KI rechtssicher einführen

Unternehmen sprießen aus dem Boden, die KI-Lösungen verkaufen – doch die rechtlichen Grundlagen bleiben erschreckend oft auf der Strecke

Derzeit erlebt der Markt für Künstliche Intelligenz einen enormen Aufschwung. Kaum ein Monat vergeht, ohne dass neue Anbieter, Beratungen oder „Experten“ KI-Lösungen für Unternehmen versprechen – vom internen Chatbot über automatisierte Prozesse bis hin zu vollständig KI-gesteuerten Geschäftsabläufen. Die Dynamik ist beeindruckend. Aus Sicht eines Datenschutzbeauftragten ist sie aber auch besorgniserregend. Denn während sich viele Anbieter auf technische Raffinesse und Marketing konzentrieren, bleiben die rechtlichen Grundlagen häufig nahezu unberührt.

Genau das ist eines der größten Risiken für Unternehmen, die solche Lösungen unkritisch übernehmen.

Warum das problematisch ist

Die Einführung eines KI-Systems ist niemals nur eine technische Entscheidung. Sie ist immer auch eine rechtliche, datenschutzrechtliche und organisatorische Herausforderung. Doch viele junge KI-Unternehmen werben damit, dass die Integration „schnell“, „unkompliziert“ oder „sofort einsatzbereit“ sei. Häufig fehlt dabei jeder Hinweis darauf, welche Pflichten Unternehmen tatsächlich haben, wenn personenbezogene Daten verarbeitet werden.

Drei typische Probleme lassen sich aktuell besonders häufig beobachten:

• Fehlende Klarheit über personenbezogene Daten

Viele KI-Anbieter werben mit internen Chatbots, automatisierten Auswertungen oder Wissensdatenbanken, ohne zu erwähnen, dass dabei regelmäßig personenbezogene Daten verarbeitet werden. Von E-Mails über Protokolle bis hin zu Kundendaten: KI verarbeitet meist weit mehr Informationen, als Unternehmen vermuten. Ohne eine tragfähige Rechtsgrundlage nach Art. 6 DSGVO ist der Einsatz unzulässig, und ohne Risikoanalyse lässt sich nicht nachweisen, dass die Schutzmaßnahmen angemessen sind (Art. 24, 32 DSGVO).

• Keine Risikobewertung nach DSGVO und KI-Verordnung

Ein datenschutzkonformer KI-Einsatz setzt voraus, dass Unternehmen die Risiken vorab bewerten. Ergibt diese Prüfung voraussichtlich ein hohes Risiko – bei KI-Einsatz häufig, etwa bei der Bewertung von Personen oder bei umfangreicher Verarbeitung –, ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen. Die KI-Verordnung (AI Act) knüpft ihre Pflichten an Rolle und Risikoklasse. Unternehmen müssen daher ihre KI-Anwendungen einordnen; umfangreiche Risikomanagement- und Dokumentationspflichten treffen vor allem Anbieter von Hochrisiko-KI-Systemen und gelten nach der Verschiebung durch die Verordnung (EU) 2026/1744 ab dem 2.12.2027 bzw. 2.8.2028. Viele Anbieter erwähnen diese Fragen nicht einmal. Dadurch entsteht der gefährliche Eindruck, KI ließe sich ohne juristische Prüfung einfach „installieren“.

• Missachtung grundlegender Compliance-Pflichten

Unternehmen müssen nach Art. 5 Abs. 2 DSGVO nachweisen können, dass sie die Datenschutzgrundsätze einhalten. Das umfasst unter anderem:
– Verarbeitungsverzeichnis,
– TOMs,
– Zweckbindung,
– Löschkonzepte,
– Speicherorte,
– Cloud-Transfers,
– Auftragsverarbeitungsverträge, soweit der Anbieter als Auftragsverarbeiter tätig ist.
Viele KI-Produkte sind jedoch so konzipiert, dass diese Anforderungen nachträglich kaum noch sauber abbildbar sind. Genau hier beginnt ein erhebliches Haftungsrisiko für Unternehmen.

Warum die aktuelle Entwicklung gefährlich ist

Der Markt wächst schneller, als die Compliance-Strukturen hinterherkommen. Manche KI-Unternehmen drängen in den Markt, ohne die komplexen europäischen Regulierungen zu berücksichtigen. Unternehmen, die solche Lösungen einsetzen, riskieren:

• Unzulässige Datenverarbeitung
• Bußgelder
• Verlust von Kundenvertrauen
• Verstöße gegen KI-Verordnung und DSGVO
• Haftungsprobleme bei Fehlentscheidungen von KI-Systemen

In einigen Fällen fehlt sogar jede Transparenz darüber, wie die KI trainiert wurde, wo Daten gespeichert werden oder ob personenbezogene Eingaben in Modelle einfließen.

Was Unternehmen jetzt tun müssen

Bevor irgendeine KI-Lösung eingeführt wird, gilt:

• Zweck klären: Wozu wird die KI eingesetzt?
• Rechtsgrundlage prüfen: Gibt es eine tragfähige Basis nach Art. 6 DSGVO?
• Risiken bewerten und einordnen: nach DSGVO (Art. 24, 32, bei voraussichtlich hohem Risiko Art. 35) und nach KI-Verordnung (Risikoklasse, Rolle als Anbieter oder Betreiber).
• Datenfluss dokumentieren: Speicherung, Empfänger, Cloud-Transfers, Zugriffe.
• Rollen klären: Ist der KI-Anbieter Auftragsverarbeiter, ist ein Vertrag nach Art. 28 DSGVO abzuschließen; verarbeitet er Daten auch für eigene Zwecke, ist diese Verarbeitung gesondert zu bewerten.
• Beschäftigte schulen: Art. 4 KI-Verordnung verlangt seit Februar 2025 von Unternehmen, die KI-Systeme einsetzen, Maßnahmen zur Förderung der KI-Kompetenz ihres Personals; seit der Änderung durch die Verordnung (EU) 2026/1744 ausdrücklich ohne Pflicht, ein bestimmtes Kompetenzniveau zu garantieren.
• Interne Prozesse anpassen: Richtlinien, Rollenrechte, Löschkonzepte.

Wer diese Schritte umgeht oder sie nur oberflächlich behandelt, setzt sein Unternehmen einem unnötigen Risiko aus.

Mein Fazit als Datenschutzbeauftragter, Wirtschaftsjurist mit zusätzlichem Master of Arts in Risk and Compliance:

Es gibt hervorragende KI-Lösungen am Markt. Aber es gibt ebenso viele, die rechtlich unzureichend konzipiert sind. Unternehmen sollten sich nicht von schnellen Versprechungen blenden lassen. Eine technisch beeindruckende KI ist wertlos, wenn sie rechtlich nicht tragfähig ist.

Oder schlimmer: wenn sie Unternehmen in eine klare Haftungsfalle bringt.

Deshalb mein Appell:
KI kann große Chancen bieten. Aber sie braucht eine solide rechtliche Grundlage – und zwar von Anfang an. Nur wenn Technik, Recht und Compliance zusammengedacht werden, entsteht eine Lösung, die nicht nur funktioniert, sondern auch langfristig sicher und rechtskonform ist.

Unsere Checkliste zur KI-Einführung können Sie hier herunterladen: https://dr-informationssicherheit.de/downloads/ChecklisteKIEinfuehrung.pdf