Fragen und Antworten: KI im Betrieb

Rechtsstand 8. September 2026. Diese Seite wird bei Änderungen fortgeschrieben.

Diese Seite beantwortet die Fragen, die kleine und mittlere Betriebe in Deutschland und Österreich zur KI‑Verordnung und zum KI‑Einsatz im Alltag am häufigsten stellen. Die Antworten sind allgemeine Information nach dem Stand in der Zeile oben, keine Rechtsberatung und keine Bewertung eines Einzelfalls. Wo die Rechtslage noch offen ist, steht das dabei.

Inhalt: Geltung und Fristen · Pflichten im Alltag · Nachweise und Unterlagen · Risiko und Einstufung · Aufsicht, Normen und Folgen · Einstieg

Geltung und Fristen

Gilt die KI‑Verordnung schon für meinen Betrieb?

Ja. Die KI‑Verordnung (Verordnung (EU) 2024/1689) gilt seit dem 2. August 2026 allgemein, die Kompetenzpflicht nach Art. 4 und die Verbote nach Art. 5 bereits seit dem 2. Februar 2025. Betroffen ist jeder Betrieb, der ein KI‑System in eigener Verantwortung beruflich nutzt. Die Verordnung nennt ihn Betreiber, und das ist fast jeder Betrieb, der Textassistenten, Übersetzungsfunktionen oder KI‑Funktionen in seiner Software verwendet. Für die meisten Betriebe mit 1 bis 250 Beschäftigten bedeutet das keine Zulassung und kein Prüfverfahren, sondern drei überschaubare Aufgaben: wissen, welche Werkzeuge im Einsatz sind, Regeln dafür festlegen und die Beschäftigten dazu schulen.

Gilt das auch, wenn ich allein arbeite oder nur zwei Beschäftigte habe?

Ja, mit einer Einschränkung. Die KI‑Verordnung kennt keine Ausnahme nach Betriebsgröße, die Verbote und die Transparenzregeln gelten für jeden beruflichen Einsatz. Die Kompetenzpflicht nach Art. 4 richtet sich an das Personal und an Personen, die im Auftrag des Betriebs mit KI‑Systemen arbeiten. Wer ganz allein arbeitet, hat also niemanden zu schulen, sollte die Regeln aber für sich selbst kennen, weil Kunden und Auftraggeber zunehmend danach fragen. Ab der ersten beschäftigten Person gilt die Pflicht wie in jedem anderen Betrieb, nur im Zuschnitt kleiner. Für diese Größe gibt es auf dieser Website den kostenlosen Kurzcheck mit acht Fragen.

Welche Fristen der KI‑Verordnung sind für kleine und mittlere Betriebe wichtig?

Vier Termine reichen. Seit dem 2. Februar 2025 gelten die Verbote (Art. 5) und die Kompetenzpflicht (Art. 4). Seit dem 2. August 2026 gilt die Verordnung allgemein, darunter die Transparenzpflichten nach Art. 50, etwa die Erkennbarkeit von Chatbots. Ab dem 2. Dezember 2027 gelten die Pflichten für Hochrisiko-Systeme nach Anhang III, etwa KI in der Personalauswahl, dieser Termin wurde durch den Digitalen Omnibus vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Ab dem 2. August 2028 folgen die Hochrisiko-Regeln für KI in Produkten nach Anhang I. Für den gewöhnlichen Einsatz von Textassistenten und Bürosoftware ist von diesen Terminen nur der erste von Bedeutung, und der ist bereits vorbei.

Was hat der Digitale Omnibus geändert?

