KI im Betrieb: Was ist erlaubt, was ist Pflicht?

Stand 04.10.2026 · Thomas KnechtEntwurf von Nora, KI

Die Frage hören wir in fast jedem Erstgespräch: „Dürfen wir das überhaupt?“ In den meisten Fällen ja. KI für Mails, Zusammenfassungen, Angebote oder die Ablage zu nutzen, ist nicht verboten. Es gibt aber einige Pflichten, die schon heute gelten, und ein paar Grenzen, die Sie kennen sollten.

Was die EU-KI-Verordnung regelt

Die EU-KI-Verordnung (AI Act) ordnet KI nach Risiko. Je größer das Risiko für Menschen, desto mehr Pflichten. Für die typischen Anwendungen im Büro bleibt wenig übrig.

Verboten sind wenige Praktiken, zum Beispiel Menschen nach ihrem sozialen Verhalten zu bewerten (Art. 5). Das betrifft einen normalen Betrieb praktisch nie.

Hochrisiko sind unter anderem Systeme, die über Menschen entscheiden, etwa bei der Auswahl von Bewerbern (Anhang III). Die Pflichten dafür gelten erst ab dem 02.12.2027. Wer heute Bewerbungen von einer KI bewerten lässt, sollte trotzdem schon jetzt genau hinsehen. Wir lassen Menschen grundsätzlich nicht von einer KI bewerten.

Was heute schon gilt

KI-Kompetenz im Team

Seit dem 02.02.2025 müssen Betriebe, die KI einsetzen, die KI-Kompetenz ihrer Leute fördern (Art. 4). Mit dem sogenannten Digital Omnibus (in Kraft seit 27.07.2026) wurde die Pflicht abgeschwächt. Ein bestimmtes Niveau müssen Sie nicht garantieren. In der Praxis reichen eine kurze Einweisung, wer was nutzen darf und worauf zu achten ist, und eine Notiz, dass sie stattgefunden hat.

Kennzeichnung

Seit dem 02.08.2026 gelten Transparenzpflichten (Art. 50). Spricht ein Kunde mit einem Chatbot, muss er erfahren, dass er mit einer KI spricht. Diesen Hinweis schuldet in erster Linie der Anbieter des Systems. Wer einen Chatbot aber unter eigenem Namen anbietet, kann selbst als Anbieter gelten. Künstlich erzeugte Bilder oder Videos von echten Menschen (Deepfakes) müssen Sie kennzeichnen, ebenso KI-Texte zu öffentlichen Angelegenheiten, die kein Mensch geprüft hat.

Wir kennzeichnen deshalb alles, was unsere KI-Assistentin Nora entwirft, auch diesen Artikel.

Datenschutz

Die DSGVO gilt unverändert, auch für KI. Die Datenschutzkonferenz hat 2024 eine Orientierungshilfe dazu veröffentlicht. Die wichtigsten Punkte:

Nutzen Sie einen externen KI-Dienst für eigene Zwecke, ist das häufig eine Auftragsverarbeitung. Dann brauchen Sie einen Vertrag nach Art. 28 DSGVO. Die großen Anbieter stellen ihn für Geschäftskonten bereit.
Eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) ist bei KI „vielfach“ nötig, so die Orientierungshilfe.
Einen Datenschutzbeauftragten brauchen Sie in der Regel ab 20 Personen, die ständig mit personenbezogenen Daten arbeiten (§ 38 BDSG). Beim Thema KI sollten Sie ihn immer einbinden.
Eine KI darf nicht allein über Menschen entscheiden, wenn die Entscheidung sie erheblich betrifft (Art. 22 DSGVO). Die letzte Entscheidung trifft ein Mensch.

Eine KI-Richtlinie für Ihren Betrieb

Am meisten Ruhe bringt eine kurze, schriftliche Richtlinie. Die Orientierungshilfe der Datenschutzkonferenz nennt, was hineingehört:

Welche Anwendungen erlaubt sind, mit Beispielen aus Ihrem Alltag
Nur betriebliche Konten, keine privaten
Die Nutzung der Eingaben zum Training ist ausgeschaltet
Vorsicht bei personenbezogenen Daten, besonders bei Gesundheitsdaten und anderen besonderen Kategorien
Ergebnisse werden vor der Verwendung geprüft
Keine automatische Entscheidung über Menschen
Schulung der Beschäftigten
Beteiligung des Betriebsrats, wo es einen gibt

Zwei Seiten reichen dafür oft. Wichtiger als die Länge ist, dass alle sie kennen.

Was wir übernehmen und was nicht

Wir stellen Vorlagen bereit, etwa den Auftragsverarbeitungsvertrag des Anbieters, Checklisten der Datenschutzkonferenz und eine Muster-Richtlinie. Wir beschreiben die technischen Maßnahmen und liefern die Fakten für Ihr Verarbeitungsverzeichnis. Dazu gehört, welche Daten wohin fließen, wo sie liegen und wann sie gelöscht werden.

Die rechtliche Prüfung Ihres Einzelfalls dürfen und wollen wir nicht übernehmen. Die gehört zu Ihrem Datenschutzbeauftragten oder Ihrer Kanzlei. Mit unseren Unterlagen geht das deutlich schneller.

Quellen

Dieser Artikel ist allgemeine Information und keine Rechtsberatung. Für Ihren Einzelfall fragen Sie Ihren Datenschutzbeauftragten oder Ihre Kanzlei.

Entworfen von Nora, unserer KI-Assistentin. Geprüft und freigegeben von Thomas Knecht.