KI im Unternehmen – sicher, rechtskonform und mit klaren Regeln
Ihre Mitarbeitenden nutzen KI längst – die Frage ist nur, ob mit Ihrem Wissen. Der EU AI Act, die DSGVO und das Urheberrecht setzen den Rahmen. Mit einer schlanken KI-Governance holen Sie den Nutzen ins Haus und behalten die Risiken im Griff.
Der EU AI Act in Kürze
Die KI-Verordnung (EU) 2024/1689 ist seit August 2024 in Kraft und wird schrittweise anwendbar. Sie folgt einem risikobasierten Ansatz: Je höher das Risiko eines KI-Einsatzes für Gesundheit, Sicherheit und Grundrechte, desto strenger die Pflichten.
- Verbotene Praktiken – etwa Social Scoring, manipulative Techniken oder Emotionserkennung am Arbeitsplatz – sind seit dem 2. Februar 2025 untersagt.
- Hochrisiko-Systeme – z. B. KI in der Personalauswahl, bei der Kreditwürdigkeitsprüfung oder als Sicherheitsbauteil von Maschinen – unterliegen umfangreichen Anforderungen an Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht und Protokollierung.
- Transparenzpflichten – etwa wenn Menschen mit einem Chatbot sprechen oder KI-generierte Inhalte veröffentlicht werden – gelten seit dem 2. August 2026.
- Allzweck-KI-Modelle (wie große Sprachmodelle) haben seit August 2025 eigene Pflichten für ihre Anbieter.
Neue Fristen durch den „Digital Omnibus"
Mit dem 2026 beschlossenen Änderungspaket der EU („Digital Omnibus") wurden die Fristen für Hochrisiko-Systeme verschoben: Für eigenständige Hochrisiko-Anwendungen (Anhang III, z. B. Personalwesen) gelten die Pflichten nun ab Dezember 2027, für KI in regulierten Produkten wie Maschinen (Anhang I) ab August 2028. Die Anforderungen selbst bleiben – es ist ein Aufschub, kein Verzicht.
Was heute schon für jedes Unternehmen gilt
KI-Kompetenz (Art. 4)
Wer KI-Systeme einsetzt, muss Maßnahmen ergreifen, die die KI-Kompetenz der Beschäftigten fördern – unabhängig von der Unternehmensgröße. Nach der Änderung 2026 ist das eine Bemühenspflicht: keine Zertifikatspflicht, aber dokumentierte Schulungen sind der beste Nachweis.
Datenschutz (DSGVO)
Personenbezogene Daten in KI-Werkzeugen brauchen eine Rechtsgrundlage, ggf. einen Auftragsverarbeitungsvertrag und Transparenz gegenüber den Betroffenen. Kritisch: Dienste, die Eingaben zum Training nutzen oder Daten außerhalb der EU verarbeiten.
Vertraulichkeit
Kundendaten, Konstruktionsunterlagen, Angebote oder Verträge gehören nicht in öffentliche KI-Dienste. Ein unbedachtes Kopieren kann Geschäftsgeheimnisse und Verschwiegenheitspflichten verletzen.
Urheberrecht
KI-Ergebnisse sind nicht automatisch frei verwendbar – und rein maschinell erzeugte Inhalte genießen in der Regel keinen urheberrechtlichen Schutz. Für Werbung, Webseiten und Produkte sollten Herkunft und Rechte geklärt sein.
Das eigentliche Risiko: Schatten-KI
Die größte Gefahr ist selten ein Gesetzesverstoß, sondern unkontrollierte Nutzung: private Konten bei Chat-Diensten, Browser-Erweiterungen mit Zugriff auf alle Webseiten, Übersetzungs- und Transkriptionsdienste mit unklarer Datenverarbeitung. Verbote allein helfen wenig – sie verschieben die Nutzung nur ins Verborgene. Wirksamer ist ein klares Angebot freigegebener Werkzeuge plus einfache Regeln.
KI-Governance in fünf Bausteinen
- Bestandsaufnahme: Welche KI-Werkzeuge werden bereits genutzt – offiziell und inoffiziell? Wofür, mit welchen Daten?
