KI und Recht im Unternehmen: alle Pflichten im Überblick (Stand 2026)

KI und Recht betrifft jedes Unternehmen, das KI-Tools nutzt, nicht nur Softwarehersteller. Für den Alltag im Mittelstand sind sechs Rechtsgebiete wichtig: die KI-Verordnung der EU (AI Act), die DSGVO, das Urheberrecht, das Arbeitsrecht mit dem Betriebsrat, der Schutz von Geschäftsgeheimnissen und die Haftung. Die gute Nachricht: Mit einer klaren Richtlinie und einer Schulung decken Sie den größten Teil ab.

Dieser Überblick bündelt alles, was Sie als Geschäftsführung wissen müssen, mit Fristen und einer Checkliste am Ende. Zu jedem Thema gibt es einen ausführlichen Artikel. Ein Hinweis vorweg: Ich bin kein Rechtsanwalt, sondern begleite Unternehmen bei der Einführung von KI. Dieser Text ersetzt keine Rechtsberatung. Stand: Oktober 2026.

Die wichtigsten Fristen auf einen Blick

Die vier Risikostufen des AI Act

Die KI-Verordnung (Verordnung (EU) 2024/1689) gilt unmittelbar in allen EU-Staaten. Sie regelt nicht „KI“ allgemein, sondern unterscheidet nach Risiko. Für Unternehmen, die KI nutzen, spricht das Gesetz von „Betreibern“.

Für die meisten mittelständischen Unternehmen heißt das: Ihr Alltag mit KI fällt unter „minimales Risiko“. Pflichten entstehen vor allem durch die Schulungspflicht nach Art. 4 und, sobald Sie einen Chatbot oder KI-Bilder einsetzen, durch die Transparenzregeln nach Art. 50. Wer KI für Bewerbungen oder Leistungsbeurteilungen einsetzen will, sollte das vorab rechtlich prüfen lassen.

In vier Fragen zur Einstufung

Ob und welche Pflichten für einen KI-Einsatz gelten, lässt sich mit vier Fragen in der richtigen Reihenfolge klären:

1. Frage 1Verbotene Praxis?

   Emotionserkennung am Arbeitsplatz, Social Scoring, Manipulation. Wenn ja: nicht einsetzen.

2. Frage 2Hochrisiko-Bereich?

   Personal, Kreditwürdigkeit, Bildung, kritische Infrastruktur, Sicherheitsbauteile.

3. Frage 3Kontakt mit Menschen oder Deepfake?

   Chatbot, synthetische Bilder, Videos oder Stimmen.

4. Frage 4Alles andere

   Minimales Risiko: KI-Kompetenz sicherstellen, DSGVO und Urheberrecht beachten.

Anbieter oder Betreiber: Ihre Rolle nach dem AI Act

Die KI-Verordnung unterscheidet vor allem zwei Rollen. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt. Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein. Fast alle mittelständischen Unternehmen sind Betreiber, auch wenn sie ChatGPT, Copilot oder KI-Funktionen in ihrer Software nutzen.

Vorsicht ist in drei Fällen geboten, in denen ein Betreiber nach Art. 25 AI Act selbst zum Anbieter eines Hochrisiko-Systems werden kann: wenn Sie ein Hochrisiko-System unter eigenem Namen oder eigener Marke anbieten, wenn Sie es wesentlich verändern oder wenn Sie die Zweckbestimmung so ändern, dass ein System zum Hochrisiko-System wird. Wer etwa einen allgemeinen KI-Assistenten so umbaut, dass er Bewerbungen vorsortiert, sollte das vorab rechtlich prüfen lassen.

Pflicht zur KI-Kompetenz (Art. 4)

Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, Maßnahmen für die KI-Kompetenz ihrer Beschäftigten ergreifen. Seit dem Digital Omnibus vom Juli 2026 ist klar, dass kein bestimmtes Kompetenzniveau garantiert werden muss. Ein Zertifikat verlangt die EU-Kommission nicht, interne Nachweise über Schulungen reichen. Wie eine sinnvolle Schulung aussieht, beschreibe ich im Artikel KI-Schulung für Mitarbeiter.

