KI im Unternehmen einführen: Richtlinie, KI-Kompetenz-Pflicht und erste Schritte

Um KI im Unternehmen sauber einzuführen, brauchen Sie drei Dinge: eine schriftliche KI-Richtlinie, Maßnahmen zur KI-Kompetenz Ihrer Beschäftigten und eine Liste, welche KI-Tools wofür genutzt werden. Die Pflicht zur KI-Kompetenz steht in Art. 4 der KI-Verordnung (EU AI Act) und gilt seit dem 2. Februar 2025. Danach starten Sie mit wenigen, klar abgegrenzten Anwendungsfällen.

Die Pflicht betrifft auch Unternehmen, die „nur“ ChatGPT, Microsoft Copilot oder ein Übersetzungstool einsetzen. Wer ein KI-System in eigener Verantwortung beruflich nutzt, ist nach Art. 3 Nr. 4 der Verordnung „Betreiber“.

Was verlangt Art. 4 EU AI Act zur KI-Kompetenz?

Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, damit ihr Personal und alle, die in ihrem Auftrag mit KI arbeiten, ausreichend kompetent damit umgehen. Seit dem 27. Juli 2026 gilt dafür eine geänderte Fassung. Die Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744) hat Art. 4 neu gefasst. Der erste Absatz lautet jetzt:

Vorher hieß es, Unternehmen müssten „nach besten Kräften sicherstellen“, dass ihr Personal über ein „ausreichendes Maß an KI-Kompetenz“ verfügt. Jetzt ist es eine Pflicht, Maßnahmen zu ergreifen und die Entwicklung der Kompetenz zu unterstützen. Die Pflicht bleibt bestehen. Ein bestimmtes Niveau pro Person müssen Sie nicht garantieren.

Welche Maßnahmen genügen, sagt der Text nicht im Einzelnen. Er verlangt, dass Sie Vorkenntnisse, Einsatzkontext und betroffene Personen berücksichtigen. Eine Buchhalterin, die Belege mit KI vorsortiert, braucht anderes Wissen als ein Recruiter, der Bewerbungen zusammenfassen lässt. Ein Zertifikat schreibt Art. 4 nicht vor. Dokumentieren Sie trotzdem, welche Maßnahmen Sie ergriffen haben, sonst können Sie sie später nicht belegen.

Was gehört in eine KI-Richtlinie für Unternehmen?

Eine KI-Richtlinie regelt, welche Tools erlaubt sind, welche Daten hinein dürfen und wer für was verantwortlich ist. Die Datenschutzkonferenz (DSK) empfiehlt in ihrer Orientierungshilfe „Künstliche Intelligenz und Datenschutz“, interne Regelungen zu treffen, Verantwortlichkeiten festzulegen und betriebliche Accounts einzurichten. Eine praxistaugliche Richtlinie passt auf zwei bis drei Seiten und enthält:

• Freigegebene Tools mit Kontotyp: Firmenkonto statt privatem Account, damit Einstellungen und Zugänge zentral steuerbar sind.
• Verbotene Eingaben: personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse und Zugangsdaten, solange das Tool nicht ausdrücklich dafür freigegeben ist.
• Prüfpflicht: KI-Ergebnisse werden vor der Verwendung von einem Menschen geprüft. Keine Entscheidung über Personen allein durch KI.
• Kennzeichnung: wann KI-erzeugte Texte, Bilder oder Stimmen als solche markiert werden müssen.
• Ansprechperson: wer Tools freigibt, Fragen beantwortet und die Richtlinie aktualisiert.
• Umgang mit Shadow-IT: nicht freigegebene Tools werden gemeldet, ohne Sanktion für die Meldung.
• Schulung: wer welche Einweisung bekommt, bevor er ein Tool nutzt.
• Überprüfung: fester Termin, an dem die Richtlinie angepasst wird, mindestens einmal im Jahr.

Gibt es einen Betriebsrat, binden Sie ihn früh ein. Auch das nennt die DSK ausdrücklich, zusammen mit dem Datenschutzbeauftragten.

ChatGPT im Unternehmen: worauf Sie beim Datenschutz achten

ChatGPT und vergleichbare Assistenten sind die häufigste KI-Anwendung im Büro. Für den Einsatz im Unternehmen klären Sie vorab:

• Werden Eingaben vom Anbieter für das Training seiner Modelle genutzt, und lässt sich das abschalten?
• Bietet der Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO an?
• Wo werden die Daten verarbeitet, und auf welcher Grundlage erfolgt eine Übermittlung in Drittstaaten?
• Wer verwaltet die Konten, und was passiert mit Chatverläufen, wenn Beschäftigte das Unternehmen verlassen?
• Ist für den geplanten Einsatz eine Datenschutz-Folgenabschätzung nötig? Die DSK nennt sie bei hohem Risiko für Betroffene.