Der Digitale Omnibus (Verordnung (EU) 2026/1744, im Amtsblatt vom 24. Juli 2026, in Kraft seit 27. Juli 2026) hat die Hochrisiko-Pflichten verschoben und die Kompetenzpflicht neu gefasst. Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten jetzt ab dem 2. Dezember 2027 statt ab dem 2. August 2026, die nach Anhang I ab dem 2. August 2028. Art. 4 verlangt seither, dass Betriebe Maßnahmen treffen, die die KI‑Kompetenz ihrer Beschäftigten unterstützen. Vorher hieß es, Betriebe müssten ein ausreichendes Maß an KI‑Kompetenz nach besten Kräften sicherstellen. Aus einer Ergebnispflicht ist damit eine Handlungspflicht geworden: Geschuldet ist die Maßnahme, nicht der Nachweis über das Können jeder einzelnen Person. Für die Kennzeichnung von KI‑Inhalten gibt es eine Übergangsfrist bis 2. Dezember 2026, sie betrifft aber nur Anbieter von Systemen, die vor dem 2. August 2026 auf dem Markt waren, nicht die Betriebe, die solche Systeme nutzen. Ratgeber, die noch von „sicherstellen“ und einem Pflichtniveau je Person sprechen, sind vom Stand vor dem Sommer 2026.

Betrifft NIS2 einen Betrieb mit 30 Beschäftigten?

In der Regel nicht unmittelbar. Die NIS2‑Richtlinie erfasst Einrichtungen in bestimmten Sektoren, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfall, Lebensmittel oder Maschinenbau, und dort ab mittlerer Unternehmensgröße, also ab 50 Beschäftigten oder ab zehn Millionen Euro Jahresumsatz und Bilanzsumme. In Deutschland gilt das Umsetzungsgesetz seit dem 6. Dezember 2025, in Österreich gilt das neue Netz- und Informationssystemsicherheitsgesetz ab dem 1. Oktober 2026. Ein Betrieb mit 30 Beschäftigten fällt meist nicht direkt darunter. Er bekommt die Anforderungen aber häufig über seine Kunden: Wer Zulieferer oder Dienstleister einer erfassten Einrichtung ist, muss deren Sicherheitsanforderungen in der Lieferkette erfüllen, und genau das steht dann im Lieferantenfragebogen.

Pflichten im Alltag

Was bedeutet die KI‑Kompetenzpflicht nach Art. 4 konkret?

Betriebe treffen Maßnahmen, die die KI‑Kompetenz der Beschäftigten unterstützen, die mit KI‑Systemen arbeiten. So lautet Art. 4 seit dem Digitalen Omnibus. Die Maßnahme richtet sich nach den Werkzeugen und Aufgaben im Betrieb, nach Vorkenntnissen und Einsatzzusammenhang. Ein Kurs, ein Zertifikat oder eine Mindeststundenzahl sind nicht vorgeschrieben. Eine dokumentierte Schulung, in der die Beschäftigten die Werkzeuge des Betriebs, die Regeln und die typischen Fehlerfälle kennenlernen, ist eine solche Maßnahme. Für einen Betrieb mit 1 bis 250 Beschäftigten reicht dafür in der Regel eine Einheit von 60 bis 90 Minuten, ergänzt um eine Kurzeinheit für neue Beschäftigte. Eine fertige Vorlage dafür ist das Schulungspaket auf dieser Website.

Brauche ich ein Zertifikat für die KI‑Schulung?

Nein. Die KI‑Verordnung verlangt Maßnahmen zur KI‑Kompetenz, kein Zertifikat, keine Prüfung und keinen bestimmten Anbieter. Die KI‑Servicestelle der RTR in Österreich stellt fest, dass es derzeit keine Zertifizierungen für solche Schulungen gibt, und empfiehlt stattdessen, zu dokumentieren, welche Beschäftigten wann, wie oft, zu welchen Themen und von wem geschult wurden. Ein betriebsinterner Nachweis mit Datum, Inhalt, Teilnehmenden und verwendeten Unterlagen erfüllt das. Ein Zertifikat eines Anbieters kann diese Dokumentation ergänzen, ersetzt sie aber nicht und ist nirgends vorgeschrieben.

Muss die KI‑Schulung jährlich wiederholt werden?

