KI-Compliance an Schulen: Zeitfresser und Kostenfallen

Die belastbare Freigabe für den Unterricht kann Wochen beanspruchen: Einsatzfall beschreiben, Datenflüsse erfassen, Anbieter prüfen, Rechtsgrundlage klären, Regeln veröffentlichen, Personal schulen, Konfiguration dokumentieren.

Der Kosten-Nutzen-Vergleich bei KI-Compliance in der Bildung kippt deshalb nicht primär an Lizenzpreisen. Er kippt an ungeplanten Arbeitsstunden in Schulleitung, Datenschutz, IT-Administration und Fachkonferenzen. Besonders teuer wird es, wenn eine Schule ein Werkzeug erst breit ausrollt und dessen Risikoklasse erst anschließend analysiert. Das ist die falsche Reihenfolge. Sie erzeugt Schattennutzung, Nacharbeit und im schlechtesten Fall einen Rückbau unter Zeitdruck.

Seit dem 2. Februar 2025 gelten die KI-Kompetenzpflichten aus Artikel 4 der KI-Verordnung. Schulen müssen nach besten Kräften sicherstellen, dass Personen, die KI-Systeme in ihrem Auftrag nutzen oder betreiben, über ein ausreichendes Maß an KI-Kompetenz verfügen. Das ist kein Zertifikatszwang. Es ist aber eine operative Pflicht. Wer keine Schulungsinhalte, keine Zuständigkeiten und keine dokumentierten Nutzungsregeln vorweisen kann, hat ein Steuerungsproblem.

Die Risikoklasse entscheidet über den Projektaufwand

Nicht jede KI-Anwendung im Unterricht ist ein Hochrisiko-System. Ein Textassistent für erste Ideenskizzen ist etwas anderes als ein System, das Lernstände bewertet, Prüfungsverhalten überwacht oder über Förder- und Bildungslaufbahnen mitentscheidet. Diese Trennung muss vor der Beschaffung erfolgen, nicht erst bei einer Datenschutzbeschwerde.

Nach der KI-Verordnung zählen KI-Systeme im allgemeinen und beruflichen Bildungsbereich insbesondere dann zu den Hochrisiko-Systemen, wenn sie:

• Zugang oder Zulassung zu Bildungseinrichtungen und -programmen bestimmen;
• Lernende Bildungseinrichtungen, Kursen oder Bildungsniveaus zuordnen;
• Lernergebnisse bewerten;
• das Bildungsniveau wesentlich beeinflussen;
• verbotenes Verhalten während Prüfungen überwachen oder erkennen sollen.

Für diese Konstellationen werden die einschlägigen Vorgaben ab dem 2. August 2026 relevant. Die häufig anzutreffende Verschiebung auf 2027 ist hier kein Freifahrtschein. Der Termin 2. August 2027 betrifft Artikel 6 Absatz 1 der KI-Verordnung, also KI als Sicherheitskomponente regulierter Produkte. Bildungs-KI aus Anhang III fällt nicht pauschal in diese Sonderfrist.

Die operative Regel lautet: Je stärker ein System Chancen, Bewertungen oder Sanktionen beeinflusst, desto weniger reicht eine Standardfreigabe aus dem Werkzeugkatalog. Dann braucht die Schule einen eigenen Projektpfad mit klarer Verantwortlichkeit.

Ein KI-Tool wird nicht durch seinen Produktnamen riskant, sondern durch die Entscheidung, die es im Schulalltag vorbereitet oder beeinflusst.

Ein häufiger Fehler ist die Vermischung von Assistenz und Automatisierung. Eine Lehrkraft darf sich von einem System Formulierungsvorschläge für Feedback erzeugen lassen. Wenn sie den Text prüft, verändert und fachlich verantwortet, bleibt die KI ein Hilfsmittel. Wird derselbe Output automatisiert in eine Bewertung übersetzt und wegen Zeitmangel nur noch abgenickt, verändert sich die Risikolage fundamental.

Das ist auch datenschutzrechtlich relevant. Bei KI-gestützten Entscheidungen mit Rechtswirkung reicht keine formale menschliche Beteiligung. Die entscheidende Person muss einen echten Entscheidungsspielraum haben. Sie braucht Zeit, Informationen und die Möglichkeit, dem Systemergebnis zu widersprechen. Ein Freigabeklick am Ende einer automatisierten Pipeline ist keine menschliche Letztentscheidung.

