Zum Inhalt springen

KI 8 Min. Lesezeit Von Sascha Zaluskowski

KI-Pflichten im Betrieb: Was 2026 wirklich gilt

Hände über ausgedruckten Unterlagen mit Diagrammen, Kugelschreiber und Textmarker — der Ort, an dem im Betrieb über KI entschieden wird

Stand: 5. August 2026. Dieser Beitrag stellt den Sachstand dar und ist keine Rechtsberatung.

Zwei Lager — und beide haben dasselbe Problem

In den Betrieben, mit denen ich zu tun habe, gibt es beim Thema KI im Wesentlichen zwei Haltungen.

Die einen haben es untersagt. Der Chef sagt: Kommt mir nicht ins Haus, das ist rechtlich zu heikel. Die anderen haben schlicht nichts entschieden — und im Betrieb wird längst getippt. Der Meister lässt sich das Anschreiben zum Angebot formulieren, im Büro wird eine Ausschreibung zusammengefasst, jemand fragt nach der passenden Ersatzteilnummer. Auf privaten Konten, in einem Browser-Tab, ohne dass es irgendwo festgehalten wäre.

Das Problem ist in beiden Fällen dasselbe: Es gibt keine Entscheidung, an der sich jemand orientieren könnte. Wo es untersagt ist, wird es trotzdem benutzt — nur unauffälliger. Wo nichts geregelt ist, weiß niemand, was schon alles hineingeschrieben wurde.

Was rechtlich tatsächlich gilt, ist dabei deutlich nüchterner, als der Markt es derzeit darstellt. Die Zahlen, die in Werbemails für Schulungen stehen, gehören meist zu Regeln, die auf einen Handwerksbetrieb gar nicht anwendbar sind. Hier steht, was wirklich gilt — und was nicht.

Der Punkt, den fast alle übersehen: Ihre Betriebsgeheimnisse

Die interessanteste Regel für einen kleinen Betrieb steht gar nicht in der KI-Verordnung. Sie steht im Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG).

Dort ist ein Geschäftsgeheimnis nur dann geschützt, wenn es Gegenstand “angemessener Geheimhaltungsmaßnahmen” ist (§ 2 Nr. 1 lit. b GeschGehG). Anders gesagt: Der Schutz ist nichts, was Ihre Kalkulation von selbst hat. Er hängt daran, dass Sie erkennbar etwas dafür tun.

Und genau da wird es praktisch. Wer seine Nachkalkulation, seine Stundensätze oder eine Konstruktionszeichnung in ein frei zugängliches KI-Werkzeug kopiert, bei dem die Eingaben zum Training verwendet werden dürfen, gibt diese Information aus der eigenen Sphäre heraus. Der Schaden entsteht nicht erst, wenn tatsächlich etwas nach außen dringt. Es kann schon der Status als geschütztes Geheimnis verloren gehen — und damit die Grundlage, gegen einen Nachahmer oder einen abgewanderten Mitarbeiter überhaupt vorzugehen.

Das ist kein Argument gegen KI. Es ist ein Argument dafür, vorher festzulegen, was in welches Werkzeug darf. Ein Satz in einer Betriebsanweisung reicht dafür oft schon aus.

“Kalkulationen, Konstruktionsunterlagen und Kundendaten werden ausschließlich über das freigegebene betriebliche KI-Konto verarbeitet, niemals über private oder öffentlich zugängliche KI-Werkzeuge.”

Das ist ein Formulierungsvorschlag für eine Betriebsanweisung, keine Rechtsberatung — passen Sie ihn an die Werkzeuge und Daten an, die in Ihrem Betrieb tatsächlich vorkommen.

Datenschutz: Wer verarbeitet hier eigentlich für wen?

Sobald personenbezogene Daten im Spiel sind — Kundenname, Adresse, Mitarbeiterdaten, die Mängelrüge mit Klarnamen — greift die DSGVO wie bei jedem anderen Dienstleister auch.

Zwei Punkte sind dabei die üblichen:

Auftragsverarbeitung nach Art. 28 DSGVO. Wer einen externen KI-Dienst geschäftlich einsetzt, braucht in aller Regel einen Auftragsverarbeitungsvertrag. Die großen Anbieter stellen einen bereit, aber meist nur in ihren geschäftlichen Tarifen — nicht im kostenlosen Zugang.

