# Rechtliche Aspekte beim KI-Einsatz im Mittelstand > DSGVO, EU AI Act, AVV, DSFA, TOM und KI-Kompetenz: Was mittelständische Unternehmen beim KI-Einsatz beachten müssen. Quelle: https://www.ki-automatisierung-mittelstand.de/rechtliche-aspekte-ki-mittelstand/ Zuletzt geprüft: 2026-08-05 - [Start](https://www.ki-automatisierung-mittelstand.de/) - Rechtliche Aspekte beim KI-Einsatz Compliance # Rechtliche Aspekte beim KI-Einsatz im Mittelstand Wer KI im Unternehmen einsetzt, bewegt sich im Zusammenspiel aus Datenschutzrecht und KI-Regulierung. Dieser Leitfaden ordnet die wichtigsten Pflichten ein: DSGVO, EU AI Act, Auftragsverarbeitung, Datenschutz-Folgenabschätzung und technisch-organisatorische Maßnahmen. Von [Christoph Herting](https://www.ki-automatisierung-mittelstand.de/autoren/christoph-herting/), Geschäftsführer, KI-Beratung Deutschland · Veröffentlicht am 27. Mai 2026 · Zuletzt geprüft am 5. August 2026 [Erstgespräch vereinbaren](https://cal.com/ki-beratung-deutschland-7wpx1v/30min) ## Welche rechtlichen Aspekte sind beim Einsatz von KI im deutschen Mittelstand wichtig? Beim Einsatz von KI im deutschen Mittelstand sind vor allem DSGVO, Auftragsverarbeitung, technische und organisatorische Maßnahmen, Rollenrechte, Protokollierung, Löschkonzepte, Datenschutz-Folgenabschätzung und der EU AI Act relevant. Unternehmen sollten prüfen, welche Daten verarbeitet werden, wo diese gespeichert werden, welche Anbieter beteiligt sind und ob Mitarbeitende ausreichend im Umgang mit KI-Systemen geschult wurden. Ausgangslage ## Ausgangssituation im Mittelstand Viele mittelständische Unternehmen nutzen KI bereits informell: für Texte, Recherche, E-Mails, Auswertungen oder interne Dokumente. Häufig fehlt jedoch eine verbindliche KI-Richtlinie. Dadurch entstehen Risiken, besonders wenn personenbezogene, vertrauliche oder geschäftskritische Daten verarbeitet werden. Für Geschäftsführung, IT und Datenschutzverantwortliche ist deshalb entscheidend, KI nicht zu verbieten, sondern kontrolliert nutzbar zu machen. - Mitarbeitende nutzen KI-Tools ohne zentrale Freigabe. - Kundendaten, Personaldaten oder Vertragsinformationen werden nicht ausreichend klassifiziert. - Es gibt keinen Überblick über eingesetzte KI-Systeme. - Auftragsverarbeitung und Hosting sind unklar. - KI-Ergebnisse werden nicht dokumentiert oder geprüft. - Die Anforderungen an KI-Kompetenz im Unternehmen sind noch nicht umgesetzt. Fehler vermeiden ## Typische rechtliche Fehler Diese Fehler lassen sich vermeiden, wenn KI-Projekte von Beginn an rechtlich, technisch und organisatorisch strukturiert werden. - Sensible Daten werden in ungeprüfte öffentliche KI-Tools eingegeben. - Es fehlt ein Auftragsverarbeitungsvertrag mit relevanten Dienstleistern. - Datenflüsse und Speicherorte sind nicht dokumentiert. - Mitarbeitende erhalten keine KI-Richtlinie. - KI-Ergebnisse werden ohne fachliche Prüfung übernommen. - Rollen- und Zugriffskonzepte fehlen. - Datenschutz-Folgenabschätzung wird nicht geprüft. - EU-AI-Act-Anforderungen werden erst nachträglich betrachtet. - Es gibt keine Schulung zur sicheren KI-Nutzung. Vorgehen ## Konkretes Vorgehen Rechtssicherheit entsteht nicht durch pauschale Versprechen, sondern durch saubere Planung, dokumentierte Datenflüsse, kontrollierte Zugriffe und eine realistische Einschätzung der Risiken. - **1. Datenarten erfassen:** Prüfen, welche Daten verarbeitet werden – personenbezogene Daten, Kundendaten, Mitarbeiterdaten, Vertragsdaten, technische Daten, Finanzdaten oder Betriebsgeheimnisse. - **2. Rollen und Verantwortlichkeiten klären:** Festlegen, wer Verantwortlicher ist, wer Auftragsverarbeiter ist und welche externen Anbieter beteiligt sind. - **3. Hosting und Anbieter prüfen:** Speicherort, Unterauftragnehmer, Zugriffsmöglichkeiten, Verschlüsselung, Protokollierung und Vertragsgrundlagen bewerten. Für sensible Daten sind EU-Hosting, Private AI oder On-Premise oft vorzugswürdig. - **4. AVV und TOM prüfen:** Bei Verarbeitung personenbezogener Daten durch Dienstleister ist regelmäßig ein Auftragsverarbeitungsvertrag zu prüfen; technische und organisatorische Maßnahmen sind zu dokumentieren. - **5. DSFA-Bedarf bewerten:** Je nach Art, Umfang und Risiko der Verarbeitung kann eine Datenschutz-Folgenabschätzung erforderlich sein – besonders bei sensiblen Daten, systematischer Auswertung oder