Eine Mitarbeiter-KI-Schulung ist eine dokumentierte Unterweisung, die Beschäftigten erklärt, welche KI-Tools sie im Unternehmen nutzen dürfen, welche Daten sie dort eingeben dürfen und wie sie mit den Ergebnissen umgehen. Der Nachweis ist die schriftliche Aufzeichnung, wer wann zu welchen Inhalten geschult wurde.
Die Schulung selbst ist selten das Problem. Die meisten Unternehmen, mit denen ich spreche, haben irgendwann eine Stunde zum Thema ChatGPT oder Copilot gemacht. Was fehlt, ist fast immer der zweite Teil. Es gibt keine Teilnehmerliste, keine Agenda, keinen Bezug zur eigenen Nutzungsrichtlinie. Und eine Schulung, die Sie nicht belegen können, hilft Ihnen gegenüber einer Aufsichtsbehörde kaum.
Dieser Beitrag geht nicht noch einmal durch die Frage, ob die Pflicht existiert. Das habe ich im Artikel zur KI-Kompetenzpflicht nach dem EU AI Act beschrieben. Hier geht es um die Umsetzung: was sich 2026 geändert hat, was eine Schulung abdecken sollte und was in den Nachweis gehört.
Ist eine KI-Schulung für Mitarbeiter Pflicht?
Ja, aus zwei Richtungen. Der EU AI Act verlangt Maßnahmen zur KI-Kompetenz, und die DSGVO verlangt, dass Beschäftigte, die personenbezogene Daten verarbeiten, wissen, was sie dürfen.
EU AI Act, Artikel 4. Betreiber von KI-Systemen, also jedes Unternehmen, dessen Mitarbeiter KI-Tools beruflich nutzen, müssen Maßnahmen zur KI-Kompetenz ihres Personals ergreifen. Die Unternehmensgröße spielt keine Rolle.
DSGVO. Hier steht das Wort “KI” nirgends, die Pflicht ergibt sich trotzdem. Art. 32 Abs. 4 DSGVO verlangt, dass Personen, die dem Verantwortlichen unterstellt sind, personenbezogene Daten nur auf dessen Anweisung verarbeiten. Eine Anweisung, die niemand kennt, ist keine. Art. 24 und Art. 5 Abs. 2 verpflichten Sie, geeignete organisatorische Maßnahmen zu treffen und deren Einhaltung nachweisen zu können. Und zu den Aufgaben des Datenschutzbeauftragten gehört nach Art. 39 Abs. 1 lit. b ausdrücklich die Sensibilisierung und Schulung der Mitarbeiter.
Für Berufsgeheimnisträger kommt § 203 StGB dazu. Wer externe Dienstleister oder Mitarbeiter in die Arbeit mit Mandantendaten einbindet, muss dafür sorgen, dass diese zur Geheimhaltung verpflichtet sind. Was das für KI-Tools konkret heißt, steht im Beitrag zu Mandantendaten und § 203 StGB.
Was hat sich 2026 an Artikel 4 geändert?
Mit der Änderungsverordnung (EU) 2026/1744, dem sogenannten Digital Omnibus zur KI-Verordnung, wurde Artikel 4 Ende Juli 2026 neu gefasst. Vorher mussten Anbieter und Betreiber “sicherstellen”, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Jetzt müssen sie Maßnahmen ergreifen, um die Entwicklung dieser Kompetenz zu unterstützen. Der neue Text stellt klar, dass kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss.
Juristisch ist das der Wechsel von einer Erfolgspflicht zu einer Bemühenspflicht. Das ist eine echte Erleichterung. Sie haften nicht mehr dafür, dass jede Sachbearbeiterin ein bestimmtes Verständnis erreicht.
Ich lese daraus aber nicht, dass Schulungen jetzt optional sind. Aus drei Gründen:
- Die Pflicht ist geblieben, nur ihr Maßstab hat sich verschoben. Eine Bemühenspflicht erfüllen Sie, indem Sie Maßnahmen ergreifen. Und ob Sie das getan haben, zeigen Sie mit Dokumentation. Der Nachweis wird dadurch wichtiger, nicht unwichtiger.
