Beim KI-Einsatz greifen mehrere Regelwerke gleichzeitig, aber sie lassen sich auf vier Fragen zusammenziehen: Welche Daten gehen hinein? Was entscheidet das System? Wer ist betroffen? Wie kritisch ist der Betrieb? Sie sortieren den Prüfbedarf, ersetzen aber nicht die Prüfung des Einzelfalls.
Datenschutz, Mitbestimmung und Geheimnisschutz gibt es schon lange. Neu sind die KI-Verordnung und, je nach Branche und Größe, NIS-2.
Zwei Punkte brauchen besondere Aufmerksamkeit. Der Betriebsrat: Wo einer besteht, ist er beteiligt, sobald ein System Rückschlüsse auf Verhalten oder Leistung zulässt. Der Geheimnisschutz: Er hängt an angemessenen Geheimhaltungsmaßnahmen. Wer vertrauliche Informationen ohne Regel in Dienste gibt, die Eingaben weiterverwenden, kann ihn gefährden, weil sich die Maßnahmen dann schwer belegen lassen.
Dieser Beitrag ist Teil 1 der Serie „KI ordentlich einführen". Er gibt den Überblick; die einzelnen Gebiete behandeln eigene Beiträge.
„Dürfen wir das überhaupt?" Mit dieser Frage beginnen viele KI-Vorhaben. Ergiebiger ist die nächste: unter welchen Bedingungen?
Es gibt kein KI-Gesetz, in dem alles steht, sondern mehrere Regelwerke mit eigener Logik, eigenen Fristen und eigenen Zuständigen. Vier Fragen ordnen den Einstieg; die Landkarte zeigt, welche Regeln sie aufrufen.
Die vier Fragen, auf die es hinausläuft
gefüllt bei jeder Anwendung zu prüfen gestrichelt hängt vom Fall ab
Was Sie bei jeder Anwendung prüfen
Datenschutz: der alte Bekannte
Sobald personenbezogene Daten verarbeitet werden, gilt die Datenschutz-Grundverordnung (DSGVO), seit Mai 2018. Es braucht eine Rechtsgrundlage, die Betroffenenrechte müssen bedient werden können, und bei voraussichtlich hohem Risiko ist vorab eine Datenschutz-Folgenabschätzung nötig.
Ein bestehendes Verarbeitungsverzeichnis ist der Ausgangspunkt. Wer keines führt, hat ein Problem, das älter ist als die KI-Frage.
Die Pflichten im Einzelnen stehen im Beitrag zu Datenschutz und KI.
Die KI-Verordnung: neu, aber klar umrissen
Die KI-Verordnung (AI Act, Verordnung (EU) 2024/1689) wurde durch die Verordnung (EU) 2026/1744 geändert (Amtsblatt vom 24. Juli 2026, in Kraft seit 27. Juli 2026). Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 (die maschinenlesbare Kennzeichnung für generative Systeme, die schon vorher auf dem Markt waren, ab dem 2. Dezember 2026), rollenabhängig: Wer einen Chatbot unter eigenem Namen betreibt, lässt ihn sich im ersten Satz als KI zu erkennen geben; Deepfakes sind offenzulegen.
Die Hochrisiko-Pflichten gelten für Systeme nach Anhang III (etwa Beschäftigung, Kredit, Bildung) ab dem 2. Dezember 2027, für KI in regulierten Produkten (Anhang I) ab dem 2. August 2028. Welche Pflichten greifen, hängt von Einsatzzweck und Rolle ab.
Details stehen im Beitrag zur KI-Verordnung.
Mitbestimmung: früh klären
Wo ein Betriebsrat besteht, bestimmt er nach § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz bei der Einführung und Anwendung technischer Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Die Rechtsprechung lässt die objektive Eignung genügen; ob jemand überwachen will, spielt keine Rolle. Ein Textwerkzeug, das Nutzungsdaten erfasst, kann diese Eignung haben.
Nach § 90 Absatz 1 Nummer 3 unterrichtet der Arbeitgeber den Betriebsrat bei der Planung rechtzeitig und berät mit ihm, auch über den Einsatz von KI. Der Betriebsrat gehört deshalb an den Tisch, bevor ein System ausgewählt wird; eine früh entstehende Betriebsvereinbarung kann das nächste Vorhaben beschleunigen.