Datenschutz-Folgenabschätzung ist kein Formular, sondern ein Testlauf

Die Datenschutzprüfung von KI wird oft auf die Frage verkürzt, ob ein Vertrag zur Auftragsverarbeitung vorliegt. Das ist zu wenig. Eine Vereinbarung nach Artikel 28 Absatz 3 DSGVO regelt Pflichten zwischen Schule und Dienstleister. Sie beantwortet nicht, ob die konkrete Verarbeitung zulässig, verhältnismäßig und technisch abgesichert ist.

Bei KI-Anwendungen mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen ist vorab eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich. Die Datenschutzkonferenz weist ausdrücklich darauf hin, dass dies beim Einsatz von KI-Anwendungen vielfach der Fall sein wird. In der Schule steigt das Risiko schnell: Minderjährige, Leistungsdaten, Förderbedarfe, Sprachaufnahmen, Verhaltensinformationen und besondere Kategorien personenbezogener Daten erzeugen eine hohe Sensitivität.

Der Zeitaufwand entsteht nicht im Dokument selbst. Er entsteht beim Zusammentragen belastbarer Informationen:

1. Datenfluss messen statt Produktbroschüren lesen. Welche Daten gehen in das System? Wo werden sie verarbeitet? Wie lange werden sie gespeichert? Werden Prompts, Uploads oder Ausgaben für Training, Qualitätskontrolle oder Missbrauchserkennung verwendet? Ohne diese Informationen bleibt jede Risikobewertung eine Annahme.

2. Zweckbindung präzise definieren. „KI im Unterricht“ ist kein Verarbeitungszweck. „Erstellung sprachlich vereinfachter Arbeitsblätter ohne Schülerdaten“ ist einer. Der Unterschied reduziert Umfang, Risiko und Prüfaufwand.

3. Personenbezug realistisch bewerten. Namen aus einem Prompt zu entfernen genügt regelmäßig nicht. Klassenstufe, Fach, individuelle Leistungssituation, seltene Ereignisse oder beschreibende Details können eine Re-Identifizierung ermöglichen.

4. Technische Konfiguration prüfen. Deaktivierte Trainingsnutzung, mandantengetrennte Konten, Rollenrechte, Protokollierung und Löschkonzepte sind keine Marketingbegriffe. Sie sind Konfigurationsparameter, die in der Instanz der Schule nachweisbar gesetzt werden müssen.

5. Restrisiko dokumentieren. Eine Folgenabschätzung ist kein Versuch, jedes Risiko auf null zu setzen. Sie zeigt, welche Risiken bestehen, welche Maßnahmen greifen und wer eine verbleibende Entscheidung verantwortet.

Für kleine Schulen ist der effizienteste Weg kein Vollgutachten für jedes Tool. Sinnvoll ist eine wiederverwendbare Prüfarchitektur: ein Standardprozess für niedrigkritische Werkzeuge, ergänzt um einen Eskalationspfad für Systeme mit Leistungs-, Verhaltens- oder Profildaten. Das spart Zeit, weil nicht jede Fachschaft denselben Datenfluss neu erfindet.

Der falsche Begriff „anonymisiert“

In vielen Kollegien kursiert eine einfache Regel: Keine Namen eingeben, dann ist alles anonym. Technisch und rechtlich trägt das nicht. Ein Prompt wie „Schüler der 9b mit diagnostizierter Lese-Rechtschreib-Schwäche, der im Januar wegen eines Vorfalls auffällig wurde“ kann trotz fehlendem Namen eindeutig zuordenbar sein. Der Personenbezug liegt im Kontext, nicht nur im Namensfeld.

Die bessere Regel ist strenger und zugleich praktikabler: Keine realen Schülerfälle in offene oder nicht freigegebene Systeme. Für Unterrichtsvorbereitung genügen häufig abstrahierte Fälle, synthetische Daten und lokal bearbeitete Materialien. Für individualisierte Lernunterstützung braucht es einen freigegebenen Dienst, eine belastbare Datenbasis und eine dokumentierte Zweckbindung.

