KI rechtssicher einsetzen: DSGVO, AI Act und die Kompetenzpflicht nach Art. 4

Von der DSGVO-Rechtsgrundlage über die Risikoklassen des EU AI Acts bis zur Kompetenzpflicht nach Art. 4: Dieser Guide zeigt Unternehmen, was beim KI-Einsatz verbindlich gilt, welche Schulungsnachweise vor Behörden bestehen und wie der Weg zum prüffesten KI-Einsatz in sieben Schritten gelingt.

Zuletzt geprüft: 1. September 2026

KI rechtssicher einsetzen bedeutet: Sie kennen die Rechtsgrundlagen der DSGVO, ordnen Ihre KI-Systeme nach dem EU AI Act ein, schulen Ihr Team nachweisbar und dokumentieren alles so, dass es einer Prüfung standhält. Mit der Datenschutz-Grundverordnung und dem EU AI Act hat Europa einen umfassenden Rechtsrahmen für den KI-Einsatz geschaffen. Wer sie kennt und richtig umsetzt, kann KI-Systeme sicher, effizient und vertrauenswürdig betreiben.

Dieser Leitfaden führt Sie durch die vier Rechtsbereiche, die beim KI-Einsatz zusammenkommen: Datenschutz, KI-Verordnung, Urheberrecht und Haftung. Er zeigt, was seit wann gilt, was als Nachweis taugt und wie Sie in sieben Schritten zu einem prüffesten KI-Einsatz kommen. Der Text ersetzt keine Rechtsberatung im Einzelfall.

DSGVO-Grundlagen beim KI-Einsatz

Die Datenschutz-Grundverordnung ist die Basis jedes rechtssicheren KI-Einsatzes: Sobald personenbezogene Daten in ein KI-Tool fließen, brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter und eine Antwort auf die Frage, wo die Daten verarbeitet werden. Ohne diese drei Punkte ist der Einsatz nicht zulässig — unabhängig davon, ob das Tool kostenlos oder bezahlt ist.

Vier DSGVO-Prinzipien sind beim KI-Einsatz entscheidend:

Rechtsgrundlage: die erste Frage vor jedem Tool-Einsatz

Personenbezogene Daten — Namen, Adressen, E-Mail-Adressen, Gesundheitsdaten — dürfen nach Art. 6 der Verordnung (EU) 2016/679 (DSGVO, Amtsblatt der EU vom 4. Mai 2016) nur verarbeitet werden, wenn eine Rechtsgrundlage vorliegt: Einwilligung, Vertragserfüllung oder berechtigtes Interesse. Das Kernproblem vieler KI-Tools: Kostenlose Varianten und Consumer-Abos nutzen Eingaben standardmäßig zum Modelltraining. Wer Kundendaten in ein solches Tool eingibt, verliert die Kontrolle über die Verarbeitung.

Auftragsverarbeitungsvertrag: Pflicht mit jedem KI-Anbieter

Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist ein Pflichtvertrag mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet — also auch mit KI-Anbietern. Der AVV regelt, zu welchen Zwecken Daten verarbeitet werden dürfen, welche technisch-organisatorischen Maßnahmen der Anbieter trifft und dass Daten nicht zu eigenen Zwecken wie Modelltraining genutzt werden. OpenAI, Anthropic und Microsoft bieten AVVs für ihre Business-, Team- und Enterprise-Pläne an — nicht jedoch für Gratis- oder Consumer-Versionen. Für den Unternehmenseinsatz mit personenbezogenen Daten sind deshalb nur Lizenzen DSGVO-konform, die einen AVV bieten und das Modelltraining auf Ihren Eingaben ausschließen.

EU-Hosting: wo die Daten tatsächlich liegen

EU-Hosting bedeutet, dass Daten ausschließlich auf Servern innerhalb der Europäischen Union gespeichert und verarbeitet werden. Das ist relevant, weil US-Unternehmen unter dem US CLOUD Act verpflichtet werden können, Daten an US-Behörden herauszugeben — auch wenn die Server in Europa stehen. Für hochsensible Daten wie Gesundheitsdaten, Bankdaten oder Bewerberprofile ist EU-Hosting oder eine lokal betriebene Lösung zwingend zu prüfen. Die Faustregel für den Alltag: öffentliche Daten dürfen in alle Tools, interne Geschäftsdaten nur in Tools mit AVV und abgeschaltetem Training, personenbezogene Daten nur in geprüfte Enterprise-Umgebungen.