- KI-Richtlinie: Kurz und verständlich – welche Werkzeuge erlaubt sind, welche Daten tabu sind (Kunden-, Personal-, Konstruktionsdaten), Kennzeichnung von KI-Inhalten, Verantwortung für das Ergebnis.
- Freigabeprozess: Neue KI-Dienste werden vor dem Einsatz geprüft – Datenschutz, Speicherort, Vertragslage, Risiko-Einstufung nach AI Act.
- Technische Leitplanken: Zentrale Konten statt privater Zugänge, Single Sign-on und Multi-Faktor-Anmeldung, Webfilter für nicht freigegebene Dienste, Protokollierung der Nutzung.
- Schulung und Nachweis: Kurze, wiederkehrende Schulungen zur KI-Kompetenz – dokumentiert. Für die Geschäftsleitung zusätzlich die Einordnung der Haftungs- und Compliance-Fragen.
Ein bewährter Weg für sensible Daten ist eine eigene KI im Haus oder im Rechenzentrum in der EU: Die Daten verlassen Ihren Einflussbereich nicht, und Zugriffsrechte lassen sich wie bei Ihren übrigen Systemen steuern. Mehr dazu in unserem Beitrag „KI Inhouse".
Häufige Fragen zur KI-Governance
Ist der Einsatz von ChatGPT & Co. im Unternehmen erlaubt?
Grundsätzlich ja. Entscheidend ist, wie: mit Unternehmenskonten statt privater Zugänge, mit geklärter Vertragslage und Datenverarbeitung, ohne vertrauliche oder personenbezogene Daten in nicht freigegebenen Diensten – und mit Mitarbeitenden, die wissen, wo die Grenzen liegen.
Wann ist unser KI-Einsatz „hochriskant"?
Die meisten Büroanwendungen – Texte entwerfen, zusammenfassen, übersetzen – sind kein Hochrisiko-Einsatz. Anders sieht es aus, wenn KI über Menschen entscheidet oder dabei mitwirkt, etwa bei der Bewerberauswahl, der Leistungsbewertung von Beschäftigten oder der Kreditvergabe, oder wenn sie Sicherheitsfunktion in einem Produkt übernimmt. Hier lohnt eine frühe Prüfung, auch wenn die Pflichten erst ab Ende 2027 gelten.
Wie weisen wir die KI-Kompetenz nach?
Ein Zertifikat ist nicht vorgeschrieben. Sinnvoll ist eine kurze, auf die tatsächliche Nutzung zugeschnittene Schulung – Grundlagen, Grenzen und Fehlerquellen von KI, Datenschutz und interne Regeln – mit Teilnahmeliste und Datum. Bei neuen Werkzeugen oder Aufgaben wird sie ergänzt.
Wer ist im Unternehmen verantwortlich?
Die Gesamtverantwortung liegt bei der Geschäftsleitung. Bewährt hat sich ein kleines Team aus IT, Datenschutz und Fachbereich, das neue Werkzeuge bewertet, die Richtlinie pflegt und Ansprechpartner für Fragen ist.
Wie HA-Net Sie unterstützt
- KI-Beratung: Bestandsaufnahme, Risiko-Einstufung nach AI Act, Musterrichtlinie und Freigabeprozess – passend zu Ihrem Unternehmen.
- Technische Leitplanken: Managed Firewall mit Webfilter für nicht freigegebene KI-Dienste, Managed Secure Access mit Multi-Faktor-Anmeldung, Protokollierung über unser SIEM/SOC.
- Souveräne KI: Aufbau einer eigenen KI-Plattform im Haus oder im Rechenzentrum in der EU – mit Zugriff auf Ihre Dokumente, ohne Datenabfluss.
- Schulungen zur KI-Kompetenz für Mitarbeitende und Geschäftsleitung – mit Nachweis.
KI nutzen – mit Plan
Wir zeigen Ihnen, wie Sie KI produktiv und regelkonform einsetzen – vom ersten Werkzeug bis zur eigenen Plattform.
Kontakt aufnehmenStand: Oktober 2026. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Quellen: Verordnung (EU) 2024/1689 – KI-Verordnung (EUR-Lex) · EU-Kommission – Rechtsrahmen für KI · Bundesnetzagentur – KI-Service-Desk