Der Vertrieb testet einen Chatbot für die Kundenkommunikation, die Personalabteilung liebäugelt mit einer Software zur Vorauswahl von Bewerbungen, das Marketing erzeugt Bilder und Texte automatisch. KI zieht in Ihr Unternehmen ein — meist schneller, als jemand fragt, welche rechtlichen Regeln daran hängen. Und die Antwort ist derzeit unbequem ehrlich: Der Rahmen ist gerade erst im Entstehen. Die europäische KI-Verordnung (Verordnung (EU) 2024/1689) ist seit 2024 in Kraft, gilt aber gestaffelt — manche Pflichten greifen schon, andere erst 2026 und später. Dazu kommen die schon heute geltenden Regeln: Datenschutz, Haftung, Vertragsrecht. Dieser Beitrag ordnet für Sie, was heute gilt, was noch kommt, und wo für Ihr Unternehmen die echten Risiken liegen — damit Sie KI einführen, ohne sich rechtlich zu verheben.
Ein Chatbot, ein Textgenerator, eine Analyse-Software — das Werkzeug ist schnell gebucht und im Team verteilt. Die Frage, welche Daten es verarbeitet, ob Kunden erkennen können, dass sie mit einer Maschine sprechen, und ob der Einsatz unter die neuen Regeln fällt, stellt oft niemand vorab. Genau hier lohnt der Blick, bevor der Betrieb läuft.
Im Ausschreibungs- oder Lieferantenprozess taucht die Frage auf: Wie halten Sie es mit KI, welche Systeme setzen Sie ein, wie ist die Datenschutz- und Compliance-Lage? Wer darauf keine belastbare Antwort hat, verliert im schlechtesten Fall den Auftrag. Eine geordnete Bestandsaufnahme wird so zum Wettbewerbsfaktor.
Eine Software sortiert Bewerbungen vor, bewertet die Kreditwürdigkeit von Kunden oder steuert Entscheidungen im Kundenservice. Sobald es um Entscheidungen mit Wirkung für einzelne Personen geht, treffen zwei Welten aufeinander: die neuen Kategorien der KI-Verordnung und die schon heute geltenden Datenschutzregeln zur automatisierten Entscheidung.
Der Rahmen, über den derzeit am meisten gesprochen wird, ist die KI-Verordnung (Verordnung (EU) 2024/1689), in Deutschland oft „KI-VO" oder englisch „AI Act" genannt. Wichtig für die Einordnung: Sie ist zwar bereits am 1. August 2024 in Kraft getreten, gilt aber nicht auf einen Schlag. Der Gesetzgeber hat die Anwendbarkeit bewusst gestaffelt — die Verordnung wird über mehrere Jahre eingeführt, und ein erheblicher Teil ihrer Pflichten ist heute noch nicht anwendbar. Wer liest, „die KI-Verordnung gilt", sollte deshalb immer die Anschlussfrage stellen: welcher Teil, und ab wann?
Nach dem gestuften Zeitplan der Verordnung greifen die Pflichten in Etappen: Die verbotenen Praktiken (dazu unten) wurden als eine der ersten Stufen — Anfang 2025 — wirksam. Für KI-Modelle mit allgemeinem Verwendungszweck (die großen, breit einsetzbaren Modelle) setzten weitere Pflichten im Laufe des Jahres 2025 ein. Der allgemeine Geltungsbeginn und der überwiegende Teil der Hochrisiko-Pflichten sind für den 2. August 2026 vorgesehen, einzelne Fälle sogar erst danach. Diese Daten nennen wir bewusst als Rahmen, nicht als tagesgenaue Zusage — der Zeitplan ist gestuft und im Detail komplex, und für Ihren konkreten Einsatzfall kommt es darauf an, welche Stufe ihn erfasst.
Praxis Behandeln Sie die KI-Verordnung nicht als „gilt schon alles" und nicht als „betrifft mich noch nicht". Beides führt in die Irre. Der richtige Weg ist eine nüchterne Zuordnung: Welche Systeme setzen Sie ein, in welche Kategorie fallen sie, und welche Stufe des Zeitplans betrifft Sie wann? Wer diese Landkarte früh anlegt, muss später nicht unter Zeitdruck nachrüsten.
Die Verordnung reguliert KI nicht pauschal, sondern nach dem Risiko, das von einem System ausgeht. Drei Stufen sind für Unternehmen besonders wichtig — jede mit anderer Rechtsfolge.