Pflichten bei Hochrisiko-KI

Setzen Sie ein Hochrisiko-System ein, etwa für die Vorauswahl von Bewerbungen, gelten für Sie als Betreiber nach Art. 26 AI Act unter anderem diese Pflichten, für Systeme nach Anhang III ab dem 2. Dezember 2027:

• Bestimmungsgemäß nutzen: Das System gemäß der Gebrauchsanweisung des Anbieters verwenden.
• Menschliche Aufsicht: Personen mit der nötigen Kompetenz und Befugnis benennen, die das System überwachen und eingreifen können.
• Eingabedaten: Soweit Sie die Eingabedaten kontrollieren, müssen sie für den Zweck relevant und ausreichend repräsentativ sein.
• Überwachen und melden: Den Betrieb beobachten, bei Risiken den Anbieter informieren und die Nutzung aussetzen.
• Protokolle aufbewahren: Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren, soweit sie unter Ihrer Kontrolle stehen.
• Beschäftigte informieren: Vor dem Einsatz am Arbeitsplatz die betroffenen Beschäftigten und ihre Vertretung informieren.

Hinzu kommt in vielen Fällen eine Datenschutz-Folgenabschätzung nach der DSGVO. Für die meisten Mittelständler ist das ein Grund, Hochrisiko-Anwendungen nicht als ersten Schritt zu wählen.

Was bei Verstößen droht

Verstoß	Bußgeldrahmen nach AI Act (Art. 99)
Verbotene Praktiken nach Art. 5	bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
Pflichten für Hochrisiko-KI, Transparenzpflichten und weitere Pflichten	bis 15 Mio. € oder 3 % des Jahresumsatzes
Falsche oder unvollständige Angaben gegenüber Behörden	bis 7,5 Mio. € oder 1 % des Jahresumsatzes

Bei kleinen und mittleren Unternehmen gilt jeweils der niedrigere der beiden Beträge. Daneben bleiben die Bußgelder der DSGVO bestehen, bis 20 Mio. € oder 4 % des Jahresumsatzes. Für die Pflicht zur KI-Kompetenz selbst sieht der AI Act kein eigenes Bußgeld vor. Fehlende Schulungen können aber bei Schäden und in Haftungsfragen eine Rolle spielen.

In der Praxis ist für Mittelständler weniger das Bußgeld das Risiko als ein Datenschutzvorfall, eine Abmahnung wegen Urheberrechtsverletzung oder der Verlust eines Geschäftsgeheimnisses. Genau dagegen helfen Richtlinie und Schulung.

Datenschutz nach DSGVO

Sobald personenbezogene Daten in ein KI-Tool fließen, gilt die DSGVO mit allem, was dazugehört: Rechtsgrundlage, Auftragsverarbeitungsvertrag, Information der Betroffenen und bei riskanten Verarbeitungen eine Datenschutz-Folgenabschätzung. Das häufigste Problem in der Praxis sind Kundendaten in privaten Gratis-Konten. Welche Tools Sie wie nutzen dürfen, erkläre ich ausführlich im Artikel KI und Datenschutz.

Wem gehört, was die KI erzeugt?

Rein KI-generierte Texte und Bilder sind in Deutschland in der Regel nicht urheberrechtlich geschützt, weil ein Werk eine menschliche Schöpfung voraussetzt. Umgekehrt können KI-Ergebnisse fremde Rechte verletzen. Seit 2025 haben deutsche Gerichte wichtige Fragen dazu entschieden, etwa zum Training mit Liedtexten und Fotos. Was das für Ihre Marketingtexte und Bilder bedeutet, steht im Artikel KI und Urheberrecht.

Arbeitsrecht und Betriebsrat

Hat Ihr Unternehmen einen Betriebsrat, müssen Sie ihn über die Planung von KI-Einsätzen unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG). Tools, die Verhalten oder Leistung der Beschäftigten auswerten können, sind mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG), und das trifft auf viele KI-Anwendungen zu. Muss der Betriebsrat KI beurteilen, gilt die Hinzuziehung eines Sachverständigen als erforderlich (§ 80 Abs. 3 BetrVG). In der Praxis wird der KI-Einsatz deshalb oft in einer Betriebsvereinbarung geregelt.