- Die DSGVO wurde nicht geändert. Art. 32 Abs. 4 und die Rechenschaftspflicht gelten unverändert. Wer KI-Tools mit personenbezogenen Daten nutzt, muss seinen Leuten weiterhin sagen, was erlaubt ist.
- Der praktische Nutzen ist derselbe. Das typische Risiko bei KI-Tools ist nicht die Technik, sondern eine gut gemeinte Eingabe ins falsche Tool. Dagegen hilft keine Konfiguration, sondern nur Wissen.
Was muss eine KI-Schulung inhaltlich abdecken?
Weder DSGVO noch AI Act schreiben einen Lehrplan vor. Aus dem Zweck der Vorschriften ergibt sich trotzdem ziemlich klar, was drin sein sollte. Ich arbeite mit fünf Bausteinen.
1. Welche Tools zugelassen sind. Konkret mit Namen und Lizenzstufe. “Copilot ist erlaubt” reicht nicht, wenn im Unternehmen zugleich die kostenlose Web-Version und die M365-Lizenz verfügbar sind und nur eine davon freigegeben ist.
2. Welche Daten in welches Tool dürfen. Das ist der wichtigste Teil. Am besten mit Beispielen aus dem eigenen Arbeitsalltag: Diese Mandantenanfrage darf zusammengefasst werden, diese Gesundheitsangabe nie. Wenn Sie Datenklassen in Ihrer KI-Nutzungsrichtlinie definiert haben, wird die Schulung zur Übersetzung dieser Klassen in konkrete Fälle.
3. Wie man mit KI-Ergebnissen umgeht. Halluzinationen, veraltete Rechtsstände, plausible aber falsche Zahlen. Wer prüft das Ergebnis, bevor es an einen Mandanten geht? Das muss jede Person, die KI-Texte weitergibt, beantworten können.
4. Was bei einem Fehler passiert. Wer versehentlich Daten ins falsche Tool kopiert hat, muss wissen, an wen er sich wendet. Ein gemeldeter Fehler ist beherrschbar, ein verschwiegener nicht. Mitarbeiter melden nur, wenn sie wissen, dass Melden erwünscht ist und keine Strafe nach sich zieht.
5. Rollenspezifische Inhalte. Eine Geschäftsführerin, die über neue Tools entscheidet, braucht andere Inhalte als ein Auszubildender, der Copilot für E-Mails nutzt. Für Entscheider gehören Auftragsverarbeitung, Datenstandort und Datenschutz-Folgenabschätzung in die Schulung. Für die breite Belegschaft reichen die Bausteine 1 bis 4.
Eine Stunde für das ganze Team plus eine zusätzliche Einheit für Entscheider ist für ein kleines Unternehmen ein realistischer Umfang. Länger ist nicht automatisch besser. Eine Schulung, die sich an den tatsächlich genutzten Tools orientiert, bleibt eher hängen als ein allgemeiner Vortrag über künstliche Intelligenz.
Was gehört in den Schulungsnachweis?
Ein Schulungsnachweis ist ein Dokument, das für jede Schulung festhält, wer teilgenommen hat, welche Inhalte vermittelt wurden und auf welchem Stand der internen Regeln. Ein Prüfer will daraus ablesen können, dass Ihre Maßnahme zur tatsächlichen KI-Nutzung passt.