Cloud-Verträge: Der Anbieter liefert die Informationen oder fällt aus

Extern betriebene KI-Cloudlösungen sind häufig Auftragsverarbeitung. Dann benötigt die Schule oder der zuständige Schulträger eine Vereinbarung nach Artikel 28 Absatz 3 DSGVO. In der Praxis scheitert der Prozess jedoch selten am Vertragsmuster. Er scheitert daran, dass der Anbieter die notwendigen technischen und organisatorischen Informationen nicht liefert.

Eine brauchbare Anbieterprüfung muss mindestens klären:

• Welche Unterauftragnehmer verarbeiten Daten und in welchen Regionen?
• Welche Inhalte werden gespeichert: Eingaben, Dateien, Systemprotokolle, Ausgaben, Metadaten?
• Ist die Nutzung für Modelltraining standardmäßig deaktiviert oder nur auf Antrag?
• Gibt es ein dokumentiertes Löschkonzept mit nachvollziehbaren Fristen?
• Lassen sich Nutzerkonten über die schulische Identitätsverwaltung steuern?
• Können Rollen granular vergeben werden, etwa Lehrkraft, Lernende, Administration?
• Gibt es Protokolle, die Missbrauch und Fehlkonfigurationen erkennbar machen?
• Stellt der Anbieter Informationen bereit, die für Risikoanalyse und Datenschutz-Folgenabschätzung ausreichen?

Fehlt diese Transparenz, ist das kein administratives Detail. Es ist ein No-Go für Anwendungen mit personenbezogenen Daten. Ein System, dessen Datenverarbeitung nicht beschrieben werden kann, ist nicht prüfbar. Und was nicht prüfbar ist, lässt sich nicht verantwortbar implementieren.

Hier liegt eine der versteckten Kostenfallen der rechtssicheren KI-Integration: Fachbereiche testen ein frei verfügbares Tool, entwickeln Arbeitsblätter und Abläufe, und erst danach wird festgestellt, dass keine geeignete Vertrags- oder Mandantenstruktur existiert. Die bereits investierte Unterrichtszeit ist dann versunkener Aufwand.

Die Gegenmaßnahme ist banal, aber wirksam: Testzugänge und produktive Nutzung müssen getrennt werden. Ein Test darf keine echten Schülerdaten, keine Leistungsdaten und keine vertraulichen Dokumente enthalten. Die produktive Freigabe erfolgt erst nach Anbieterprüfung und nach der technischen Konfiguration des Mandanten.

Ein Auftragsverarbeitungsvertrag ist ein Baustein. Er ersetzt weder Rechtsgrundlage noch Risikoprüfung noch eine saubere Systemkonfiguration.

Noten, Täuschung und die Grenze der Automatisierung

KI-gestützte Bewertung ist der Bereich, in dem technische Plausibilität besonders leicht mit rechtlicher Zulässigkeit verwechselt wird. Ein Modell kann Texte nach Kriterien sortieren, sprachliche Muster markieren oder Rubrikenentwürfe erzeugen. Das bedeutet nicht, dass es Prüfungsleistungen eigenständig bewerten darf.

Die kritische Variable ist nicht nur die Modellqualität. Sie lautet: Welchen Einfluss hat das Ergebnis auf die einzelne Person? Eine KI, die einer Lehrkraft Hinweise auf mögliche Argumentationslücken gibt, ist eine Assistenzfunktion. Ein System, das eine Note vorschlägt, diese in ein Verwaltungsverfahren überführt und faktisch nicht mehr korrigiert wird, beeinflusst Bildungschancen unmittelbar.

Für Schulen ist deshalb eine technische Trennung sinnvoll:

• Zulässige Assistenzzone: Entwürfe für Erwartungshorizonte, sprachliche Hinweise, Vorschläge für differenziertes Feedback, Zusammenfassungen von bereits geprüften Materialien.
• Kontrollpflichtige Zone: Analyse individualisierter Leistungen, KI-generierte Förderempfehlungen, Klassifikation von Lernständen, Priorisierung von Unterstützungsbedarf.
• Kritische Entscheidungszone: Benotung, Zulassung, Zuweisung zu Bildungsgängen, Prüfungserkennung und Sanktionierung.

