Im Frühjahr 2024 verhängte die italienische Datenschutzbehörde eine Geldstrafe von 15 Millionen Euro gegen ein Unternehmen, das KI-Systeme ohne ausreichende Rechtsgrundlage mit personenbezogenen Daten trainiert hatte. Kein Einzelfall. Die europäischen Aufsichtsbehörden prüfen inzwischen systematisch, wie Unternehmen mit KI-Tools umgehen. Gleichzeitig setzen Marketing-Teams und Kommunikationsabteilungen ChatGPT, Gemini und ähnliche Systeme längst im Tagesgeschäft ein, oft ohne klare Richtlinien.
Das erzeugt ein konkretes Risiko. Nicht weil KI grundsätzlich gefährlich ist, sondern weil der Abstand zwischen tatsächlicher Anwendungspraxis und dem rechtlichen Rahmen in vielen Unternehmen schlicht zu groß ist.
Was der AI Act für Unternehmen konkret bedeutet
Seit dem EU AI Act, der ab August 2026 vollständig greift, gelten für Unternehmen je nach Risikokategorie des eingesetzten Systems unterschiedliche Pflichten. Hochrisiko-Systeme, etwa solche zur Personalauswahl oder Kreditbewertung, unterliegen strengen Dokumentations- und Transparenzanforderungen. Aber auch für Systeme der mittleren Kategorie gilt: Nutzer und Betreiber müssen nachweisen können, dass sie die Technik verstehen und kontrolliert einsetzen.
Parallel dazu bleibt die DSGVO der härtere Alltagsrahmen. Wer in einem KI-Prompt Kundendaten, E-Mail-Adressen, Verhaltensprofile oder andere personenbezogene Informationen übergibt, löst sofort datenschutzrechtliche Pflichten aus. Viele Mitarbeitende wissen das nicht, weil ihnen niemand erklärt hat, was in einem Prompt als personenbezogenes Datum gilt. Eine handgeschriebene Notiz im KI-Chat wie „Unser Kunde Müller aus Hamburg hat folgendes Problem“ reicht aus, um unter die DSGVO zu fallen.
Kompetenz als Schutzmaßnahme: Warum Schulungen allein nicht reichen
Viele Unternehmen reagieren auf das Thema mit einmaligen Onboarding-Sessions oder einer PDF-Richtlinie im Intranet. Beides ist besser als nichts, reicht aber für eine Nachweispflicht gegenüber Aufsichtsbehörden nicht aus. Was zählt, ist die dokumentierte, überprüfbare Kompetenz der Mitarbeitenden.
Genau hier setzt das Konzept eines strukturierten Zertifizierungsprogramms an. Wer für sein digitales Team ein KI-Zertifikat für Mitarbeiter einführt, schafft nicht nur eine nachweisbare Qualifikationsgrundlage, sondern signalisiert Kunden, Partnern und Behörden, dass der KI-Einsatz im Haus kontrolliert und bewusst stattfindet.
Das ist kein Selbstzweck. Unternehmen, die im Fall einer Prüfung belegen können, dass ihre Teams geschult und zertifiziert sind, stehen deutlich besser da als solche, die lediglich auf eine interne Policy verweisen können.
Was ein sinnvolles KI-Zertifikat abdecken muss
Ein Zertifikat, das tatsächlich Schutz bietet und Kompetenz aufbaut, sollte mindestens folgende Bereiche abdecken:
- Grundlagen der DSGVO im KI-Kontext: Welche Daten dürfen in Prompts eingegeben werden, welche nicht? Was sind Verarbeitungszwecke und wie dokumentiert man sie?
- Risikobewertung von KI-Tools: Wo werden Daten gespeichert, wer hat Zugriff, welche Anbieter erfüllen Anforderungen an EU-Datenschutz?
- Prompt-Hygiene: Konkrete Regeln für den Umgang mit sensiblen Informationen in der täglichen Nutzung.
- AI Act Grundwissen: Welche Systeme fallen in welche Risikokategorie, und was bedeutet das für die eigene Abteilung?
- Dokumentationspflichten: Wie protokolliert man KI-Entscheidungen so, dass sie nachvollziehbar und auditierbar bleiben?