Ein festes Intervall schreibt die KI‑Verordnung nicht vor. Art. 4 verlangt Maßnahmen, die zum Einsatz passen, und der Einsatz ändert sich: neue Werkzeuge, neue Funktionen in vorhandener Software, neue Beschäftigte. Sinnvoll sind deshalb drei Anlässe: eine Grundschulung für alle, eine Kurzeinheit für jede neu eintretende Person und eine kurze Auffrischung, wenn sich Werkzeuge oder Regeln ändern, in der Praxis etwa einmal im Jahr. Wer diese drei Anlässe dokumentiert, hat einen durchgängigen Nachweis ohne jährlichen Pflichttermin.

Muss ich Kunden sagen, dass sie mit einem Chatbot sprechen?

Ja, das muss erkennbar sein, die Pflicht dazu trifft aber zunächst den Anbieter des Chatbots. Art. 50 Abs. 1 der KI‑Verordnung verlangt seit dem 2. August 2026, dass KI‑Systeme, die mit Menschen interagieren, so gestaltet sind, dass die Menschen das erkennen, es sei denn, es ist ohnehin offensichtlich. Wer einen Chatbot eines Anbieters auf seiner Website einsetzt, muss den Hinweis nicht selbst erfinden, darf ihn aber nicht entfernen und sollte prüfen, dass er tatsächlich angezeigt wird. Für diese Pflicht gibt es keine Übergangsfrist, die Frist bis 2. Dezember 2026 betrifft nur die maschinenlesbare Kennzeichnung von KI‑Inhalten durch Anbieter älterer Systeme. Ein eigener Satz auf der Website („Sie sprechen mit einem automatischen Assistenten“) ist die einfachste Lösung.

Muss ich KI‑erzeugte Texte kennzeichnen?

Für Angebote, E-Mails, Protokolle und die meisten Geschäftstexte nein. Art. 50 Abs. 4 der KI‑Verordnung verlangt eine Kennzeichnung von Betreibern in zwei Fällen: bei Deepfakes, also KI‑erzeugten oder veränderten Bildern, Ton- und Videoaufnahmen, die echt wirken, und bei KI‑erzeugten Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Bei Texten entfällt die Pflicht, wenn ein Mensch den Text inhaltlich geprüft hat und die redaktionelle Verantwortung trägt. Der Angebotstext, den ein Werkzeug vorformuliert und ein Mitarbeiter durchsieht, fällt nicht darunter. Viele Betriebe legen in ihrer Nutzungsrichtlinie trotzdem eine eigene Regel fest, etwa dass Bilder und Videos mit KI‑Anteil intern gekennzeichnet werden, das ist eine Entscheidung des Betriebs, keine gesetzliche Pflicht.

Was gilt für KI‑Funktionen in Software, die wir ohnehin nutzen?

Dasselbe wie für jedes andere KI‑System: Der Betrieb ist Betreiber. Die Zusammenfassung im Postfach, der Textvorschlag in der Textverarbeitung, der Assistent in der Buchhaltungssoftware sind KI‑Systeme im Sinne der Verordnung, sobald sie dienstlich genutzt werden. Sie gehören ins Verzeichnis der eingesetzten Systeme, die Nutzungsregeln gelten für sie, und die Beschäftigten, die sie nutzen, fallen unter die Kompetenzpflicht. Hochrisiko sind solche Funktionen in aller Regel nicht. Der erste Schritt ist deshalb keine Schulung und keine Richtlinie, sondern eine Bestandsaufnahme: Welche Werkzeuge mit KI‑Funktionen sind bei uns im Einsatz, wer nutzt sie, wofür?

Nachweise und Unterlagen

Welche Unterlagen sollte ein Betrieb zu KI vorhalten?

Drei Unterlagen decken das meiste ab: eine KI‑Nutzungsrichtlinie, ein Verzeichnis der eingesetzten KI‑Systeme und einen Schulungsnachweis. Die Richtlinie legt fest, welche Werkzeuge erlaubt sind und wie mit Daten umgegangen wird. Das Verzeichnis führt je System Zweck, Datenarten, Anbieter, verantwortliche Person und Einstufung auf, es wird einmal angelegt und bei jedem neuen Werkzeug ergänzt. Der Schulungsnachweis belegt die Maßnahme nach Art. 4. Dazu kommen aus dem Datenschutzrecht das Verarbeitungsverzeichnis nach Art. 30 DSGVO, in das KI‑Verarbeitungen aufgenommen werden, und Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit den Anbietern. Genau diese Unterlagen fragen auch Kunden, Versicherer und Prüfer ab. Vorlagen für alle drei enthält das Praxispaket, für Kleinbetriebe der Fragebogen-Retter.

