KI im Unternehmen: rechtliche Grundlagen in 7 Schritten umsetzen
DSGVO, EU AI Act, Betriebsrat und Geschäftsgeheimnisse: der Compliance-Leitfaden für KMU

Was rechtlich gilt, wenn du KI im Unternehmen einsetzt

Die rechtlichen Grundlagen für KI im Unternehmen ergeben sich aus vier Regelwerken: DSGVO, EU AI Act, Betriebsverfassungsgesetz und Geschäftsgeheimnisgesetz. Pflicht sind seit Februar 2025 die KI-Kompetenz deiner Mitarbeiter und das Verbot bestimmter KI-Praktiken. Für die meisten KMU reichen fünf Dokumente zur Absicherung.

Das klingt nach mehr Aufwand, als es ist. Kein KMU muss ein Compliance-Team aufbauen. Die Rechtslage verlangt vor allem drei Dinge: Du musst wissen, welche KI-Tools in deinem Unternehmen laufen. Du musst festlegen, was hineindarf und was nicht. Und du musst nachweisen können, dass deine Leute wissen, was sie tun.

Dieser Leitfaden übersetzt die Paragraphen in eine Reihenfolge, die du abarbeiten kannst. Er ersetzt keine Rechtsberatung. Er sorgt dafür, dass du die richtigen Fragen stellst, bevor ein Anwalt oder eine Aufsichtsbehörde sie stellt.

Warum KI in den meisten Unternehmen längst im Graubereich läuft

Es beginnt fast immer gleich. Jemand im Vertrieb testet ChatGPT für Angebotstexte. Es funktioniert. Zwei Wochen später nutzt die halbe Abteilung das Tool, mit privaten Accounts, ohne Freigabe, ohne dass die Geschäftsführung davon weiß.

Dann kommt der erste unangenehme Moment. Ein Kunde fragt im Rahmen seines eigenen Audits, ob seine Daten in KI-Systeme fließen. Oder ein Bewerber will wissen, ob über seine Absage ein Algorithmus entschieden hat. Oder der Betriebsrat legt eine Anfrage auf den Tisch.

An dieser Stelle merken viele Geschäftsführer, dass sie keine belastbare Antwort haben. Sie wissen nicht, welche Tools genutzt werden. Sie haben keine Liste, keine Richtlinie, keinen Auftragsverarbeitungsvertrag. Was als Produktivitätsgewinn begann, ist zu einem Risiko geworden, das niemand quantifizieren kann.

Das Problem ist nicht böser Wille. Das Problem ist Tempo. Laut ifo Institut (Juni 2026) nutzen 54,5 Prozent der deutschen Unternehmen KI in ihren Geschäftsprozessen, im Jahr zuvor waren es 40,9 Prozent. Die Verbreitung ist innerhalb von zwölf Monaten um ein Drittel gewachsen. Regeln, Verträge und Schulungen sind in diesem Tempo fast nirgends mitgewachsen. Wer noch am Anfang steht, findet die Reihenfolge im Beitrag zu den ersten Schritten mit KI im Unternehmen.

Dazu kommt eine Rechtslage, die sich selbst bewegt. Fristen des EU AI Act wurden verschoben, Aufsichtsbehörden veröffentlichen laufend neue Orientierungshilfen, Arbeitsgerichte entscheiden Einzelfälle unterschiedlich. Wer darauf wartet, dass sich alles klärt, wartet auf einen Zustand, der nicht eintreten wird.

Welche KI-Pflichten gelten seit Februar 2025 wirklich schon?

Zwei Pflichten des EU AI Act sind seit dem 2. Februar 2025 in Kraft und betreffen praktisch jedes Unternehmen, das KI einsetzt. Erstens die KI-Kompetenz nach Art. 4: Anbieter und Betreiber müssen sicherstellen, dass ihre Mitarbeitenden über ausreichendes Verständnis der eingesetzten KI-Systeme verfügen. Zweitens das Verbot bestimmter KI-Praktiken nach Art. 5, etwa Emotionserkennung am Arbeitsplatz oder Social Scoring.

Der EU AI Act schreibt für die KI-Kompetenz kein Format vor. Es gibt keine Pflichtstundenzahl und kein Zertifikat. Verlangt wird ein Wissensstand, der zum Risiko des eingesetzten Systems passt. Wer ChatGPT für Textentwürfe nutzt, braucht weniger Tiefe als wer ein KI-System in der Personalauswahl einsetzt.

