DSGVO-Schulung ersetzt nicht die KI-Kompetenz-Pflicht nach Art. 4 EU AI Act

Rechtlicher Hinweis: Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche rechtliche Einschätzungen wenden Sie sich bitte an eine qualifizierte Rechtsanwältin oder einen Rechtsanwalt.

Viele Unternehmen führen bereits regelmäßige Datenschutzschulungen durch – und fragen sich deshalb: Reicht das nicht auch für den EU AI Act? Die kurze Antwort lautet: Nein. DSGVO-Schulung und KI-Kompetenz nach Artikel 4 EU AI Act sind zwei verschiedene Pflichten mit unterschiedlichen Rechtsgrundlagen, Zielen und Inhalten. Wer eine mit der anderen abhaken will, riskiert eine Lücke in der Compliance.

Dieser Artikel erklärt, was der Unterschied ist, wo es Überschneidungen gibt – und was Unternehmen zusätzlich tun müssen.

Zwei Gesetze, zwei Pflichten

Die DSGVO (Datenschutz-Grundverordnung, EU 2016/679) und der EU AI Act (Verordnung (EU) 2024/1689) sind eigenständige EU-Rechtsakte mit eigenem Anwendungsbereich und eigenen Verpflichtungen.

• Die DSGVO schützt personenbezogene Daten natürlicher Personen. Sie regelt, wie Daten erhoben, verarbeitet und gespeichert werden dürfen.
• Der EU AI Act reguliert den Einsatz von KI-Systemen. Er legt fest, welche Anforderungen an Entwickler, Anbieter und Betreiber von KI gestellt werden.

Beide Gesetze gelten parallel – das eine ersetzt das andere nicht. Und beide stellen eigene Anforderungen an die Schulung von Mitarbeitenden.

Was die DSGVO von Schulungen verlangt

Die DSGVO enthält keine explizite Schulungspflicht als eigenständigen Artikel. Die Pflicht ergibt sich jedoch aus mehreren Vorschriften zusammen: aus Art. 5 DSGVO (Grundsätze der Verarbeitung), Art. 24 DSGVO (Verantwortung des Verantwortlichen) und Art. 29 DSGVO (Weisungsgebundenheit der Verarbeiter).

In der Praxis schulen Datenschutzbeauftragte und HR-Abteilungen typischerweise zu folgenden Themen:

• Was sind personenbezogene Daten, und wie dürfen sie verarbeitet werden?
• Rechtsgrundlagen für die Verarbeitung (Einwilligung, Vertrag, berechtigtes Interesse)
• Betroffenenrechte (Auskunft, Löschung, Widerspruch)
• Datensicherheit, Meldepflichten bei Datenpannen
• Umgang mit besonders sensiblen Kategorien (Gesundheitsdaten, biometrische Daten)

Diese Schulungen sind wichtig und rechtlich geboten. Sie richten sich aber auf den Schutz von Daten – nicht auf den kompetenten Umgang mit KI-Systemen.

Was Art. 4 EU AI Act von Schulungen verlangt

Seit dem 2. Februar 2025 gilt Artikel 4 des EU AI Act für alle Unternehmen, die KI-Systeme in der EU einsetzen oder anbieten. Der Artikel trägt die Überschrift „KI-Kompetenz" und verpflichtet Anbieter und Betreiber, nach besten Kräften sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt.

„KI-Kompetenz" im Sinne des Gesetzes meint das Verständnis und die Fähigkeit, KI-Systeme sachgemäß zu beurteilen und verantwortungsvoll zu nutzen. Konkret geht es um:

• Wie funktionieren KI-Systeme grundsätzlich?
• Welche Stärken und Grenzen hat KI, welche typischen Fehler macht sie?
• Wie erkenne ich riskante oder unzuverlässige KI-Ausgaben?
• Welche Rolle spielt der Mensch bei der Entscheidung – wann darf ich KI-Outputs nicht einfach übernehmen?
• Welche Risikoklassen gibt es nach dem EU AI Act?

Dieser Inhalt hat mit klassischem Datenschutz wenig zu tun. Eine DSGVO-Schulung deckt diese Themen nicht ab.

Vergleich: DSGVO-Schulung vs. KI-Kompetenz-Schulung

| Merkmal | DSGVO-Schulung | KI-Kompetenz-Schulung (Art. 4) | |---|---|---| | Rechtsgrundlage | DSGVO (EU) 2016/679 | EU AI Act (EU) 2024/1689, Art. 4 | | Gilt seit | Mai 2018 | 2. Februar 2025 | | Ziel | Schutz personenbezogener Daten | Sachkundiger, verantwortungsvoller KI-Einsatz | | Kern-Inhalte | Datenverarbeitungsrechte, Betroffenenrechte, Datensicherheit | KI-Grundlagen, Risikobewertung, Grenzen von KI, Risikoklassen | | Schulungspflicht | Implizit (aus Art. 5, 24, 29 DSGVO) | Explizit (Art. 4 EU AI Act) | | Nachweis-Anforderung | Dokumentation der Schulungsmaßnahmen | Dokumentierte Maßnahmen zur Kompetenzförderung | | Zuständige Behörde | Datenschutzaufsichtsbehörden (z. B. LfDI) | Marktüberwachungsbehörden (in DE: Bundesnetzagentur) | | Inhaltliche Überschneidung | Gering | Gering |

Wo es Überschneidungen gibt – und wo nicht

Es gibt durchaus Berührungspunkte. Wer KI-Tools im Unternehmen einsetzt, muss sowohl DSGVO als auch EU AI Act im Blick haben. Einige Themen tauchen in beiden Kontexten auf:

Überschneidungen:

• Der datenschutzkonforme Umgang mit KI-Tools, die personenbezogene Daten verarbeiten (z. B. keine Eingabe vertraulicher Daten in externe KI-Systeme ohne Auftragsverarbeitungsvertrag)
• Sensibilisierung für Risiken beim Einsatz externer Dienste
• Grundlegendes Bewusstsein für technische Grenzen und Fehlerquellen

Keine Überschneidungen:

• Die DSGVO-Schulung vermittelt kein Verständnis dafür, wie KI-Modelle funktionieren
• Sie erklärt nicht, was Halluzinationen sind oder warum KI-Systeme falsche Ausgaben erzeugen
• Sie behandelt nicht die Risikoklassen des EU AI Act (Hochrisiko, begrenztes Risiko, minimales Risiko)
• Sie sagt nichts darüber aus, wie Mitarbeitende KI-Ergebnisse kritisch einordnen und hinterfragen sollen

Mit anderen Worten: Eine DSGVO-Schulung macht Mitarbeitende datenschutzbewusster – aber nicht KI-kompetent im Sinne von Art. 4.

Warum das in der Praxis relevant ist

Der EU AI Act ist seit dem 2. Februar 2025 in diesem Punkt anwendbar. Die Bundesnetzagentur ist in Deutschland als zuständige Marktüberwachungsbehörde benannt und kann Nachweise einfordern, dass Unternehmen geeignete Maßnahmen zur Förderung von KI-Kompetenz ergriffen haben.

Wer dann nur auf DSGVO-Schulungsnachweise verweist, hat ein Problem: Die Dokumentation deckt nicht die Anforderungen von Art. 4 ab. Das ist kein theoretisches Szenario – es ist eine Frage der korrekten Zuordnung von Compliance-Maßnahmen.

Mehr zu den Prüfbefugnissen der Bundesnetzagentur erklärt unser Artikel zu KI-Aufsicht in Deutschland.

Was Unternehmen zusätzlich brauchen

Wer Art. 4 korrekt erfüllen will, braucht eigenständige KI-Kompetenz-Maßnahmen – zusätzlich zur bestehenden Datenschutzschulung, nicht anstelle von ihr. Eine solche Maßnahme sollte mindestens enthalten:

• Grundlagenwissen zu KI: Funktionsweise, Typen, Stärken und typische Fehler
• Risikoeinschätzung: Wann ist Vorsicht geboten, wie erkenne ich Hochrisiko-KI?
• Kritischer Umgang mit KI-Ausgaben: Wie prüfe ich Ergebnisse, wann darf ich nicht blind vertrauen?
• Rechtlicher Rahmen: Was verlangt der EU AI Act, welche Rollen gibt es?
• Erfolgskontrolle: Ein Test, der zeigt, dass die Inhalte verstanden wurden
• Dokumentation: Nachweis pro Person mit Datum und Ergebnis

Eine Checkliste zur vollständigen Dokumentation finden Sie in unserem Artikel KI-Kompetenz dokumentieren.

Was unser Zertifikat ist – und was es nicht ist

Das KI-Kompetenz-Zertifikat von ki-zertifizieren.de ist ein freiwilliger, privater Kompetenznachweis. Es ist ausdrücklich kein staatlich akkreditiertes oder behördlich anerkanntes Zertifikat – der EU AI Act sieht eine solche Akkreditierungspflicht nicht vor.

Was es leistet: eine strukturierte E-Learning-Schulung zu den Inhalten von Art. 4, eine 20-Fragen-Prüfung mit Erfolgskontrolle und ein personalisiertes Zertifikat mit individueller Verifizierungs-ID. Damit können Unternehmen dokumentieren, dass ihre Mitarbeitenden eine konkrete KI-Kompetenz-Maßnahme absolviert haben – getrennt von, und ergänzend zu, bestehenden Datenschutzschulungen.

Für Teams und Unternehmen bietet das Firmen-Portal eine komfortable Lösung: Plätze kaufen, Mitarbeitende einladen, Fortschritte verfolgen und Zertifikate zentral herunterladen.

Fazit

Eine DSGVO-Schulung ersetzt die KI-Kompetenz-Pflicht nach Art. 4 EU AI Act nicht. Beide Anforderungen basieren auf unterschiedlichen Gesetzen, verfolgen unterschiedliche Ziele und verlangen unterschiedliche Inhalte. Überschneidungen existieren, sind aber gering.

Unternehmen, die KI-Systeme einsetzen, sind gut beraten, beide Pflichten als eigenständige Compliance-Aufgaben zu behandeln: die Datenschutzschulung für die DSGVO – und eine separate, dokumentierte KI-Kompetenz-Maßnahme für Art. 4 EU AI Act.

Noch nicht sicher, wie Ihr Unternehmen aufgestellt ist? Mit dem kostenlosen KI-Kompetenz-Schnellcheck erhalten Sie in 5 Minuten eine Einschätzung – ohne Anmeldung.

→ Zum kostenlosen Schnellcheck

Wer die Pflicht ohne großen Aufwand dokumentieren möchte: Die Schulung dauert unter 60 Minuten, die Prüfung umfasst 20 Fragen, das Zertifikat kommt direkt per Mail.

→ Jetzt KI-Kompetenz-Zertifikat erwerben (47 €)

*Dieser Artikel stellt keine Rechtsberatung dar. Für verbindliche rechtliche Einschätzungen zu Ihrem konkreten Fall wenden Sie sich an eine spezialisierte Rechtsanwältin oder einen Rechtsanwalt.*