Rechtliche Aspekte beim KI-Einsatz im Mittelstand
Wer KI im Unternehmen einsetzt, bewegt sich im Zusammenspiel aus Datenschutzrecht und KI-Regulierung. Dieser Leitfaden ordnet die wichtigsten Pflichten ein: DSGVO, EU AI Act, Auftragsverarbeitung, Datenschutz-Folgenabschätzung und technisch-organisatorische Maßnahmen.
Welche rechtlichen Aspekte sind beim Einsatz von KI im deutschen Mittelstand wichtig?
Beim Einsatz von KI im deutschen Mittelstand sind vor allem DSGVO, Auftragsverarbeitung, technische und organisatorische Maßnahmen, Rollenrechte, Protokollierung, Löschkonzepte, Datenschutz-Folgenabschätzung und der EU AI Act relevant. Unternehmen sollten prüfen, welche Daten verarbeitet werden, wo diese gespeichert werden, welche Anbieter beteiligt sind und ob Mitarbeitende ausreichend im Umgang mit KI-Systemen geschult wurden.
Ausgangssituation im Mittelstand
Viele mittelständische Unternehmen nutzen KI bereits informell: für Texte, Recherche, E-Mails, Auswertungen oder interne Dokumente. Häufig fehlt jedoch eine verbindliche KI-Richtlinie. Dadurch entstehen Risiken, besonders wenn personenbezogene, vertrauliche oder geschäftskritische Daten verarbeitet werden.
Für Geschäftsführung, IT und Datenschutzverantwortliche ist deshalb entscheidend, KI nicht zu verbieten, sondern kontrolliert nutzbar zu machen.
- Mitarbeitende nutzen KI-Tools ohne zentrale Freigabe.
- Kundendaten, Personaldaten oder Vertragsinformationen werden nicht ausreichend klassifiziert.
- Es gibt keinen Überblick über eingesetzte KI-Systeme.
- Auftragsverarbeitung und Hosting sind unklar.
- KI-Ergebnisse werden nicht dokumentiert oder geprüft.
- Die Anforderungen an KI-Kompetenz im Unternehmen sind noch nicht umgesetzt.
Typische rechtliche Fehler
Diese Fehler lassen sich vermeiden, wenn KI-Projekte von Beginn an rechtlich, technisch und organisatorisch strukturiert werden.
- Sensible Daten werden in ungeprüfte öffentliche KI-Tools eingegeben.
- Es fehlt ein Auftragsverarbeitungsvertrag mit relevanten Dienstleistern.
- Datenflüsse und Speicherorte sind nicht dokumentiert.
- Mitarbeitende erhalten keine KI-Richtlinie.
- KI-Ergebnisse werden ohne fachliche Prüfung übernommen.
- Rollen- und Zugriffskonzepte fehlen.
- Datenschutz-Folgenabschätzung wird nicht geprüft.
- EU-AI-Act-Anforderungen werden erst nachträglich betrachtet.
- Es gibt keine Schulung zur sicheren KI-Nutzung.
Konkretes Vorgehen
Rechtssicherheit entsteht nicht durch pauschale Versprechen, sondern durch saubere Planung, dokumentierte Datenflüsse, kontrollierte Zugriffe und eine realistische Einschätzung der Risiken.
- 1. Datenarten erfassen: Prüfen, welche Daten verarbeitet werden – personenbezogene Daten, Kundendaten, Mitarbeiterdaten, Vertragsdaten, technische Daten, Finanzdaten oder Betriebsgeheimnisse.
- 2. Rollen und Verantwortlichkeiten klären: Festlegen, wer Verantwortlicher ist, wer Auftragsverarbeiter ist und welche externen Anbieter beteiligt sind.
- 3. Hosting und Anbieter prüfen: Speicherort, Unterauftragnehmer, Zugriffsmöglichkeiten, Verschlüsselung, Protokollierung und Vertragsgrundlagen bewerten. Für sensible Daten sind EU-Hosting, Private AI oder On-Premise oft vorzugswürdig.
