KI-Verordnung und Hochschulen: Was Ihre Einrichtung wissen muss

Die KI-Verordnung tritt in Kraft — Hochschulen sind betroffen

Die europäische Verordnung über künstliche Intelligenz (AI Act, Verordnung EU 2024/1689) ist der weltweit erste Rechtsrahmen, der KI-Systeme nach Risikoniveau reguliert. Die Durchsetzung hat im Februar 2025 für verbotene Praktiken begonnen, und die Pflichten für Hochrisiko-Systeme — darunter einige im Bildungsbereich — treten im August 2026 in Kraft (Quelle: Amtsblatt der EU, Verordnung 2024/1689, Art. 113).

Für Hochschulen ist das kein abstraktes Thema. Sobald eine Hochschule einen Zulassungs-Chatbot, ein Tool zur Bewerberbewertung, einen KI-gestützten Plagiatsdetektor oder einen Algorithmus zur Studiengangsempfehlung einsetzt, betreibt sie ein KI-System im Sinne der Verordnung. Die Frage ist nicht, ob Ihre Hochschule betroffen ist — sie ist es. Die Frage ist, in welche Risikokategorie Ihre Tools fallen.

Risikoklassifizierung: Wo steht Ihre Hochschule?

Die KI-Verordnung stuft KI-Systeme in vier Risikostufen ein. Jede Stufe bringt unterschiedliche Pflichten mit sich.

Unannehmbares Risiko (verboten)

Verboten sind Systeme zur allgemeinen sozialen Bewertung, zur unterschwelligen Manipulation und zur Ausnutzung von Schwächen. Im Bildungskontext wäre ein System verboten, das Studierende anhand ihres allgemeinen Sozialverhaltens (Veranstaltungsteilnahme, Social-Media-Aktivität) bewertet, um über die Zulassung zu entscheiden (Quelle: KI-Verordnung, Art. 5, Abs. 1).

Dieses Szenario klingt extrem, aber manche „ganzheitlichen" Bewerbungsbewertungspraktiken kommen dem nahe. Wenn Ihr Zulassungstool Verhaltensdaten einbezieht, die nicht mit der akademischen Eignung zusammenhängen, lassen Sie es prüfen.

Hohes Risiko (strenge Pflichten)

Das ist die wichtigste Kategorie für Hochschulen. Anhang III der Verordnung stuft ausdrücklich als hochriskant ein: KI-Systeme, die zur „Entscheidung über den Zugang zu oder die Zulassung zu Einrichtungen der allgemeinen und beruflichen Bildung" verwendet werden (Quelle: KI-Verordnung, Anhang III, Punkt 3a).

Konkret betroffen sind:

• Automatisierte Bewerberauswahl-Tools — jedes System, das Bewerbungen auf Basis algorithmischer Kriterien filtert, rankt oder bewertet
• KI-Plagiatserkennung, die die Benotung oder akademische Bewertung beeinflusst
• Platzierungs- oder Orientierungsalgorithmen, die den Zugang zu bestimmten Studiengängen bestimmen
• Automatische Benotungssysteme, die akademische Bewertungen erstellen oder beeinflussen

Die Pflichten für diese Systeme sind erheblich: Risikomanagementsystem, dokumentierte Trainingsdaten, technische Transparenz, menschliche Aufsicht, Protokollierung und Registrierung in der EU-Datenbank.

Begrenztes Risiko (Transparenzpflichten)

Zulassungs- und Informations-Chatbots fallen in diese Kategorie. Die Hauptpflicht ist einfach, aber nicht verhandelbar: den Nutzer darüber informieren, dass er mit einem KI-System interagiert (Quelle: KI-Verordnung, Art. 50, Abs. 1).

Konkret muss Ihr Chatbot klar als KI-Assistent gekennzeichnet sein. Eine Nachricht wie „Ich bin ein KI-Assistent der [Hochschulname]. Ein menschlicher Berater steht auf Anfrage zur Verfügung" erfüllt diese Pflicht.

Ebenfalls in dieser Kategorie:

• KI-generierte Inhalte (automatisierte E-Mails, Studiengangsbeschreibungen)
• Emotionserkennungssysteme (Tonanalyse in Video-Interviews — ein wachsender Bereich)
• Automatische Übersetzungstools für pädagogische Inhalte

Minimales Risiko (keine spezifischen Pflichten)

KI-Tools ohne Auswirkung auf Grundrechte: Rechtschreibprüfer, Spam-Filter, Stundenplanoptimierer. Keine regulatorischen Pflichten, wobei bewährte Transparenzpraktiken empfohlen werden.