Die Antworten unterscheiden sich je nach Anbieter und Vertragsstufe. Privatkonten mit Standardeinstellungen sind für Firmendaten in der Regel die schlechteste Wahl, weil das Unternehmen weder Einstellungen noch Zugänge kontrolliert.

Erste Schritte: KI in sechs Schritten einführen

1. 1

   Bestand aufnehmen

   Welche KI-Tools nutzen Ihre Beschäftigten schon, offiziell und inoffiziell? Wie das geht, beschreibt unsere Anleitung <a href="/wissen/eu-ai-act-kmu-ai-inventory-5-schritten-erstellen">AI-Inventar in 5 Schritten</a>.

2. 2

   Richtlinie schreiben

   Zwei bis drei Seiten nach der Checkliste oben. Lieber kurz und gelesen als lang und ignoriert.

3. 3

   Tools freigeben

   Ein oder zwei Werkzeuge mit Firmenkonten, geprüftem AV-Vertrag und passenden Einstellungen. Alles andere bleibt vorerst gesperrt.

4. 4

   Grundschulung durchführen

   Alle Nutzer bekommen eine Einweisung: Funktionsweise, typische Fehler wie erfundene Fakten, Datenschutzregeln der Richtlinie. Teilnahme dokumentieren.

5. 5

   Pilot mit zwei bis drei Anwendungsfällen

   Konkrete Aufgaben mit messbarem Ergebnis, etwa Angebotsentwürfe, Protokolle oder interne Recherchen. Jeder Fall hat einen Verantwortlichen.

6. 6

   Nach drei Monaten auswerten

   Was spart Zeit, was nicht, wo gab es Probleme? Danach Richtlinie anpassen und weitere Fälle freigeben.

Welche Fristen des AI Act noch kommen

Für die meisten KMU ist Art. 4 die erste Pflicht, die tatsächlich greift. Der EU AI Act gilt gestaffelt, die Hochrisiko-Pflichten wurden durch die Verordnung (EU) 2026/1744 verschoben:

Wie Visgenix bei der KI-Einführung unterstützt

Visgenix bietet KI-Schulungen für Teams an. Der AI-Starter-Workshop (1.490 €, 4 Stunden, bis 8 Teilnehmende, vor Ort oder remote) vergleicht ChatGPT, Claude und Gemini, übt Prompting an echten Aufgaben und behandelt Datenschutz und Vertraulichkeitsregeln. Der AI-Power-User-Workshop (2.890 €, 8 Stunden) ergänzt ein Fachmodul, etwa für Vertrieb, Backoffice oder Buchhaltung, und einen Follow-up-Call nach 30 Tagen.

Für die Compliance-Seite gibt es das AI-Compliance-Audit (3.490 €, 2–3 Wochen): Inventar aller KI-Tools inklusive Shadow-IT, DSGVO-Bewertung, Einordnung jedes Anwendungsfalls in die Risikoklassen des AI Act, Maßnahmenkatalog sowie Vorlagen für KI-Richtlinie und KI-Inventar. Alle Preise netto zzgl. MwSt.

• Gilt die KI-Kompetenz-Pflicht auch für kleine Unternehmen?

  Ja. Art. 4 EU AI Act gilt für alle Anbieter und Betreiber von KI-Systemen, unabhängig von der Größe. Die Neufassung vom Juli 2026 verpflichtet Kommission und Mitgliedstaaten zusätzlich, besonders KMU bei der Umsetzung zu unterstützen.

• Brauchen Beschäftigte ein Zertifikat für KI-Kompetenz?

  Nein. Art. 4 verlangt Maßnahmen zur Förderung der KI-Kompetenz und seit Juli 2026 ausdrücklich keine Garantie eines bestimmten Niveaus. Dokumentieren Sie Schulungen, Richtlinie und Einweisungen trotzdem, damit Sie Ihre Maßnahmen belegen können.

• Dürfen Mitarbeitende ChatGPT mit Kundendaten nutzen?

  Nur wenn das Tool dafür freigegeben ist: Firmenkonto, AV-Vertrag nach Art. 28 DSGVO, geklärte Trainingsnutzung und Drittlandübermittlung. Ohne diese Prüfung gehören personenbezogene Daten nicht in ein KI-Tool.

• Wer ist in Deutschland für die Aufsicht zuständig?

  Seit dem Inkrafttreten des KI-MIG am 29. Juli 2026 ist die Bundesnetzagentur Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung. Für datenschutzrechtliche Fragen bleiben die Datenschutzaufsichtsbehörden zuständig.