Was gehört in eine KI‑Nutzungsrichtlinie?

Sechs Punkte auf ein bis zwei Seiten: erlaubte und untersagte Werkzeuge, der Umgang mit Kunden-, Personen- und vertraulichen Daten, die Prüfpflicht vor Verwendung eines KI‑Ergebnisses, die Regel zur Kennzeichnung von KI‑Inhalten, eine Ansprechperson und der Weg, wie Fehler und Vorfälle gemeldet werden. Wichtiger als der Umfang ist, dass die Richtlinie die tatsächlichen Werkzeuge des Betriebs nennt und von den Beschäftigten gelesen wurde. Eine Regel wirkt nur, wenn sie bekannt ist: Fünf Sätze auf einem Aushang erreichen mehr als zehn Seiten im Laufwerk.

Wie weise ich die KI‑Schulung nach?

Mit einer Teilnahmeliste, auf der Datum, Inhalt, Dauer, Teilnehmende und die vortragende Person stehen, und mit den verwendeten Unterlagen. Die KI‑Verordnung schreibt kein Formular vor, die Anlaufstellen empfehlen genau diese Angaben. Bewahren Sie die Liste zusammen mit dem Foliensatz oder Handout auf, dann ist auch der Inhalt belegt. Selbststudium ist ebenfalls nachweisbar: Die Person bestätigt mit Datum und Unterschrift, welche Unterlage sie durchgearbeitet hat. Das ist der Weg für Betriebe mit ein oder zwei Personen. Nachweisbogen und Teilnahmebestätigung liegen dem Schulungspaket bei.

Ein Kunde schickt einen Lieferantenfragebogen zu KI. Was tun?

Ruhig bleiben und die drei Unterlagen aus der Frage oben heranziehen, denn fast alle Fragebögen fragen genau danach: Gibt es Regeln, gibt es eine Übersicht der Systeme, sind die Beschäftigten geschult, wie werden Kundendaten geschützt. Wer diese Unterlagen hat, beantwortet den Fragebogen in ein bis zwei Stunden. Wer sie nicht hat, sollte sie jetzt anlegen, statt im Fragebogen Dinge zu behaupten, die es nicht gibt, mit vorbereiteten Vorlagen dauert das etwa 90 Minuten, ohne einen Arbeitstag. Antworten Sie ehrlich mit „in Umsetzung“ und einem Datum, wenn etwas noch fehlt. Für diesen Fall gibt es den Fragebogen-Retter mit Antwortbausteinen für die zwölf häufigsten Fragen.

Risiko und Einstufung

Welche KI‑Anwendungen sind in kleinen und mittleren Betrieben Hochrisiko?

Wenige. Hochrisiko nach Anhang III sind Einsatzzwecke, die über Menschen entscheiden: KI bei der Personalauswahl, bei Beförderung, Kündigung oder Leistungsbewertung, bei der Prüfung der Kreditwürdigkeit, beim Zugang zu Bildung und zu wesentlichen Dienstleistungen, dazu biometrische Identifizierung und kritische Infrastruktur. Textassistenten, Übersetzung, Zusammenfassungen, Bildbearbeitung und die KI‑Funktionen in Bürosoftware fallen nicht darunter. Wer ein Hochrisiko-System betreibt, hat ab dem 2. Dezember 2027 eigene Pflichten, etwa menschliche Aufsicht, Protokollierung und Information der Betroffenen. Für die meisten Betriebe mit 1 bis 250 Beschäftigten ist der relevante Fall die KI‑gestützte Vorauswahl von Bewerbungen. Wer so etwas einsetzt oder plant, sollte das im Verzeichnis kennzeichnen und die Frist im Blick behalten.

Was ist verboten?

