Bildung & berufliche Bildung: AI Act, Data Act & DSGVO-Pflichten

Anhang III Nr. 3 AI Act stuft KI-Systeme als hochriskant ein, die bestimmt sind, in Bildungseinrichtungen oder der beruflichen Bildung zur Bestimmung des Zugangs, zur Zulassung oder Einweisung, zur Bewertung des Leistungsniveaus, zu Überwachung oder Beurteilung von Lernenden oder zum Aufspüren unangemessenen Verhaltens verwendet zu werden. Maßgeblich ist also die Funktion (Zugang/Bewertung/Einstufung/Überwachung), nicht die Technologie. Ein allgemeines Sprachmodell wird hochriskant, sobald es in einer dieser Funktionen eingesetzt wird. Rein unterstützende Werkzeuge ohne Einfluss auf Zugang oder Bewertung fallen nicht darunter.

Besonders relevant in Bildungseinrichtungen ist Art. 5 Abs. 1 lit. f AI Act: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist seit dem 2. Februar 2025 verboten — mit Ausnahme von Sicherheits- oder medizinischen Zwecken. Ein System, das Schülerinnen und Schüler während einer Prüfung oder im Unterricht mimikbasiert überwacht, ist damit nicht hochriskant, sondern verboten. Ebenfalls zu prüfen sind die weiteren Art. 5-Verbote: Social Scoring (lit. c), biometrische Kategorisierung nach sensiblen Merkmalen (lit. g) und untargeted Facial Scraping (lit. e) berühren schulische Verhaltens- oder Gesichtserkennungssysteme.

Konkret lässt sich der Sektor so aufschlüsseln: Automatisierte Korrektur oder Bewertung von Prüfungen und Essays (hochriskant, Anhang III Nr. 3); KI-gestützte Zulassungs- und Platzierungsentscheidungen (hochriskant); Remote-Proctoring zur Prüfungsüberwachung (hochriskant, da Beurteilung/Überwachung); adaptives Lernen und personalisierte Lernpfade, wenn sie Leistungseinstufung oder Förderung steuern (hochriskant); Plagiats- und KI-Erkennung bei Hausarbeiten (meist begrenztes Risiko, teils hochriskant bei sanktionsbewehrter Bewertung); Chatbots für allgemeine Studienberatung ohne Einfluss auf Zugang (begrenzt/minimal); KI-generierte Lernmaterialien (Transparenzpflicht nach Art. 50); Emotionserkennung im Unterricht (verboten, Art. 5 Abs. 1 lit. f). Diese Unterscheidung ist der entscheidende Praxisschritt.

Für hochriskante Bildungs-KI müssen Anbieter die Pflichten aus Art. 8–15 AI Act erfüllen (Risikomanagement, Daten-Governance, technische Dokumentation, Logs, menschliche Aufsicht, Genauigkeit/Robustheit/Cybersecurity), ein Qualitätsmanagementsystem (Art. 17) aufbauen und eine Konformitätsbewertung mit CE-Kennzeichnung und Registrierung durchlaufen (Art. 43, 49). Die Pflichten gelten spätestens am 2. Dezember 2027 (verschoben durch AI Omnibus 2026). Betreiber (Schulträger, Hochschulen) treffen die abgestuften Pflichten aus Art. 26 (Nutzung gemäß Anweisungen, menschliche Aufsicht, Monitoring, Meldung schwerer Vorfälle). Verstöße gegen Hochrisiko-Pflichten: bis zu 15 Mio. EUR oder 3 % Umsatz (Art. 99); Verwendung verbotener KI: bis zu 35 Mio. EUR oder 7 % (Art. 5).

In Deutschland hängen Marktüberwachung (AI Act) und Datenschutz (DSGVO) zusammen: Die Marktüberwachungsbehörden der Länder (z. B. Oberste Landesbehörden) überwachen KI-Pflichten, die Datenschutz-Aufsichtsbehörden der Länder und die Datenschutzkonferenz (DSK) die datenschutzrechtliche Seite; der BfDI ist für den Bund zuständig. In Österreich koordiniert der Rat für Künstliche Intelligenz, die Datenschutzbehörde (DSB) prüft die DSGVO-Ebene. In der Schweiz (nicht EU, aber relevant für den DACH-Raum) zeichnet der EDÖB/FDPIC sowie kantonale Stellen verantwortlich; die Schweizer KI-Regulierung befindet sich im Aufbau. Bildungs-Anbieter sollten früh Zuständigkeit und Meldewege klären.