KI im Unternehmen: Warum jetzt ein Compliance-Check sinnvoll ist
KI ist in vielen Unternehmen längst Teil des Arbeitsalltags. ChatGPT wird für Texte genutzt, andere Anwendungen fassen Dokumente zusammen oder erstellen Präsentationen und auch in bestehender Software kommen immer häufiger KI-Funktionen hinzu.
Das Problem dabei: Nicht immer wissen Geschäftsführung, IT oder Datenschutzbeauftragte, welche Anwendungen tatsächlich genutzt werden und welche Informationen die Beschäftigten dort eingeben. Gerade weil neue Tools schnell ausprobiert und teilweise ohne zentralen Freigabeprozess eingesetzt werden, kann so eine schwer überschaubare KI-Landschaft entstehen.
Spätestens mit den schrittweise geltenden Vorgaben des europäischen AI Acts lohnt es sich deshalb, genauer hinzusehen. Seit dem 2. August 2026 gelten unter anderem neue Transparenzpflichten für bestimmte KI-Systeme und KI-generierte beziehungsweise manipulierte Inhalte. Eine pauschale Kennzeichnungspflicht für jeden mit KI erstellten Inhalt gibt es allerdings nicht. Welche Anforderungen gelten, hängt vom jeweiligen System, seinem Einsatz und der Art des Inhalts ab.
„Wir nutzen halt KI“ reicht nicht
Der AI Act verfolgt einen risikobasierten Ansatz. Je nachdem, wofür ein KI-System eingesetzt wird, gelten unterschiedliche Anforderungen. Anwendungen, die beispielsweise für bestimmte Entscheidungen in den Bereichen Beschäftigung, Personalmanagement oder Kreditwürdigkeitsprüfung eingesetzt werden, können als Hochrisiko-KI-Systeme eingestuft werden.
Unabhängig von der Einstufung nach dem AI Act bleibt für Unternehmen aber noch eine andere Frage entscheidend: Was passiert mit den Daten, die in ein KI-Tool eingegeben werden?
Werden personenbezogene Daten von Kunden oder Beschäftigten verarbeitet? Wo findet die Verarbeitung statt? Werden Eingaben gespeichert oder vom Anbieter anderweitig verwendet? Und ist überhaupt geklärt, ob diese Informationen in das jeweilige Tool eingegeben werden dürfen?
Genau deshalb sollten AI Act und Datenschutz nicht getrennt voneinander betrachtet werden. Ein KI-System kann aus Sicht des AI Acts vergleichsweise geringe Risiken mit sich bringen und trotzdem datenschutzrechtliche Fragen aufwerfen.
Beschäftigte brauchen KI-Kompetenz
Zu einem sinnvollen Compliance-Check gehört deshalb nicht nur eine Liste der eingesetzten Anwendungen. Unternehmen sollten auch ihre Mitarbeitenden mitnehmen.
Der AI Act verpflichtet Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zur Förderung der KI-Kompetenz der Personen zu ergreifen, die mit diesen Systemen arbeiten. Dabei geht es nicht darum, dass jeder Beschäftigte zum KI-Experten werden muss. Mitarbeitende sollten aber die für ihren konkreten Einsatz notwendigen Kenntnisse besitzen und Risiken einschätzen können.
Für den Unternehmensalltag bedeutet das vor allem: Wer KI nutzt, sollte auch wissen, welche Informationen dort eingegeben werden dürfen, wo Grenzen liegen und wann Rücksprache mit IT, Datenschutz oder anderen zuständigen Stellen notwendig ist.
Drei Schritte als Grundlage
Dafür braucht nicht jedes Unternehmen sofort eine hundertseitige KI-Richtlinie. Für einen ersten Überblick helfen bereits drei Schritte:
1. Tatsächliche Nutzung erfassen.
Welche KI-Tools und KI-Funktionen werden im Unternehmen wirklich eingesetzt? Dabei lohnt es sich, nicht nur auf offiziell eingeführte Anwendungen zu schauen, sondern auch die Beschäftigten einzubeziehen. Häufig werden mehr Tools genutzt, als zentral bekannt sind.
2. Daten und Einsatzzweck prüfen.
Für jedes relevante Tool sollte geklärt werden, wofür es eingesetzt wird und welche Daten dort verarbeitet werden. Bei personenbezogenen Kunden- oder Beschäftigtendaten ist eine andere Prüfung erforderlich als bei der Überarbeitung eines Textes ohne personenbezogene Informationen.
3. Verständliche Regeln festlegen.
Beschäftigte müssen wissen, welche Anwendungen sie nutzen dürfen, welche Informationen dort nichts zu suchen haben und an wen sie sich bei Unsicherheiten wenden können. Eine verständliche Regelung, die im Arbeitsalltag tatsächlich beachtet wird, ist dabei hilfreicher als ein umfangreiches Dokument, das niemand liest.
Der entscheidende Punkt ist deshalb nicht, KI aus dem Unternehmen herauszuhalten. Es geht darum, ihren Einsatz zu kennen und bewusst zu steuern. Wer weiß, welche Systeme verwendet werden, welche Daten verarbeitet werden und welche Regeln für die Beschäftigten gelten, schafft eine wesentlich bessere Grundlage für einen datenschutzkonformen Umgang mit KI.
Die ad hoc datenschutz unterstützt Unternehmen dabei, ihre eingesetzten KI-Anwendungen aus Datenschutzsicht zu prüfen und klare Prozesse für deren Nutzung zu entwickeln. Gemeinsam kann so geklärt werden, wo Handlungsbedarf besteht und welche Regeln im Arbeitsalltag tatsächlich sinnvoll sind.