EU AI Act: Risikoklassen und Zeitplan

Der EU AI Act — amtlich die Verordnung (EU) 2024/1689 (EUR-Lex, Amtsblatt der EU vom 12. Juli 2024) — ist das weltweit erste umfassende KI-Gesetz. Er ist am 1. August 2024 in Kraft getreten und gilt gestaffelt: Die verbotenen Praktiken nach Art. 5 und die KI-Kompetenzpflicht nach Art. 4 sind seit dem 2. Februar 2025 verbindlich. Das Gesetz betrifft nicht nur KI-Entwickler, sondern jedes Unternehmen, das KI einsetzt.

Der AI Act klassifiziert KI-Systeme in vier Risikostufen:

RisikoklasseBeispieleFolge
Unannehmbares RisikoSocial Scoring, manipulative Systeme, Emotionsanalyse am ArbeitsplatzVerboten (Art. 5)
Hohes RisikoKI in Recruiting, Bildung, Kreditvergabe, kritischer InfrastrukturStrenge Dokumentations-, Transparenz- und Aufsichtspflichten
Begrenztes RisikoChatbots, DeepfakesTransparenzpflicht: Nutzer müssen wissen, dass KI im Spiel ist
Minimales RisikoSpam-Filter, ProduktionsoptimierungKeine besonderen Anforderungen

Der Zeitplan im Überblick:

Wichtig für Ihre Planung: Die EU passt einzelne Fristen und Detailpflichten des AI Acts im laufenden Gesetzgebungsverfahren an. Prüfen Sie vor weitreichenden Compliance-Entscheidungen die konsolidierte Fassung auf EUR-Lex oder lassen Sie sich beraten. An den beiden bereits geltenden Pflichten — Verbote und KI-Kompetenz — ändert das nichts.

Besonders relevant für den Mittelstand: Wer KI im Recruiting einsetzt, ist in der Hochrisiko-Zone. Anhang III des AI Acts listet KI zur Auswahl und Beurteilung von Bewerberinnen und Bewerbern ausdrücklich als Hochrisiko-Anwendung. Jede KI-gestützte Personalentscheidung braucht eine menschliche Überprüfung. Wie Sie Ihr Team dafür fit machen, zeigt der Leitfaden KI-Schulung im Unternehmen: was wirklich wirkt.

KI-Kompetenzpflicht nach Art. 4 EU AI Act

Art. 4 der Verordnung (EU) 2024/1689 verpflichtet seit dem 2. Februar 2025 alle Anbieter und Betreiber von KI-Systemen, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Betreiber ist jedes Unternehmen, das KI-Tools im Alltag nutzt — ChatGPT, Microsoft Copilot, Claude, KI-gestützte HR-Tools oder Chatbots auf der Website. Die Pflicht gilt unabhängig von Unternehmensgröße und Branche, und sie gilt jetzt.

Der amtliche Wortlaut

„Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen, wobei ihre technischen Kenntnisse, ihre Erfahrung, ihre Ausbildung und Schulung und der Kontext, in dem die KI-Systeme eingesetzt werden sollen, sowie die Personen oder Personengruppen, bei denen die KI-Systeme eingesetzt werden sollen, zu berücksichtigen sind."

Quelle: Art. 4 der Verordnung (EU) 2024/1689, Amtsblatt der EU vom 12. Juli 2024.

Wer ist betroffen?