Art. 5 der KI‑Verordnung verbietet seit dem 2. Februar 2025 bestimmte Praktiken, unabhängig von der Betriebsgröße. Für Betriebe relevant sind vor allem: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen, die Bewertung von Menschen nach ihrem sozialen Verhalten mit unverhältnismäßigen Folgen, Systeme, die Menschen unterschwellig manipulieren oder Schwächen wie Alter oder Behinderung ausnutzen, und die biometrische Einordnung nach sensiblen Merkmalen wie Herkunft oder Religion. Auch das ungezielte Sammeln von Gesichtsbildern aus dem Internet ist untersagt. Ein gewöhnlicher Betrieb kommt mit diesen Verboten kaum in Berührung, mit einer Ausnahme: Software, die Stimmung oder Stress von Beschäftigten auswertet, etwa in Callcentern, ist verboten.

Dürfen Beschäftigte Kundendaten in ChatGPT eingeben?

Nur unter drei Bedingungen: über ein Firmenkonto, bei dem der Anbieter die Eingaben nicht zum Training verwendet, mit einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und nach einer Regelung in der Nutzungsrichtlinie, welche Daten in welches Werkzeug dürfen. Mit einem privaten Konto ist die Eingabe von Kundendaten nicht zulässig, weil dann kein Vertrag mit dem Anbieter besteht und die Daten den Betrieb ohne Rechtsgrundlage verlassen. Das gilt für jedes Textwerkzeug, nicht nur für ChatGPT. Der häufigste Schadensfall im kleinen Betrieb ist genau dieser Umweg über das private Konto, meist gut gemeint und unter Zeitdruck. Die einfachste Regel lautet deshalb: nur freigegebene Werkzeuge, nur mit dem Firmenkonto, Personenbezogenes und Vertrauliches bleibt draußen, im Zweifel fragen.

Aufsicht, Normen und Folgen

Brauche ich ISO/IEC 42001?

Für Betriebe mit 1 bis 250 Beschäftigten in der Regel nicht. ISO/IEC 42001 ist eine freiwillige, zertifizierbare Norm für ein KI‑Managementsystem. Sie ist keine harmonisierte Norm der KI‑Verordnung, begründet keine Konformitätsvermutung und wird von keinem Gesetz verlangt. Ihre tragenden Elemente, ein Verzeichnis der Systeme, Regeln, Einstufung und Nachweise, gehen auch eine Nummer kleiner. Sinnvoll wird die Norm, wenn Großkunden sie ausdrücklich fordern oder ein Betrieb selbst KI‑Systeme entwickelt und anbietet. Für den Einsatz von Standardwerkzeugen reicht die Grundausstattung aus Richtlinie, Verzeichnis und Schulungsnachweis.

Wer prüft die Einhaltung der KI‑Verordnung?

In Deutschland die Bundesnetzagentur, in Österreich ist die Zuständigkeit noch nicht geregelt. Das deutsche KI‑Marktüberwachungs- und Innovationsförderungsgesetz (KI‑MIG) ist seit dem 29. Juli 2026 in Kraft und macht die Bundesnetzagentur zur Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI‑Verordnung, bestehende Aufsichtsbehörden etwa für Finanzen oder Medizinprodukte behalten ihre Zuständigkeit. In Österreich gibt es nach Auskunft der KI‑Servicestelle der RTR noch keine nationale Regelung der Zuständigkeiten, die Servicestelle informiert und berät, entscheidet aber nicht. Für den Datenschutz bleiben in beiden Ländern die Datenschutzbehörden zuständig, auch beim KI‑Einsatz. In der Praxis werden kleine und mittlere Betriebe weniger von Behörden geprüft als von Kunden, Versicherern und Betriebsräten, die nach Unterlagen fragen.

Was droht bei Verstößen gegen die Kompetenzpflicht?

