Pflichtschulungen im Unternehmen

Der Art. 4 des EU AI Act fordert explizit, dass Maßnahmen ergriffen werden, damit Personen hinreichend kompetent im Umgang mit KI sind (Kenntnisse, Verständnis, Bewusstsein für Risiken etc.). Die Schulung muss angepasst sein an Rolle, Vorwissen, Art der KI-Systeme und Nutzungskontext. 

Wir haben uns mit KI-Experten, Fachbereichen unserer Kunden, Juristen und Lernexperten zusammengesetzt, die Inhalte einer "KI-Kompetenzschulung" definiert: KI-Grundlagen (wie funktioniert eine KI), die Risikoklassen der KI-Verordnung, KI und Cyber Security, KI und Datenschutz, sowie praktische und konkrete Tipps für den Umgang mit KI im Alltag. Wir sind davon überzeugt, damit nicht nur Artikel 4 vollumfänglich zu bedienen, sondern alle relevanten Themen für die Zielgruppe „Anwender von KI-Systemen“ zu adressieren.

DORA gilt für Finanzunternehmen (Bank, Versicherung, Zahlungsdienstleister, Krypto-Dienstleistung etc.) und Unternehmen, die IKT-Dienstleistungen für ein Finanzunternehmen erbringen (z. B. Cloud, Datenverarbeitung, Software). In Summe sind ca. 3.600 Unternehmen in Deutschland und mehr als 20.000 Unternehmen EU-weit betroffen.

In Art. 13 fordert DORA explizit: 

„Finanzielle Einrichtungen sollen ICT-Security-Awareness-Programme und digitale Resilienz-Schulungen als verpflichtende Module in ihren Mitarbeiterschulungsprogrammen entwickeln. Diese Programme gelten für alle Mitarbeitenden und das Senior Management und müssen in ihrer Komplexität dem Aufgabenbereich der jeweiligen Funktion entsprechen.“ 

DORA ist keine „mach doch mal ein bisschen Sicherheit“ Verordnung, sondern stellt sehr konkrete Anforderungen mit einem hohen Reifegrad, die auch von den Aufsichtsbehörden auditiert werden. Deshalb lassen sich bei DORA aus unserer Sicht mehrere Zielgruppen für Schulungsanforderungen ableiten:

• Klassische Cyber Security Awareness für die gesamte Belegschaft
• Zusätzlich DORA spezifische Inhalte für Personen mit Führungsaufgaben (Management, Projektleitung, etc.)
• Sicherer IT-Betrieb für Administratoren und ITK-Dienstleister
• Sichere Softwareentwicklung für Entwickler

Schulungsverpflichtungen ergeben sich aus Art. 39 und Art. 32 der DSGVO. Art. 39 definiert in den Aufgaben des Datenschutzbeauftragten “die Sensibilisierung und Schulung des Personals, das an Verarbeitungen beteiligt ist“. Und Art. 32 verlangt „geeignete technische und organisatorische Maßnahmen zur Sicherheit der Verarbeitung“. Schulungen sind nach herrschender Meinung ein essenzieller Teil der organisatorischen Maßnahmen. Und wie oft? Der Gesetzestext gibt zwar keine klare Frist vor, aber die Aufsichtsbehörden und die gängige Rechtsprechung gehen von „alle 1-2 Jahre“ aus. 

Unsere Datenschutz-Schulung vermittelt bereits seit 2018 alle Kompetenzen zum Thema Datenschutz auf einfache, praxisnahe und spielerische Weise: als interaktiver Grundlagenkurs für Neueinsteiger, als Auffrischungskurs für die Wiederholung oder als schneller Test-Out für Profis.

Im Arbeitsschutz gibt es klare gesetzliche Schulungspflichten, die jedes Unternehmen betreffen – unabhängig von Branche und Größe.

Im Arbeitsschutzgesetz (ArbSchG) steht in § 12 Unterweisung: 

„Der Arbeitgeber hat die Beschäftigten über Sicherheit und Gesundheitsschutz bei der Arbeit während ihrer Arbeitszeit ausreichend und angemessen zu unterweisen. Die Unterweisung umfasst Anweisungen und Erläuterungen, die eigens auf den Arbeitsplatz oder den Aufgabenbereich der Beschäftigten ausgerichtet sind. Die Unterweisung muss bei der Einstellung, bei Veränderungen im Aufgabenbereich, der Einführung neuer Arbeitsmittel oder einer neuen Technologie vor Aufnahme der Tätigkeit erfolgen. Die Unterweisung ist an die Gefährdungsentwicklung anzupassen und erforderlichenfalls regelmäßig zu wiederholen.“.

Jeder Beschäftigte muss also vor Beginn der Tätigkeit und dann regelmäßig geschult werden, und zwar zu Gefährdungen am Arbeitsplatz, Sicherheitsmaßnahmen, Erste Hilfe, Brandschutz und Notfallverfahren. Das gilt selbstverständlich auch für Büroarbeitsplätze und auch für Personen, die überwiegend oder sogar ausschließlich im Home Office arbeiten. Das Arbeitsschutzgesetz macht keinen Unterschied zwischen dem Arbeitsplatz im Büro und dem zu Hause. Die Berufsgenossenschaften konkretisieren in ihren verbindlichen Vorschriften das „regelmäßig“ zu „mindestens jedoch einmal jährlich“. Die Schulungen müssen dokumentiert werden (Teilnahme, Inhalte, Datum).

Man kann für die Arbeitsschutz-Schulung problemlos ein E-Learning einsetzen, wenn es interaktiv ist, echte Inhalte vermittelt und eine Nachweisfunktion hat, d.h. eine Lernkontrolle durch einen Abschlusstest.