Die Pflicht trifft Anbieter (Unternehmen, die KI entwickeln oder vertreiben) und Betreiber (Unternehmen, die KI im eigenen Betrieb einsetzen). Für die meisten Unternehmen ist die Betreiber-Rolle relevant: Wer ChatGPT für Angebote nutzt, ist Betreiber. Wer Copilot im Marketing einsetzt, ist Betreiber. Wer ein KI-Tool im Recruiting nutzt, ist Betreiber — und zusätzlich in der Hochrisiko-Zone. Es gibt keine Größenausnahme: Auch Soloselbstständige und kleine Teams fallen unter Art. 4, sobald sie KI-Systeme einsetzen. Ob die KI kostenlos oder bezahlt genutzt wird, spielt keine Rolle.

Was ist „ausreichende KI-Kompetenz"?

Das Gesetz definiert KI-Kompetenz in Art. 3 Nr. 56 als die Fähigkeiten, Kenntnisse und das Verständnis, um KI-Systeme sachkundig einzusetzen und sich der Chancen, Risiken und möglicher Schäden bewusst zu sein. Aus dieser Definition und Erwägungsgrund 20 der Verordnung lassen sich drei Dimensionen ableiten:

Das Gesetz schreibt weder eine Mindeststundenzahl noch ein bestimmtes Format vor. Es gilt die Best-Efforts-Formulierung: Das Unternehmen muss nachweisbar aktiv geworden sein — und das dokumentieren können.

Was gilt als Nachweis? Die Schulungsnachweis-Hierarchie

Das Gesetz verlangt keine spezifische Zertifizierung. In der Praxis gibt es aber eine klare Hierarchie der Beweiskraft:

  1. AZAV-zertifizierter Kurs mit individuellem Abschluss: Der stärkste Nachweis. Träger- und Maßnahmenzulassung durch eine akkreditierte fachkundige Stelle, dokumentierte Lerninhalte, extern geprüfte Qualitätssicherung und ein personalisierter Qualifikationsnachweis geben bei einer Behördenprüfung oder im Schadensfall das stärkste Argument.
  2. Kurs bei IHK, TÜV oder DEKRA mit Teilnahmebescheinigung: Sehr guter Nachweis — anerkannter Anbieter, dokumentierte Teilnahme und Inhalte.
  3. Externer Kurs ohne Akkreditierung mit Teilnahmebescheinigung: Ausreichend, wenn die Inhalte dokumentiert sind; geringere Beweiskraft.
  4. Interne Schulung mit Protokoll und Anwesenheitsliste: Zulässig, aber schwächer — muss sehr detailliert dokumentiert sein (Inhalte, Datum, Teilnehmende).
  5. Mündliches Briefing, WhatsApp-Nachricht oder E-Mail ohne Dokumentation: Kaum belegbar und im Ernstfall nicht als Nachweis geeignet.

Wenn Sie die Schulung Ihrer Beschäftigten über das Qualifizierungschancengesetz fördern lassen möchten, finden Sie den Weg dorthin im QCG-Guide für Unternehmen.

Urheberrecht und KI-Output

KI-generierte Inhalte ohne wesentlichen menschlichen kreativen Beitrag sind nach aktueller Rechtslage in Deutschland und der EU gemeinfrei: Das Urheberrecht setzt einen menschlichen Urheber voraus. Ihr Unternehmen kann solche Inhalte nutzen — aber Wettbewerber dürfen dieselben Outputs theoretisch ebenfalls verwenden. Ein eigenes Urheberrecht entsteht erst, wenn Sie den KI-Output durch eigene kreative Entscheidungen erheblich prägen und überarbeiten.

Drei Punkte sollten Sie für die Praxis kennen:

Sanktionen: Was bei Verstößen droht

Der EU AI Act sieht in Art. 99 gestaffelte Sanktionen vor. Für verbotene Praktiken nach Art. 5 drohen Geldbußen bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. So steht es in Art. 99 der Verordnung (EU) 2024/1689 (EUR-Lex, Amtsblatt der EU vom 12. Juli 2024). Andere Verstöße werden mit niedrigeren Stufen geahndet; für KMU und Start-ups können reduzierte Schwellenwerte gelten.

