KI-Compliance & EU AI Act

Worum geht es?

KI ist kein rechtsfreier Raum. Wer ChatGPT, Claude oder Copilot beruflich nutzt — und sei es nur für eine E-Mail — bewegt sich in einem Spielfeld aus drei Regelwerken: DSGVO, EU AI Act und allgemeinem Recht (Urheber, AGG, Geschäftsgeheimnis).

Die gute Nachricht: Für die meisten alltäglichen Aufgaben — Texte, Recherche, Protokolle — reichen drei Grundregeln und gesunder Menschenverstand. Die schlechte: Diese Grundregeln müsst ihr kennen, dokumentieren und einhalten. Sonst haftet ihr persönlich, sobald etwas schiefgeht.

Die drei Regelwerke

Drei Gesetze gelten parallel. Keines hebt das andere auf. Hier in der Reihenfolge ihrer Praxisrelevanz.

EU AI Act — der Fahrplan, den ihr kennen solltet

1. Februar 2025

   Verbotene KI-Praktiken untersagt. KI-Kompetenzpflicht (Art. 4) gilt für alle Unternehmen.

2. Heute · Mai 2026

   Wir sind hier. Vorbereitungsphase auf Hochrisiko-Pflichten läuft.

3. August 2026

   Volle Anwendbarkeit für Hochrisiko-KI-Systeme nach Anhang III. Bundesnetzagentur kann sanktionieren.

4. August 2027

   Hochrisiko-KI in regulierten Produkten (Anhang I) wird voll anwendbar.

Fünf Schritte für KMU

In dieser Reihenfolge. Nicht überspringen. Schritt für Schritt — keiner davon braucht einen Anwalt.

Use-Case-Checkliste — vor jedem KI-Einsatz

Fünf Fragen. Zwei Minuten. Geht ihr vor jedem neuen Anwendungsfall einmal durch — danach nicht mehr nötig, solange sich am Use Case nichts ändert.

1. Frage 1

   Gehen personenbezogene Daten rein?

   Z. B.: Namen, Adressen, Telefonnummern, E-Mail-Adressen, Vertragsinhalte mit Personenbezug, Fotos von Personen, Gesundheitsdaten, Mitarbeiterdaten

   Nein

   Weiter zu Frage 2. Keine besonderen DSGVO-Pflichten.

   Ja

   Vor Eingabe anonymisieren ODER Enterprise-Account mit AVV und EU-Serverstandort. Rechtsgrundlage nach Art. 6 DSGVO klären. Bei sensiblen Daten (Art. 9): im Zweifel nicht eingeben.

2. Frage 2

   Trifft die KI eine Entscheidung über eine Person?

   Z. B.: Bewerberauswahl, Mieterbewertung, Kreditprüfung, Leistungsbeurteilung

   Nein

   Weiter zu Frage 3.

   Ja

   Hochrisiko-Bereich. Menschliche Aufsicht und letzte Entscheidung durch Menschen sind Pflicht. Ab Aug. 2026: Doku, Risikobewertung, Überwachung. DSFA prüfen. Betriebsrat informieren.

3. Frage 3

   Gehen Geschäftsgeheimnisse rein?

   Z. B.: Kalkulationen, Angebotspreise, interne Strategien, unveröffentlichte Vertragsentwürfe, Grundstücksbewertungen

   Nein

   Weiter zu Frage 4.

   Ja

   Schutz als Geschäftsgeheimnis kann verloren gehen. Enterprise-Account mit Geheimhaltungsvertrag oder lokale/On-premise-KI. Alternativ: abstrahieren — keine konkreten Zahlen, keine Projektnamen.

4. Frage 4

   Sieht jemand das Ergebnis, der wissen sollte, dass KI beteiligt war?

   Z. B.: Kunden, Käufer, Mieter, Behörden, Geschäftspartner

   Nein · rein intern

   Geringeres Transparenzrisiko. Trotzdem intern dokumentieren, dass KI eingesetzt wird.

   Ja

   Transparenzpflicht nach EU AI Act: Empfänger müssen wissen, dass sie mit KI-generierten Inhalten interagieren. Kennzeichnung nicht immer formell nötig — aber: KI-Texte nicht als persönlich verfasst ausgeben.

5. Frage 5

   Wird das Ergebnis ohne menschliche Prüfung verwendet?

   Z. B.: Direkt versendete E-Mails, automatisch erstellte Dokumente, ungeprüft übernommene Recherche-Ergebnisse

   Nein · Mensch prüft

   Guter Standard. Weiter so.

   Ja

   Risiko: KI-Systeme liefern fehlerhafte, veraltete oder erfundene Informationen. Bei rechtlichen, technischen oder finanziellen Inhalten ist Prüfung nicht optional, sondern Pflicht. Bei automatisierten Entscheidungen über Personen: Art. 22 DSGVO beachten.

Die Kurzformel für den Alltag

Wenn ihr nichts anderes von dieser Seite mitnehmt — diese zwei Mini-Listen reichen für 90% der Fälle.