Praktisch heißt das: eine dokumentierte Schulung pro Jahr, eine Teilnehmerliste, ein kurzes Handout. Ein produzierender Betrieb mit 60 Mitarbeitern kann das in zwei Stunden pro Team abbilden. Eine Marketingagentur, deren Team täglich generative Tools nutzt, braucht mehr Tiefe bei Prompt-Hygiene und Quellenprüfung. Wie du das aufbaust, steht im Detail unter KI-Schulung für Mitarbeiter.

Der Bußgeldrahmen ist ernst gemeint. Nach Art. 99 EU AI Act drohen bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für KMU und Start-ups gilt nach Art. 99 Abs. 6 der jeweils niedrigere der beiden Werte als Obergrenze. Das entschärft die Zahl, beseitigt das Risiko aber nicht.

Was ändert sich am 2. August 2026 und was ist verschoben?

Am 2. August 2026 greifen die Transparenzpflichten aus Art. 50 EU AI Act. Wer einen Chatbot, einen Voice-Agenten oder KI-generierte Inhalte einsetzt, muss offenlegen, dass eine Maschine im Spiel ist. Für Onlineshops mit KI-Kundenservice ist das der konkreteste Handlungspunkt des Jahres.

Die strengeren Hochrisiko-Pflichten sind dagegen verschoben. Rat und Parlament haben sich am 7. Mai 2026 auf den Digital Omnibus zur KI-Verordnung geeinigt. Eigenständige Hochrisiko-Systeme nach Anhang III müssen spätestens ab dem 2. Dezember 2027 konform sein, KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Der Start hängt zusätzlich davon ab, wann die harmonisierten Normen vorliegen.

Diese Verschiebung wird häufig missverstanden. Sie betrifft nur die Hochrisiko-Kategorie. Sie ändert nichts an Art. 4, nichts an Art. 5 und nichts an Art. 50. Und sie ändert nichts an der DSGVO, die unabhängig vom EU AI Act gilt.

Für die meisten KMU ist die Einordnung schnell erledigt: Textgenerierung, Recherche, Terminplanung und Marketingautomatisierung sind kein Hochrisiko. Kritisch wird es bei Bewerbervorauswahl, Leistungsbewertung von Mitarbeitern, Kreditwürdigkeitsprüfung und Zugangsentscheidungen zu Bildung. Eine ausführliche Einordnung findest du unter EU AI Act für KMU.

Wann brauchst du für ein KI-Tool eine DSGVO-Rechtsgrundlage?

Sobald personenbezogene Daten in ein KI-Tool fließen, brauchst du eine Rechtsgrundlage nach Art. 6 DSGVO. Personenbezogen ist mehr, als die meisten annehmen: Kundennamen in einer E-Mail, Bewerbungsunterlagen, Gesprächsprotokolle, Fotos von Mitarbeitern. Ein Prompt mit dem Satz „Schreib eine Absage an Herrn Müller“ ist bereits eine Verarbeitung.

Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat dafür eine Orientierungshilfe veröffentlicht. Sie beschreibt, was bei Auswahl und Einsatz von KI-Anwendungen zu prüfen ist: Zweckbindung, Rechtsgrundlage, Transparenz, Betroffenenrechte und Richtigkeit der Ergebnisse. Wer diese Punkte einmal sauber dokumentiert, hat den größten Teil der DSGVO-Arbeit erledigt.

Drei Dokumente sind dabei Pflicht und werden regelmäßig vergessen. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Tool-Anbieter. Der Eintrag im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30. Und bei Verarbeitungen mit hohem Risiko die Datenschutz-Folgenabschätzung nach Art. 35, etwa bei systematischer Auswertung von Beschäftigtendaten.

Ein Beispiel aus dem E-Commerce: Ein Shop mit 25 Mitarbeitern lässt Produktbewertungen automatisch zusammenfassen. Bewertungen enthalten Klarnamen. Damit braucht der Shop eine Rechtsgrundlage, einen AV-Vertrag mit dem Anbieter und einen Eintrag im Verarbeitungsverzeichnis. Welche Klauseln in einem solchen Vertrag stehen müssen, steht unter AV-Vertrag für KI-Tools. Für den Sonderfall ChatGPT lohnt zusätzlich der Beitrag zu ChatGPT DSGVO-konform im Unternehmen.

Darf eine KI über Bewerber, Kündigungen oder Kredite entscheiden?

Nein, nicht allein. Art. 22 DSGVO gibt jeder Person das Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Eine automatisch generierte Absage ohne menschliche Prüfung fällt darunter.

Ausnahmen sind eng. Art. 22 Abs. 2 DSGVO erlaubt automatisierte Entscheidungen, wenn sie für einen Vertrag erforderlich sind, auf einer gesetzlichen Grundlage beruhen oder auf ausdrücklicher Einwilligung basieren. Eine Einwilligung im Bewerbungsprozess gilt wegen des Machtgefälles selten als freiwillig.

Der praktikable Weg heißt Human-in-the-Loop. Ein Mensch prüft das KI-Ergebnis und trifft die Entscheidung. Wichtig ist, dass diese Prüfung echt ist. Wer 200 KI-Rankings in zehn Minuten durchwinkt, hat keine menschliche Entscheidung getroffen, sondern eine Formalie erfüllt.

Dokumentiere deshalb den Entscheidungsweg: Wer prüft? Woran? Was passiert bei Abweichung vom KI-Vorschlag? Diese drei Zeilen in deiner KI-Richtlinie sind im Streitfall mehr wert als jedes Tool-Zertifikat. Wer im Fehlerfall wofür geradesteht, klärt der Beitrag zur KI-Haftung im Unternehmen.

Muss der Betriebsrat einer KI-Einführung zustimmen?

Es kommt auf die technische Ausgestaltung an. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen bei Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Ein KI-System mit Firmenaccounts, Nutzungsprotokollen und Auswertungen fällt in aller Regel darunter.

Das Arbeitsgericht Hamburg hat am 16. Januar 2024 (Az. 24 BVGa 1/24) anders entschieden, allerdings in einer besonderen Konstellation. Der Arbeitgeber hatte ChatGPT nicht über Firmenaccounts eingeführt, sondern die Nutzung frei zugänglicher Tools über private Accounts erlaubt, ohne Nutzungspflicht. Das Gericht sah darin keine mitbestimmungspflichtige technische Einrichtung.

Die Entscheidung taugt nicht als Freibrief. Sobald du Firmenlizenzen kaufst, Nutzer anlegst und Logs erzeugst, sieht die Lage anders aus. In der Praxis ist der pragmatische Weg fast immer eine KI-Betriebsvereinbarung: Sie regelt zugelassene Tools, Datenarten, menschliche Aufsicht, Schulungspflicht und den ausdrücklichen Verzicht auf Leistungskontrolle.

Ein Nebeneffekt wird unterschätzt. Eine früh eingebundene Arbeitnehmervertretung senkt den Widerstand im Rollout spürbar. Rechtssicherheit und Akzeptanz entstehen hier am selben Tisch, wie im Beitrag zum KI-Change-Management für KMU beschrieben.

Verlierst du Geschäftsgeheimnisse, wenn Mitarbeiter sie in ChatGPT eingeben?

Ja, das ist möglich. Das Geschäftsgeheimnisgesetz schützt Informationen nur, wenn der Inhaber angemessene Geheimhaltungsmaßnahmen ergriffen hat. Fehlen solche Maßnahmen, entfällt der gesetzliche Schutz. Eine unkontrollierte Eingabe in ein öffentliches KI-Tool kann genau diesen Nachweis zerstören.

Ein Geschäftsgeheimnis liegt nach dem GeschGehG nur vor, wenn die Information nicht allgemein bekannt ist, wirtschaftlichen Wert hat, durch angemessene Maßnahmen geschützt wird und ein berechtigtes Geheimhaltungsinteresse besteht. Der dritte Punkt ist der, den Unternehmen selbst in der Hand haben. Und der, an dem KI-Nutzung häufig scheitert.

Im produzierenden Gewerbe ist das der teuerste Punkt des ganzen Themas. Wer Konstruktionszeichnungen, Rezepturen oder Kalkulationsgrundlagen in ein Tool ohne vertragliche Zusicherung eingibt, riskiert nicht nur einen Datenabfluss. Er riskiert den Verlust des Rechtsschutzes gegenüber Nachahmern.

Die Gegenmaßnahme ist unspektakulär und wirksam: eine schriftliche Tool-Freigabeliste, eine Klassifizierung der Datenarten und ein klares Verbot für nicht freigegebene Dienste. Genau das macht aus einer Nutzung eine „angemessene Maßnahme“ im Sinne des Gesetzes.

Wie setzt du die rechtlichen Grundlagen in sieben Schritten um?

Die Reihenfolge ist wichtiger als die Vollständigkeit. Diese sieben Schritte bringen ein KMU mit 10 bis 100 Mitarbeitern innerhalb von vier bis sechs Wochen in einen belastbaren Zustand.

• Schritt 1: Bestandsaufnahme. Liste alle KI-Tools auf, die im Unternehmen genutzt werden, inklusive privater Accounts. Zwei Wochen anonyme Abfrage reichen meist. Ohne diese Liste ist jeder weitere Schritt Spekulation.
• Schritt 2: Risikoklassen zuordnen. Prüfe pro Tool, ob es unter die Verbote nach Art. 5 EU AI Act oder unter Hochrisiko nach Anhang III fällt. Für die allermeisten KMU-Anwendungen lautet die Antwort: keines von beiden.
• Schritt 3: Datenarten klassifizieren. Definiere drei Stufen: öffentlich, intern, vertraulich. Lege fest, welche Stufe in welches Tool darf. Personenbezogene Daten und Geschäftsgeheimnisse bekommen eigene Regeln.
• Schritt 4: Verträge schließen. AV-Vertrag nach Art. 28 DSGVO mit jedem Anbieter, der personenbezogene Daten verarbeitet. Bei US-Anbietern zusätzlich das Transfermechanismus-Thema klären.
• Schritt 5: KI-Richtlinie schreiben. Maximal drei Seiten: erlaubte Tools, verbotene Eingaben, Kennzeichnungspflicht für KI-Inhalte, Human-in-the-Loop bei Entscheidungen, Ansprechpartner bei Zweifeln.
• Schritt 6: Betriebsrat einbinden. Wo eine Arbeitnehmervertretung existiert, frühzeitig eine KI-Betriebsvereinbarung verhandeln, statt nachträglich zu reparieren.
• Schritt 7: Schulen und dokumentieren. Eine Pflichtschulung pro Jahr, Teilnahmeliste, kurzer Wissenstest. Damit erfüllst du Art. 4 EU AI Act und schaffst gleichzeitig den Nachweis für angemessene Geheimhaltungsmaßnahmen.

Wer diese sieben Schritte einmal durchläuft, hat die fünf Dokumente beisammen, die in Audits und Kundenfragebögen abgefragt werden: Tool-Liste, Datenklassifizierung, AV-Verträge, KI-Richtlinie und Schulungsnachweis. Wer die Verantwortung dafür intern bündeln will, findet die Rollenbeschreibung unter KI-Beauftragter im Unternehmen. Eine strukturierte Standortbestimmung liefert das KI-Audit.

Was die Zahlen über KI-Nutzung und Regulierung zeigen

Die Datenlage zeigt eine deutliche Lücke zwischen Verbreitung und Regulierungsreife. KI wird schneller eingeführt, als Unternehmen die dazugehörigen Regeln aufbauen.

• Laut ifo Institut (Juni 2026) nutzen 54,5 Prozent der deutschen Unternehmen KI in ihren Geschäftsprozessen. Im Vorjahr lag der Anteil bei 40,9 Prozent. Weitere 16 Prozent planen den Einsatz, 21,6 Prozent diskutieren ihn.
• Nach Angaben des ifo Instituts (2026) liegt die Nutzung in der Industrie bei 58,7 Prozent und im Dienstleistungssektor bei 56,2 Prozent. Im Handel sind es rund 45 Prozent. Große Unternehmen liegen mit 67,2 Prozent deutlich vor mittleren mit 47,2 Prozent.
• Laut KfW Research (Fokus Volkswirtschaft Nr. 533, Februar 2026) setzen 20 Prozent der mittelständischen Unternehmen KI ein, in absoluten Zahlen knapp 780.000 Betriebe. Gegenüber dem Zeitraum 2016 bis 2018 ist das ein Anstieg auf rund das Fünffache.
• Nach Art. 99 EU AI Act beträgt der Bußgeldrahmen bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei Verstößen gegen Hochrisiko-Pflichten bis zu 15 Millionen Euro oder 3 Prozent, bei falschen Auskünften bis zu 7,5 Millionen Euro oder 1 Prozent.
• Der Digital Omnibus zur KI-Verordnung, auf den sich Rat und Parlament am 7. Mai 2026 geeinigt haben, verschiebt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III auf spätestens den 2. Dezember 2027.

Aus diesen Zahlen ergibt sich eine klare Priorität. Die großen Bußgeldrahmen des EU AI Act treffen KMU selten, weil deren Anwendungen fast nie in die Hochrisiko-Kategorie fallen. Die DSGVO trifft sie dagegen sofort, sobald ein Kundenname in einen Prompt wandert. Wer nur auf den EU AI Act schaut, sichert die falsche Flanke.

Auffallend ist auch der Größeneffekt. Mittlere Unternehmen nutzen KI seltener als große, holen aber schnell auf. Genau in dieser Aufholphase entstehen die Schattenlösungen, weil Tools schneller ankommen als Freigabeprozesse.

Was du aus der Rechtslage für dein Unternehmen mitnimmst

Rechtssicherheit bei KI ist kein juristisches Projekt, sondern ein Organisationsthema. Die Paragraphen verlangen überwiegend das, was ein gut geführtes Unternehmen ohnehin will: zu wissen, welche Werkzeuge im Einsatz sind und welche Daten sie sehen.

• Die DSGVO ist für KMU der praktisch relevantere Rahmen als der EU AI Act, weil sie schon bei jedem personenbezogenen Prompt greift.
• Die verschobenen Hochrisiko-Fristen entlasten dich nicht bei Art. 4, Art. 5 und Art. 50 EU AI Act. Diese Pflichten laufen unabhängig weiter.
• Der größte wirtschaftliche Schaden droht selten über Bußgelder, sondern über den Verlust des Geschäftsgeheimnisschutzes und über Kunden, die Nachweise verlangen.
• Eine dreiseitige KI-Richtlinie mit Tool-Freigabeliste löst mehr Compliance-Probleme als jedes Gutachten, weil sie im Alltag tatsächlich gelesen wird.
• Menschliche Kontrolle muss echt sein. Eine formale Freigabe ohne inhaltliche Prüfung erfüllt Art. 22 DSGVO nicht.

Checkliste vor dem nächsten KI-Rollout

• Habe ich eine vollständige Liste aller genutzten KI-Tools, inklusive privater Accounts?
• Ist für jedes Tool geklärt, ob personenbezogene Daten verarbeitet werden?
• Liegt für jeden relevanten Anbieter ein Auftragsverarbeitungsvertrag vor?
• Sind die Verarbeitungen im Verzeichnis nach Art. 30 DSGVO eingetragen?
• Wurde festgelegt, welche Datenarten in welches Tool eingegeben werden dürfen?
• Ist der Betriebsrat eingebunden, wo eine Arbeitnehmervertretung existiert?
• Wurde die jährliche KI-Schulung durchgeführt und mit Teilnehmerliste dokumentiert?

Recht ist kein Bremsklotz, sondern dein Freigabeprozess

Die rechtlichen Grundlagen für KI im Unternehmen wirken auf den ersten Blick unübersichtlich, weil vier Regelwerke gleichzeitig greifen. In der Umsetzung laufen sie auf dieselben Fragen hinaus: Welche Tools laufen bei uns? Welche Daten sehen sie? Wer entscheidet am Ende? Und wer weiß, was er tut?

Unternehmen, die diese vier Fragen beantworten können, sind gleichzeitig DSGVO-konform, erfüllen die KI-Kompetenzpflicht, halten ihre Geschäftsgeheimnisse geschützt und haben eine belastbare Grundlage für die Gespräche mit Betriebsrat und Kunden. Das ist kein Nebenprodukt, sondern der eigentliche Wert der Regulierung.

Der zweite Effekt ist wirtschaftlich. Wer klare Freigaberegeln hat, kann schneller skalieren, weil niemand mehr im Einzelfall fragen muss, ob etwas erlaubt ist. Fehlende Regeln bremsen KI-Projekte in KMU häufiger aus als fehlende Technik.

Der konkrete erste Schritt kostet dich zwei Wochen: Frage anonym im Team ab, welche KI-Tools tatsächlich genutzt werden, und schreibe die Antworten in eine Tabelle. Danach weißt du, wie groß dein Thema wirklich ist. Wenn du diese Bestandsaufnahme strukturiert mit Risikoeinordnung und Maßnahmenplan verbinden willst, ist ein KI-Audit der passende Rahmen dafür.