Schutz von Geschäftsgeheimnissen

Nach § 2 des Geschäftsgeheimnisgesetzes ist eine Information nur dann rechtlich geschützt, wenn Sie „angemessene Geheimhaltungsmaßnahmen“ getroffen haben. Wer Mitarbeitenden erlaubt, Kalkulationen und Konstruktionsdaten ungeregelt in öffentliche KI-Tools zu kopieren, schwächt diesen Schutz. Eine Regel, was nicht in KI-Tools gehört, ist eine solche Maßnahme. Ein fertiges Muster finden Sie im Artikel KI-Richtlinie für Unternehmen.

Haftung für KI und Software

Die neue EU-Produkthaftungsrichtlinie (EU) 2024/2853 behandelt Software und KI-Systeme ausdrücklich als Produkte, egal ob sie lokal installiert oder aus der Cloud genutzt werden. Die Mitgliedstaaten müssen sie bis zum 9. Dezember 2026 umsetzen, in Deutschland mit einem neuen Produkthaftungsgesetz. Das betrifft vor allem Anbieter von Software. Für Unternehmen, die KI nutzen, bleibt der Grundsatz: Gegenüber Ihren Kunden haften Sie für Ihre Leistung, auch wenn eine KI sie vorbereitet hat. Prüfen Sie Ergebnisse, bevor sie nach außen gehen.

Rechtsfragen nach Einsatzbereich

Bereich	Typischer KI-Einsatz	Rechtliche Schwerpunkte
Marketing	Texte, Bilder, Newsletter	Urheberrecht, Kennzeichnung von Deepfakes, Einwilligung für Werbe-E-Mails (UWG), siehe KI im Marketing
Vertrieb	Protokolle, Lead-Bewertung	Aufzeichnung nur mit Einwilligung (§ 201 StGB), DSGVO, Betriebsrat bei Leistungsauswertung
Personal	Stellenanzeigen, Vorauswahl	Hochrisiko-KI bei Auswahlentscheidungen, AGG, Mitbestimmung
Kundenservice	Chatbot, Antwortentwürfe	Transparenz nach Art. 50, DSGVO, siehe KI im Kundenservice
Produktion	Sichtprüfung, Wissenssuche	Maschinenverordnung ab 2027, Geschäftsgeheimnisse
Buchhaltung	Belege auslesen, Kontierung	Nachvollziehbarkeit nach GoBD, Verfahrensdokumentation
IT	Code-Assistenten	Lizenzen von Code-Vorschlägen, Geheimnisschutz

Der Punkt Buchhaltung wird oft übersehen. Wer Buchungen mit KI vorbereitet, muss den Ablauf in der Verfahrensdokumentation beschreiben, damit er für Betriebsprüfungen nachvollziehbar bleibt. Sprechen Sie das mit Ihrer Steuerberatung ab.

Wer in Deutschland die Aufsicht hat

Für die Überwachung des AI Act ist in Deutschland vor allem die Bundesnetzagentur vorgesehen. Sie betreibt bereits einen KI-Service-Desk mit Informationen für Unternehmen. Für den Datenschutz bleiben die Datenschutzbehörden der Länder zuständig, für Fragen des Urheberrechts die Gerichte. In regulierten Branchen wie Finanzdienstleistungen kommen die jeweiligen Fachaufsichten hinzu.

Kostenloser Download

KI-Compliance-Checkliste: AI Act, DSGVO, Urheber- und Arbeitsrecht

Über 30 Prüfpunkte in sieben Bereichen, dazu alle wichtigen Fristen bis 2028 auf einen Blick. Word-Datei zum Abhaken, Stand Oktober 2026.

Website

Worum geht es Ihnen?Mehrfachauswahl möglich

KI-Strategie & AnwendungsfälleKI-Richtlinie & AI ActTeam schulen (KI-Kompetenz)Prozesse automatisieren & KI-AgentenMarketing & Vertrieb mit KIFörderung (INQA-Coaching)Etwas anderes

Wie viele Beschäftigte hat Ihr Unternehmen? / Wann möchten Sie starten?

Wie viele Beschäftigte hat Ihr Unternehmen?

1–910–4950–249250 und mehr

Wann möchten Sie starten?

So bald wie möglichIn den nächsten 3 MonatenIn 3–12 MonatenIch informiere mich erst

Wie erreiche ich Sie?