Die Einzelheiten stehen im Beitrag zum Betriebsrat.
Geschäftsgeheimnisse: Schutz braucht Nachweise
Eine Information ist nach § 2 Geschäftsgeheimnisgesetz nur dann ein Geschäftsgeheimnis, wenn sie unter anderem angemessenen Geheimhaltungsmaßnahmen unterliegt. Wer vertrauliche Informationen ohne Regel in Dienste gibt, die Eingaben weiterverwenden, kann diesen Schutz gefährden, weil sich die Maßnahmen dann schwer belegen lassen. Ob der Schutz im Einzelfall entfällt, hängt von den Umständen ab.
Der gangbare Weg: eine schriftliche Regelung, welche Dienste für welche Informationsklassen erlaubt sind, und ein Werkzeug, das die Arbeit tatsächlich abnimmt.
Welche Maßnahmen Gerichte als angemessen ansehen, steht im Beitrag zu Geschäftsgeheimnissen.
Was Sie zusätzlich beachten
Rein KI-erzeugten Ergebnissen fehlt der Urheberschutz
Nach deutschem Urheberrecht ist nur eine persönliche geistige Schöpfung eines Menschen geschützt (§ 2 UrhG). Das Amtsgericht München hat im Februar 2026 entschieden (Az. 142 C 9786/25), dass ein KI-erzeugtes Logo nicht geschützt ist, auch wenn detaillierte Prompts und mehrere Überarbeitungen vorausgingen. Es ist eine Entscheidung der ersten Instanz im Einzelfall.
Rein KI-erzeugte Ergebnisse ohne menschliche schöpferische Leistung sind danach nicht urheberrechtlich geschützt; andere Rechte, etwa das Markenrecht, bleiben möglich. Für ein Markenzeichen, in das ein Unternehmen über Jahre investiert, lohnt die Klärung vorab.
Gleichbehandlungsrecht: Beweiserleichterung bei Indizien
Beweist eine abgelehnte Bewerberin Indizien, die eine Benachteiligung wegen eines geschützten Merkmals vermuten lassen, muss nach § 22 Allgemeines Gleichbehandlungsgesetz das Unternehmen beweisen, dass kein Verstoß vorlag. Wer die Vorauswahl einem System überlässt, dessen Entscheidungswege sich nicht nachvollziehen lassen, wird diesen Beweis schwer führen; die Verantwortung bleibt beim Arbeitgeber.
Das spricht nicht gegen KI im Personalbereich, sondern für nachvollziehbare Verfahren und eine Letztentscheidung beim Menschen.
Was von Größe und Branche abhängt
NIS-2: Betroffenheit prüfen
Das deutsche Umsetzungsgesetz zur NIS-2-Richtlinie gilt seit dem 6. Dezember 2025. Es erfasst Unternehmen ab 50 Beschäftigten oder mit Jahresumsatz und Bilanzsumme von jeweils über 10 Millionen Euro in einem der Sektoren der Anlagen 1 und 2 des BSI-Gesetzes (§ 28 BSIG). Das BSI schätzt die Zahl auf rund 29.500 Unternehmen und Einrichtungen der Bundesverwaltung; bis zum 30. Juni 2026 hatten sich 17.729 Unternehmen registriert. Für Unternehmen, die schon beim Inkrafttreten erfasst waren, endete die Registrierungsfrist (§ 33 BSIG) am 6. März 2026; wer später erfasst wird, hat drei Monate Zeit. Wer betroffen und noch nicht registriert ist, holt es nach.
Der Bußgeldrahmen reicht bis 10 Millionen Euro für besonders wichtige und bis 7 Millionen Euro für wichtige Einrichtungen (bei sehr hohem Umsatz alternativ ein Umsatzanteil). Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen und haftet bei schuldhafter Pflichtverletzung gegenüber dem eigenen Unternehmen. Mit KI hat das zunächst nichts zu tun, betrifft aber oft dieselben Unternehmen.
Die Einzelheiten stehen im Beitrag zu NIS-2.
Branchenrecht
Finanzinstitute stehen zusätzlich unter DORA und den aufsichtlichen IT-Anforderungen, Medizinprodukte unter der Medizinprodukteverordnung. Ob solche Regeln für ein neues KI-Werkzeug gelten, gehört in die Prüfung vor der Freigabe.