In der dritten Zone ist ein klarer Prüfpfad erforderlich. Dazu gehören fachliche Validierung, nachvollziehbare Kriterien, dokumentierte menschliche Entscheidung und eine realistische Prüfung der Fehlerraten. Ein Modell mit guter durchschnittlicher Trefferquote kann bei bestimmten Sprachständen, Behinderungen oder sozioökonomischen Gruppen systematisch schlechter arbeiten. Algorithmische Fairness ist hier keine abstrakte Ethikfolie, sondern Qualitätskontrolle an der Schnittstelle von Datenbasis und Entscheidung.

Besonders problematisch sind KI-Detektoren. Sie liefern Indizien, keinen Beweis. Turnitin weist selbst darauf hin, dass sein KI-Schreibbericht menschliche, KI-generierte und KI-paraphrasierte Texte falsch zuordnen kann. Werte über 0 Prozent und unter 20 Prozent werden dort bewusst nicht angezeigt, um Fehlalarme zu reduzieren. Auch OpenAI stellte seinen früheren Textklassifikator 2023 wegen geringer Trefferquote ein.

Die Konsequenz für Prüfungsordnungen ist nüchtern: Ein Detektorwert darf niemals die alleinige Grundlage für eine nachteilige Maßnahme sein. Er kann allenfalls einen Anlass für eine fachliche Prüfung liefern. Diese Prüfung braucht weitere Anhaltspunkte: Entstehungsprozess, Arbeitsversionen, Quellenarbeit, mündliche Erläuterung, Aufgabenpassung und gegebenenfalls eine zusätzliche Leistungsfeststellung.

Emotionserkennung ist noch klarer abgegrenzt. Die Nutzung von KI zur Emotionserkennung in Bildungseinrichtungen ist nach Artikel 5 der KI-Verordnung grundsätzlich verboten. Medizinische oder sicherheitsbezogene Zwecke bilden enge Ausnahmen. Systeme, die Aufmerksamkeit, Stress oder Stimmung aus Webcam-, Stimm- oder Verhaltensdaten ableiten wollen, gehören daher nicht in den regulären Schulbetrieb.

Urheberrecht und KI-Kompetenz gehören in dieselbe Betriebsanweisung

Urheberrecht wird bei KI oft als Nebenproblem behandelt. Tatsächlich ist es ein häufiger Auslöser für unsaubere Workarounds: Lehrkräfte laden Verlagsseiten, Scans oder komplette Arbeitshefte in externe Dienste, um Zusammenfassungen oder Aufgabenvarianten zu erzeugen. Der pädagogische Nutzen mag plausibel sein. Die Verarbeitung in einem externen KI-System ist damit nicht automatisch gedeckt.

§ 60a UrhG erlaubt für nicht kommerzielle Unterrichts- und Lehrzwecke grundsätzlich die Nutzung von bis zu 15 Prozent eines veröffentlichten Werkes. Abbildungen, einzelne Beiträge aus Fach- oder Wissenschaftszeitschriften, Werke geringen Umfangs und vergriffene Werke dürfen unter den gesetzlichen Voraussetzungen vollständig genutzt werden. Diese Regel ist aber keine pauschale Erlaubnis, geschützte Inhalte in einen beliebigen KI-Cloudservice hochzuladen oder für dessen Modelltraining verfügbar zu machen.

Die Schulregel sollte daher zwei Ebenen sauber trennen:

• Nutzung im Unterricht: Was darf im geschützten Bildungskontext bereitgestellt, zitiert oder vervielfältigt werden?
• Verarbeitung durch KI-Dienste: Welche Inhalte verlassen die schulische Umgebung, zu welchem Zweck, unter welchen Vertrags- und Konfigurationseinstellungen?

Diese Differenzierung gehört in die KI-Kompetenz nach Artikel 4. Eine Einführungsveranstaltung über Prompting reicht nicht. Personal muss erkennen können, welche Daten nicht in ein Tool gehören, wann ein Output überprüft werden muss und welche Aufgaben nicht automatisiert werden dürfen.