Diese Angaben sollten drinstehen:
- Datum, Dauer und Format (Präsenz, Online, E-Learning)
- Name der durchführenden Person und ihre Rolle (intern, Datenschutzbeauftragter, externer Berater)
- Teilnehmerliste mit Name, Funktion und Bestätigung der Teilnahme
- Agenda oder Inhaltsübersicht, mindestens die behandelten Bausteine
- Behandelte Tools mit Namen und Lizenzstufe
- Version der Nutzungsrichtlinie, auf die sich die Schulung bezieht
- Kenntnisnahme der Richtlinie, bei kleineren Teams per Unterschrift, sonst per digitaler Bestätigung
- Optional eine kurze Verständniskontrolle, etwa fünf Fragen zu konkreten Fällen
- Ablageort der Schulungsunterlagen, damit die Folien von damals später noch auffindbar sind
- Nächster geplanter Termin oder der Anlass, der eine Wiederholung auslöst
Für ein Team von 15 Personen ist das eine Tabelle und ein Ordner. Mehr braucht es nicht. Der Punkt mit der Richtlinienversion wird am häufigsten vergessen und ist der wertvollste. Er verknüpft die Schulung mit Ihrer Dokumentation. Wenn die Richtlinie sich ändert, sehen Sie sofort, wer auf dem alten Stand geschult wurde.
Den Nachweis legen Sie am besten dort ab, wo auch Ihr übriges Datenschutz-Material liegt. Das Verzeichnis von Verarbeitungstätigkeiten kann in der Beschreibung der technischen und organisatorischen Maßnahmen direkt darauf verweisen.
Wie oft muss geschult werden?
Eine gesetzliche Frist gibt es nicht. Sinnvoll ist eine Schulung, die an Anlässe gekoppelt ist, nicht an den Kalender allein:
- Bei Eintritt neuer Mitarbeiter, als fester Teil des Onboardings, bevor der Zugang zu KI-Tools freigeschaltet wird
- Bei Einführung eines neuen Tools oder einer neuen Lizenzstufe
- Bei Änderungen der Nutzungsrichtlinie, die das Verhalten im Alltag betreffen
- Nach einem Vorfall, als kurze Auffrischung für die betroffenen Bereiche
Zusätzlich empfehle ich eine jährliche Auffrischung von 30 Minuten. Das ist keine Rechtspflicht, sondern Erfahrung. KI-Tools ändern sich schneller als jede andere Software im Büro. Was vor einem Jahr galt, stimmt oft schon nicht mehr.
Die häufigsten Fehler
Fehler 1: Ein generisches Video für alle. Ein eingekauftes E-Learning über “KI im Unternehmen” erklärt, was ein Sprachmodell ist. Es erklärt nicht, welche Tools bei Ihnen freigegeben sind und welche Daten hinein dürfen. Als Ergänzung ist so etwas brauchbar, als einzige Maßnahme nicht.
Fehler 2: Schulung ohne Richtlinie. Wenn es keine schriftlichen Regeln gibt, vermittelt die Schulung Meinungen statt Vorgaben. Erst die Richtlinie, dann die Schulung.
Fehler 3: Die Schatten-KI ignorieren. Eine Schulung, die nur die offiziell freigegebenen Tools behandelt, geht an der Realität vorbei, wenn die Hälfte der Belegschaft privat ChatGPT nutzt. Sprechen Sie das offen an. Mehr dazu im Beitrag über Schatten-KI bei Mitarbeitern.
Fehler 4: Der Nachweis wird nachträglich gebaut. Eine Teilnehmerliste, die Monate später aus dem Gedächtnis rekonstruiert wird, überzeugt niemanden. Halten Sie den Nachweis am Tag der Schulung fest.
Der nächste Schritt
Wenn Sie heute nur eine Sache tun: Legen Sie die Tabelle für den Schulungsnachweis an, auch wenn die nächste Schulung erst in einem Monat stattfindet. Tragen Sie ein, welche Unterweisungen es zum Thema KI schon gab, und notieren Sie offen, wo Angaben fehlen. Das zeigt Ihnen in zehn Minuten, wie groß die Lücke tatsächlich ist.
Wenn Sie eine Schulung für Ihr Team brauchen, die auf Ihre Tools und Ihre Richtlinie zugeschnitten ist und den Nachweis gleich mitliefert, sprechen Sie mich an.
Jose Lugo ist CISSP-zertifizierter KI-Compliance-Berater. Er berät Kanzleien, Steuerberater und Finanzdienstleister in Deutschland bei der DSGVO-konformen Einführung von KI-Tools, einschließlich Mitarbeiterschulung und Dokumentation.