Für Marketing-Teams kommen spezifische Themen hinzu: automatisierte Personalisierung in E-Mail-Strecken, KI-gestützte Anzeigenoptimierung über Google Ads oder Meta und die Frage, was passiert, wenn ein Algorithmus Zielgruppen auf Basis von Verhaltensmerkmalen bildet, die aus DSGVO-Sicht als besonders schützenswert gelten.
Praxisbeispiel: Marketing-Agentur mit 18 Mitarbeitenden
Eine mittelgroße Digitalmarketing-Agentur aus München hat im ersten Quartal 2025 intern dokumentiert, wie ihre Teams KI einsetzen. Das Ergebnis: 11 von 18 Mitarbeitenden nutzten ChatGPT regelmäßig für Textentwürfe, E-Mail-Kampagnen und Keyword-Recherchen. Drei davon hatten innerhalb von zwei Wochen Kundennamen und konkrete Briefing-Details in Prompts eingegeben, ohne zu wissen, dass der verwendete Account mit aktiviertem Trainings-Opt-in arbeitete. Die Daten konnten in die Modellentwicklung des Anbieters einfließen.
Der Datenschutzbeauftragte bewertete das als meldepflichtiges Ereignis. Folge: internes Incident-Protokoll, Überarbeitung sämtlicher KI-Nutzungsregeln, verpflichtende Schulung mit Abschlusstest. Hätte man diese Kompetenzstruktur vorab eingeführt, wäre das Ereignis vermutlich nicht entstanden.
Zertifizierung als Wettbewerbsvorteil im B2B-Umfeld
Neben der Risikominimierung hat nachgewiesene KI-Kompetenz einen zweiten, unterschätzten Effekt: Sie wird im B2B-Vertrieb zunehmend nachgefragt. Große Auftraggeber, besonders aus dem Finanz-, Gesundheits- und öffentlichen Sektor, fragen Agenturen und Dienstleister bereits in Ausschreibungen, wie deren Teams mit KI umgehen und welche Qualifikationsnachweise vorliegen.
Wer dann ein strukturiertes Zertifizierungsprogramm vorweisen kann, hat einen messbaren Vorteil gegenüber Wettbewerbern, die nur auf eine interne Policy verweisen. Das gilt besonders, wenn Datenschutz-Audits zum Vertragsbestandteil gehören.
| Bereich | Ohne Zertifikat | Mit Zertifikat |
|---|---|---|
| Behördenprüfung | Keine dokumentierte Grundlage | Nachweisbare Kompetenz vorhanden |
| Datenpannen | Höheres Risiko durch unbewusste Fehler | Reduziertes Risiko durch Regelwissen |
| B2B-Ausschreibungen | Keine Differenzierung möglich | Qualifikationsnachweis als Argument |
| Onboarding neuer Mitarbeiter | Individuell unterschiedlich | Einheitliches Kompetenzniveau |
Wann ist der richtige Zeitpunkt für die Einführung?
Viele Unternehmen warten, bis ein Vorfall passiert oder eine Aufsichtsbehörde nachfragt. Das ist verständlich, aber kurzsichtig. Wer jetzt handelt, nutzt den Zeitvorsprung vor der vollständigen Anwendbarkeit des AI Act. Die behördlichen Prüfressourcen sind noch begrenzt, die Anforderungen an Dokumentation und Nachweise werden in den nächsten 18 Monaten aber deutlich strenger.
Für Teams zwischen fünf und 50 Personen ist ein rollierendes Zertifizierungsmodell sinnvoll: Neue Mitarbeitende absolvieren die Zertifizierung innerhalb der ersten 30 Tage, bestehende Teams werden jährlich rezertifiziert. Das hält Wissen aktuell und die Dokumentation lückenlos.
KI wird im Marketing, in der Kommunikation und im Vertrieb nicht verschwinden. Die Frage ist nicht ob, sondern wie Teams damit arbeiten. Eine klare Kompetenzstruktur ist dabei kein bürokratischer Aufwand, sondern eine Investition in Handlungssicherheit, die sich bei der ersten ernsthaften Prüfung oder dem nächsten wichtigen Pitch direkt auszahlt.
