Darf ich KI im Betrieb überhaupt einsetzen?

Was heute gilt – in vier Sätzen

Erstens: Der Einsatz von KI im Betrieb ist erlaubt und nicht genehmigungspflichtig. Es gibt keine Behörde, bei der Sie das anmelden müssten.

Zweitens: Seit dem 2. Februar 2025 sind einige Anwendungen verboten – darunter Emotionserkennung am Arbeitsplatz und Bewertungssysteme, die Menschen nach ihrem Sozialverhalten einstufen. Das trifft normale Büroautomatisierung nicht.

Drittens: Seit dem 2. August 2026 muss erkennbar sein, wenn ein Mensch mit einer Maschine spricht oder maschinell erzeugte Inhalte sieht. Das ist die Regel, die die meisten Betriebe tatsächlich betrifft.

Viertens: Die strengen Pflichten für sogenannte Hochrisiko-Anwendungen wurden im Sommer 2026 verschoben und greifen erst ab Dezember 2027 beziehungsweise August 2028. Und selbst dann nur für einen eng umrissenen Kreis von Anwendungen.

Seit August 2026: Die KI muss sich zu erkennen geben

Der praktisch wichtigste Punkt steht in Artikel 50 der KI-Verordnung und gilt seit dem 2. August 2026. Er verlangt keine Dokumentation und keine Prüfung, sondern Ehrlichkeit: Wer mit einer Maschine spricht, muss das wissen können.

Konkret heißt das: Ein Chat auf Ihrer Website, der von einer KI beantwortet wird, braucht einen Hinweis darauf. Nicht im Impressum, sondern dort, wo der Chat stattfindet. Ein Satz genügt.

Dasselbe gilt für maschinell erzeugte Bilder, Tonaufnahmen oder Videos, die Sie veröffentlichen. Auch hier geht es nicht um ein Verbot, sondern um Kennzeichnung.

Nicht betroffen ist der interne Einsatz. Wenn eine KI Ihnen einen Antwortentwurf vorbereitet, den Sie lesen, ändern und dann selbst absenden, ist der Absender ein Mensch – und es gibt nichts zu kennzeichnen. Die Grenze verläuft dort, wo die Maschine ohne menschlichen Zwischenschritt mit Ihrem Kunden spricht.

Verstöße können teuer werden: Der Rahmen reicht bis 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes. Diese Zahlen zielen erkennbar auf große Anbieter, aber sie zeigen, dass die Regel ernst gemeint ist.

Hochrisiko – warum das die meisten Betriebe nicht betrifft

Der Begriff „Hochrisiko" klingt nach etwas, das man vorsichtshalber auf sich bezieht. Die Verordnung meint damit aber eine abschließend aufgezählte Liste: Anwendungen, die über Bewerbungen, Beförderungen oder Kündigungen entscheiden, über Kreditwürdigkeit, über Zugang zu Bildung, oder die in kritischer Infrastruktur stecken.

Rechnungen schreiben, Termine planen, E-Mails vorsortieren, Angebote entwerfen, Zahlungseingänge zuordnen – nichts davon steht auf dieser Liste.

Wo es für einen normalen Betrieb heikel werden kann, ist die Personalauswahl. Wer Bewerbungen von einer Maschine vorsortieren lässt, bewegt sich in genau dem Bereich, den die Verordnung streng regelt. Dieselbe Frage stellt sich bei Software, die Mitarbeiter bewertet oder überwacht.

Die Fristen dafür wurden im Sommer 2026 verschoben: Anwendungen der einen Kategorie ab dem 2. Dezember 2027, eingebettete Systeme ab dem 2. August 2028. Verschoben ist allerdings nicht abgeschafft – wer heute plant, eine solche Anwendung einzuführen, sollte die Pflichten von Anfang an mitdenken.

Die schwierigere Baustelle heißt Datenschutz

In der Praxis stolpern Betriebe seltener über die KI-Verordnung als über die Datenschutz-Grundverordnung. Sie gilt seit Jahren, und der Einsatz einer KI ändert an ihr nichts – er macht nur sichtbarer, wo es vorher schon unsauber war.

Der erste Punkt ist der Auftragsverarbeitungsvertrag. Wenn Kundendaten in ein Werkzeug fließen, das ein Dienstleister betreibt, braucht es nach Artikel 28 DSGVO einen Vertrag darüber. Das ist Papierarbeit, kein Hindernis – aber es fehlt oft.

Der zweite Punkt ist Artikel 22: Über eine Person darf nicht ausschließlich automatisiert entschieden werden, wenn die Entscheidung sie erheblich betrifft. Eine Absage an einen Bewerber, die niemand gelesen hat, fällt darunter. Ein Antwortentwurf, den Sie freigeben, nicht.

Der dritte Punkt ist der, der am häufigsten übersehen wird: Mitarbeiter, die Kundendaten in ihr privates KI-Konto tippen, weil es schneller geht. Das ist eine Weitergabe an einen Dritten ohne Grundlage – und sie passiert lautlos. Eine kurze schriftliche Regel, welche Werkzeuge erlaubt sind und welche nicht, ist hier wirksamer als jede technische Sperre.

Was Sie an einem Vormittag erledigen können

Schreiben Sie auf, welche KI-Werkzeuge im Betrieb genutzt werden dürfen und welche nicht. Eine Seite reicht. Wichtig ist der Satz, dass Kundendaten nur in die freigegebenen Werkzeuge gehören.

Prüfen Sie, ob für jedes Werkzeug ein Auftragsverarbeitungsvertrag vorliegt. Bei seriösen Anbietern liegt er zum Abruf bereit.

Setzen Sie einen Hinweis an jede Stelle, an der eine Maschine direkt mit Kunden spricht. Wenn es keine solche Stelle gibt, ist auch dieser Punkt erledigt.

Legen Sie fest, was ohne menschliche Freigabe hinausgehen darf – und beginnen Sie mit: nichts. Sie können die Leine später verlängern; sie zurückzuholen, nachdem etwas Falsches beim Kunden gelandet ist, ist ungleich schwerer.

Und sprechen Sie einmal mit der Belegschaft darüber. Artikel 4 der KI-Verordnung verlangt seit Februar 2025, dass Beschäftigte ausreichend Kenntnis im Umgang mit KI haben. Ein vorgeschriebenes Niveau gibt es nicht – aber „wir haben nie darüber gesprochen" ist keine gute Antwort, wenn jemand fragt.