Fast jedes Unternehmen nutzt heute KI, oft, ohne die rechtliche Seite geregelt zu haben. Dieser Leitfaden zeigt, welche Pflichten Sie als Betreiber treffen, wie Ihr Team Copilot und ChatGPT nutzen darf und was in eine KI-Richtlinie gehört. Für Entscheider, nicht für Juristen.
◆zertifizierte KI-Compliance-Beauftragte
Stand: Juli 2026 · beck-online-geprüft
Der EU AI Act (Verordnung (EU) 2024/1689) unterscheidet zwei Hauptrollen. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt und tragen die strengsten Pflichten. Betreiber setzen ein KI-System nur ein, etwa ein eingekauftes Tool. Die meisten Unternehmen sind Betreiber. Der Pflichtenkreis ist dann schlanker, aber er besteht: Er reicht von der KI-Kompetenz über transparenten Einsatz bis zur Auswahl konformer Anbieter.
Die saubere Einordnung gehört an den Anfang: Wer ein zugekauftes KI-Modell in das eigene Produkt einbaut und unter eigenem Namen anbietet, kann selbst zum Anbieter werden, mit deutlich mehr Pflichten. Diese Frage gehört geklärt, bevor man in KI investiert, nicht danach.
Im Detail: Anbieter oder Betreiber? Die Rollen nach Art. 3 KI-VO →
Eine Pflicht ist bereits scharf gestellt: Nach Art. 4 KI-VO müssen Anbieter und Betreiber Maßnahmen ergreifen, damit ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Gemeint ist, dass die Menschen, die KI einsetzen, verstehen, was das Werkzeug kann, wo seine Grenzen liegen und welche Risiken es birgt. Diese Pflicht gilt seit dem 2. Februar 2025.
Das Gesetz schreibt keine bestimmte Schulungsform vor, solange die Maßnahmen zum Kontext passen: Wer KI nur für einfache Texte nutzt, braucht weniger als ein Team, das KI in Kundenprozesse einbaut. Eine dokumentierte, auf die Rollen zugeschnittene Einweisung ist der pragmatische Weg, die Pflicht zu erfüllen und zugleich Fehlbedienung zu vermeiden.
Bevor Sie steuern können, müssen Sie wissen, wo überall KI im Einsatz ist. Häufig steckt sie unbemerkt in bereits genutzter Software: im Office-Paket, im CRM, im Support-Chat, in Bewerbungstools. Eine kurze KI-Inventur schafft den Überblick: Welche Systeme nutzen wir, wofür, mit welchen Daten, und in welcher Rolle stehen wir jeweils.
Diese Bestandsaufnahme ist die Grundlage für alles Weitere: Erst wenn Sie die Systeme kennen, lässt sich beurteilen, welche unkritisch sind und welche besondere Aufmerksamkeit brauchen und wo eine Freigabe oder eine vertragliche Nachbesserung nötig ist.
Im Detail: die vollständige KI-Inventur mit Vorlage →
Sobald ein KI-Tool personenbezogene Daten verarbeitet, gilt die DSGVO. Verarbeitet der Anbieter diese Daten in Ihrem Auftrag, brauchen Sie eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO. Bei US-Anbietern kommt die Frage des Drittland-Transfers hinzu. Kostenlose Consumer-Versionen bekannter KI-Dienste sind hier oft problematisch, weil sie Eingaben zum Training verwenden dürfen; die geschäftlichen Varianten mit klaren Datenschutzzusagen sind der sichere Weg.
Im Detail: DSGVO für Software- & SaaS-Unternehmen →
Die praktische Regel lautet daher: geschäftliche, vertraglich abgesicherte Tarife statt privater Gratis-Zugänge, und keine personenbezogenen Daten in ein Tool geben, dessen Datenverarbeitung nicht geklärt ist.
Ein oft übersehenes Risiko betrifft Ihre eigenen Geheimnisse. Ein Geschäftsgeheimnis genießt rechtlichen Schutz nur, wenn es Gegenstand angemessener Geheimhaltungsmaßnahmen ist (§ 2 GeschGehG). Wer vertrauliche Informationen, Quellcode, Kalkulationen, Vertragsentwürfe, in ein öffentliches KI-Tool eingibt, kann genau diese Voraussetzung untergraben und den Schutz verlieren.
