KI-Kompetenz-Nachweis bei Audits & Zertifizierungen – was Prüfer:innen von ISO 42001, TISAX und Kunden erwarten

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Die dargestellten Anforderungen verschiedener Normen und Audit-Rahmen basieren auf öffentlich zugänglichen Quellen und spiegeln den Stand August 2026 wider. Für Ihre konkrete Situation – insbesondere bei laufenden Zertifizierungsprozessen oder Lieferantenaudits – wenden Sie sich bitte an eine qualifizierte Unternehmensberatung oder Rechtsanwältin/einen Rechtsanwalt.

Immer mehr Unternehmen merken: Die Frage nach KI-Kompetenz und deren Nachweis kommt nicht nur vom Gesetzgeber, sondern auch von Kunden, Prüforganisationen und Zertifizierungsstellen. Wer bereits nach ISO 27001 zertifiziert ist, eine TISAX-Assessierung durchläuft oder sich auf ISO/IEC 42001 vorbereitet, begegnet dem Thema früher oder später in der Audit-Dokumentation. Und wer als Lieferant in einer Kundenauditsituation sitzt, bekommt Fragen zu Art. 4 EU AI Act inzwischen direkt gestellt.

Dieser Artikel erklärt, wie die Kompetenz-Pflicht aus Artikel 4 EU AI Act mit diesen Audit- und Zertifizierungsrahmen zusammenhängt – und was Prüfer:innen konkret sehen wollen, wenn sie Schulungsnachweise prüfen.

Was Art. 4 EU AI Act mit Audits zu tun hat – und was nicht

Artikel 4 EU AI Act verpflichtet Anbieter und Betreiber von KI-Systemen dazu, nach besten Kräften sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Diese Pflicht gilt seit dem 2. Februar 2025. Eine ausführliche Einführung bietet unser Artikel EU AI Act Artikel 4 einfach erklärt.

Wichtig vorab – und das ist für die Audit-Frage entscheidend: Art. 4 ist kein eigenständiger Bußgeldtatbestand. Die häufig zitierten Sanktionen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes beziehen sich auf Verstöße gegen verbotene KI-Praktiken nach Art. 5 (Social Scoring, manipulative KI-Systeme usw.) – nicht auf fehlende Schulungsmaßnahmen nach Art. 4. Das Risiko einer unvollständigen Art.-4-Compliance liegt im Bereich der Organisations- und Geschäftsleiterhaftung. Mehr dazu: Geschäftsleiterhaftung ohne KI-Schulungsnachweis und Verbotene KI-Praktiken nach Art. 5.

Dennoch ist Art. 4 in Auditsituationen hochrelevant – nicht weil Auditor:innen Bußgelder verhängen könnten, sondern weil KI-Kompetenz zunehmend als Voraussetzung für ein funktionierendes KI-Governance-System gilt. Ohne nachweisbare Kompetenz fehlt einer ISO-42001-Implementierung oder einem TISAX-Informationssicherheitssystem ein wesentlicher Baustein.

ISO/IEC 42001 – KI-Managementsystem und Kompetenzanforderungen

Die ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme (AIMS), veröffentlicht im Dezember 2023. Sie ist eine freiwillige, marktgetriebene Norm – kein Gesetz und keine staatliche Pflicht. Unternehmen können sich auf Wunsch durch eine akkreditierte Zertifizierungsstelle (ähnlich wie bei ISO 9001 oder ISO 27001) prüfen und zertifizieren lassen. Eine vertiefte Abgrenzung zu Art. 4 EU AI Act bietet unser Artikel EU AI Act Art. 4 vs. ISO/IEC 42001.

Was ISO 42001 Abschnitt 7 zu Kompetenz sagt

Abschnitt 7 der ISO/IEC 42001 behandelt Unterstützungsanforderungen – darunter ausdrücklich die Kompetenz des Personals. Die Norm verlangt, dass Organisationen:

• die erforderliche Kompetenz der Personen bestimmen, die KI-bezogene Aufgaben wahrnehmen,
• sicherstellen, dass diese Personen auf Basis von Ausbildung, Schulung oder Erfahrung kompetent sind,
• geeignete Maßnahmen ergreifen, um die erforderliche Kompetenz zu erwerben, und
• dokumentierte Informationen als Nachweis der Kompetenz aufbewahren.

Das ist strukturell fast identisch mit dem, was Art. 4 EU AI Act auf gesetzlicher Ebene verlangt. Wer Art.-4-konform dokumentiert hat, liefert damit gleichzeitig wesentliche Belege für Abschnitt 7 einer ISO-42001-Auditierung.

