KI-Führerschein für Sicherheitsdienstleister: Compliance bei Überwachung planen

Eines Abends im letzten Winter saß ich noch spät in meinem Frankfurter Büro, vor mir das Lastenheft eines Neukunden aus der Sicherheitsbranche. Es ging um ein System zur intelligenten Videoüberwachung für ein Logistikzentrum. Der Hersteller warb mit „Smart Analytics“ und „automatisierter Verhaltenserkennung“. Was für den Vertrieb nach Effizienz klang, ließ bei mir die Alarmglocken schrillen. Die Grenze zwischen einer simplen Bewegungserkennung und einem Hochrisiko-KI-System im Sinne der neuen Verordnung ist fließend – und die Konsequenzen bei Fehlplanungen sind drakonisch.

Bevor wir tiefer in die Materie einsteigen, ein wichtiger Hinweis: Diese Seite enthält Affiliate-Links zu Anbietern, deren Kurse ich für meine Mandanten geprüft habe. Wenn Sie über diese Links buchen, erhalte ich eine Provision — für Sie ändert sich nichts am Preis. Ich verlinke ausschließlich Anbieter, die ich mindestens zwei Mandanten konkret empfohlen habe. Als IT-Compliance-Berater – nicht als Anwalt oder Auditor – übersetze ich diese Anforderungen in praktische Pläne.

Das Missverständnis: „Wir machen doch schon DSGVO“

Kurz vor dem Frühjahr traf ich den Geschäftsführer eines mittelständischen Sicherheitsdienstes. Sein Argument war typisch: „Wir haben doch unsere Datenschutzunterweisungen. Die Mitarbeiter wissen, dass sie die Videoüberwachung nach 72 Stunden löschen müssen.“ Das ist zwar korrekt für die DSGVO-Praxis, greift aber beim EU AI Act viel zu kurz. Wer KI-Systeme im Bereich der Überwachung einsetzt, muss sicherstellen, dass sein Personal über eine ausreichende KI-Kompetenz (AI Literacy) verfügt.

Art. 4 der KI-Verordnung verpflichtet Betreiber (Deployer) dazu, Maßnahmen zu ergreifen, die ein angemessenes Maß an KI-Kompetenz bei ihrem Personal gewährleisten. Das ist keine Empfehlung, sondern eine zwingende Voraussetzung. In der Sicherheitsbranche, wo Systeme oft zur Überwachung natürlicher Personen eingesetzt werden, landen wir extrem schnell im Bereich von Anhang III der Verordnung. Hier werden Hochrisiko-KI-Systeme definiert, insbesondere wenn es um biometrische Identifizierung oder die Erkennung von Emotionen geht.

Hochrisiko-KI in der Überwachung: Wo die Gefahr lauert

Viele Sicherheitsdienstleister unterschätzen, dass bereits die automatisierte Erkennung von „auffälligem Verhalten“ eine Einstufung als Hochrisiko-System nach sich ziehen kann. Wenn die Software entscheidet, ob eine Person ein potenzieller Straftäter ist, greifen strengere Transparenz- und Aufsichtspflichten. Wer hier patzt, riskiert laut Art. 99 Abs. 3 der Verordnung Bußgelder von bis zu 7 % des weltweiten Jahresumsatzes – ein existenzbedrohendes Szenario für jeden Mittelständler.

Ich lese die Verordnungstexte grundsätzlich im englischen Original, da die deutsche Übersetzung bei Begriffen wie „significant risk“ oft Nuancen verliert. In der Praxis bedeutet Compliance hier: Das Personal vor Ort – vom Wachschutz-Mitarbeiter bis zum Einsatzleiter – muss verstehen, was die KI darf und wo die menschliche Aufsicht (Human Oversight) zwingend einschreiten muss. Ein einfacher Videokurs von der Stange reicht da selten aus. Es braucht einen qualifizierten Nachweis, einen sogenannten KI-Führerschein.

Der messbare Vorteil: Interne Expertise vs. Beraterkosten

Ein wesentlicher Punkt, den ich in meinen Beratungen immer wieder betone: Der Aufbau interner KI-Expertise erfordert zwar zunächst höhere Investitionen in die Fortbildung, reduziert jedoch langfristig die Abhängigkeit und die laufenden Kosten externer Beratungsdienstleister. Wenn Ihr Team selbst erkennt, wann ein Update eines Kamera-Algorithmus eine neue Risikobewertung erfordert, müssen Sie mich nicht für jede Kleinigkeit anrufen.