Drittlandtransfer nach Art. 44 ff. DSGVO. Läuft die Verarbeitung außerhalb der EU, braucht es dafür eine Grundlage. Auch das regeln die Anbieter üblicherweise in ihren Geschäftsbedingungen; man muss nur wissen, dass man hinschauen sollte.

Das häufigste Problem in der Praxis ist aber ein ganz anderes, und es hat mit Vertragstexten wenig zu tun: private Konten der Mitarbeiter. Wenn jemand mit seinem eigenen Zugang arbeitet, gibt es keinen Vertrag zwischen Ihrem Betrieb und dem Anbieter, keine Zusage zur Löschung und keine Möglichkeit herauszufinden, was dort eingegeben wurde. Der Betrieb bleibt trotzdem verantwortlich. Ein einziges betriebliches Konto mit klaren Regeln ist deshalb fast immer besser als ein Verbot, das niemand einhält.

Die KI-Verordnung, nüchtern betrachtet

Aus der EU-KI-Verordnung betrifft kleine Betriebe vor allem ein Artikel: Artikel 4, KI-Kompetenz. Er gilt seit dem 2. Februar 2025 und richtet sich an jeden, der KI beruflich einsetzt — unabhängig von der Betriebsgröße. Der Bäcker mit zwölf Leuten ist davon genauso erfasst wie ein Konzern.

Jetzt der Teil, der im Markt regelmäßig falsch dargestellt wird. Artikel 4 steht nicht im EU-Bußgeldkatalog des Artikels 99. Dessen Absatz 3 nennt allein Artikel 5 — die verbotenen Praktiken, hier liegt der oft zitierte Höchstbetrag. Absatz 4 nennt die Artikel 16, 22 bis 24, 26, 31, 33 und 34 sowie 50. Artikel 4 kommt in dieser Aufzählung nicht vor.

Daraus wird in vielen Beiträgen ein schlichtes “nicht bußgeldbewehrt”. So einfach ist es nicht: Artikel 99 Absatz 1 verpflichtet die Mitgliedstaaten, für Verstöße gegen die Verordnung Sanktionen vorzusehen. Ob das deutsche Durchführungsrecht für Artikel 4 davon Gebrauch macht, habe ich nicht abschließend geprüft — und behaupte deshalb auch nicht, dass es folgenlos bleibt. Was sich sagen lässt: Der Betrag, mit dem geworben wird, gehört nicht hierher.

Dazu kommt eine Entschärfung. Der sogenannte Digital Omnibus — die Verordnung (EU) 2026/1744, am 24. Juli 2026 im Amtsblatt veröffentlicht und seit dem 27. Juli 2026 in Kraft — hat Artikel 4 neu gefasst. Verlangt werden jetzt nur noch Maßnahmen zur Unterstützung der KI-Kompetenz, und ausdrücklich kein garantiertes Kompetenzniveau für irgendeine einzelne Person. Wer seine Leute einweist und das festhält, hat getan, was verlangt ist.

Artikel 50: Kennzeichnung — und wen sie wirklich trifft

Der zweite Artikel, der gerade durch die Presse geht, ist Artikel 50 zu den Transparenzpflichten. Er gilt seit dem 2. August 2026, und anders als Artikel 4 ist er bußgeldbewehrt (Art. 99 Abs. 4 lit. g).

Trotzdem trifft er die wenigsten Handwerksbetriebe. Der Grund ist die Reichweite: Die Pflicht, KI-erzeugte oder bearbeitete Texte zu kennzeichnen, greift nur bei Veröffentlichungen, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Und sie entfällt, wenn der Text vor der Veröffentlichung von einem Menschen inhaltlich geprüft wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung dafür trägt. Angebote, Rechnungen und Kundenmails sind davon nicht erfasst. Ein mit KI vorformuliertes Anschreiben, das Sie vor dem Absenden lesen, braucht keinen Hinweis.

Dazu kommt eine Übergangsfrist, die derzeit häufig falsch zitiert wird: Für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, läuft sie bis zum 2. Dezember 2026. Sie betrifft allerdings die Anbieter dieser Systeme und deren maschinenlesbare Kennzeichnung — nicht Sie als Anwender.

Hochrisiko: verschoben, mit zwei verschiedenen Terminen

Die eigentlich strengen Pflichten der Verordnung hängen an den Hochrisiko-Systemen. Die sind zweimal verschoben worden, und die beiden Verschiebungen haben unterschiedliche Ausgangspunkte:

  • Systeme nach Anhang III (Einstufung über den Einsatzzweck, etwa in der Personalauswahl) sollten ab dem 2. August 2026 erfasst sein. Dieser Termin ist auf den 2. Dezember 2027 verschoben.
  • Systeme nach Anhang I (KI als Sicherheitsbauteil in einem Produkt) waren für den 2. August 2027 vorgesehen. Dieser Termin ist auf den 2. August 2028 verschoben.