Ein häufiges Missverständnis: Art. 4 selbst ist kein eigenständiger Bußgeldtatbestand — die 35 Millionen Euro gelten für andere Verstöße. Die realen Risiken bei fehlender Schulung liegen woanders:

Praxis-Fahrplan: In sieben Schritten zum rechtssicheren KI-Einsatz

Rechtssicherer KI-Einsatz ist kein Projekt für Monate, sondern eine strukturierte Abfolge von sieben Schritten: Inventur, Datenklassifizierung, Lizenzprüfung, Schulung, Richtlinie, Betriebsrat und Dokumentation. Wer diese Reihenfolge einhält, erfüllt die aktuell geltenden Pflichten aus DSGVO und AI Act und ist auf die Hochrisiko-Anforderungen vorbereitet.

  1. KI-Tools inventarisieren: Welche KI-Anwendungen nutzt Ihr Team — offiziell und inoffiziell? Welche Daten gehen hinein, welche Entscheidungen hängen daran? Eine vollständige Liste ist die Grundlage für alles Weitere.
  2. Daten klassifizieren: Legen Sie fest, welche Datenarten in welche Tools dürfen. Kundendaten und Mitarbeiterdaten gehören ausschließlich in Enterprise-Tools mit AVV.
  3. Lizenzen und Verträge prüfen: Schließen Sie mit jedem Anbieter, der personenbezogene Daten verarbeitet, einen AVV. Prüfen Sie Trainings-Ausschluss und Hosting-Standort.
  4. Team schulen: Erfüllen Sie die Kompetenzpflicht nach Art. 4 — strukturiert, dokumentiert, mit Inhaltsbeschreibung. Ein einmaliges Briefing genügt nicht.
  5. KI-Nutzungsrichtlinie erstellen: Halten Sie schriftlich fest, wer welche Tools zu welchem Zweck nutzen darf — und welche Nutzungen untersagt sind.
  6. Betriebsrat einbinden: Bei Systemen, die Verhalten oder Leistung von Beschäftigten erfassen können, hat der Betriebsrat nach § 87 BetrVG ein zwingendes Mitbestimmungsrecht. Ohne Zustimmung ist die Einführung rechtswidrig.
  7. Nachweise archivieren: Teilnahmelisten, Zertifikate, Inhaltsübersichten, AVVs und die Nutzungsrichtlinie an einem Ort ablegen — das ist Ihr Compliance-Paket für jede Prüfung.

Das vollständige Compliance-Paket besteht damit aus: KI-Nutzungsrichtlinie, AVV je Anbieter, Datenklassifizierungsschema, Schulungsnachweisen, gegebenenfalls Betriebsvereinbarung und Datenschutz-Folgenabschätzung sowie — für Hochrisiko-Systeme — der technischen AI-Act-Dokumentation.

Häufige Fragen zum rechtssicheren KI-Einsatz

Die folgenden Antworten stammen aus dem Rechtsteil unserer KI-Manager-Weiterbildung und beantworten die Fragen, die Teilnehmende und Unternehmen uns am häufigsten stellen — von der Kundendaten-Frage über Lizenzen und Urheberrecht bis zum Betriebsrat. Jede Antwort steht für sich und ist direkt im Arbeitsalltag anwendbar.

Darf ich Kundendaten in ChatGPT eingeben?

Grundsätzlich nein — nicht ohne weiteres. Personenbezogene Daten dürfen nach DSGVO Art. 6 nur verarbeitet werden, wenn eine Rechtsgrundlage vorliegt. Das Kernproblem: Free- und Plus-Varianten nutzen Eingaben standardmäßig zum Modelltraining. Lösungen: das Training in den Einstellungen abschalten, auf eine Team- oder Enterprise-Lizenz mit AVV wechseln oder europäische Alternativen nutzen. Faustregel: keine Namen, Adressen, Gesundheitsdaten oder Kontaktinformationen in Consumer-Varianten eingeben.

Was ist ein Auftragsverarbeitungsvertrag und wann brauche ich ihn?

Ein AVV gemäß DSGVO Art. 28 ist ein Pflichtvertrag mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet — also auch mit KI-Anbietern. Er regelt Verarbeitungszwecke, technisch-organisatorische Maßnahmen und den Ausschluss der Nutzung Ihrer Daten für das Modelltraining. Angeboten wird er in der Regel nur für Business- und Enterprise-Pläne, nicht für Gratis-Versionen.