- 4. AVV und TOM prüfen: Bei Verarbeitung personenbezogener Daten durch Dienstleister ist regelmäßig ein Auftragsverarbeitungsvertrag zu prüfen; technische und organisatorische Maßnahmen sind zu dokumentieren.
- 5. DSFA-Bedarf bewerten: Je nach Art, Umfang und Risiko der Verarbeitung kann eine Datenschutz-Folgenabschätzung erforderlich sein – besonders bei sensiblen Daten, systematischer Auswertung oder automatisierten Entscheidungen.
- 6. EU AI Act berücksichtigen: Prüfen, ob und wie der EU AI Act relevant ist. Besonders wichtig ist die KI-Kompetenz nach Art. 4 – Mitarbeitende müssen angemessen befähigt werden.
- 7. KI-Richtlinie und Schulung einführen: Eine interne KI-Richtlinie schafft Klarheit: erlaubte Tools, verbotene Daten, Prüfpflichten, Freigabeprozesse, Dokumentation und Eskalationswege.
Checkliste für Entscheider
Diese Fragen helfen, rechtliche Risiken beim KI-Einsatz früh zu erkennen und sauber zu regeln.
- Welche KI-Tools werden im Unternehmen genutzt?
- Welche Daten werden verarbeitet?
- Sind personenbezogene oder sensible Daten betroffen?
- Gibt es einen AVV mit relevanten Anbietern?
- Sind Hosting, Speicherort und Unterauftragnehmer bekannt?
- Sind Rollenrechte und Zugriffe sauber geregelt?
- Wurde geprüft, ob eine DSFA erforderlich ist?
- Gibt es eine interne KI-Richtlinie?
- Sind Mitarbeitende zur KI-Nutzung geschult?
- Wer prüft KI-Ergebnisse fachlich?
- Wie werden KI-Systeme dokumentiert?
- Wie wird der EU AI Act berücksichtigt?
Mini-Beispiel aus dem HR-Bereich
Ein Unternehmen möchte KI für CV-Matching im Recruiting einsetzen. Dabei werden personenbezogene Daten verarbeitet. Vor dem Einsatz werden Datenkategorien, Anbieter, Hosting, Zugriffsrechte und Löschfristen geprüft. Bewerberdaten werden nicht in offene Tools kopiert. Das System unterstützt nur die Vorstrukturierung und Vorauswertung, während die Entscheidung beim Menschen bleibt.
So kann KI im Recruiting entlasten, ohne unkontrollierte automatisierte Entscheidungen oder unnötige Datenschutzrisiken zu erzeugen.
Passend dazu
Antworten auf die wichtigsten Fragen
Ja, KI kann im Mittelstand rechtlich eingesetzt werden, wenn Datenschutz, Anbieterprüfung, Datenflüsse, Rollenrechte, Dokumentation und menschliche Kontrolle sauber geregelt sind.
Ein Auftragsverarbeitungsvertrag ist regelmäßig zu prüfen, wenn ein externer Dienstleister personenbezogene Daten im Auftrag des Unternehmens verarbeitet.
Eine Datenschutz-Folgenabschätzung kann erforderlich sein, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten betroffener Personen mit sich bringt, etwa bei sensiblen Daten oder umfangreicher systematischer Auswertung.
Unternehmen, die KI-Systeme einsetzen, sollen sicherstellen, dass Mitarbeitende über ausreichende Kenntnisse im Umgang mit KI verfügen. Dazu gehören Verständnis für Möglichkeiten, Grenzen, Risiken und sachgerechte Nutzung.
Risiken lassen sich durch Datenklassifizierung, geprüfte Anbieter, EU-Hosting, Rollenrechte, Protokollierung, KI-Richtlinien, Schulung, menschliche Kontrolle und saubere Dokumentation reduzieren.
Quellen & weiterführende Informationen
KI rechtssicher, dokumentiert und produktiv einsetzen
Mit einer KI-Potenzialanalyse prüfen wir Use Case, Datenlage, Anbieter, Hosting, DSGVO-Anforderungen, EU-AI-Act-Relevanz und Schulungsbedarf. Im Pilot-Sprint setzen wir den ersten Anwendungsfall kontrolliert und nachvollziehbar um.