Ein ISO-42001-Zertifikat ist kein Ersatz für Art.-4-Konformität – und umgekehrt. Beide Anforderungen können aber durch dieselbe Dokumentation bedient werden.

Was ISO-42001-Prüfer:innen konkret sehen wollen

• Kompetenzmatrix: Welche Rollen haben welche KI-Kompetenz-Anforderungen?
• Schulungsnachweise pro Person: Teilnahmebestätigung, Prüfungsergebnis, Datum, Schulungsinhalt
• Zuordnung zu Rollen und Prozessen: Wer arbeitet an welchem KI-System – und wurde diese Person entsprechend geschult?
• Aktualität: Ist die Schulung noch aktuell? Gibt es einen Auffrischungsplan?
• Verantwortlichkeit: Wer ist intern für die Kompetenz-Sicherstellung zuständig?

TISAX – KI-Kompetenz im Automotive-Umfeld

TISAX (Trusted Information Security Assessment Exchange) ist ein branchenspezifisches Assessment-Rahmenwerk für Informationssicherheit in der Automobilindustrie, betrieben vom VDA (Verband der Automobilindustrie) über die ENX Association. Es basiert auf dem ISA-Katalog (Information Security Assessment) und ist inhaltlich an ISO/IEC 27001 angelehnt.

TISAX ist keine staatliche Zertifizierung und keine gesetzliche Pflicht – es ist ein marktgetriebenes Qualitätssignal. Automobilzulieferer werden von OEMs (Originalausrüstern) wie VW, BMW oder Mercedes zunehmend zur TISAX-Assessierung verpflichtet, weil das Rahmenwerk eine einheitliche Prüfung von Informationssicherheitsmaßnahmen ermöglicht und Doppelprüfungen durch Einzelkunden vermeidet.

KI-Kompetenz in TISAX-Assessierungen

Der ISA-Katalog enthält im Bereich Informationssicherheits-Management Anforderungen an Schulung und Awareness (angelehnt an ISO 27001 Abschnitt 7.2 und 7.3). Seit der wachsenden KI-Nutzung in der Automobilindustrie – von KI-gestützter Qualitätskontrolle über autonome Fahrsysteme bis hin zu KI-Tools in der Lieferkettenverwaltung – stellen TISAX-Assessor:innen zunehmend Fragen nach:

• Wie wird sichergestellt, dass Mitarbeiter KI-Systeme sicher und kompetent bedienen?
• Gibt es Schulungen zur sicheren Nutzung von KI-Tools (insbesondere bei Drittanbieter-KI wie ChatGPT, Copilot, Gemini)?
• Wie werden Datenschutz-Risiken beim KI-Einsatz im Bewusstsein der Belegschaft verankert?
• Gibt es nachweisbare Awareness-Maßnahmen zur KI-Nutzung?

Ein formal belegter KI-Kompetenz-Nachweis (Schulung + Prüfung + dokumentiertes Ergebnis) fließt dabei in die Bewertung der Schulungs- und Awareness-Maßnahmen ein – ein Bereich, der bei TISAX-Assessierungen regelmäßig geprüft wird.

ISO/IEC 27001 – Informationssicherheit und KI-Kompetenz

Die ISO/IEC 27001 (Information Security Management System, ISMS) ist die weltweit verbreitetste Norm für Informationssicherheits-Management. Abschnitt 7.2 (Kompetenz) und 7.3 (Bewusstsein) stellen Anforderungen, die direkt auf Schulungsnachweise abzielen:

• Die Organisation muss die erforderliche Kompetenz der Personen bestimmen, die unter ihrer Aufsicht Tätigkeiten ausüben, die die Informationssicherheitsleistung beeinflussen.
• Sie muss sicherstellen, dass diese Personen kompetent sind, und dokumentierte Nachweise aufbewahren.

Mit der ISO/IEC 27001:2022 (Update der Norm) wurden neue Kontrollen hinzugefügt, die explizit Bedrohungsintelligenz und sichere Konfiguration digitaler Systeme adressieren – Themen, bei denen KI-Kompetenz eine wachsende Rolle spielt. Wer KI-Tools (Cloud-KI, Copilot-Integration, KI-gestützte Sicherheitstools) einsetzt, sollte in seiner ISMS-Dokumentation nachweisen können, dass die Nutzer ausreichend geschult sind.

Für ISO-27001-Audits gilt: dokumentierte Kompetenz-Nachweise sind kein Nice-to-have, sondern ein konkretes Auditkriterium. Fehlende oder veraltete Schulungsnachweise führen in der Regel zu Nichtkonformitäten (NC) oder Beobachtungen (OFI – Opportunity for Improvement).