Nach etwa sechs Wochen intensiver Prüfung verschiedener Programme für meine Mandanten hat sich gezeigt, dass vor allem branchenspezifische Ansätze funktionieren. Ein Sicherheitsmitarbeiter braucht keine Deep-Dive-Erklärung zu neuronalen Netzen, sondern klare Anweisungen für den Umgang mit Fehlalarmen (False Positives) und die Dokumentationspflichten bei Hochrisiko-Systemen. In diesem Zusammenhang empfehle ich oft den KI-Führerschein, da er die Brücke zwischen technischem Verständnis und regulatorischer Pflicht schlägt.

Warum Standard-Schulungen oft scheitern

Ich habe Programme gesehen, die für IT-Entwickler konzipiert waren und nun als „Compliance-Training“ für Sicherheitsfirmen umetikettiert werden. Das funktioniert nicht. Ein Wachmann im Objektschutz muss wissen, wie er reagiert, wenn die Biometrie-Software eine Person fälschlicherweise auf eine Blacklist setzt. Er muss die Grenzen der Technik kennen, um rechtssicher zu handeln. Ähnliche Herausforderungen sehen wir übrigens auch in anderen Sektoren, wie ich in meinem Artikel über den KI-Führerschein für Bauunternehmen bereits erläutert habe.

Ein guter Kurs für Sicherheitsdienstleister sollte folgende Module enthalten:

• Grundlagen des EU AI Act mit Fokus auf Überwachungstechnologien.
• Erkennung von Hochrisiko-Szenarien gemäß Anhang III.
• Praktische Übungen zur menschlichen Aufsicht (Human Oversight).
• Dokumentationspflichten nach der DSGVO und dem AI Act (Stichwort: 72-Stunden-Regel vs. KI-Protokollierung).

Vergleich der Schulungsansätze für Sicherheitsdienste

Es gibt grundsätzlich drei Wege, die ich bei meinen Mandanten beobachte: Die interne Eigenrecherche (meist lückenhaft), teure Kanzlei-Workshops (oft zu theoretisch) oder strukturierte Online-Zertifizierungen. Letztere bieten das beste Preis-Leistungs-Verhältnis, sofern sie die Anforderungen an die „AI Literacy“ nach Art. 4 nachweisbar abdecken.

Wer beispielsweise im Bereich kritische Infrastruktur (KRITIS) tätig ist, hat noch strengere Auflagen. Hier ist die Dokumentation der Schulung das A und O für jedes Audit. Ein einfacher „Teilnahmeschein“ ohne Prüfung reicht da nicht mehr aus. Ein strukturierter Nachweis wie der KI-Führerschein bietet hier eine solide Basis gegenüber Aufsichtsbehörden. Vergleichen Sie dies auch mit den Anforderungen für andere sensible Bereiche, etwa im Artikel zur KI Act Schulung für Energieversorger.

Fazit: Compliance als Prozess planen

Vor wenigen Tagen im Spätsommer schloss ich ein Projekt mit einem Logistik-Sicherheitsdienst ab. Der Geschäftsführer gestand mir, dass er anfangs dachte, das Thema „KI“ betreffe nur das Silicon Valley. Erst durch die Aufschlüsselung der Funktionen seiner eigenen Kamerasysteme wurde ihm klar, dass er bereits „Deployer“ von Hochrisiko-KI war. Ohne die dokumentierte Schulung seines Teams hätte er bei einer Prüfung durch das Bayerische Landesamt für Datenschutz oder die Bundesnetzagentur kaum Argumente gehabt.

Compliance ist kein statisches Dokument, das im Schrank verstaubt, sondern ein fortlaufender Prozess, der beim Verständnis der Mitarbeiter beginnt. Ich bin kein Anwalt, und dies ist keine Rechtsberatung – aber meine Erfahrung aus über einem Dutzend Projekten zeigt: Wer heute in die KI-Kompetenz seines Teams investiert, spart morgen bei den Haftungsrisiken. Die aktuellen Konditionen für die Zertifizierungen finden Sie direkt auf den Seiten der Anbieter, da diese je nach Gruppengröße variieren können.

Sollten Sie unsicher sein, ob Ihre Systeme unter die Hochrisiko-Klassifizierung fallen, empfehle ich, zunächst eine Bestandsaufnahme Ihrer Software-Lizenzen zu machen. Für die notwendige Unterweisung Ihres Teams ist der KI-Führerschein eine der pragmatischsten Lösungen am Markt, um die Anforderungen von Art. 4 rechtssicher zu erfüllen.