KI im Unternehmen einsetzen: von der Tool-Auswahl bis zur Governance

Stand: September 2026 · beck-online-geprüft

• 1. Betreiber statt Anbieter: Ihre Rolle im AI Act
• 2. KI-Kompetenz: die Pflicht, die schon gilt
• 3. Welche KI steckt in Ihren Tools?
• 4. Copilot, ChatGPT & Co.: Datenschutz
• 5. Geschäftsgeheimnisse schützen
• 6. Sensible Einsatzfelder: wo es streng wird
• 7. Die KI-Nutzungsrichtlinie fürs Team
• 8. Governance: Verantwortung und Freigabe
• 9. Alle 13 Vertiefungsbeiträge nach Anlass

1. Betreiber statt Anbieter: Ihre Rolle im AI Act

Der EU AI Act (Verordnung (EU) 2024/1689) unterscheidet zwei Hauptrollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr oder nehmen es in Betrieb, auch für den eigenen Gebrauch; sie tragen die strengsten Pflichten. Betreiber setzen ein KI-System nur ein, etwa ein eingekauftes Tool. Die meisten Unternehmen sind Betreiber. Der Pflichtenkreis ist dann schlanker, aber er besteht: Er umfasst immer die KI-Kompetenz, Transparenzpflichten nur in den Fällen des Art. 50 Abs. 3 und 4 KI-VO und bei Hochrisiko-Systemen die Betreiberpflichten nach Art. 26 KI-VO; aus Sorgfaltsgründen empfiehlt sich zudem, Anbieter auszuwählen, die ihre AI-Act-Pflichten nachweisen.

Die saubere Einordnung gehört an den Anfang: Wer ein zugekauftes KI-Modell in das eigene Produkt einbaut und unter eigenem Namen anbietet, kann selbst zum Anbieter werden, mit deutlich mehr Pflichten. Diese Frage gehört geklärt, bevor man in KI investiert, nicht danach.

2. KI-Kompetenz: die Pflicht, die schon gilt

Eine Pflicht gilt bereits: Nach Art. 4 KI-VO in der Fassung des KI-Omnibus (VO (EU) 2026/1744) müssen Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren. Gemeint ist, dass die Menschen, die KI einsetzen, verstehen, was das Werkzeug kann, wo seine Grenzen liegen und welche Risiken es birgt. Art. 4 KI-VO gilt seit dem 2. Februar 2025, in dieser Fassung seit dem 27. Juli 2026.

Das Gesetz schreibt keine bestimmte Schulungsform vor, solange die Maßnahmen zum Kontext passen: Wer KI nur für einfache Texte nutzt, braucht weniger als ein Team, das KI in Kundenprozesse einbaut. Eine dokumentierte, auf die Rollen zugeschnittene Einweisung ist ein pragmatischer Weg, diese Maßnahmen nachvollziehbar umzusetzen und zugleich das Risiko von Fehlbedienung zu senken.

3. Welche KI steckt in Ihren Tools?

Bevor Sie steuern können, müssen Sie wissen, wo überall KI im Einsatz ist. Häufig steckt sie unbemerkt in bereits genutzter Software: im Office-Paket, im CRM, im Support-Chat, in Bewerbungstools. Eine kurze KI-Inventur schafft den Überblick: Welche Systeme nutzen wir, wofür, mit welchen Daten, und in welcher Rolle stehen wir jeweils.

Diese Bestandsaufnahme ist die Grundlage für alles Weitere: Erst wenn Sie die Systeme kennen, lässt sich beurteilen, welche unkritisch sind und welche besondere Aufmerksamkeit brauchen und wo eine Freigabe oder eine vertragliche Nachbesserung nötig ist.

4. Copilot, ChatGPT & Co.: Datenschutz

Sobald ein KI-Tool personenbezogene Daten verarbeitet, gilt die DSGVO. Verarbeitet der Anbieter diese Daten in Ihrem Auftrag, brauchen Sie eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO. Bei US-Anbietern kommt die Frage des Drittland-Transfers hinzu. Kostenlose Consumer-Versionen bekannter KI-Dienste sind hier oft problematisch, weil sie Eingaben zum Training verwenden dürfen; die geschäftlichen Varianten mit klaren Datenschutzzusagen sind der sichere Weg.

Die praktische Regel lautet daher: geschäftliche, vertraglich abgesicherte Tarife statt privater Gratis-Zugänge, und keine personenbezogenen Daten in ein Tool geben, dessen Datenverarbeitung nicht geklärt ist.

5. Geschäftsgeheimnisse schützen

Ein oft übersehenes Risiko betrifft Ihre eigenen Geheimnisse. Ein Geschäftsgeheimnis genießt rechtlichen Schutz nur, wenn es Gegenstand angemessener Geheimhaltungsmaßnahmen ist (§ 2 GeschGehG). Wer vertrauliche Informationen, Quellcode, Kalkulationen, Vertragsentwürfe, in ein öffentliches KI-Tool eingibt, kann genau diese Voraussetzung untergraben und den Schutz verlieren.

Deshalb gehört in jede KI-Nutzung eine klare Grenze: Was vertraulich ist, geht nicht ungeprüft in ein externes Tool. Wo mit sensiblen Inhalten gearbeitet werden soll, braucht es Tarife mit vertraglich zugesicherter Vertraulichkeit oder Systeme, die im eigenen Haus betrieben werden.

6. Sensible Einsatzfelder: wo es streng wird

Nicht jeder KI-Einsatz wiegt gleich schwer. Besonders sensibel wird es, wenn KI über Menschen entscheidet oder sie bewertet, etwa im Personalbereich bei der Bewerberauswahl oder bei der Leistungsbeurteilung. Solche Anwendungen unterliegen unter dem AI Act als Hochrisiko-Systeme ab dem 2. Dezember 2027 deutlich strengeren Anforderungen, und zusätzlich greifen Datenschutz- und arbeitsrechtliche Grenzen.

Die Konsequenz für die Praxis: Bevor KI in einem solchen Feld eingesetzt wird, gehört die Rechtslage geprüft. Was im Marketing unkritisch ist, kann im Recruiting eine erhebliche Haftungs- und Compliance-Frage sein.

7. Die KI-Nutzungsrichtlinie fürs Team

Die meisten dieser Fragen lassen sich mit einem Dokument bündeln: einer KI-Nutzungsrichtlinie, die dem Team klare, verständliche Leitplanken gibt. Sie ist zugleich ein Baustein, um die KI-Kompetenz-Pflicht umzusetzen. Das gehört hinein: