Sie wissen danach, welche KI-Werkzeuge bei Ihnen im Einsatz sind, welche Daten hineindürfen und welche nicht, und Sie haben die fünf Dokumente in der Hand, die in Audits und Kundenfragebögen abgefragt werden. Ohne Jurastudium, ohne Projektstopp.
Keine Gutachten, sondern Arbeitsdokumente, die Sie selbst fortschreiben können.
Alle eingesetzten KI-Werkzeuge, auch die inoffiziellen, mit Einordnung nach EU AI Act. Diese Liste ist die Grundlage für jeden weiteren Schritt und die erste Frage in jedem Audit.
Drei Stufen, öffentlich bis vertraulich, und eine klare Zuordnung, welche Stufe in welches Werkzeug darf. Damit endet die Diskussion, ob eine Kundenmail in ein Sprachmodell gehört.
Erlaubte Werkzeuge, verbotene Eingaben, Kennzeichnung von KI-Inhalten, Freigabepflicht bei Entscheidungen, Ansprechpartner. Kurz genug, dass sie tatsächlich gelesen wird.
Eine Pflichtschulung mit Teilnahmeliste und kurzem Wissenstest. Damit ist die KI-Kompetenzpflicht aus Artikel 4 EU AI Act erfüllt, die seit dem 2. Februar 2025 für jedes Unternehmen gilt, das KI einsetzt.
Prüfung der Auftragsverarbeitungsverträge nach Artikel 28 DSGVO, inklusive Subunternehmerliste, Drittlandtransfer und vertraglichem Ausschluss des Modelltrainings mit Ihren Daten.
Fertig formulierte Einträge für jedes Werkzeug, das personenbezogene Daten verarbeitet. Der Schritt, den fast alle vergessen und den eine Aufsichtsbehörde zuerst kontrolliert.
Dies ist keine Rechtsberatung. Rechtliche Bewertung im Einzelfall leisten Fachanwälte und Datenschutzbeauftragte, und zwar aus gutem Grund: Sie haften dafür.
Er sagt Ihnen, dass Sie eine Rechtsgrundlage für die Verarbeitung brauchen und dass die Schulungspflicht greift. Er bewertet den Einzelfall und haftet für diese Bewertung.
Jemand erhebt die Tool-Liste, schreibt die Richtlinie so, dass das Team sie versteht, führt die Schulung durch und legt die Nachweise so ab, dass sie im Audit auffindbar sind.
Wird eine juristische Bewertung nötig, wird das benannt und an Ihren Anwalt oder Datenschutzbeauftragten übergeben.
Die Reihenfolge ist wichtiger als die Vollständigkeit. Wer mit der Richtlinie beginnt, schreibt Regeln für Werkzeuge, die er nicht kennt.
Alle eingesetzten KI-Tools erfassen, inklusive privater Accounts. Zwei Wochen anonyme Abfrage reichen meist. Ohne diese Liste ist jeder weitere Schritt Spekulation.
Je Tool prüfen, ob es unter die Verbote nach Artikel 5 EU AI Act oder unter Hochrisiko nach Anhang III fällt. Für die allermeisten KMU-Anwendungen: keines von beiden.
Drei Stufen definieren – öffentlich, intern, vertraulich – und festlegen, welche Stufe in welches Tool darf.
AV-Vertrag nach Artikel 28 DSGVO mit jedem Anbieter, der personenbezogene Daten verarbeitet. Bei US-Anbietern zusätzlich den Transfermechanismus klären.
Maximal drei Seiten: erlaubte Tools, verbotene Eingaben, Kennzeichnungspflicht, Human-in-the-Loop bei Entscheidungen, Ansprechpartner bei Zweifeln.
Wo eine Arbeitnehmervertretung existiert, frühzeitig eine KI-Betriebsvereinbarung verhandeln, statt nachträglich zu reparieren.
Eine Pflichtschulung pro Jahr, Teilnahmeliste, kurzer Wissenstest. Damit ist Artikel 4 EU AI Act erfüllt und der Nachweis angemessener Geheimhaltungsmaßnahmen erbracht.
Wer diese sieben Schritte einmal durchläuft, hat die fünf Dokumente beisammen, die in Audits und Kundenfragebögen abgefragt werden: Tool-Liste, Datenklassifizierung, AV-Verträge, KI-Richtlinie und Schulungsnachweis.
Relevanter als das Bußgeld ist der Alltag: fehlende Nachweise in Kundenfragebögen und Ausschreibungen. Fristen im Detail: EU AI Act für KMU.
Nicht bei den Hochrisiko-Paragraphen. Sondern im Alltag, in dem KI längst genutzt wird.
Sobald personenbezogene Daten verarbeitet werden: Rechtsgrundlage, Auftragsverarbeitung nach Artikel 28, Betroffenenrechte, Verarbeitungsverzeichnis.
Kompetenzpflicht seit Februar 2025, verbotene Praktiken, ab August 2026 die Kennzeichnung.
Mitbestimmung, sobald ein System Verhalten oder Leistung erfassen kann. Das trifft mehr Werkzeuge, als die meisten erwarten.
Schutz besteht nur bei angemessenen Geheimhaltungsmaßnahmen. Wer Betriebswissen ungeregelt in fremde Systeme gibt, riskiert genau diesen Schutz.
Dieselbe KI-Richtlinie bedient alle vier Regelwerke. Ausführlich: rechtliche Grundlagen für KI.
Ist das eine Rechtsberatung?
Nein. Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes leisten Fachanwälte und Datenschutzbeauftragte. Was hier passiert, ist die organisatorische und technische Umsetzung: Welche Tools sind im Einsatz, welche Daten dürfen hinein, wie sieht eine praktikable Richtlinie aus, wie wird die Schulungspflicht erfüllt und dokumentiert. Für die rechtliche Bewertung im Einzelfall arbeiten wir mit Ihrem Anwalt oder Datenschutzbeauftragten zusammen.
Welche EU-AI-Act-Pflichten gelten für ein KMU 2026 wirklich?
Für die meisten KMU sind es drei: die KI-Kompetenzpflicht nach Artikel 4, die seit dem 2. Februar 2025 gilt, das Verbot bestimmter Praktiken nach Artikel 5 und ab dem 2. August 2026 die Kennzeichnungspflicht nach Artikel 50. Hochrisiko-Pflichten betreffen nur einen kleinen Teil der Anwendungen.
Wir nutzen ChatGPT im Team. Reicht ein Auftragsverarbeitungsvertrag?
Nein. Der AVV ist die vertragliche Grundlage, aber er allein macht die Nutzung nicht rechtskonform. Dazu gehören die richtige Lizenzstufe, EU-Verarbeitung und abgeschaltetes Modelltraining, eine schriftliche Regelung, welche Daten hineindürfen, sowie ein Nachweis über die Schulung des Teams.
Wie lange dauert die Umsetzung?
Vier bis sechs Wochen für ein KMU mit 10 bis 100 Mitarbeitenden, wenn parallel zum Tagesgeschäft gearbeitet wird. Der Aufwand auf Ihrer Seite liegt bei etwa einem halben Tag verteilt über den Zeitraum, plus die Schulungstermine.
Muss der Betriebsrat eingebunden werden?
Wo eine Arbeitnehmervertretung existiert, ja. KI-Systeme, die Verhalten oder Leistung erfassen können, unterliegen der Mitbestimmung nach dem Betriebsverfassungsgesetz. Eine früh verhandelte KI-Betriebsvereinbarung ist deutlich einfacher als eine nachträgliche Reparatur.
Was passiert, wenn wir gar nichts tun?
Der Bußgeldrahmen des EU AI Act reicht bei verbotenen Praktiken bis 35 Millionen Euro oder 7 Prozent des Jahresumsatzes, für KMU gilt jeweils der niedrigere Wert. Praktisch relevanter ist aber der Alltag: fehlende Nachweise bei Kundenfragebögen, Audits und Ausschreibungen und die unkontrollierte Nutzung privater Accounts mit Firmendaten.
Gilt das auch, wenn wir KI nur intern nutzen?
Ja. Die Kompetenzpflicht nach Artikel 4 EU AI Act knüpft an den Einsatz an, nicht an die Außenwirkung. Auch die DSGVO greift, sobald personenbezogene Daten verarbeitet werden – interne Personaldaten eingeschlossen.
Bekommen wir Dokumente, mit denen wir eigenständig weiterarbeiten können?
Ja. Tool-Liste mit Risikoeinstufung, Datenklassifizierung, KI-Richtlinie, Schulungsnachweis und die Einträge fürs Verarbeitungsverzeichnis. Alles als bearbeitbare Dateien, die Sie ohne externe Hilfe fortschreiben können.
Alles, was in der Umsetzung auftaucht, ausführlich nachzulesen.
Die vier Regelwerke im Überblick: DSGVO, EU AI Act, Betriebsverfassungsgesetz und Geschäftsgeheimnisgesetz, mit Sieben-Schritte-Plan.
Welche Fristen wirklich gelten, was der Digital Omnibus geändert hat und welche KMU überhaupt ein Hochrisiko-System betreiben.
Sieben Schritte von der Lizenzwahl über EU-Hosting bis zur Dokumentation im Verarbeitungsverzeichnis.
Welche Pflichtinhalte Artikel 28 DSGVO verlangt und wie Sie einen Anbietervertrag in unter einer Stunde prüfen.
Fünf reale Fälle und was sie für die Verantwortungsverteilung im Unternehmen bedeuten.
Was Unternehmen an KI-Output überhaupt besitzen und wie die Kennzeichnungspflicht ab August 2026 vorbereitet wird.
Hosting-Entscheidung, Auftragsverarbeitung und Absicherung der KI-Nodes in sieben Schritten.
15 Minuten Erstgespräch. Kostenlos, ohne Pitch. Wir klären, wo Sie stehen und was zuerst dran ist.