Diese Seite als Checkliste — für die Bürowand

Ausgedruckt sieht die Welt anders aus. Druckt euch die Use-Case-Checkliste & Kurzformel als 1-Pager — Browser regelt den Rest.

💡 Auf der Checklisten-Seite oben rechts „Als PDF speichern / drucken" — der Browser-Druckdialog erledigt den Rest. Ausgedruckt sieht die Welt anders aus.

Quellen & weiterführend

• BayLDA — Datenschutzkonforme KI: Checkliste mit Prüfkriterien nach der DSGVO (2024)
• LfDI Hamburg — Checkliste zum Einsatz LLM-basierter Chatbots (2023)
• LfDI Baden-Württemberg — Diskussionspapier Rechtsgrundlagen Datenschutz bei KI (2023/2025)
• IHK München — Datenschutz & KI: Ratgeber
• EU-Kommission — FAQ zur KI-Kompetenz (Art. 4)

FAQ rund um KI-Compliance

Die Fragen, die in fast jedem Workshop auftauchen — kurz und ehrlich beantwortet.

1. 01 Brauchen wir wirklich eine schriftliche KI-Richtlinie, wenn wir nur ChatGPT gelegentlich nutzen?

   Ja. Seit Februar 2025 verlangt Artikel 4 des EU AI Act, dass jedes Unternehmen, das KI nutzt — auch nur gelegentlich — angemessene Maßnahmen zur KI-Kompetenz nachweisen kann.

   Das heißt nicht „Zertifizierung", sondern: Ihr braucht eine kurze interne Regel (oft reicht ein Onepager), die zeigt, dass ihr euch mit dem Thema beschäftigt habt — wer was darf, was nicht, wie ihr Risiken handhabt.

   „Eine Seite reicht. Aber sie muss da sein, schriftlich, und alle im Team müssen sie kennen."

2. 02 Dürfen wir Mandanten- oder Kundendaten in ChatGPT eingeben?

   Im privaten ChatGPT-Account: Nein. Personenbezogene Daten (Namen, Adressen, Mandantenangaben) gehören nicht in ein Tool, mit dessen Anbieter ihr keinen Auftragsverarbeitungsvertrag (AVV) habt.

   In einem Unternehmens-Account (ChatGPT Team/Enterprise, Claude for Work) mit AVV ist das anders — dort gilt: AVV abgeschlossen, keine Trainingsfreigabe, dokumentiert.

   Faustregel: Wenn ihr es nicht öffentlich postet, dann auch nicht in ein KI-Tool ohne AVV.

3. 03 Müssen wir kennzeichnen, dass ein Text mit KI erstellt wurde?

   Pauschal: nein. Es gibt keine generelle Kennzeichnungspflicht für KI-generierte Texte.

   Aber: Sobald ein Mensch sich auf ein KI-Ergebnis verlassen soll, ohne dass es geprüft wurde — z. B. ein Gutachten, eine fachliche Beurteilung — wird es heikel. Dann zählt nicht „KI-erstellt", sondern „von wem fachlich verantwortet". Eure Unterschrift unter einem Gutachten heißt: ihr steht dafür ein. Egal wer den Erstentwurf gemacht hat.

4. 04 Was passiert, wenn die KI etwas Falsches schreibt und wir es nicht merken?

   Dann haftet immer der Mensch, der das Ergebnis freigegeben hat — nicht der KI-Anbieter, nicht „die KI". Das ist die wichtigste Regel überhaupt.

   Konsequenz: Jedes KI-Ergebnis, das das Büro verlässt, muss durch einen Menschen mit Fachblick gehen. Bei Gutachten und Berichten heißt das: zweites Augenpaar, Normverweise gegenprüfen, Eigennamen und Zahlen kontrollieren.

   „Halluzinationen klingen besonders gut, wenn sie selbstsicher daherkommen. Genau deshalb braucht es den Prüfblick."

5. 05 Reicht der kostenlose ChatGPT-Account für ein Sachverständigen-Büro?

   Nicht dauerhaft. Im kostenlosen Tarif werden eure Eingaben in der Regel zum Trainieren der Modelle verwendet — und ihr habt keinen AVV. Sobald ihr berufliche Inhalte verarbeitet, ist das ein Datenschutz-Problem.

   Empfehlung: Bezahlter Team-Account (ca. 25–30 € pro Person/Monat) mit AVV, Trainings-Opt-out und Admin-Übersicht. Das ist die günstigste Form, in der ihr seriös arbeiten könnt.

6. 06 Wie weisen wir „KI-Kompetenz-Schulung" nach, wenn wir geprüft werden?

   Es gibt keine vorgegebene Form. Was zählt, ist der Nachweis, dass ihr euch ernsthaft mit dem Thema beschäftigt habt:

   Workshop-Teilnahmen (z. B. dieser Workshop), interne Schulungen mit Datum und Teilnehmerliste, eure schriftliche KI-Richtlinie, dokumentierte Auswahl von Tools mit AVV. Eine kleine Mappe „KI-Kompetenz" im Büroregal reicht für den Anfang vollkommen.