Der Compliance-Zeitplan

Die Fristen sind gestaffelt. Hier die für Hochschulen relevanten Daten.

2. Februar 2025 — Verbote treten in Kraft (Praktiken mit unannehmbarem Risiko). Bereits wirksam.

2. August 2025 — Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI). Betrifft Modellanbieter wie OpenAI, Anthropic, Mistral — nicht direkt Hochschulen, aber Ihre KI-Tool-Anbieter müssen sich konformieren. Fordern Sie eine Konformitätserklärung von Ihren Dienstleistern.

2. August 2026 — Pflichten für Hochrisiko-Systeme (Anhang III). Das ist das kritische Datum für Hochschulen. Nutzen Sie ein automatisiertes Bewerberauswahl- oder Benotungstool, muss es bis zu diesem Datum konform sein.

2. August 2027 — Erweiterung auf sektorspezifisch regulierte Hochrisiko-Systeme.

Noch 5 Monate bis zum Inkrafttreten der Hochrisiko-Pflichten. Hat Ihre Hochschule ihre KI-Tools noch nicht auditiert, ist der Zeitrahmen eng, aber machbar.

Konkrete Pflichten je Anwendungsfall

Zulassungs-Chatbot (begrenztes Risiko)

Die Pflichten sind verhältnismäßig und realistisch.

Pflicht 1 — Transparenz: Der Chatbot muss sich als KI identifizieren. Ein permanenter Hinweis oder eine klare Begrüßungsnachricht genügt.

Pflicht 2 — Datenverarbeitungsinformation: Gemäß der DSGVO muss die Datenverarbeitung durch den Chatbot in der Datenschutzerklärung dokumentiert werden. Unser DSGVO-Leitfaden für Studentendaten erläutert diese Pflichten.

Pflicht 3 — Menschlicher Kontakt: Der Studieninteressierte muss jederzeit einen Menschen kontaktieren können. Ein Button „Mit einem Berater sprechen" muss stets sichtbar sein.

Geschätzte Compliance-Kosten: Nahe null, wenn Ihr Chatbot bereits transparent ist. Rechnen Sie mit 2 bis 5 Tagen für Audit, Dokumentation und Interface-Anpassung.

Automatisierte Bewerberauswahl (hohes Risiko)

Die Pflichten sind deutlich umfangreicher.

Die sechs Pflichten: (1) dokumentiertes Risikomanagement (Bias, Diskriminierung, Klassifizierungsfehler), (2) Qualität der Trainingsdaten (Repräsentativität, Abwesenheit historischer Verzerrungen), (3) vollständige technische Dokumentation, (4) menschliche Aufsicht — keine Zulassungsentscheidung darf vollautomatisch sein, (5) Protokollierung von Ein-/Ausgaben (mindestens 6 Monate), (6) Registrierung in der EU-Datenbank.

Geschätzte Compliance-Kosten: 15.000 bis 50.000 EUR für vollständiges Audit, technische Dokumentation und Einrichtung menschlicher Aufsichtsprozesse. Die Kosten trägt hauptsächlich der Tool-Anbieter, aber die Hochschule als „Betreiberin" hat ebenfalls Pflichten.

KI-Plagiatserkennung (hohes Risiko bei Einfluss auf Benotung)

Beeinflusst das Tool direkt die Benotung oder akademische Entscheidung, fällt es in die Hochrisiko-Kategorie. KI-Detektoren zeigen derzeit eine Falsch-Positiv-Rate von 5 bis 15 % (Quelle: Stanford HAI, 2025). Menschliche Aufsicht ist keine Option — sie ist eine gesetzliche Pflicht.

Das Zusammenspiel mit der DSGVO

Die KI-Verordnung ersetzt nicht die DSGVO — sie ergänzt sie. Jede Verarbeitung personenbezogener Daten durch ein KI-System unterliegt weiterhin der DSGVO (Rechtsgrundlage, Datenminimierung, Auskunftsrechte). Artikel 22 der DSGVO verbietet bereits automatisierte Entscheidungen mit rechtlicher Wirkung; die KI-Verordnung verstärkt diesen Schutz mit detaillierteren Transparenz- und Aufsichtsanforderungen. Beide Regelwerke ergänzen sich — DSGVO-Konformität befreit nicht von der KI-Verordnung.

Für eine vertiefte Darstellung der DSGVO-Konformität speziell für Studentendaten, siehe unseren dedizierten Leitfaden.

