Wie viel von Ihrem bestehenden Datenschutz-Wissen deckt eigentlich schon die Anforderungen des EU AI Acts ab, und wo beginnt echte Neuland-Kompetenz? Diese Frage stelle ich in Erstgesprächen mit Datenschutzbeauftragten öfter, als mir lieb ist. Meistens folgt betretenes Schweigen. Eine gute AI-Act-Schulung für Datenschutzbeauftragte muss genau an dieser Grenze ansetzen: Sie darf weder bei DSGVO-Grundlagen verharren noch Mitarbeiter mit reiner KI-VO-Terminologie überfordern. Wer im Mittelstand KI-Kompetenz im Sinne der Verordnung aufbauen will, braucht ein Programm, das die Schnittstelle zwischen beiden Rechtsrahmen konkret adressiert. Nicht zwei getrennte Kurse, die nebeneinanderher laufen.
Kurz zur Einordnung, bevor es in die Kriterien geht: Ich bin kein Anwalt und kein zertifizierter Auditor, sondern jemand, der Compliance-Anforderungen in umsetzbare Schulungspläne übersetzt. Diese Seite enthält Partnerlinks zu Anbietern, deren Inhalte ich in eigenen Mandaten geprüft habe; bei einer Buchung über diese Links erhalte ich eine Provision, ohne dass sich Ihr Preis ändert. Empfohlen wird hier ausschließlich, was in der Praxis mit realen Mandanten funktioniert hat.
Die Schnittstelle zwischen DSGVO-Wissen und KI-VO-Pflichten
Viele Datenschutzbeauftragte kennen jede Nuance der Datenschutz-Grundverordnung, doch der Denkfehler, den ich in Erstgesprächen am häufigsten korrigiere, sitzt tiefer: Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und die Risikoeinstufung eines KI-Systems sind keine zwei Varianten derselben Übung. Die DSFA fragt, welches Risiko eine konkrete Datenverarbeitung für Betroffene birgt. Die KI-Verordnung fragt etwas anderes: welches Risiko vom System selbst ausgeht — für Gesundheit, Sicherheit oder Grundrechte —, unabhängig davon, ob überhaupt personenbezogene Daten verarbeitet werden. Ein Bewerber-Scoring-Tool verarbeitet personenbezogene Daten und braucht deshalb ohnehin eine DSFA; dass es zusätzlich als Hochrisiko-System im Sinne der Verordnung gelten kann, ist eine separate, eigenständige Prüfung mit eigener Logik, die die technische Einstufung nach Anhang III eigens behandelt und hier nicht wiederholt werden soll.
Genauso wenig deckungsgleich sind die Dokumentationspflichten: Das Verarbeitungsverzeichnis nach Art. 30 DSGVO kennt jeder DSB aus dem Schlaf, die technische Dokumentation eines Hochrisiko-Systems verlangt andere Inhalte und oft andere Verantwortliche im Haus. Wie sich diese Nachweispflicht organisieren lässt, ohne zwei parallele Aktenberge zu pflegen, ist ein eigenes Thema für sich.
Zugegeben: Selbst mir bereitet die Abgrenzung zwischen einem KI-System im Sinne der Verordnung und klassischer, regelbasierter Software an manchen Stellen Kopfzerbrechen — eine Trennlinie, die die Verordnung selbst nicht überall scharf zieht.
Woran erkennen Sie eine AI-Act-Schulung, die diese Schnittstelle wirklich bedient?
Eine gute Schulung beginnt nicht bei null, sondern bei dem, was ein Datenschutzbeauftragter bereits mitbringt, und zeigt konkret, wo die KI-Verordnung neue Pflichten aufsetzt. Die rechtliche Grundlage dafür liefert Art. 4 KI-VO, der Anbieter und Betreiber zu einem angemessenen Maß an KI-Kompetenz beim Personal verpflichtet — was das im Detail verlangt, ist ein eigenes Kapitel für sich. Programme wie der KI-Führerschein setzen genau an dieser Übersetzungsleistung an, statt Mitarbeiter mit rohem Verordnungstext allein zu lassen.
Der IT-Leiter eines mittelständischen Maschinenbauers aus der Rhein-Main-Region, Kurt Dallmann, kam mit einer klaren Bitte auf mich zu: keine abstrakten Rahmenwerke, sondern eine Checkliste, die sein Team tatsächlich abarbeiten kann. Bei einem Termin in den Räumen der IHK Frankfurt am Main, direkt am Börsenplatz, fasste er Art. 4 KI-VO irgendwann so präzise in eigenen Worten zusammen, dass ich kurz nachfragen musste, ob er die Verordnung vorher schon selbst gelesen hatte. Genau das ist der Maßstab, an dem ich Schulungsangebote für Mittelstand-Compliance-Verantwortliche messe: Sie holen jemanden mit vorhandenem Fachwissen ab, statt bei null anzufangen.