Was freiwillig ist, aber hilft
Die Norm ISO/IEC 42001 beschreibt ein Managementsystem für künstliche Intelligenz mit Rollen, Prozessen und Nachweisen. Sie ist nicht vorgeschrieben; ob sie sinnvoll ist, hängt von Größe und Branche ab. Sie kann helfen, Zuständigkeiten und Nachweise zu organisieren.
Die praktische Reihenfolge
- Zuständigkeit benennen. Eine Person, die entscheidet, wenn ein neuer Fall auftaucht.
- Bestand aufnehmen. Was wird bereits benutzt, offiziell und inoffiziell?
- Informationsklassen festlegen. Welche Daten dürfen in welchen Dienst?
- Den Betriebsrat einbeziehen, wo einer besteht, bevor ein System ausgewählt wird.
- Anwendungsfälle nach der KI-Verordnung einordnen und die Einordnung begründen.
- NIS-2-Betroffenheit einschätzen, parallel, falls noch nicht geschehen.
Warum sich das ohnehin lohnt
Am Ende steht ein unscheinbares Dokument: die Übersicht der eingesetzten Systeme, die Informationsklassen, die Zuständigkeiten und die Begründung der Entscheidungen. Es erleichtert Auskünfte gegenüber Auftraggebern, Betriebsrat, Aufsicht und Versicherern und zeigt, wo Nachweise fehlen.
Damit wird die Frage vom Anfang beantwortbar: unter welchen Bedingungen ein Vorhaben läuft und woran sich die nächsten Anwendungsfälle messen lassen.
Die weiteren Teile dieser Serie
- Der AI Act auf einen Blick - was gilt, was der Omnibus verschoben hat und welche Anwendungen betroffen sind.
- Der Betriebsrat - wann Mitbestimmung greift und wie ein Rahmen das nächste Vorhaben beschleunigt.
- Datenschutz und KI - Rechtsgrundlage, Folgenabschätzung und die Frage, wo die Verarbeitung läuft.
- NIS-2 - wer betroffen ist und was jetzt zu tun ist.
- Geschäftsgeheimnisse - welche Schutzmaßnahmen zählen und wie eine Nutzungsregelung aussieht.
- Verordnung (EU) 2024/1689 über künstliche Intelligenz - EUR-Lex
- Verordnung (EU) 2026/1744 zur Änderung der KI-Verordnung, Amtsblatt vom 24. Juli 2026, in Kraft seit 27. Juli 2026 - EUR-Lex
- Datenschutz-Grundverordnung (EU) 2016/679 - EUR-Lex
- Betriebsverfassungsgesetz, § 87 Absatz 1 Nummer 6 - gesetze-im-internet.de
- Betriebsverfassungsgesetz, § 90 Absatz 1 Nummer 3 - gesetze-im-internet.de
- Geschäftsgeheimnisgesetz, § 2 - gesetze-im-internet.de
- Allgemeines Gleichbehandlungsgesetz, § 22 (Beweislast) - gesetze-im-internet.de
- Urheberrechtsgesetz (UrhG), § 2 - Geschützte Werke - gesetze-im-internet.de
- Amtsgericht München, Urteil vom 13. Februar 2026, Az. 142 C 9786/25, Besprechung - beyer.law
- BSI-Gesetz, § 28 (Besonders wichtige und wichtige Einrichtungen) - gesetze-im-internet.de
- BSI-Gesetz, § 33 (Registrierung) - gesetze-im-internet.de
- BSI-Gesetz, § 38 (Geschäftsleitung) - gesetze-im-internet.de
- BSI-Gesetz, § 65 (Bußgeld) - gesetze-im-internet.de
- BSI: NIS-2 in Zahlen (Schätzung 29.500; registriert bis 30. Juni 2026: 17.729) - BSI
Dieser Beitrag erschien am 8. August 2026 und gibt den Rechtsstand vom 7. Oktober 2026 wieder; an diesem Tag wurde er geprüft und aktualisiert. Er gibt allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall. Wir haben Inhalte und Quellen sorgfältig geprüft, übernehmen aber keine Gewähr für Vollständigkeit, Richtigkeit und Aktualität; maßgeblich sind die verlinkten Originalquellen. Für die verbindliche Einordnung einer konkreten Anwendung ziehen Sie bitte eine Kanzlei hinzu.