Was unterscheidet Consumer- und Enterprise-KI-Lizenzen?

Consumer-Lizenzen sind für den privaten Gebrauch konzipiert: in der Regel kein AVV, Eingaben können für Modelltraining gespeichert werden, US-Recht. Enterprise-Lizenzen sind für Unternehmen ausgelegt: AVV inklusive, kein Training auf Eingaben, oft EU-Datenspeicherung möglich. Für den Unternehmenseinsatz mit personenbezogenen Daten sind nur Lizenzen mit AVV und ausgeschlossenem Modelltraining DSGVO-konform — bei den großen Anbietern die Business-, Team- und Enterprise-Pläne, nicht die Gratis- und Consumer-Versionen.

Welche KI-Systeme sind nach EU AI Act absolut verboten?

Art. 5 EU AI Act verbietet seit Februar 2025 unter anderem: Social Scoring (durch öffentliche wie private Akteure), Manipulation unter Ausnutzung von Schwächen, biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken (mit engen Ausnahmen), die Vorhersage kriminellen Verhaltens anhand persönlicher Merkmale, Emotionsanalyse am Arbeitsplatz und in Bildungseinrichtungen sowie biometrische Kategorisierung nach politischer Meinung, Religion oder sexueller Orientierung. Für Unternehmen besonders relevant: Emotionsanalyse-Tools, etwa in Video-Bewerbungsgesprächen, sind verboten.

Warum ist KI im Recruiting hochriskant?

Anhang III des EU AI Acts stuft KI für Beschäftigung und Personalverwaltung als Hochrisiko-KI ein — ausdrücklich auch KI zur Auswahl und Beurteilung von Bewerberinnen und Bewerbern. Wer KI zur Vorauswahl von Bewerbungen oder zur Video-Interview-Analyse einsetzt, muss umfassende Dokumentations-, Transparenz- und Prüfpflichten erfüllen. Eine menschliche Überprüfung jeder KI-Entscheidung ist Pflicht, und Bewerber müssen über den KI-Einsatz informiert werden.

Wem gehören KI-generierte Texte und Bilder?

Nach aktueller Rechtslage: niemandem — KI allein kann kein Urheberrecht begründen, denn das Urheberrecht setzt einen menschlichen Urheber voraus. KI-Inhalte ohne wesentlichen menschlichen Beitrag sind gemeinfrei. Erst wenn Sie den Output erheblich bearbeiten und durch eigene kreative Entscheidungen prägen, kann ein eigenes Urheberrecht am Ergebnis entstehen. Dokumentieren Sie diesen Beitrag.

Hat der Betriebsrat ein Mitspracherecht bei der KI-Einführung?

Ja — und das wird in der Praxis oft unterschätzt. § 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein zwingendes Mitbestimmungsrecht bei technischen Einrichtungen, die Verhalten oder Leistung von Beschäftigten überwachen können. KI-Systeme, die E-Mails analysieren, Arbeitszeiten auswerten oder Produktivitätsdaten erfassen, fallen fast immer darunter. Ohne Zustimmung des Betriebsrats ist die Einführung solcher Systeme rechtswidrig.

Welche Dokumente brauche ich für einen rechtssicheren KI-Einsatz?

Die minimale Compliance-Dokumentation: eine KI-Nutzungsrichtlinie, ein AVV mit jedem KI-Anbieter, der personenbezogene Daten verarbeitet, ein Datenklassifizierungsschema, Schulungsnachweise nach Art. 4, gegebenenfalls eine Betriebsvereinbarung und eine Datenschutz-Folgenabschätzung für Hochrisiko-Verarbeitungen sowie die technische AI-Act-Dokumentation für Hochrisiko-Systeme.