Name *E-Mail *UnternehmenTelefon (optional)Nachricht (optional)

Ich bin einverstanden, dass meine Angaben zur Bearbeitung meiner Anfrage und, wenn ich eine Vorlage anfordere, zu deren Bereitstellung verarbeitet werden. Details in der Datenschutzerklärung (öffnet in neuem Tab); Widerruf jederzeit per E-Mail an info@kistrategie.de. *

Weiter→Checkliste herunterladen→

Kein Newsletter, keine automatischen Angebote. Ihre Angaben gehen direkt an mich, Christoph Weingärtner.

Konkrete Fälle aus dem Unternehmensalltag

Die folgenden Fragen höre ich in fast jedem Projekt. Die Antworten geben die Richtung vor, im Einzelfall entscheidet Ihre Rechtsberatung.

Darf ich ein Meeting mit KI aufzeichnen und zusammenfassen lassen? Nur wenn alle Teilnehmenden vorher zugestimmt haben. Das heimliche Aufnehmen nichtöffentlich gesprochener Worte ist strafbar (§ 201 StGB). Zusätzlich brauchen Sie eine Rechtsgrundlage nach DSGVO und bei Beschäftigten meist die Beteiligung des Betriebsrats. Eine gute Praxis: Hinweis in der Einladung, Frage zu Beginn, Aufzeichnung nur bei Zustimmung aller.

Darf ich Bewerbungen von ChatGPT zusammenfassen lassen? Nur in einem freigegebenen Werkzeug mit Auftragsverarbeitungsvertrag, und die Entscheidung trifft ein Mensch, der die Unterlagen tatsächlich prüft. Sobald ein System Bewerbungen vorsortiert oder bewertet, kann es ab Dezember 2027 als Hochrisiko-KI gelten. Zudem verlangt das Allgemeine Gleichbehandlungsgesetz, dass niemand wegen geschützter Merkmale benachteiligt wird. Ein Sprachmodell, das unbemerkt Vorurteile aus seinen Trainingsdaten übernimmt, kann genau das bewirken.

Muss ich Kunden sagen, dass ein Angebot mit KI erstellt wurde? Nein, nicht allgemein. Sie haften aber für den Inhalt wie für jedes andere Angebot. Anders ist es beim Chatbot: Wer mit Kunden direkt über eine KI kommuniziert, muss erkennbar machen, dass es sich um eine KI handelt, sofern das nicht offensichtlich ist.

Darf ich Kundendaten in Microsoft Copilot verwenden? Das hängt vom Tarif und den Einstellungen ab. In den Unternehmensversionen mit entsprechendem Vertrag ist das grundsätzlich möglich. Entscheidend sind Auftragsverarbeitungsvertrag, Datenverarbeitung in der EU und vor allem saubere Berechtigungen in Ihrem Microsoft 365, damit Copilot nicht auf Dokumente zugreift, die der jeweilige Nutzer nicht sehen darf.

Was gilt, wenn ein Mitarbeiter trotz Verbot private KI-Konten nutzt? Arbeitsrechtlich kann das ein Pflichtverstoß sein, wenn die Regel klar kommuniziert war. Datenschutzrechtlich bleibt das Unternehmen in der Verantwortung, wenn Kundendaten abgeflossen sind. Je nach Fall kann eine Meldung an die Datenschutzaufsicht nötig sein. Der beste Schutz ist auch hier eine freigegebene Alternative.

Darf ich Fotos meiner Mitarbeitenden mit KI bearbeiten oder Avatare erstellen? Nur mit ausdrücklicher Einwilligung der Abgebildeten, die sie jederzeit widerrufen können. Realistische Avatare, die Dinge sagen, die die Person nie gesagt hat, sind zusätzlich als Deepfake zu kennzeichnen.

Haftet der KI-Anbieter, wenn die KI Fehler macht? In der Regel nur sehr eingeschränkt. Die Nutzungsbedingungen der Anbieter schließen Haftung für die Richtigkeit von Ergebnissen weitgehend aus. Gegenüber Ihren Kunden haften Sie für Ihre Leistung. Deshalb gehört eine menschliche Prüfung vor jede Außenwirkung.