Deshalb gehört in jede KI-Nutzung eine klare Grenze: Was vertraulich ist, geht nicht ungeprüft in ein externes Tool. Wo mit sensiblen Inhalten gearbeitet werden soll, braucht es Tarife mit vertraglich zugesicherter Vertraulichkeit oder Systeme, die im eigenen Haus betrieben werden.
Nicht jeder KI-Einsatz wiegt gleich schwer. Besonders sensibel wird es, wenn KI über Menschen entscheidet oder sie bewertet, etwa im Personalbereich bei der Bewerberauswahl oder bei der Leistungsbeurteilung. Solche Anwendungen unterliegen unter dem AI Act deutlich strengeren Anforderungen, und zusätzlich greifen Datenschutz- und arbeitsrechtliche Grenzen.
Die Konsequenz für die Praxis: Bevor KI in einem solchen Feld eingesetzt wird, gehört die Rechtslage geprüft. Was im Marketing unkritisch ist, kann im Recruiting eine erhebliche Haftungs- und Compliance-Frage sein.
Die meisten dieser Fragen lassen sich mit einem Dokument bündeln: einer KI-Nutzungsrichtlinie, die dem Team klare, verständliche Leitplanken gibt. Sie ist zugleich ein Baustein, um die KI-Kompetenz-Pflicht zu erfüllen. Das gehört hinein:
Welche KI-Dienste sind freigegeben und in welchem Tarif? So vermeiden Sie, dass sensible Daten in ungeprüften Gratis-Tools landen.
Keine personenbezogenen oder vertraulichen Daten ohne Freigabe. Die klare Grenze schützt Datenschutz und Geschäftsgeheimnisse zugleich.
KI-Ergebnisse werden vor Verwendung geprüft: auf Richtigkeit, Rechte Dritter und Kennzeichnung, wo sie nötig ist.
Wo KI nicht allein entscheiden darf, etwa bei sensiblen Personalentscheidungen. Klare rote Linien statt Grauzonen.
Wer ist Ansprechpartner, wer gibt neue Tools frei, an wen meldet man Probleme? Ohne Zuständigkeit bleibt die Richtlinie Papier.
Eine Richtlinie wirkt nur mit Struktur dahinter. Gute KI-Governance klärt, wer neue Tools prüft und freigibt, wie der KI-Einsatz dokumentiert wird und wie mit Vorfällen umgegangen wird. Das muss nicht schwerfällig sein: Für die meisten Unternehmen genügt ein schlanker Prozess, der zur Größe passt und mitwächst.
Der Gewinn ist doppelt: Sie erfüllen Ihre Pflichten und können KI zugleich schneller und mutiger einsetzen, weil klar ist, was erlaubt ist. Wer die Regeln kennt, muss nicht bei jedem neuen Tool von vorne diskutieren. Wo Sie unter dem AI Act genau stehen, lässt sich mit einer strukturierten Einstufung feststellen.
Aus der eigenen Praxis als zertifizierte KI-Compliance-Beauftragte weiß ich: Die meisten Unternehmen scheitern nicht an fehlendem Willen, sondern an fehlender Struktur, an einem Prozess, der KI-Einführung nicht bremst, sondern rechtssicher beschleunigt.
Der Leitfaden ordnet die rechtlichen Grundfragen des KI-Einsatzes ein. Für die konkrete Situation in Ihrem Unternehmen geht jeder der folgenden Beiträge tiefer, gruppiert nach dem Anlass, aus dem heraus Sie ihn typischerweise brauchen.
Tools im Alltag
Personal & Mitbestimmung
Haftung & Geheimnisschutz
Diskriminierung, Datenschutz & Cybersicherheit
Sie setzen KI ein und wollen es rechtssicher aufstellen? Ob KI-Inventur, Nutzungsrichtlinie, Datenschutz der eingesetzten Tools oder die Einstufung unter dem AI Act, das setzen wir konkret um.
KI-Governance & AI Act (Leistung) →
Grundlagen: Der EU-AI-Act-Leitfaden →
AI Governance Audit (Festpreis) →
Laufende Begleitung als externe Rechtsabteilung →
Ich verschaffe Ihnen den Überblick über Ihre KI-Landschaft, kläre Ihre Rolle unter dem AI Act, prüfe den Datenschutz Ihrer Tools und erstelle die Nutzungsrichtlinie fürs Team. Konkret, fundiert, vertraulich (§ 43a BRAO) und ohne Juristendeutsch. Erstreaktion innerhalb von 48 Stunden (werktags).
Erstgespräch vereinbarenoder
info@caroline-herrmann.com