Rechtssicherheit lernen: Lernblock D der KI-Manager-Weiterbildung

Alle Themen dieses Leitfadens — DSGVO, AI Act, Urheberrecht, Arbeitsrecht und KI-Ethik — sind fester Bestandteil der Weiterbildung „Zertifizierter KI-Manager und KI-Entwickler" von FBS Future Education: Die rechtlichen Grundlagen gehören zu Lernblock A, die Vertiefung folgt in Lernblock D „Vertiefung Recht und AI Act" mit 15 Unterrichtseinheiten. Dort erarbeiten Sie unter anderem Vorlagen für AVVs, Datenschutz-Folgenabschätzungen und KI-Nutzungsrichtlinien — die Bausteine des Compliance-Pakets aus diesem Artikel.

Die Weiterbildung umfasst 410 Unterrichtseinheiten in 17 Wochen Teilzeit, läuft Montag bis Freitag von 9 bis 13 Uhr, komplett online und live mit maximal 12 Teilnehmenden. Sie ist AZAV-zertifiziert durch die Cert-IT GmbH — und damit selbst ein Beispiel für die stärkste Stufe der Schulungsnachweis-Hierarchie. Den Aufbau aller sechs Lernblöcke finden Sie auf der Übersicht der Lernblöcke.

Für Beschäftigte kann der Arbeitgeber die Förderung über das Qualifizierungschancengesetz (§ 82 SGB III) vor Maßnahmenbeginn beim Arbeitgeberservice beantragen; Arbeitsuchende nutzen den Bildungsgutschein (§ 81 SGB III) — bei Bewilligung mit 0 Euro Eigenanteil. Bis zu 100 % Förderung sind möglich; ob und in welcher Höhe gefördert wird, entscheidet immer die zuständige Stelle im Einzelfall. Nächster Kursstart ist der 21. September 2026.

Der nächste Schritt: Klären Sie in einer kostenlosen Beratung, welcher Förderweg zu Ihrer Situation passt und wie Sie die Kompetenzpflicht in Ihrem Unternehmen konkret erfüllen. Alle Informationen zu Antrag und Ablauf finden Sie unter Fördermittel und Beratung — oder Sie vereinbaren direkt über die Kontaktseite einen Termin.

Weiterbildung Zertifizierter KI-Manager und KI-Entwickler bei FBS Future Education

FBS Future Education ist ein AZAV-zertifizierter Bildungsträger (Träger- und Maßnahmenzulassung durch die Cert-IT GmbH) aus Wiesbaden. Die Weiterbildung Zertifizierter KI-Manager und KI-Entwickler umfasst 6 aufeinander aufbauende Lernblöcke und findet vollständig live und online statt — Montag bis Freitag zu festen Unterrichtszeiten, in Gruppen mit maximal 12 Teilnehmenden. Im Unterricht arbeiten die Teilnehmenden mit über 50 KI-Tools.

Format und Teilnahme

Die Weiterbildung ist kein Selbstlernkurs: Die Teilnahme ist verbindlich, die Anwesenheit wird erfasst, und eine freie Zeiteinteilung außerhalb der Kurszeiten ist nicht vorgesehen. Aufzeichnungen ersetzen nicht die Teilnahme am Live-Unterricht. Beschäftigte benötigen für die festgelegten Unterrichtszeiten eine Freistellung durch ihren Arbeitgeber.

Förderung

Eine Förderung über den Bildungsgutschein oder das Qualifizierungschancengesetz ist bei erfüllten Voraussetzungen möglich — mit bewilligtem Bildungsgutschein entsteht für Teilnehmende kein Eigenanteil. Ob und in welchem Umfang eine Förderung möglich ist, entscheidet die zuständige Stelle nach Prüfung des Einzelfalls. FBS kann beraten und Unterlagen bereitstellen, aber keine Förderung garantieren.

Abschluss und Zertifikat

Zum Abschluss absolvieren Teilnehmende eine trägerinterne Abschlussprüfung über die vollständigen Inhalte einschließlich einer praktischen Projektarbeit und erhalten einen Qualifikationsnachweis von FBS Future Education. Dieser ist kein IHK-Zertifikat und kein öffentlich-rechtlicher IHK-Abschluss. Der nächste Kurs startet am 21. September 2026; weitere Starttermine erfahren Sie in der kostenlosen Beratung.