Kunden- und Lieferantenaudits – die unterschätzte Prüfsituation

Neben formalen Zertifizierungsaudits sind es oft Kunden- und Lieferantenaudits, bei denen die Frage nach KI-Kompetenz unvermittelt auftaucht. Gerade in Branchen mit hoher Regulierungsdichte – Automotive, Pharma, Finanzdienstleistungen, kritische Infrastruktur – fordern Auftraggeber von ihren Lieferanten zunehmend Nachweise, wie KI eingesetzt und welche Kompetenz dafür vorgehalten wird.

Typische Fragen in Lieferantenfragebögen (z. B. im Rahmen von TISAX-VDA ISA, SMETA, SEDEX oder individuellen Supplier-Codes of Conduct):

• Setzen Sie KI-Tools in Ihrem Betrieb ein? Wenn ja: welche?
• Wie stellen Sie sicher, dass Mitarbeiter KI-Tools datenschutzkonform und sicher nutzen?
• Welche Schulungsmaßnahmen haben Sie zur KI-Nutzung durchgeführt?
• Können Sie Schulungsnachweise pro Mitarbeiter vorlegen?
• Wie erfüllen Sie die Anforderungen aus Art. 4 EU AI Act?

Unternehmen, die diese Fragen ohne Belege beantworten, riskieren Vertragsrisiken oder das Ausscheiden aus Lieferantenlisten. Der Nachweis einer strukturierten Schulungsmaßnahme mit personenbezogenem Ergebnis ist hier ein klares Differenzierungsmerkmal.

Was Prüfer:innen konkret sehen wollen – die 7 Kernpunkte

Unabhängig davon, ob es sich um ein ISO-42001-Audit, eine TISAX-Assessierung, einen ISO-27001-Surveillance-Audit oder ein Kunden-Lieferanten-Audit handelt – die Prüf-Logik für Kompetenz-Nachweise folgt einem ähnlichen Muster:

Fehlende oder lückenhafte Nachweise zu diesen sieben Punkten führen in ISO-Audits typischerweise zu Nichtkonformitäten im Bereich „Unterstützung" oder „Kompetenz" – einem der häufigsten Audit-Befundfelder in ISMS-Implementierungen.

Was unser KI-Kompetenz-Zertifikat leistet – und was nicht

Was das Zertifikat von ki-zertifizieren.de konkret liefert:

• Schulungsnachweis: Dokumentierter Abschluss einer strukturierten KI-Kompetenz-Schulung (Inhalte, Datum, Personenbezug)
• Prüfungsergebnis: Abgeschlossene Erfolgskontrolle (20-Fragen-Prüfung, Mindestpunktzahl 14/20)
• Verifizierbarkeit: Jedes Zertifikat trägt eine individuelle Verifizierungs-ID, die unter /verify überprüfbar ist – für Auditor:innen nachvollziehbar
• Art.-4-Inhaltsbezug: Die Schulung adressiert die in Art. 4 EU AI Act beschriebenen Kompetenz-Bereiche (Grundlagen KI, Risikobewusstsein, verantwortungsvoller Einsatz, Grenzen der KI)
• Personenbezogene PDF-Dokumentation: Name, Firma, Datum, Ergebnis – revisionssicher exportierbar

Als Baustein in ein Audit-Dossier – etwa als einer von mehreren Nachweisen im Rahmen einer ISO-27001- oder ISO-42001-Auditierung – ist dieses Dokument durchaus verwendbar. Es belegt, dass die Person an einer strukturierten Schulung mit Erfolgskontrolle teilgenommen hat. Ob das für den konkreten Audit-Scope ausreicht, hängt von den jeweiligen Anforderungen der Prüforganisation und dem Kontext ab.

Revisionssichere Art.-4-Dokumentation: praktische Checkliste

Unabhängig davon, welches Audit Sie vorbereiten – diese Punkte sollte Ihre Art.-4-Dokumentation abdecken. Mehr Details zur Dokumentations-Grundlage bietet unser Artikel KI-Kompetenz rechtssicher dokumentieren.

Tipp für ISO-27001- und ISO-42001-Kontexte: Hängen Sie diese Dokumentation direkt an das jeweilige Audit-Dossier an – unter dem Kapitel „Kompetenz und Bewusstsein". Auditor:innen prüfen diesen Abschnitt fast immer und suchen nach exakt diesen Belegen.

Hinweis: Dieser Artikel gibt einen praxisorientierten Überblick, ersetzt aber keine individuelle Beratung für Ihren konkreten Audit- oder Zertifizierungsprozess. Für verbindliche Einschätzungen zu ISO-Konformität oder Lieferantenanforderungen wenden Sie sich bitte an eine qualifizierte Kanzlei oder Zertifizierungsberatung.