10-Punkte-Compliance-Checkliste

1. Bestandsaufnahme: alle KI-Tools auflisten (Chatbot, CRM, Scoring, Plagiat, Empfehlung)
2. Klassifizierung: minimales, begrenztes, hohes oder unannehmbares Risiko pro Tool
3. Anbieter-Audit: Konformitätserklärung und Zeitplan von jedem Anbieter einfordern
4. Chatbot-Transparenz: KI-Kennzeichnung + Option menschlicher Kontakt
5. Menschliche Aufsicht: keine vollautomatische Zulassungsentscheidung
6. Technische Dokumentation: vollständiges Dossier für Hochrisiko-Systeme
7. Bias-Analyse: Tests auf Geschlecht, geografische Herkunft, Schultyp
8. Datenschutzerklärung: KI-Verarbeitungen integrieren
9. Schulung: Zulassungs- und Lehrteams zu ihren Pflichten
10. Jährliche Überprüfung: KI-Verordnungs-Audit synchron zur DSGVO-Revision

Sanktionen bei Nichtkonformität

Die KI-Verordnung sieht abgestufte Bußgelder vor: bis zu 35 Mio. EUR (7 % des Umsatzes) für verbotene Praktiken, 15 Mio. EUR (3 %) für Hochrisiko-Nichtkonformität und 7,5 Mio. EUR (1 %) für unrichtige Angaben. Das Reputationsrisiko wiegt mindestens ebenso schwer: Eine wegen KI-Nichtkonformität sanktionierte Hochschule untergräbt ihre Glaubwürdigkeit bei der Ausbildung digitaler Fachkräfte.

Was Hochschulen von ihren KI-Anbietern fordern sollten

Als „Betreiberinnen" im Sinne der Verordnung tragen Hochschulen Mitverantwortung. Fordern Sie von jedem Anbieter: eine datierte Konformitätserklärung, die Risikoklassifizierung mit Begründung, zugängliche technische Dokumentation, vertragliche Verpflichtung zu menschlicher Aufsicht und Transparenz, ein dokumentiertes Bias-Audit und einen regulatorischen Update-Plan.

Die KI-Verordnung ist Teil eines umfassenderen digitalen Rechtsrahmens: Unser Leitfaden zur digitalen Barrierefreiheit für Hochschul-Websites behandelt die BITV 2.0-Pflichten, die für öffentliche und private Bildungsträger gleichermaßen gelten.

Für Einblicke, wie KI die Sichtbarkeit von Hochschulen über die Compliance hinaus beeinflusst, beleuchtet unser Artikel zu den KI-Empfehlungskriterien für Hochschulen das Thema ausführlich.

FAQ

Ist mein Zulassungs-Chatbot als hohes Risiko eingestuft?

Nein, es sei denn, er trifft eigenständige Zulassungsentscheidungen. Ein Chatbot, der informiert, Fragen beantwortet und Interessenten qualifiziert, gilt als „begrenztes Risiko". Er muss sich als KI identifizieren und menschlichen Kontakt anbieten, unterliegt aber nicht den strengen Hochrisiko-Pflichten. Entscheidet der Chatbot jedoch automatisch über Annahme oder Ablehnung einer Bewerbung, wechselt er in die Hochrisiko-Kategorie.

Gilt die KI-Verordnung für Nicht-EU-Hochschulen, die in Europa rekrutieren?

Ja. Die Verordnung gilt für jedes KI-System, dessen Ergebnisse in der EU genutzt werden, unabhängig vom Sitz des Anbieters oder Betreibers. Eine Schweizer oder britische Hochschule, die ein Scoring-Tool zur Auswahl von Bewerbern mit EU-Wohnsitz nutzt, unterliegt der KI-Verordnung.

Wie hängen KI-Verordnung und DSGVO bei Bewerberdaten zusammen?

Beide Regelwerke gelten gleichzeitig. Die DSGVO regelt die Erhebung, Speicherung und Verarbeitung personenbezogener Daten. Die KI-Verordnung fügt Pflichten hinzu, wie diese Daten durch KI-Systeme genutzt werden (Transparenz, menschliche Aufsicht, Bias-Audit). DSGVO-Konformität befreit nicht von KI-Verordnungs-Konformität und umgekehrt.

Wie viel Zeit und Budget sollte man für die Compliance einplanen?

Für eine Hochschule mit Chatbot (begrenztes Risiko) und CRM mit einfachem Scoring: 2 bis 4 Wochen und 3.000 bis 8.000 EUR für Audit und Anpassungen. Für eine Hochschule mit automatisiertem Auswahlsystem (hohes Risiko): 2 bis 4 Monate und 15.000 bis 50.000 EUR, davon ein erheblicher Anteil vom Tool-Anbieter.