Bevor Kurt Dallmann sich meldete, hatte sein Unternehmen bereits einen eigenen Versuch gestartet: PowerPoint-Folien mit dem vollständigen Verordnungstext, Absatz für Absatz. Kein einziger Mitarbeiter hat die Präsentation bis zur letzten Folie durchgeklickt — nachvollziehbar, denn Gesetzestext in Stichpunkten bleibt Gesetzestext in Stichpunkten, egal wie viele Folien man daraus macht. Genau das unterscheidet eine Schulung von einer bloßen Textwiedergabe: Erstere übersetzt, Letztere zitiert nur.
Allgemeine KI-Zertifikate, die eigentlich für Informatiker oder Data Scientists konzipiert wurden, helfen an dieser Stelle kaum weiter. Sie lehren technische Grundlagen, die für die Compliance-Arbeit eines DSB weitgehend irrelevant bleiben, und lassen die eigentliche Frage offen: Wer gilt im Sinne der Verordnung als Anbieter und wer als Betreiber, etwa bei Standardsoftware wie Microsoft 365 Copilot? Gerade im Maschinenbau reichen Auftraggeber solche Pflichten häufig an Zulieferer durch, ohne dass beiden Seiten klar ist, wer am Ende haftet. Wer dazu die englischen Originaltexte neben der deutschen Fassung liest, merkt schnell, wie viel Nuance bei der Übersetzung verloren geht — auf meinem Schreibtisch liegt die Verordnung deshalb zweisprachig aus, mit Farbmarkierungen nach Themenblöcken, eine Krücke, die im Mandantengespräch aber verlässlich schneller zur richtigen Passage führt als jede Suchfunktion.
Fristen und Haftung entscheiden über das Tempo
Die Übergangsfristen sind eng gesteckt, und wer die Termine im Kopf behalten will, findet den EU AI Act Fristenplan für den Mittelstand an anderer Stelle bei mir aufgeschlüsselt. Am Ende trägt ohnehin die Geschäftsführung die Haftung, wenn Schulungen nur pro forma stattfinden und niemand nachweisen kann, dass KI-Kompetenz tatsächlich vermittelt wurde — auch das ein eigenes Thema. Was das pro Kopf am Ende kostet, hängt stark vom Format, der Teilnehmerzahl und der Tiefe des Programms ab und verdient eine eigene Rechnung, die pauschale Zahlen nicht seriös liefern können.
Bei mitbestimmungspflichtigen Themen sitzt zudem der Betriebsrat mit am Tisch, was die Auswahl des Schulungsformats zusätzlich verkompliziert und häufig unterschätzt wird. Die Transparenzpflichten nach Art. 13 KI-VO betreffen dabei nicht nur Hochrisiko-Systeme, sondern strahlen inzwischen auch auf Marketing- und Vertriebs-Tools aus, die viele Unternehmen noch gar nicht auf dem Schirm haben. Ob dann E-Learning oder ein Live-Workshop besser passt, hängt stark vom Team ab — dazu habe ich einen eigenen Vergleich zwischen E-Learning und Live-Workshops geschrieben.
Die Entscheidung treffen, bevor die Frist es für Sie tut
Ob Sie dieses Wissen intern aufbauen oder extern einkaufen, ist eine separate Abwägung, die von Unternehmensgröße, vorhandenen Ressourcen und der Frage abhängt, wie oft sich das Unternehmen überhaupt mit neuen KI-Systemen befasst. Eine allgemeine Checkliste für die Anbieterauswahl brauchen Sie zusätzlich zu alldem — hier ging es nur um den datenschutzrechtlichen Ausschnitt davon, der bei DSB-Rollen regelmäßig unterschätzt wird.
Wer schon jetzt ein Programm sucht, das die Brücke zwischen DSGVO-Praxis und AI-Act-Pflichten konkret schlägt, findet im KI-Führerschein einen Ausgangspunkt, der genau diese Übersetzung leistet statt reiner Theorie.
Wenn Sie unsicher sind, welches Format für Ihr Team am besten passt, werfen Sie zusätzlich einen Blick auf meine Analyse dazu, worauf Unternehmen beim Kauf von KI-Schulungen achten sollten. Der Test bleibt einfach: Fragen Sie im Erstgespräch, wie die Schulung die Abgrenzung zwischen Ihrer Datenschutz-Folgenabschätzung und der KI-Risikoeinstufung konkret behandelt. Bekommen Sie darauf eine klare, konkrete Antwort, ist das Programm sein Geld wert; bleibt die Antwort vage, ist es eine von vielen austauschbaren Optionen.