KI im Unternehmen einsetzen, ohne rechtliches Risiko
Die Frage ist selten, ob KI hilft. Die Frage ist, welche Daten hineindürfen und wer dafür geradesteht.
Das häufigste Problem beim KI-Einsatz im Betrieb ist nicht die Technik. Es ist der Mitarbeiter, der eine Kundenliste in ein kostenloses Chatfenster kopiert, weil es schneller geht. Damit liegen personenbezogene Daten bei einem Anbieter, mit dem kein Vertrag besteht, und das ist ein Datenschutzvorfall und kein Kavaliersdelikt. Dahinter steckt selten böse Absicht, sondern eine fehlende Ansage. Ich kläre für deinen Betrieb, welche Werkzeuge benutzt werden dürfen, wo sie laufen und was hineindarf, und halte das so fest, dass es im Alltag auch jemand liest.
Das steckt drin
Wo das Modell läuft
Eigene Hardware, EU-Rechenzentrum oder Anbieter mit Vertrag. Für jede Aufgabe die passende Stufe.
Auftragsverarbeitungsvertrag
Welcher Anbieter einen anbietet, was darin stehen muss und wo die Daten tatsächlich liegen.
Nutzungsrichtlinie
Eine verständliche Seite für die Belegschaft: erlaubte Werkzeuge, erlaubte Daten, Ansprechpartner.
Schulung der Mitarbeiter
Artikel 4 der KI-Verordnung verlangt seit Februar 2025 ausreichende KI-Kompetenz im Unternehmen.
Lokale Modelle einrichten
Ein Sprachmodell auf eigener Hardware, das ohne Internetverbindung arbeitet. Für sensible Daten der sauberste Weg.
Bestandsaufnahme
Welche KI-Werkzeuge im Betrieb bereits benutzt werden, weiß meist niemand. Das lässt sich klären.
Drei Wege, und wann welcher passt
Die wichtigste Entscheidung fällt vor der ersten Zeile Code: wo die Daten verarbeitet werden. Danach richtet sich alles Weitere.
| Weg | Wie es funktioniert | Wofür geeignet |
|---|---|---|
| Lokales Modell | Das Modell läuft auf Hardware im Betrieb. Die Daten verlassen das Netzwerk nicht, eine Internetverbindung ist nicht nötig. | Personaldaten, Patienten- und Mandantendaten, Kalkulationen, alles wirklich Vertrauliche. |
| EU-Rechenzentrum | Verarbeitung bei einem Anbieter mit Standort in der EU, mit Auftragsverarbeitungsvertrag und ohne Training auf deinen Daten. | Alltagsaufgaben mit Personenbezug, wenn die eigene Hardware dafür nicht reicht. |
| Großer Anbieter mit Vertrag | Leistungsfähige Modelle bekannter Anbieter, geschäftlich lizenziert, mit Vertrag und abgeschalteter Trainingsnutzung. | Texte, Recherche, Entwürfe, Programmierung. Alles ohne personenbezogene oder vertrauliche Inhalte. |
In der Praxis läuft es meist auf eine Kombination hinaus: das Bequeme für Unkritisches, das Lokale für alles, was den Betrieb nicht verlassen darf. Wichtig ist, dass die Grenze zwischen beidem klar gezogen und aufgeschrieben ist.
Was die KI-Verordnung von einem KMU verlangt
Seit dem 2. Februar 2025 gilt Artikel 4 der europäischen KI-Verordnung. Er verpflichtet jedes Unternehmen, das KI-Systeme einsetzt, dafür zu sorgen, dass die Menschen, die damit arbeiten, ausreichend KI-Kompetenz besitzen. Das betrifft ausdrücklich nicht nur Entwickler von Hochrisiko-Anwendungen, sondern auch den Betrieb, in dem drei Leute ChatGPT benutzen.
Ein festes Schulungsprogramm schreibt die Verordnung nicht vor. Verlangt wird, dass die Maßnahmen zur Rolle und zur tatsächlichen Nutzung passen und dass das Unternehmen sie belegen kann. Die nationale Marktüberwachung dazu läuft seit dem 2. August 2026. Ein eigener Bußgeldtatbestand für Artikel 4 besteht derzeit nicht, was die Sache aber nicht erledigt: Entsteht durch falsche KI-Nutzung ein Schaden, steht die Frage im Raum, ob eine angemessene Unterweisung ihn verhindert hätte.
