Zweckbindung, Datenminimierung und Speicherbegrenzung nach Art. 5 DSGVO. Praktisch heißt das:

• Nur erfassen, was der Nachweis braucht: Wer hat wann an welcher Maßnahme teilgenommen. Art. 4 enthält laut FAQ keine Pflicht, die KI-Kenntnisse der Beschäftigten zu messen. Testergebnisse, Bewertungen oder Lernzeiten pro Person gehören deshalb in der Regel nicht ins Verzeichnis.
• Zugriff beschränken, etwa auf Personalabteilung und die verantwortliche Stelle für KI.
• Speicherdauer festlegen und ins Löschkonzept aufnehmen, statt Listen unbegrenzt aufzubewahren.
• Beschäftigte darüber informieren, dass und wozu Teilnahmen erfasst werden, und die Rechtsgrundlage mit der oder dem Datenschutzbeauftragten klären.
• Bei externen Trainern prüfen, ob und welche Teilnehmerdaten diese erhalten und auf welcher vertraglichen Grundlage.

Wird das Verzeichnis in einem Lernmanagementsystem geführt, das Lernfortschritt oder Nutzungszeiten automatisch aufzeichnet, kommt bei Betrieben mit Betriebsrat das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG in Betracht, weil solche Systeme geeignet sein können, Verhalten oder Leistung zu überwachen. Mehr zu Beschäftigtendaten beim KI-Einsatz steht im Beitrag Mitarbeiter-Datenschutz bei KI-Einsatz.

Zur Einordnung: Ein Verzeichnis ist ein Beleg, keine Absicherung. Die Kommission betont bei ihren gesammelten Praxisbeispielen, dass deren Nachahmung nicht automatisch eine Vermutung der Konformität mit Art. 4 begründet, und für ein selbst gebautes Verzeichnis gilt das erst recht. Seit 02.08.2026 sind laut FAQ die nationalen Marktüberwachungsbehörden für Aufsicht und Durchsetzung zuständig; in Deutschland ist das nach dem deutschen Durchführungsgesetz KI-MIG, in Kraft seit 29.07.2026, vor allem die Bundesnetzagentur als Marktüberwachungsbehörde und zentrale Anlaufstelle. Fachbehörden wie die BaFin behalten ihre Zuständigkeiten. Wie streng die Behörden Art. 4 in der neuen Fassung auslegen, ist noch offen. Ein gepflegtes Verzeichnis ohne echte Maßnahmen dahinter ist außerdem wertlos; es dokumentiert, es ersetzt nichts.

So legen Sie das Verzeichnis in einer Stunde an.

Für den Start reicht eine Tabelle und eine Stunde konzentrierte Arbeit. Ein möglicher Ablauf:

1. Werkzeuge auflisten (10 Minuten): Welche KI-Werkzeuge werden genutzt, offiziell und erkennbar inoffiziell? Wenn es bereits ein KI-Inventar gibt, darauf verweisen.
2. Rollen festlegen (10 Minuten): Drei bis vier Gruppen genügen meist, etwa alle Nutzenden, Power-User, Leitung, IT. Externe Kräfte mit KI-Bezug gleich mitdenken.
3. Bisherige Maßnahmen nachtragen (15 Minuten): Workshops, Unterweisungen, Richtlinien-Schulungen, E-Learnings der letzten Monate mit Datum, Umfang und Inhalten in die Maßnahmenliste eintragen. Teilnahmelisten aus Kalendereinladungen oder Anwesenheitslisten übernehmen.
4. Lücken markieren (10 Minuten): Welche Rolle oder welches Werkzeug ist noch ohne Maßnahme? Daraus ergibt sich die nächste Schulung.
5. Auffrischungsanlässe und Prüftermin setzen (5 Minuten): Je Maßnahme einen Anlass und einen spätesten Prüftermin eintragen.
6. Zugriff, Speicherdauer und Zuständigkeit klären (10 Minuten): Wer pflegt das Verzeichnis, wer darf die Teilnahmeliste sehen, wann wird gelöscht? Datenschutzbeauftragte und gegebenenfalls den Betriebsrat einbinden.

Für Fragen zum Aufbau von KI-Kompetenz bietet der KI-Service-Desk der Bundesnetzagentur Hinweise und ein Online-Werkzeug zur ersten Risikoeinstufung; auf EU-Ebene sammelt die Kommission Praxisbeispiele in einem frei zugänglichen Verzeichnis auf ihrer Website. Wer die Schulung selbst noch plant: Ein KI-Impuls-Workshop von einem halben oder ganzen Tag für bis zu zwölf Personen kann Grundlagen, Werkzeuge, Datenschutz und eigene Anwendungsfälle abdecken; Agenda und Inhalte lassen sich anschließend direkt in die Maßnahmenliste übernehmen. Die Formate finden Sie unter KI-Schulungen und Workshops.

