Neue Transparenzpflichten gelten bereits. Der wichtigste erste Schritt ist für viele Unternehmen jedoch erstaunlich banal: herausfinden, wo KI im eigenen Betrieb überhaupt eingesetzt wird.
Künstliche Intelligenz ist für viele Unternehmen längst keine Zukunftstechnologie mehr.
Mitarbeiter verwenden ChatGPT für Texte. Microsoft Copilot unterstützt bei Office-Aufgaben. Marketingtools erstellen Bilder. Übersetzungsprogramme arbeiten mit KI. Softwareanbieter integrieren intelligente Assistenten in CRM-, ERP-, Personal- oder Ticketsysteme.
Das Problem dabei:
Die Einführung von KI findet häufig schneller statt als die Einführung klarer Regeln.
Seit dem 2. August 2026 ist dieses Thema noch relevanter. Seit diesem Datum gelten unter anderem die Transparenzpflichten aus Artikel 50 des europäischen AI Acts. Die Europäische Kommission und die national zuständigen Behörden haben zudem mit der Durchsetzung weiterer Regelungen begonnen.
Nicht jede KI bringt dieselben Pflichten mit sich
Der AI Act verfolgt einen risikobasierten Ansatz.
Die Anforderungen hängen deshalb stark davon ab, welches KI-System verwendet wird und wofür es eingesetzt wird. Bestimmte Systeme müssen beispielsweise transparent machen, dass ein Mensch mit einer KI interagiert. Für bestimmte KI-generierte oder manipulierte Inhalte gelten Kennzeichnungsanforderungen. Auch für Deepfakes, Emotionserkennung oder bestimmte Veröffentlichungen zu Themen von öffentlichem Interesse bestehen besondere Vorgaben. Gleichzeitig wurden 2026 einzelne Fristen für bestimmte Hochrisiko-Systeme angepasst beziehungsweise verlängert.
Für Unternehmen bedeutet das vor allem:
Pauschale Aussagen wie „Seit August gilt jetzt der komplette AI Act für alle“ helfen nicht weiter.
Entscheidend ist der konkrete Einsatzfall.
Der erste Schritt ist keine juristische Prüfung
Bevor ein Unternehmen einzelne Pflichten bewerten kann, muss eine wesentlich einfachere Frage beantwortet werden:
Welche KI-Systeme setzen wir überhaupt ein?
Das klingt trivial.
In der Praxis ist diese Frage häufig überraschend schwer zu beantworten. Denn KI wird nicht mehr ausschließlich als eigenständiges Produkt eingeführt. Sie steckt zunehmend in Software, die bereits vorhanden ist. Außerdem können Mitarbeiter selbst öffentlich verfügbare KI-Dienste nutzen – teilweise ohne formelle Einführung durch das Unternehmen. Damit entsteht schnell eine sogenannte Schatten-KI: Systeme werden für betriebliche Aufgaben genutzt, ohne dass die verantwortlichen Stellen davon wissen.
Datenschutz und KI gehören zusammen
Der AI Act ersetzt die DSGVO nicht.
Sobald personenbezogene Daten mit einem KI-System verarbeitet werden, muss deshalb weiterhin geprüft werden, ob die Verarbeitung datenschutzrechtlich zulässig ist.
Ein einfaches Beispiel:
Ein Mitarbeiter kopiert eine Kunden-E-Mail in ein frei zugängliches KI-System und bittet um einen Formulierungsvorschlag. Dann wurde nicht einfach nur „KI genutzt“. Möglicherweise wurden personenbezogene Kundendaten an einen externen Dienst übermittelt.
Ähnliche Fragestellungen entstehen bei Bewerberunterlagen, Gesprächsnotizen, Personaldaten, Verträgen oder internen Dokumenten.
Deshalb sollten Unternehmen festlegen, welche Informationen in welche KI-Systeme eingegeben werden dürfen.
Fünf Fragen, die jedes Unternehmen beantworten sollte
Ein pragmatischer KI-Check beginnt mit fünf Fragen:
1. Welche KI-Systeme und KI-Funktionen werden eingesetzt?
Dabei sollten auch Funktionen berücksichtigt werden, die bereits Bestandteil vorhandener Software sind.
2. Wer nutzt diese Systeme?
Marketing kann andere Anwendungen verwenden als Vertrieb, Personalabteilung oder IT.
3. Wofür werden die Systeme eingesetzt?
Texterstellung ist anders zu bewerten als Bewerberauswahl oder Kunden-Scoring.
4. Welche Daten werden eingegeben?
Insbesondere personenbezogene, vertrauliche oder unternehmensinterne Daten verdienen Aufmerksamkeit.
5. Welche Entscheidungen werden mit Hilfe der KI getroffen?
Je stärker eine KI Menschen bewertet oder Entscheidungen über Menschen beeinflusst, desto genauer sollte die Prüfung erfolgen.
Nicht verbieten – steuern
Eine reine Verbotsstrategie wird in vielen Unternehmen kaum funktionieren. KI bietet zu große Produktivitätsvorteile und ist bereits zu tief in zahlreichen Anwendungen verankert. Der sinnvollere Weg besteht darin, die Nutzung sichtbar und steuerbar zu machen. Dazu gehören klare Verantwortlichkeiten, freigegebene Anwendungen und verständliche Regeln für Mitarbeiter.
Vor allem sollten Mitarbeiter wissen:
Welche KI darf ich verwenden?
Welche Daten darf ich eingeben?
Welche Ergebnisse muss ich überprüfen?
Und wann muss ich einen Menschen oder eine verantwortliche Stelle einbeziehen?
Jetzt Transparenz schaffen
Der AI Act sorgt dafür, dass sich Unternehmen intensiver mit ihren KI-Systemen beschäftigen müssen. Das muss jedoch nicht mit einem umfangreichen Regelwerk beginnen. Der beste erste Schritt ist eine Bestandsaufnahme. Denn nur wer weiß, wo KI eingesetzt wird, von wem sie genutzt wird und welche Daten dabei verarbeitet werden, kann Risiken sinnvoll bewerten und erforderliche Maßnahmen festlegen.
Wenn Sie aktuell nicht sicher sagen können, welche KI-Anwendungen in Ihrem Unternehmen genutzt werden, ist genau jetzt ein guter Zeitpunkt, dies zu ändern.
HUBIT unterstützt Sie dabei insbesondere an der Schnittstelle zwischen KI-Nutzung und Datenschutz.
Quellen: Europäische Kommission zum Beginn der Transparenzpflichten nach Artikel 50 AI Act am 2. August 2026 sowie zur aktuellen Umsetzungsplanung des AI Acts.