Worauf Sie in Verträgen mit KI-Anbietern achten

Bevor ein KI-Werkzeug im Unternehmen eingeführt wird, lohnt sich ein Blick in die Vertragsunterlagen. Die wichtigsten Punkte:

Punkt	Warum er wichtig ist
Auftragsverarbeitungsvertrag	Pflicht, sobald personenbezogene Daten verarbeitet werden
Nutzung Ihrer Daten für Training	Sollte für Geschäftskunden ausgeschlossen sein, schützt auch Geschäftsgeheimnisse
Speicherort und Unterauftragnehmer	Grundlage für die Bewertung von Übermittlungen in Drittländer
Rechte an Ergebnissen	Klärt, ob der Anbieter Ansprüche an Ihren Inhalten geltend macht
Freistellung bei Rechtsverletzungen	Manche Anbieter unterstützen Geschäftskunden bei Urheberrechtsklagen, mit Bedingungen
Haftung und Verfügbarkeit	Meist stark begrenzt, wichtig bei geschäftskritischen Abläufen
Kündigung und Datenrückgabe	Was passiert mit Ihren Daten und Vorlagen, wenn Sie wechseln?

Die Bedingungen ändern sich häufig. Dokumentieren Sie, welche Fassung Sie geprüft haben, und prüfen Sie wichtige Werkzeuge mindestens einmal im Jahr erneut.

Checkliste für den rechtssicheren KI-Einsatz

1. Bestandsaufnahme: Welche KI-Tools werden genutzt, auch inoffiziell?
2. Freigegebene Tools: Nur Business-Versionen mit Auftragsverarbeitungsvertrag und ohne Training mit Ihren Daten.
3. Richtlinie: Daten-Ampel, Verbote, Zuständigkeiten, schriftlich und verständlich.
4. Schulung: Einführung für alle, die KI nutzen, mit Teilnahmenachweis (Art. 4 AI Act).
5. Betriebsrat: Früh einbinden, ggf. Betriebsvereinbarung.
6. Transparenz: Chatbots als KI erkennbar machen, Deepfakes kennzeichnen.
7. Rechte prüfen: Keine erkennbar fremden Inhalte, Marken oder Personen in KI-Ergebnissen übernehmen.
8. Hochrisiko prüfen: KI in Personalfragen nur nach vorheriger rechtlicher Prüfung.

Fazit und Empfehlung

Die meisten rechtlichen Risiken beim KI-Einsatz im Mittelstand entstehen nicht durch exotische Anwendungen, sondern durch fehlende Regeln im Alltag: private Konten, ungeprüfte Ergebnisse, kein Überblick. Mit einer Richtlinie, freigegebenen Tools und einer Schulung haben Sie die Grundlage gelegt. Die Artikel unten vertiefen jedes Thema.

KI-Beratung

Wo steht Ihr Unternehmen bei KI? Lassen Sie uns sprechen.

Strategie, Richtlinie, Schulung oder Automatisierung: Beschreiben Sie Ihr Anliegen in drei Schritten. Sie bekommen eine persönliche Rückmeldung von mir, kein automatisches Angebot.

Website

Worum geht es Ihnen?Mehrfachauswahl möglich

KI-Strategie & AnwendungsfälleKI-Richtlinie & AI ActTeam schulen (KI-Kompetenz)Prozesse automatisieren & KI-AgentenMarketing & Vertrieb mit KIFörderung (INQA-Coaching)Etwas anderes

Wie viele Beschäftigte hat Ihr Unternehmen? / Wann möchten Sie starten?

Wie viele Beschäftigte hat Ihr Unternehmen?

1–910–4950–249250 und mehr

Wann möchten Sie starten?

So bald wie möglichIn den nächsten 3 MonatenIn 3–12 MonatenIch informiere mich erst

Wie erreiche ich Sie?

Name *E-Mail *UnternehmenTelefon (optional)Nachricht (optional)

Ich bin einverstanden, dass meine Angaben zur Bearbeitung meiner Anfrage und, wenn ich eine Vorlage anfordere, zu deren Bereitstellung verarbeitet werden. Details in der Datenschutzerklärung (öffnet in neuem Tab); Widerruf jederzeit per E-Mail an info@kistrategie.de. *

Weiter→Anfrage senden→

Kein Newsletter, keine automatischen Angebote. Ihre Angaben gehen direkt an mich, Christoph Weingärtner.