Bestimmte KI-Anwendungen sind gänzlich untersagt — die Verordnung stuft sie als unannehmbares Risiko ein (etwa bestimmte Formen manipulativen Ausnutzens von Schwächen oder bestimmtes „Social Scoring"). Diese Verbote gehören zu den früh wirksam gewordenen Teilen der Verordnung. Für die meisten Unternehmen sind die verbotenen Praktiken kein Alltagsthema — aber es lohnt zu wissen, dass es diese rote Linie überhaupt gibt.
Für als hochriskant eingestufte Systeme sieht die Verordnung besondere Pflichten vor. Anhang III benennt die Anwendungsbereiche — darunter Bereiche, die viele Unternehmen unmittelbar berühren, etwa Beschäftigung und Personalauswahl oder die Bewertung der Kreditwürdigkeit. Der überwiegende Teil dieser Hochrisiko-Pflichten ist erst für eine spätere Stufe des Zeitplans (Richtung August 2026) vorgesehen — Sie sollten aber heute schon wissen, ob eines Ihrer Systeme in diese Richtung geht.
Für den Umgang mit KI gegenüber Menschen sieht die Verordnung Transparenzpflichten vor — etwa, dass erkennbar ist, wenn man mit einem KI-System interagiert, und dass künstlich erzeugte oder manipulierte Inhalte („Deepfakes") entsprechend gekennzeichnet werden. Wer einen Kunden-Chatbot betreibt oder KI-generierte Inhalte veröffentlicht, sollte diese Stoßrichtung im Blick behalten.
Ob und wie streng ein einzelnes System betroffen ist, hängt von seiner konkreten Funktion und von der jeweiligen Stufe des Zeitplans ab. Die Einordnung in „harmlos", „transparenzpflichtig" oder „hochriskant" ist deshalb keine Formsache, sondern die eigentliche Weichenstellung — an ihr entscheidet sich, welche Pflichten überhaupt auf Sie zukommen.
Die KI-Verordnung ist kein zahnloser Appell: Sie sieht bei Verstößen empfindliche Geldbußen vor, die nach der Schwere des Verstoßes gestaffelt sind — für Verstöße gegen die verbotenen Praktiken deutlich höher als für Verstöße gegen einzelne Pflichten. Konkrete Zahlen nennen wir hier bewusst nicht: Der Bußgeldrahmen und seine Anwendung sind Teil einer neuen, gestuft in Kraft tretenden Verordnung, deren praktische Handhabung durch die Behörden sich erst herausbildet — eine belastbare Einschätzung für Ihren Fall gehört in die individuelle Prüfung, nicht in eine pauschale Zahlenangabe.
Wichtiger als die abstrakte Zahl ist für Sie ohnehin die Grundhaltung dahinter: Der Gesetzgeber meint die Regeln ernst, und die Verantwortung liegt bei dem, der über den KI-Einsatz entscheidet — nicht beim Werkzeug. Das führt zur zweiten, schon heute vollständig geltenden Ebene: der Haftung.
Neben der neuen Verordnung steht das schon heute geltende Haftungsrecht — und das ändert sich durch KI im Grundsatz nicht. Setzt Ihr Unternehmen ein KI-Werkzeug ein und entsteht dadurch ein Schaden, greifen die vorhandenen Regeln. Im Vertragsverhältnis kann eine Pflichtverletzung zum Schadensersatz führen: Verletzt der Schuldner eine Pflicht aus dem Schuldverhältnis, kann der Gläubiger Ersatz des daraus entstehenden Schadens verlangen, sofern der Schuldner die Pflichtverletzung zu vertreten hat (§ 280 Abs. 1 BGB). Ein fehlerhaftes KI-Ergebnis, auf das Sie sich gegenüber einem Kunden verlassen haben, entlastet Sie also nicht automatisch — die Pflicht gegenüber dem Kunden bleibt Ihre.
Außerhalb vertraglicher Beziehungen greift das Deliktsrecht: Wer vorsätzlich oder fahrlässig Leben, Körper, Gesundheit, Freiheit, Eigentum oder ein sonstiges Recht eines anderen widerrechtlich verletzt, ist zum Ersatz des daraus entstehenden Schadens verpflichtet (§ 823 Abs. 1 BGB); daneben haftet, wer gegen ein Schutzgesetz verstößt (§ 823 Abs. 2 BGB). Der entscheidende Punkt: Die KI selbst ist kein Zurechnungssubjekt. Ein Schaden, den ein von Ihnen eingesetztes System verursacht, wird nicht „der KI" angelastet, sondern demjenigen, der sie einsetzt und über ihren Einsatz entscheidet. Die Auslagerung an ein Werkzeug ist keine Auslagerung der Verantwortung.