automatisierten Entscheidungen. - **6. EU AI Act berücksichtigen:** Prüfen, ob und wie der EU AI Act relevant ist. Besonders wichtig ist die KI-Kompetenz nach Art. 4 – Mitarbeitende müssen angemessen befähigt werden. - **7. KI-Richtlinie und Schulung einführen:** Eine interne KI-Richtlinie schafft Klarheit: erlaubte Tools, verbotene Daten, Prüfpflichten, Freigabeprozesse, Dokumentation und Eskalationswege. Checkliste ## Checkliste für Entscheider Diese Fragen helfen, rechtliche Risiken beim KI-Einsatz früh zu erkennen und sauber zu regeln. - Welche KI-Tools werden im Unternehmen genutzt? - Welche Daten werden verarbeitet? - Sind personenbezogene oder sensible Daten betroffen? - Gibt es einen AVV mit relevanten Anbietern? - Sind Hosting, Speicherort und Unterauftragnehmer bekannt? - Sind Rollenrechte und Zugriffe sauber geregelt? - Wurde geprüft, ob eine DSFA erforderlich ist? - Gibt es eine interne KI-Richtlinie? - Sind Mitarbeitende zur KI-Nutzung geschult? - Wer prüft KI-Ergebnisse fachlich? - Wie werden KI-Systeme dokumentiert? - Wie wird der EU AI Act berücksichtigt? Praxisbeispiel ## Mini-Beispiel aus dem HR-Bereich Ein Unternehmen möchte KI für CV-Matching im Recruiting einsetzen. Dabei werden personenbezogene Daten verarbeitet. Vor dem Einsatz werden Datenkategorien, Anbieter, Hosting, Zugriffsrechte und Löschfristen geprüft. Bewerberdaten werden nicht in offene Tools kopiert. Das System unterstützt nur die Vorstrukturierung und Vorauswertung, während die Entscheidung beim Menschen bleibt. So kann KI im Recruiting entlasten, ohne unkontrollierte automatisierte Entscheidungen oder unnötige Datenschutzrisiken zu erzeugen. Weiterführend ## Passend dazu [DSGVO-konforme KI-Automatisierung EU-Hosting, AVV, DSFA, Dokumentation](https://www.ki-automatisierung-mittelstand.de/dsgvo-konforme-ki-automatisierung/) [KI-Kompetenz (AI Act) Schulung nach Art. 4 EU AI Act](https://www.ki-automatisierung-mittelstand.de/ki-kompetenz-ai-act-mittelstand/) [EU AI Act für den Mittelstand Risikoklassen und Pflichten](https://www.ki-automatisierung-mittelstand.de/ratgeber/eu-ai-act-mittelstand/) Häufige Fragen ## Antworten auf die wichtigsten Fragen **Ist der Einsatz von KI im Mittelstand rechtlich erlaubt?** Ja, KI kann im Mittelstand rechtlich eingesetzt werden, wenn Datenschutz, Anbieterprüfung, Datenflüsse, Rollenrechte, Dokumentation und menschliche Kontrolle sauber geregelt sind. **Wann ist ein AVV bei KI notwendig?** Ein Auftragsverarbeitungsvertrag ist regelmäßig zu prüfen, wenn ein externer Dienstleister personenbezogene Daten im Auftrag des Unternehmens verarbeitet. **Wann braucht ein KI-Projekt eine Datenschutz-Folgenabschätzung?** Eine Datenschutz-Folgenabschätzung kann erforderlich sein, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten betroffener Personen mit sich bringt, etwa bei sensiblen Daten oder umfangreicher systematischer Auswertung. **Was bedeutet KI-Kompetenz nach Art. 4 EU AI Act?** Unternehmen, die KI-Systeme einsetzen, sollen sicherstellen, dass Mitarbeitende über ausreichende Kenntnisse im Umgang mit KI verfügen. Dazu gehören Verständnis für Möglichkeiten, Grenzen, Risiken und sachgerechte Nutzung. **Wie reduziert man rechtliche Risiken beim KI-Einsatz?** Risiken lassen sich durch Datenklassifizierung, geprüfte Anbieter, EU-Hosting, Rollenrechte, Protokollierung, KI-Richtlinien, Schulung, menschliche Kontrolle und saubere Dokumentation reduzieren. Quellen ## Quellen & weiterführende Informationen - [Verordnung (EU) 2024/1689 über Künstliche Intelligenz](https://eur-lex.europa.eu/eli/reg/2024/1689/oj/deu) EUR-Lex - [AI Literacy und Art. 4 EU AI Act](https://digital-strategy.ec.europa.eu/de/policies/ai-talent-skills-and-literacy) Europäische Kommission - [Künstliche Intelligenz und sichere KI-Systeme](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Kuenstliche-Intelligenz/kuenstliche-intelligenz_node.html) BSI ## KI rechtssicher, dokumentiert und produktiv einsetzen Mit einer KI-Potenzialanalyse prüfen wir Use Case, Datenlage, Anbieter, Hosting, DSGVO-Anforderungen, EU-AI-Act-Relevanz und Schulungsbedarf. Im Pilot-Sprint setzen wir den ersten Anwendungsfall kontrolliert und nachvollziehbar um. [Erstgespräch vereinbaren](https://cal.com/ki-beratung-deutschland-7wpx1v/30min) [Schreiben Sie uns](https://www.ki-automatisierung-mittelstand.de/kontakt/)