KI-Compliance im Unternehmen: Datenschutz, KI-Verordnung und Schulungspflicht im Überblick

Wer ist bei uns eigentlich für KI zuständig? Mit dieser Frage beschäftigen sich in vielen Unternehmen HR, Datenschutz und IT gleichzeitig, und jede Abteilung sieht einen anderen Teil des Themas. KI-Compliance bringt diese Teile zusammen: Ihr Unternehmen nutzt KI-Systeme im Einklang mit dem EU AI Act, der Datenschutz-Grundverordnung (DSGVO) und Ihren eigenen internen Regeln. Dazu gehören die Pflicht, Mitarbeitende im Umgang mit KI zu schulen, und ein belastbarer Nachweis, wer wann welche Schulung erhalten hat.

Gerade beim Nachweis entsteht im Alltag der meiste Aufwand, solange er in Excel-Listen und E-Mail-Ordnern verteilt liegt. Auf dieser Seite finden Sie die wichtigsten Bausteine im Überblick: welche Regelwerke beim KI-Einsatz zusammenspielen, was KI-Governance bedeutet, welche Schritte die Datenschutzaufsichtsbehörden empfehlen und wie Sie Schulungen sauber dokumentieren.

KI-Compliance bedeutet, dass ein Unternehmen beim Einsatz von künstlicher Intelligenz alle rechtlichen und internen Vorgaben einhält. Sie betrifft jedes Unternehmen, das KI-Systeme beruflich nutzt, auch wenn es die Systeme nicht selbst entwickelt.

Für Unternehmen im Mittelstand sind vor allem 3 Bereiche wichtig:

Den organisatorischen Rahmen, der diese Bereiche zusammenhält, nennt man KI-Governance.

Beim KI-Einsatz greifen mehrere Regelwerke ineinander. Die Tabelle zeigt, welches Thema welche Pflichten auslöst.

Der EU AI Act, offiziell Verordnung (EU) 2024/1689, regelt seit August 2024, wie KI-Systeme in der EU entwickelt, angeboten und genutzt werden. Die Pflichten richten sich nach dem Risiko eines Systems. Die Verordnung unterscheidet 4 Risikoklassen, von verbotenen Praktiken wie Social Scoring bis zu Anwendungen mit minimalem Risiko wie Spamfiltern.

Für HR ist vor allem die Hochrisiko-Klasse wichtig. Dazu zählen KI-Systeme im Personalwesen, etwa Tools, die Bewerbungen vorsortieren. Seit dem Digital Omnibus, der am 27. Juli 2026 in Kraft getreten ist, gelten die strengen Anforderungen für diese Systeme ab dem 2. Dezember 2027.

Sobald personenbezogene Daten in ein KI-System gelangen, gilt die DSGVO. Das passiert schnell: Schon der Name einer Kundin in einem Prompt oder ein Lebenslauf, den jemand zusammenfassen lässt, reicht aus. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden, hat dazu im Mai 2024 eine Orientierungshilfe veröffentlicht. Daraus und aus der DSGVO ergeben sich vor allem diese Pflichten:

Artikel 4 des EU AI Act verpflichtet Unternehmen, die KI-Systeme beruflich einsetzen, die KI-Kompetenz ihres Personals zu fördern. Die Pflicht gilt seit dem 2. Februar 2025. Seit dem 2. August 2026 können die nationalen Behörden sie durchsetzen.

Mit dem Digital Omnibus hat die EU Artikel 4 neu gefasst. Ein bestimmtes Kompetenzniveau schreibt die Verordnung seitdem nicht mehr vor, gefragt sind angemessene Maßnahmen, die zu Ihrem Unternehmen passen. Ein Zertifikat ist nicht nötig. Die EU-Kommission empfiehlt aber, Schulungen und andere Maßnahmen intern zu dokumentieren.

Schatten-KI meint KI-Tools, die Mitarbeitende ohne Freigabe des Unternehmens nutzen, oft mit privaten Accounts. Die DSK geht davon aus, dass das in vielen Unternehmen und Behörden Realität ist. Das Risiko liegt in den Daten: Vertrauliche oder personenbezogene Informationen landen bei Anbietern, mit denen Ihr Unternehmen keinen Vertrag hat.

Die DSK empfiehlt deshalb, dienstliche Accounts und Geräte bereitzustellen und klare Regeln für die Nutzung festzulegen.

KI-Governance legt fest, wer im Unternehmen über den Einsatz von KI entscheidet, welche Regeln gelten und wie das Unternehmen ihre Einhaltung prüft. Sie ist der organisatorische Rahmen für KI-Compliance. Ohne klare Zuständigkeiten bleibt oft offen, wer neue Tools freigibt, wer den Datenschutz prüft und wer die Schulungen organisiert.

Die deutschen Datenschutzaufsichtsbehörden nennen in ihrer Orientierungshilfe konkrete Schritte für Unternehmen. Zusammen mit den Anforderungen des EU AI Act ergeben sich diese Bausteine für eine KI-Governance:

Bei einer Prüfung zählt, was dokumentiert ist. Für die Schulungspflicht heißt das: Sie sollten zeigen können, wer wann welche Schulung erhalten hat. Viele Unternehmen halten das heute in einer Excel-Liste fest. Das funktioniert, solange wenige Personen und Kurse betroffen sind. Mit jeder neuen Pflichtschulung, jedem neuen Tool und jedem Teamwechsel wächst aber der Aufwand für die händische Pflege.

Ein Lernmanagementsystem (LMS) übernimmt diesen Teil. Es weist wiederkehrende Schulungen in festen Intervallen automatisch neu zu, zeigt den Lernfortschritt in Berichten und dokumentiert Abschlüsse und Zertifikate an einer Stelle. Wie das für Pflichtschulungen aussieht, zeigt die Seite zum Reporting für Pflichtunterweisungen.

KI-Compliance berührt viele Bereiche der Personalarbeit, vom Datenschutz bis zum Onboarding neuer Mitarbeitender. Weitere Begriffe rund um Personalwesen und Weiterbildung erklärt das HR-Wissen von elearnio.

Regeln, Richtlinie und Schulungsplan sind der erste Schritt. Damit KI-Compliance im Alltag funktioniert, müssen alle Mitarbeitenden die passenden Schulungen erhalten, und Sie müssen das jederzeit belegen können. Mit dem Learning Management System (LMS) elearnio weisen Sie KI-Schulungen gezielt zu, behalten in den Berichten den Lernfortschritt im Blick und lassen wiederkehrende Schulungen über Kurswiederholungen automatisch neu zuweisen. Abschlüsse und Zertifikate dokumentiert elearnio dabei automatisch.

Für den Einstieg enthält das zubuchbare Compliance Academy Add-On den Kurs „EU AI Act: Dos & Don’ts im Umgang mit KI“ und Kurse zum Datenschutz wie „Basiswissen DSGVO“, jeweils auf Deutsch und Englisch. Eigene Inhalte, zum Beispiel zu Ihrer KI-Richtlinie, erstellen Sie mit dem integrierten Autorentool.

Testen Sie elearnio 14 Tage kostenlos und richten Sie Ihre erste KI-Schulung direkt im Testzugang ein: Jetzt kostenlos testen