Wer beide Daten in eine Klammer zieht, verwechselt zwei verschiedene Regelungsstränge. Für die allermeisten kleinen Betriebe ist das ohnehin kein Thema: Ein Textwerkzeug im Büro ist kein Hochrisiko-System. Interessant wird es, sobald KI in der Personalauswahl mitentscheidet — dann lohnt der genaue Blick.

Wer beaufsichtigt das in Deutschland?

Seit dem 29. Juli 2026 ist das Gesetz zur Durchführung der KI-Verordnung in Kraft. Es macht die Bundesnetzagentur zur Auffang- und Koordinierungsbehörde: zuständig überall dort, wo es keine besondere Aufsicht gibt, und koordinierend gegenüber den übrigen. Bei ihr entsteht das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung, kurz KoKIVO.

Wichtig ist das Wort “Auffang”. Die Bundesnetzagentur ist nicht die zuständige Behörde für alles — diese Verkürzung liest man derzeit in vielen Beiträgen. Daneben bleiben die BaFin für den Finanzbereich, die Länder in ihren Bereichen und die Datenschutzaufsichten für alles Personenbezogene zuständig.

Was ein kleiner Betrieb praktisch tun sollte

Vier Punkte, kein Projektplan:

  1. Überblick verschaffen. Wer nutzt heute schon was, und wofür? Meist reicht eine Runde im Team, in der ehrlich geantwortet werden darf.
  2. Eine Nutzungsregel aufschreiben. Eine Seite: Welche Werkzeuge sind freigegeben, was darf nicht hineingegeben werden (Kalkulation, Personaldaten, Kundendaten), wer entscheidet über Ausnahmen.
  3. Das Team einweisen. Eine Stunde an den eigenen Vorgängen bringt mehr als ein Onlinekurs — und deckt zugleich ab, was Artikel 4 verlangt.
  4. Festhalten, was wann gemacht wurde. Datum, Teilnehmer, Inhalt. Zwei Zeilen in einer Datei genügen. Das ist der Nachweis, den Sie im Zweifel brauchen.

Als Datei reichen zum Beispiel zwei Zeilen:

[Datum] — Einweisung KI-Nutzung. Teilnehmende: [Namen]. Dauer: [Minuten].
Inhalt: freigegebene Werkzeuge, Datentabu, Ansprechpartner. Unterlagen: [Ablageort].

Auch das ist ein Muster, keine Rechtsberatung — tragen Sie Ihre eigenen Angaben ein und legen Sie die Datei dort ab, wo Sie sie im Zweifel wiederfinden.

Wenn Sie das für Ihren Betrieb sortiert haben wollen

Der ehrliche Kern der Sache: Für einen Betrieb mit 20 bis 50 Leuten ist das kein Rechtsprojekt, sondern eine Entscheidung und eine Seite Papier. Wo dabei die Daten liegen und wie sich das ohne Umweg über amerikanische Anbieter lösen lässt, habe ich unter KI-Beratung: Ihre Daten bleiben im Haus beschrieben.

Häufige Fragen

Müssen wir unsere Mitarbeiter jetzt zu KI schulen? Die KI-Verordnung verlangt seit Februar 2025, dass Betriebe Maßnahmen zur Förderung der KI-Kompetenz ergreifen. Ein bestimmtes Kompetenzniveau muss seit der Änderung im Juli 2026 ausdrücklich nicht garantiert werden, und ein Bußgeld sieht die Verordnung dafür nicht vor. Eine kurze Einweisung samt Nutzungsregel ist trotzdem sinnvoll — aus betrieblichen Gründen, nicht aus Angst.

Drohen uns Bußgelder, wenn wir nichts tun? Die oft zitierten Millionenbeträge betreffen verbotene Praktiken und Hochrisiko-Systeme, nicht die Kompetenzpflicht. Für Artikel 4 sieht der Bußgeldkatalog der Verordnung nichts vor. Praktisch relevanter ist etwas anderes: Wer Kalkulationen in ein öffentliches Werkzeug gibt, kann den rechtlichen Schutz dieser Betriebsgeheimnisse verlieren.

Quellen

Zurück zum Blog