Viele Unternehmen fragen uns, ob der Datenschutzbeauftragte denn auch die seit Anfang Februar 2025 gesetzlich vorgeschriebenen KI-Schulungen halten kann - oder ob das gar in der Datenschutz-Schulung "mit drin" ist. Daher kurz unsere Meinung zu diesem wichtigen Thema.
Mit der zunehmenden Integration von Künstlicher Intelligenz (KI) in den Unternehmensalltag stehen Organisationen vor einer neuen Herausforderung: Sie müssen nicht nur die DSGVO einhalten, sondern auch neue regulatorische Vorgaben wie den EU AI Act berücksichtigen. Daraus ergibt sich eine wachsende Pflicht, Mitarbeiter im sicheren Umgang mit KI zu schulen. Da KI-Systeme jedoch fast immer personenbezogene Daten verarbeiten, liegt es nahe, Datenschutz- und KI-Schulungen gemeinsam zu denken. In diesem Beitrag erläutern wir, warum diese Kombination sinnvoll ist und welche Inhalte eine solche Schulung umfassen sollte.
Warum KI-Schulungen für Unternehmen Pflicht werden
Viele Unternehmen setzen bereits KI-gestützte Systeme ein, ohne sich dessen bewusst zu sein – sei es in Office-Programmen, automatisierten Kundendiensten oder Bewerbermanagementsystemen. Die Notwendigkeit von KI-Schulungen ergibt sich nicht nur für Unternehmen, die selbst KI entwickeln oder hochriskante Anwendungen betreiben, sondern auch für alle, die bestehende KI-gestützte Software nutzen. Das Problem: Viele Mitarbeiter wissen nicht, dass sie mit einer KI interagieren oder welche rechtlichen und ethischen Verpflichtungen damit verbunden sind.
Der EU AI Act unterscheidet zwischen verschiedenen Risiko-Klassen von KI-Systemen und schreibt bereits für viele „einfache Betreiber“ von KI-Software Schulungen vor. Dazu gehören:
-
Transparenzpflichten für KI-gestützte Anwendungen: Unternehmen müssen sicherstellen, dass Nutzer verstehen, wie und warum eine KI Entscheidungen trifft. Dies gilt auch für einfache KI-gestützte Office-Tools oder Analyse-Systeme.
-
Schulungspflichten für Unternehmen, die KI nutzen: Selbst wenn Unternehmen nicht direkt KI entwickeln, sondern nur einsetzen, müssen sie sicherstellen, dass ihre Mitarbeiter im Umgang mit KI geschult werden, um Datenschutzverstöße oder fehlerhafte Entscheidungen zu vermeiden.
-
Verpflichtung zur Überwachung und Kontrolle: Arbeitgeber müssen sicherstellen, dass KI-Systeme nicht diskriminierend oder fehlerhaft agieren, insbesondere bei Personalentscheidungen oder Kundenanalysen.
Warum Datenschutz und KI-Schulung zusammengehören
KI verarbeitet Daten – und Datenschutz regelt, wie das geschehen darf. Diese enge Verbindung führt dazu, dass Unternehmen ihre Schulungskonzepte anpassen müssen, um beide Themen ganzheitlich zu betrachten. Gründe für eine gemeinsame Schulung sind:
-
DSGVO und AI Act haben überlappende Pflichten: Beide erfordern Nachweisbarkeit, Transparenz und Rechenschaftspflicht beim Einsatz von Daten und KI.
-
Datenschutz-Folgenabschätzung vs. KI-Risikobewertung: Während die DSGVO bei sensiblen Daten eine Datenschutz-Folgenabschätzung (DSFA) verlangt, fordert der AI Act eine Risikobewertung für KI-Systeme. Beides dient der Risikominimierung.
-
Fehlentscheidungen durch KI können Datenschutzverstöße auslösen: KI kann zu Diskriminierung führen, etwa bei automatisierter Personalauswahl. Unternehmen müssen daher schulen, wie KI-Systeme bewertet und hinterfragt werden müssen.
-
Unternehmensrichtlinien für den Einsatz von KI müssen Datenschutz berücksichtigen: Es reicht nicht, nur KI-Regeln zu definieren – Unternehmen müssen sicherstellen, dass KI keine unrechtmäßige Datenverarbeitung vornimmt.
Welche Inhalte sollte eine kombinierte Schulung abdecken?
Eine kombinierte Schulung sollte praxisnah auf die Herausforderungen in Unternehmen eingehen. Wichtige Inhalte sind:
-
Grundlagen der DSGVO & AI Act: Einführung in die wichtigsten rechtlichen Vorgaben.
-
KI und personenbezogene Daten: Was darf eine KI nutzen? Welche Daten sind besonders schützenswert?
-
Transparenz und Nachvollziehbarkeit von KI-Entscheidungen: Wie bewertet man KI-generierte Ergebnisse? Welche Prüfmechanismen gibt es?
-
Risikomanagement und Datenschutz-Folgenabschätzung für KI: Wann muss eine DSFA oder eine KI-Risikobewertung erfolgen?
-
Interne KI-Richtlinien und Best Practices: Welche KI-Tools sind erlaubt? Was muss bei der Nutzung beachtet werden?
-
Erkennen von KI-gestützten Systemen im Arbeitsalltag: Viele Unternehmen wissen nicht, dass sie KI nutzen – Schulungen helfen, diese Systeme zu identifizieren und richtig damit umzugehen.
Fazit: Schulungen müssen sich anpassen
Mit der Regulierung von KI und der weiterhin hohen Bedeutung des Datenschutzes müssen Unternehmen ihre Schulungskonzepte erweitern. Anstatt Datenschutz- und KI-Schulungen getrennt zu betrachten, ergibt eine Kombination mehr Effizienz und Praxisnähe. Nur so kann sichergestellt werden, dass Mitarbeiter nicht nur DSGVO-konform arbeiten, sondern auch die neuen Anforderungen des AI Act in ihren Arbeitsalltag integrieren. Unternehmen, die bereits KI-gestützte Software nutzen – auch ohne eigene Entwicklung –, sollten handeln, da der AI Act klare Schulungspflichten für KI-Nutzer mit sich bringt.