Häufige Fragen.

Brauche ich für die KI-Schulung meiner Mitarbeitenden ein Zertifikat?

Nein. Die FAQ der EU-Kommission zur KI-Kompetenz (Stand 20.10.2026) sagt ausdrücklich, dass für Art. 4 EU AI Act kein Zertifikat nötig ist. Organisationen können stattdessen ein internes Verzeichnis ihrer Schulungen und sonstigen Maßnahmen führen. Ein Zertifikat kann für einzelne Personen nützlich sein, belegt aber nur eine bestandene Prüfung bei einem Anbieter, nicht, dass die Inhalte zu den eigenen Werkzeugen passen.

Was gehört in einen KI-Schulungsnachweis?

Mindestens die Art der Maßnahme, der inhaltliche und zeitliche Umfang sowie die Teilnehmenden. Das empfiehlt das Hinweispapier der Bundesnetzagentur vom Juni 2025. Sinnvoll sind außerdem das Datum, die Rolle der Teilnehmenden, die betroffenen KI-Werkzeuge, der Bezug zu den Risiken, der Ablageort der Unterlagen und der Anlass der nächsten Auffrischung. Testergebnisse sind nicht nötig.

Wie oft muss eine KI-Schulung aufgefrischt werden?

Einen festen Rhythmus schreibt weder der AI Act noch die FAQ der Kommission vor. Sinnvoll ist eine Auffrischung bei Anlässen: neue KI-Werkzeuge, neue Funktionen wie Agenten oder Datenanbindungen, neue Rollen, Vorfälle oder geänderte interne Regeln. Damit das Verzeichnis nicht veraltet, empfiehlt sich zusätzlich ein spätester Prüftermin, zum Beispiel nach zwölf Monaten.

Müssen auch Freelancer und Dienstleister eine KI-Schulung nachweisen?

Art. 4 erfasst neben dem eigenen Personal auch andere Personen, die im Auftrag der Organisation mit KI-Systemen arbeiten. Die FAQ nennt Auftragnehmer, Dienstleister und je nach Risiko auch Kunden. Eine bestimmte Nachweisform ist nicht vorgeschrieben. Freie Kräfte können an den eigenen Schulungen teilnehmen; bei Dienstleistern mit eigenen Werkzeugen kann eine vertragliche Zusage oder schriftliche Bestätigung im Verzeichnis vermerkt werden.

Darf ich Testergebnisse der KI-Schulung im Verzeichnis speichern?

Für Art. 4 ist das nicht nötig, denn die Vorschrift enthält laut FAQ der Kommission keine Pflicht, die KI-Kenntnisse der Beschäftigten zu messen. Nach dem Grundsatz der Datenminimierung der DSGVO sollte das Verzeichnis daher nur festhalten, wer wann an welcher Maßnahme teilgenommen hat. Rechtsgrundlage und Speicherdauer klären Sie am besten mit Ihrer oder Ihrem Datenschutzbeauftragten.

Quellen und Stand.

• AI Literacy – Questions & Answers (last update 20.10.2026) — Europäische Kommission
• Hinweispapier: KI-Kompetenzen nach Artikel 4 KI-Verordnung (Juni 2025) — Bundesnetzagentur
• Pressemitteilung: Bundesnetzagentur übernimmt zentrale Rolle bei der Umsetzung der KI-Verordnung (29.07.2026) — Bundesnetzagentur
• Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI) — EUR-Lex
• AI Act – Regulatory framework on AI (Digital-Omnibus in Kraft seit 27.07.2026, neue Hochrisiko-Fristen) — Europäische Kommission
• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) — EUR-Lex
• Betriebsverfassungsgesetz, § 87 Mitbestimmungsrechte — Bundesministerium der Justiz

Stand: 22. Oktober 2026. Produkte, Funktionen und Preise ändern sich schnell; maßgeblich sind die Angaben der Anbieter und Behörden.

Sie wollen KI-Kompetenz im Team aufbauen und die Maßnahmen gleich sauber dokumentieren? Unverbindlich anfragen — wir klären Rollen, Werkzeuge und ein passendes Workshop-Format, dessen Agenda und Inhalte Sie direkt in Ihr Verzeichnis übernehmen können. Mehr zu meinem Angebot: KI-Workshops für Unternehmen und KI-Beratung.