Ein belastbares Schulungsformat ist kurz, rollenbasiert und wiederholbar. Lehrkräfte benötigen andere Inhalte als Verwaltungsmitarbeitende oder IT-Administration. Für Lehrkräfte sind typische Fehlermuster relevant: personenbezogene Fallbeschreibungen, ungeprüfte Quellen, urheberrechtlich problematische Uploads, erfundene Zitate und automatisierte Leistungsurteile. Die Administration braucht Kenntnisse zu Identitätsmanagement, Protokollierung, Vertragsstatus, Datenklassen und Eskalation.

Aufwand steuern statt Einzelfälle verwalten

Die beste Kostenkontrolle ist ein kleiner, verbindlicher Freigabeprozess. Kein hundertseitiges Handbuch, sondern eine Pipeline mit klaren Gates. Jede KI-Anwendung erhält vor der Nutzung einen Steckbrief: Zweck, Nutzergruppe, Datenarten, Anbieter, Betriebsmodell, Entscheidungseinfluss und Verantwortliche. Danach erfolgt die Einordnung.

Ein funktionierendes Minimalmodell umfasst vier Arbeitspakete:

1. Werkzeugregister aufbauen. Alle offiziell erlaubten KI-Dienste werden mit Zweck, Freigabestatus, Datenklasse und verantwortlicher Stelle erfasst. Das reduziert Schatten-IT und vermeidet Mehrfachprüfungen.

2. Drei Datenklassen definieren. Öffentlich beziehungsweise unkritisch, intern, besonders schutzbedürftig. Für jede Klasse wird festgelegt, welche Systeme genutzt werden dürfen. Die Regel muss im Alltag in zehn Sekunden anwendbar sein.

3. Risikofälle eskalieren. Alles, was Lernstand, Benotung, Zulassung, Prüfungsverhalten oder sensible personenbezogene Daten betrifft, geht nicht in die Standardfreigabe. Es wird gesondert auf Datenschutz-Folgenabschätzung, Hochrisiko-Einstufung und menschliche Kontrolle geprüft.

4. Nutzung messbar machen. Nicht jede Schule braucht ein großes Governance-Dashboard. Sie braucht aber Kennzahlen: Zahl freigegebener Tools, Zahl geschulter Beschäftigter, offene Anbieterfragen, dokumentierte Vorfälle und Anteil der Einsatzfälle mit Leistungsbezug. Ohne diese Werte lässt sich die Compliance-Lücke nicht priorisieren.

Der Nutzen dieser Architektur ist technisch schlicht: weniger Varianten, weniger Datenflüsse, weniger Sonderfälle. Jede zusätzliche Plattform erhöht nicht nur Lizenz- und Supportkosten, sondern auch die Angriffsfläche für Fehlkonfigurationen, unklare Zuständigkeiten und Datenschutzverstöße.

Machbarkeitsbewertung: Go für Assistenz, No-Go für blinde Automatisierung

KI-Compliance im Bildungssektor ist machbar. Sie ist aber kein Nebenprojekt der Medienbildung und kein Einkaufsvorgang für eine Lizenz. Schulen brauchen eine Betriebsentscheidung: Welche Aufgaben bleiben menschlich gesteuert, welche Daten dürfen welche Systeme sehen und wer trägt die technische sowie rechtliche Verantwortung?

Go gilt für klar abgegrenzte Assistenzanwendungen mit minimierten Daten, geprüften Anbietern, dokumentierter Konfiguration und geschulten Nutzenden. Das betrifft etwa die Materialerstellung mit zulässigen Inhalten, sprachliche Überarbeitungen oder didaktische Entwürfe ohne reale Schülerprofile.

No-Go gilt für Emotionserkennung im Bildungsbetrieb, für nicht prüfbare Cloudanbieter bei personenbezogenen Daten und für Systeme, deren Bewertung oder Detektion faktisch ohne echte menschliche Kontrolle Folgen für Lernende erzeugt.

Der wirtschaftlich sinnvolle Weg ist nicht maximale KI-Nutzung. Er ist eine kleine Zahl kontrollierter Einsatzfälle mit sauberer Datenarchitektur. Wer diese Basis vor dem Rollout implementiert, reduziert späteren Prüfaufwand, verhindert teuren Rückbau und behält die Entscheidung dort, wo sie in der Schule bleiben muss: bei verantwortlichen Menschen.