Praktisch heißt das zweierlei: eine kurze, verständliche Nutzungsrichtlinie und eine Unterweisung, die dokumentiert ist. Beides mache ich zusammen mit dir. Die IT-Sicherheitsschulung deckt den Teil ab, der die Belegschaft betrifft.
Was in eine Nutzungsrichtlinie gehört
Welche Werkzeuge
Eine kurze Liste der freigegebenen Anwendungen. Alles andere ist damit nicht freigegeben, ohne dass man jedes Werkzeug einzeln verbieten muss.
Welche Daten
Klar benannt, was nie in ein Chatfenster gehört: Kundendaten, Personaldaten, Zugangsdaten, Kalkulationen, Verträge.
Wer prüft das Ergebnis
KI-Ausgaben sind Entwürfe. Wer sie verantwortet, bevor sie den Betrieb verlassen, muss benannt sein.
Wen man fragt
Ein Ansprechpartner für den Fall, dass jemand unsicher ist. Ohne den landet im Zweifel doch wieder alles im Chatfenster.
Abgrenzung: Ich bin Fachinformatiker und kein Rechtsanwalt. Ich leiste keine Rechtsberatung. Was ich mache, ist die technische Umsetzung, die Bestandsaufnahme und die Vorbereitung der Entscheidungen, die dein Datenschutzbeauftragter, dein Steuerberater oder dein Anwalt trifft. Diese Seite gibt den allgemeinen Stand wieder und ersetzt keine Prüfung deines Einzelfalls.
Häufige Fragen
Dürfen wir ChatGPT im Betrieb einfach so nutzen?
Für allgemeine Texte ohne Personenbezug ist das meist unproblematisch. Sobald Kunden-, Personal- oder Gesundheitsdaten hineingehen, braucht es einen geschäftlichen Zugang, einen Auftragsverarbeitungsvertrag mit dem Anbieter und die Gewissheit, dass die Eingaben nicht zum Training verwendet werden. Der kostenlose Privatzugang erfüllt das nicht. Die praktikable Lösung ist meist eine kurze Richtlinie plus ein geschäftlicher Zugang für die, die ihn wirklich brauchen.
Was ist ein lokales Modell und wann lohnt es sich?
Ein Sprachmodell, das auf einem Rechner im eigenen Netzwerk läuft, statt bei einem Anbieter im Internet. Die Daten verlassen das Haus nicht, es entstehen keine laufenden Nutzungskosten, dafür braucht es passende Hardware und die Leistung liegt unter der großen Modelle. Es lohnt sich überall dort, wo regelmäßig mit vertraulichen Inhalten gearbeitet wird, etwa in Kanzleien, Praxen und Personalabteilungen.
Was verlangt die KI-Verordnung konkret von uns?
Seit dem 2. Februar 2025 verpflichtet Artikel 4 jedes Unternehmen, das KI einsetzt, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen. Ein festes Curriculum ist nicht vorgeschrieben, die Maßnahmen müssen aber zur Rolle und zur tatsächlichen Nutzung passen und nachweisbar sein. Die nationale Durchsetzung läuft seit dem 2. August 2026. In der Praxis genügt für einen kleinen Betrieb meist eine dokumentierte Unterweisung zusammen mit einer schriftlichen Nutzungsrichtlinie.
Wir haben keinen Datenschutzbeauftragten. Ist das ein Problem?
Nicht zwangsläufig. Ein Datenschutzbeauftragter ist erst ab einer bestimmten Zahl von Personen Pflicht, die regelmäßig mit personenbezogenen Daten arbeiten, oder bei besonders sensiblen Verarbeitungen. Die Pflichten aus der DSGVO gelten aber unabhängig davon auch für kleine Betriebe. Ob dein Fall eine Bestellung erfordert, ist eine rechtliche Frage, die ich nicht beantworte. Ich sage dir, welche Verarbeitungen bei dir tatsächlich stattfinden, damit die Frage überhaupt beurteilt werden kann.
Was kostet die Einführung?
Sie wird nach Aufwand abgerechnet, zu 110 Euro netto je Stunde im 15-Minuten-Takt. Bestandsaufnahme und eine brauchbare Nutzungsrichtlinie sind für einen kleinen Betrieb meist an einem Tag zu schaffen. Ein lokales Modell einzurichten dauert länger und hängt an der Hardware. Was in deinem Fall nötig ist, klären wir im kostenlosen Erstgespräch.