Kein Bußgeld aus der KI‑Verordnung selbst. Art. 99, der die Geldbußen regelt, nennt Art. 4 nicht, die KI‑Servicestelle der RTR bestätigt, dass die Verordnung für die Kompetenzpflicht keine Verwaltungsstrafe vorsieht. Folgen entstehen an anderer Stelle: Fehler, die geschulte Beschäftigte vermieden hätten, werden dem Betrieb zugerechnet, in Österreich über die Haftung für Erfüllungsgehilfen nach § 1313a ABGB, in Deutschland über § 278 BGB und das Organisationsverschulden. Ein Datenschutzverstoß durch ungeschulte Eingabe von Kundendaten fällt unter die DSGVO mit ihren eigenen Bußgeldern. Und Kunden, die im Lieferantenfragebogen nach der Schulung fragen, vergeben den Auftrag an den, der sie nachweisen kann. Die Kompetenzpflicht ist also weniger eine Bußgeldfrage als eine Frage von Haftung und Auftragsfähigkeit.

Wo bekomme ich eine Einschätzung für mein konkretes System?

Kostenlos bei den staatlichen Anlaufstellen: in Deutschland beim KI‑Service-Desk der Bundesnetzagentur, in Österreich bei der KI‑Servicestelle der RTR. Beide beantworten allgemeine Fragen zur Einordnung, geben aber keine verbindlichen Bescheide. Für eine rechtsverbindliche Bewertung eines Einzelfalls, etwa ob ein bestimmtes System Hochrisiko ist oder wie ein Vertrag mit einem Anbieter zu gestalten ist, sind Rechtsanwältinnen und Rechtsanwälte zuständig. Diese Seite gibt Information zum genannten Rechtsstand und ersetzt beides nicht.

Einstieg

Wo fange ich an, wenn wir noch nichts haben?

Mit der Bestandsaufnahme, dann mit den Regeln, dann mit der Schulung, in dieser Reihenfolge. Erstens: ein halber Tag für das Verzeichnis der eingesetzten Systeme, einschließlich der KI‑Funktionen in vorhandener Software. Zweitens: ein Tag für die Nutzungsrichtlinie, die zu diesem Verzeichnis passt. Drittens: eine Schulungseinheit von 60 bis 90 Minuten, die Verzeichnis und Regeln den Beschäftigten erklärt, mit Teilnahmeliste. Wer vorher wissen will, wo der Betrieb steht, findet auf dieser Website den kostenlosen Standortcheck mit 20 Fragen für Betriebe ab etwa zehn Beschäftigten und den Kurzcheck mit acht Fragen für kleinere Betriebe.

Wie viel Arbeitszeit kostet die Grundausstattung?

Nach unserer Erfahrung zwei bis vier Personentage für einen Betrieb mit 10 bis 50 Beschäftigten, für kleinere Betriebe deutlich weniger. Darin enthalten sind Verzeichnis, Richtlinie, eine Schulungseinheit und der Nachweis. Der Aufwand hängt weniger von der Betriebsgröße ab als von der Zahl der eingesetzten Werkzeuge und davon, ob Vorlagen verwendet werden oder alles neu geschrieben wird. Externe Beratung ist nicht vorgeschrieben. Laufend kommen danach nur kleine Posten dazu: das Verzeichnis bei jedem neuen Werkzeug ergänzen, neue Beschäftigte einweisen, einmal im Jahr auffrischen.

Woher die Antworten stammen

Die Antworten beruhen auf der KI‑Verordnung (Verordnung (EU) 2024/1689) in der Fassung des Digitalen Omnibus (Verordnung (EU) 2026/1744), auf der DSGVO, dem deutschen KI‑MIG und den Veröffentlichungen der KI‑Servicestelle der RTR (Österreich) und des KI‑Service-Desks der Bundesnetzagentur (Deutschland). Sie geben den Rechtsstand vom Datum oben wieder und werden bei Änderungen fortgeschrieben. Verfasst von Dipl.-Ing. Martin Elfenbein, elfenbein.digital, unter Einsatz von KI‑Werkzeugen als Entwurfshilfe, jede Antwort wurde von einem Menschen inhaltlich durchgesehen. Was hier steht, ist allgemeine Information, keine Rechtsberatung. Anlaufstellen: KI‑Service-Desk der Bundesnetzagentur, KI‑Servicestelle der RTR.