Schulungspflicht
Schulungspflicht bezeichnet die rechtliche Verpflichtung für Unternehmen, ihre Mitarbeiter regelmäßig im Umgang mit sensiblen Daten, Datenschutz und KI-Systemen zu schulen. Sie leitet sich aus der DSGVO und dem EU AI Act ab und dient der Einhaltung gesetzlicher Vorgaben.
Ausführliche Erklärung
Die Schulungspflicht ist eine zentrale organisatorische Maßnahme, die Unternehmen ergreifen müssen, um ihren datenschutzrechtlichen und KI-regulatorischen Pflichten nachzukommen. Obwohl weder die DSGVO noch der EU AI Act eine explizite Schulungspflicht formulieren, ergibt sich diese indirekt aus mehreren rechtlichen Vorgaben. Nach Artikel 32 DSGVO sind Verantwortliche verpflichtet, geeignete technische und organisatorische Maßnahmen zur Gewährleistung der Datensicherheit zu ergreifen – was ohne geschulte Mitarbeiter kaum möglich ist. Zusätzlich setzt die Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO voraus, dass Unternehmen nachweisen können, dass ihre Mitarbeiter die Verarbeitungsgrundsätze kennen und einhalten.
Seit 2. Februar 2025 gilt zudem Artikel 4 des EU AI Acts, der Anbieter und Betreiber von KI-Systemen verpflichtet, ein ausreichendes Niveau an KI-Kompetenz bei ihrem Personal sicherzustellen. Diese Regelung betrifft alle Unternehmen, die KI-Tools einsetzen – unabhängig von Größe oder Branche. Mitarbeiter müssen die Funktionsweise, Chancen und Risiken der eingesetzten KI-Systeme verstehen sowie mögliche Schäden erkennen können. Die Schulungsinhalte umfassen je nach Rolle technische Grundlagen, rechtliche Rahmenbedingungen (insbesondere Datenschutz und Urheberrecht), ethische Aspekte und den praktischen, verantwortungsvollen Umgang mit KI im Arbeitsalltag.
Für Unternehmen ist die Schulungspflicht nicht nur eine Compliance-Anforderung, sondern auch eine wichtige Präventivmaßnahme. Die häufigste Ursache für Datenschutzverstöße sind Mitarbeiter – nicht aus Böswilligkeit, sondern aufgrund mangelnder Kenntnisse. Dokumentierte Schulungen dienen als Nachweis gegenüber Aufsichtsbehörden und können im Falle eines Datenschutzverstoßes Bußgelder erheblich reduzieren oder vermeiden helfen. Die Schulungen sollten bei Einstellung neuer Mitarbeiter erfolgen sowie regelmäßig wiederholt werden, üblicherweise jährlich oder bei wesentlichen Änderungen der rechtlichen oder technischen Rahmenbedingungen.
Die Dokumentation der durchgeführten Schulungen ist essentiell. Unternehmen müssen nachweisen können, welche Mitarbeiter wann zu welchen Themen geschult wurden. Eine Lernkontrolle durch Tests ist zwar nicht zwingend vorgeschrieben, wird jedoch empfohlen. Neben der allgemeinen Datenschutzschulung sollten rollenspezifische Schulungen für besonders exponierte Bereiche wie Personalabteilung, IT-Administration oder Kundendienst durchgeführt werden.
Praxisbeispiel
Eine Steuerberatungskanzlei mit 12 Mitarbeitern in Salzburg setzt seit Anfang 2025 ChatGPT für die Erstellung von Mandantenschreiben ein. Die Geschäftsführung organisiert daraufhin eine einstündige Schulung für alle Mitarbeiter zum korrekten Umgang mit dem KI-Tool, bei der vermittelt wird, dass keine personenbezogenen Mandantendaten in die öffentliche ChatGPT-Version eingegeben werden dürfen und dass KI-generierte Texte stets fachlich geprüft werden müssen. Die Teilnahme wird dokumentiert und in der Personalakte vermerkt.