Praxis Eine eigene europäische Richtlinie zur KI-Haftung war zwar in Vorbereitung — sie wurde von der Kommission aber zurückgezogen und gilt nicht. Verlassen Sie sich deshalb nicht auf ein vermeintlich neues KI-Haftungsregime, das es nicht gibt. Maßgeblich bleibt das vorhandene Haftungsrecht. Wo KI in ein Produkt einfließt oder Produkte fehlerhaft macht, kann zudem die Produkthaftung eine Rolle spielen — und für die Leitungsebene stellt sich die Frage der Geschäftsführerhaftung, wenn KI-Risiken im Unternehmen nicht geordnet werden.
KI verarbeitet fast immer Daten — und häufig personenbezogene Daten. Damit ist der Einsatz zugleich ein Datenschutz-Thema, und zwar nach den schon heute geltenden Regeln. Besonders scharf wird es, wenn KI nicht nur unterstützt, sondern entscheidet. Hier greift Art. 22 DSGVO: Eine betroffene Person hat das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 Abs. 1 DSGVO).
Solche vollautomatischen Einzelentscheidungen sind nur unter engen Voraussetzungen zulässig — etwa wenn sie für Abschluss oder Erfüllung eines Vertrags erforderlich sind, gesetzlich erlaubt sind oder auf ausdrücklicher Einwilligung beruhen (Art. 22 Abs. 2 DSGVO). Und selbst dann muss der Verantwortliche angemessene Maßnahmen zum Schutz der Betroffenen treffen, wozu mindestens das Recht auf menschliches Eingreifen, auf Darlegung des eigenen Standpunkts und auf Anfechtung der Entscheidung gehört (Art. 22 Abs. 3 DSGVO). Für den KI-Einsatz heißt das ganz praktisch: Lassen Sie eine Software allein über Bewerbungen, Kredite oder vergleichbare Fragen entscheiden, betreten Sie regulatorisch heikles Gelände — hier ist der Mensch in der Schleife nicht Kür, sondern rechtlich vorgezeichnet.
Wo KI personenbezogene Daten verarbeitet, kommen zudem die allgemeinen Datenschutzpflichten ins Spiel — von der Rechtsgrundlage über die Transparenz bis zur Sicherheit. Einen Überblick dazu gibt der Beitrag zu den DSGVO-Grundpflichten; setzen Sie ein KI-Tool eines externen Anbieters ein, ist häufig ein Vertrag zur Auftragsverarbeitung nötig, und geht bei einem KI-System einmal etwas schief, kann eine meldepflichtige Datenpanne vorliegen.
Legen Sie ein Verzeichnis an: Welche KI-Werkzeuge setzt Ihr Unternehmen ein — Chatbots, Text- und Bildgeneratoren, Analyse- und Auswahl-Software, in den Fachabteilungen oft auch inoffiziell? Ohne diese Bestandsaufnahme lässt sich weder die KI-Verordnung noch das Datenschutzrecht sauber zuordnen.
Klären Sie für jedes Werkzeug: Fällt es unter eine verbotene Praktik (Art. 5), gehört es in eine Hochrisiko-Kategorie (Anhang III), oder greifen Transparenzpflichten (Art. 50)? Und: Verarbeitet es personenbezogene Daten, trifft es womöglich Entscheidungen über Menschen (Art. 22 DSGVO)? Diese Einordnung ist die eigentliche Weichenstellung.
Ordnen Sie jedem System zu, welche Stufe der KI-Verordnung es wann betrifft — vieles ist noch nicht anwendbar, aber die Vorbereitung auf spätere Stufen (etwa Hochrisiko-Pflichten Richtung 2026) beginnt sinnvollerweise früh, nicht erst am Stichtag.
Prüfen Sie parallel die schon heute geltenden Ebenen: Rechtsgrundlage und Verträge für die Datenverarbeitung, menschliches Eingreifen bei automatisierten Entscheidungen (Art. 22 DSGVO), sowie die Haftungslage im Vertrag (§ 280 BGB) und im Deliktsrecht (§ 823 BGB), wenn ein KI-Ergebnis Schaden anrichtet.
Bestimmen Sie, wer im Unternehmen für KI-Compliance verantwortlich ist, und halten Sie Ihre Einordnungen und Entscheidungen fest. Eine nachvollziehbare Dokumentation ist zugleich Ihr Nachweis, dass Sie den Einsatz nicht ins Blaue hinein, sondern geordnet verantwortet haben.