Ein Hinweis zum Schluss: Dieser Artikel gibt einen Überblick über die Rechtslage, ersetzt aber keine Rechtsberatung im Einzelfall. Bei Hochrisiko-Anwendungen, Beschäftigtendaten und internationalen Datenübermittlungen gehört ein Fachanwalt an den Tisch.

Häufige Fragen zu den rechtlichen Grundlagen für KI im Unternehmen

Welche rechtlichen Grundlagen gelten für KI im Unternehmen?

Vier Regelwerke: die DSGVO für personenbezogene Daten, der EU AI Act für Risikoklassen und KI-Kompetenz, das Betriebsverfassungsgesetz für die Mitbestimmung und das Geschäftsgeheimnisgesetz für vertrauliche Firmendaten. Je nach Anwendung kommen Urheberrecht und Haftungsrecht dazu.

Brauche ich eine KI-Richtlinie im Unternehmen?

Gesetzlich vorgeschrieben ist keine eigene KI-Richtlinie. Praktisch brauchst du sie trotzdem: Sie ist der einfachste Nachweis für angemessene Geheimhaltungsmaßnahmen nach GeschGehG und für die KI-Kompetenzpflicht nach Art. 4 EU AI Act. Drei Seiten reichen.

Darf ich ChatGPT im Unternehmen DSGVO-konform nutzen?

Ja, unter Bedingungen. Du brauchst eine Rechtsgrundlage nach Art. 6 DSGVO, einen Auftragsverarbeitungsvertrag mit dem Anbieter und einen Eintrag im Verarbeitungsverzeichnis. Business- und Enterprise-Tarife bieten dafür bessere Voraussetzungen als kostenlose Privatkonten.

Was passiert, wenn ich den EU AI Act ignoriere?

Nach Art. 99 EU AI Act drohen bis zu 35 Millionen Euro oder 7 Prozent Jahresumsatz bei verbotenen Praktiken. Für KMU gilt der jeweils niedrigere Wert als Obergrenze. Zusätzlich drohen zivilrechtliche Ansprüche und Ausschluss aus Ausschreibungen.

Muss der Betriebsrat der Einführung von KI zustimmen?

In der Regel ja, wenn das System Verhalten oder Leistung überwachen kann (§ 87 Abs. 1 Nr. 6 BetrVG). Das Arbeitsgericht Hamburg verneinte 2024 die Mitbestimmung bei rein privater Nutzung frei zugänglicher Tools ohne Firmenaccounts. Bei Firmenlizenzen gilt das nicht.

Ab wann gelten die Hochrisiko-Pflichten des EU AI Act?

Eigenständige Hochrisiko-Systeme nach Anhang III müssen spätestens ab dem 2. Dezember 2027 konform sein, KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Der Digital Omnibus hat diese Fristen im Mai 2026 verschoben.

Verliere ich Geschäftsgeheimnisse durch KI-Nutzung?

Möglich ja. Das GeschGehG schützt Informationen nur bei angemessenen Geheimhaltungsmaßnahmen. Fehlt eine Tool-Freigabe oder eine Eingaberegel, kann der Schutz entfallen. Eine dokumentierte KI-Richtlinie schließt diese Lücke.

Welche Dokumente brauche ich für einen rechtssicheren KI-Einsatz?

Fünf: eine Liste der genutzten KI-Tools, eine Datenklassifizierung, Auftragsverarbeitungsverträge, eine KI-Richtlinie und einen Schulungsnachweis. Diese fünf Dokumente decken die Anforderungen aus DSGVO, EU AI Act und GeschGehG weitgehend ab.

Quellen

ifo Institut: Mehr als die Hälfte der Unternehmen in Deutschland nutzt Künstliche Intelligenz, Pressemitteilung (2026)

KfW Research: Einsatz von Künstlicher Intelligenz im Mittelstand, Fokus Volkswirtschaft Nr. 533 (2026)

EU: Verordnung (EU) 2024/1689 über Künstliche Intelligenz, Artikel 99 Sanktionen (2024)

Datenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz (2024)

TÜV Rheinland Consulting: Digital Omnibus on AI, neue Fristen für die KI-Verordnung (2026)

Fraunhofer Academy: AI Literacy, EU AI Act Art. 4 zu KI-Kompetenz (2025)

ArbG Hamburg, Beschluss vom 16.01.2024, Az. 24 BVGa 1/24 (Mitbestimmung bei ChatGPT)

Mittelstand-Digital Zentrum Chemnitz: Geschäftsgeheimnisschutz im KI-Zeitalter (2025)