Der Aufwand hängt davon ab, wie weit KI bei Ihnen schon im Einsatz ist und in welchen Bereichen. Ein Unternehmen, das ein einzelnes, klar umrissenes Tool einführen und rechtlich absichern will, hat einen anderen Bedarf als eines, das quer durch die Abteilungen bereits eine Vielzahl von KI-Werkzeugen nutzt und erstmals eine geordnete Bestandsaufnahme und Einordnung braucht. Der aufwendigste Teil ist meist die anfängliche Landkarte — welche Systeme, welche Kategorie, welche Stufe des Zeitplans —; ist sie einmal angelegt, geht es überwiegend nur noch um Pflege und Nachsteuern.
Feste Paketpreise nennen wir bewusst nicht: Ob es um die Prüfung eines einzelnen KI-Einsatzes geht, um die datenschutzrechtliche Einordnung einer automatisierten Entscheidung oder um eine unternehmensweite Bestandsaufnahme, macht für Aufwand und Vorgehen den entscheidenden Unterschied. Sie erfahren die Größenordnung und eine ehrliche Einschätzung, welcher Weg für Sie sinnvoll ist, sobald wir wissen, wie Ihr Haus KI einsetzt und worum es konkret geht.
Nur teilweise. Die KI-Verordnung (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten, gilt aber gestaffelt und ist noch nicht vollständig anwendbar. Frühe Stufen (etwa die verbotenen Praktiken) greifen bereits; der überwiegende Teil der Hochrisiko-Pflichten ist für eine spätere Stufe — Richtung August 2026 — vorgesehen, einzelne Fälle noch später. Was konkret für Sie wann gilt, hängt vom jeweiligen System und seiner Kategorie ab.
Die Verordnung stuft bestimmte Anwendungsbereiche als hochriskant ein und knüpft daran besondere Pflichten. Anhang III nennt die Bereiche — darunter etwa Beschäftigung und Personalauswahl oder die Bewertung der Kreditwürdigkeit. Ob eines Ihrer Systeme darunterfällt, ist eine Frage der konkreten Funktion und lohnt eine Einzelprüfung, weil sich daran der Umfang Ihrer Pflichten entscheidet.
Die Verordnung sieht Transparenzpflichten vor (Art. 50) — dazu gehört die Stoßrichtung, dass für Menschen erkennbar ist, wenn sie mit einem KI-System interagieren, und dass künstlich erzeugte oder manipulierte Inhalte gekennzeichnet werden. Wer einen Kunden-Chatbot betreibt oder KI-generierte Inhalte veröffentlicht, sollte diese Pflichten für den eigenen Fall prüfen lassen.
Das Unternehmen, das die KI einsetzt — nicht „die KI". Im Vertrag kann eine Pflichtverletzung zum Schadensersatz führen (§ 280 BGB), außerhalb davon greift das Deliktsrecht (§ 823 BGB). Die KI ist ein Werkzeug und kein Haftungsträger. Eine eigene EU-Richtlinie zur KI-Haftung war geplant, wurde aber zurückgezogen und gilt nicht — maßgeblich bleibt das vorhandene Haftungsrecht.
Nur unter engen Voraussetzungen. Nach Art. 22 DSGVO haben Betroffene grundsätzlich das Recht, nicht einer ausschließlich automatisierten Entscheidung mit erheblicher Wirkung unterworfen zu werden. Ausnahmen bestehen etwa bei Vertragserforderlichkeit, gesetzlicher Erlaubnis oder ausdrücklicher Einwilligung — und selbst dann ist unter anderem das Recht auf menschliches Eingreifen zu wahren. Vollautomatische Entscheidungen über Menschen sollten Sie deshalb nicht ohne Prüfung einführen.
Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48. Gerade wenn eine KI-Einführung ansteht oder ein Kunde nach Ihrer KI-Compliance fragt, lohnt sich die Prüfung vorab — schildern Sie die Lage lieber früh, bevor das System schon im Regelbetrieb läuft.
„KI verschiebt nicht die Verantwortung, sie schafft nur neue Wege, sie zu übersehen. Wer ein Werkzeug einsetzt, bleibt für das Ergebnis geradezustehen — die Regeln dazu sind teils neu und noch in der Einführung, teils gelten sie längst. Beides früh zu ordnen, ist deutlich einfacher, als es später unter Druck nachzuholen", sagt Rechtsanwalt Sebastian Müller.
Schildern Sie kurz, worum es geht — Sie erhalten eine erste Einschätzung. Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48.
Anliegen kurz schildern