Recht und Förderung: KI rechtssicher einsetzen

Der EU AI Act (Verordnung (EU) 2024/1689) regelt KI nach Risiko: Einige Praktiken wie Social Scoring sind verboten, Hochrisiko-Systeme etwa in der Personalauswahl unterliegen strengen Auflagen, und für Chatbots und Deepfakes gelten Transparenzpflichten. Für alle Unternehmen, die KI beruflich nutzen, gilt zudem die KI-Kompetenzpflicht nach Artikel 4.

Stufenweise: Verbote und KI-Kompetenz seit 2. Februar 2025, die meisten übrigen Pflichten einschließlich Kennzeichnung seit 2. August 2026. Die Hochrisiko-Pflichten hat der Digital Omnibus (Verordnung (EU) 2026/1744) auf den 2. Dezember 2027 und den 2. August 2028 verschoben.

Unternehmen, die KI beruflich einsetzen, müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen. Seit der Neufassung vom Juli 2026 muss kein bestimmtes Niveau garantiert werden, ein Zertifikat ist nicht nötig. Eine dokumentierte Einweisung je Werkzeug ist der übliche Weg.

Nicht alle. Seit 2. August 2026 müssen Deepfakes und KI-Texte zu Themen von öffentlichem Interesse offengelegt werden, Chatbots müssen als KI erkennbar sein. KI-gestützte Texte, die ein Mensch redaktionell prüft und verantwortet, sind von der Textpflicht ausgenommen.

Nur, wenn die DSGVO es erlaubt: Es braucht eine Rechtsgrundlage, bei einem externen Anbieter in der Regel einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO und bei Übermittlung in Drittländer eine zulässige Grundlage. Kostenlose Verbraucherkonten erfüllen das meist nicht. Für Berufsgeheimnisträger wie Steuerberater gelten zusätzlich die Verschwiegenheitspflichten.

Ja, wenn der KI-Anbieter in Ihrem Auftrag personenbezogene Daten verarbeitet, schreibt Artikel 28 DSGVO einen Vertrag zur Auftragsverarbeitung vor. Viele Anbieter stellen ihn für Geschäftskonten bereit. Ohne AVV sollten keine personenbezogenen Daten eingegeben werden.

Der EU AI Act (Verordnung (EU) 2024/1689) ist das europäische Gesetz für KI-Systeme. Er teilt sie nach Risiko ein: verbotene Praktiken, Hochrisiko-Systeme mit strengen Anforderungen, Systeme mit Transparenzpflichten und KI mit geringem Risiko. Zudem enthält er Pflichten für KI-Modelle mit allgemeinem Verwendungszweck. Quelle: Verordnung (EU) 2024/1689 auf EUR-Lex. Dies ist keine Rechtsberatung.

Der AI Act ist seit dem 1. August 2024 in Kraft und gilt gestaffelt: Verbote und die Pflicht zur KI-Kompetenz seit 2. Februar 2025, Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025, die meisten übrigen Vorschriften ab 2. August 2026, einzelne später. Zu Fristverschiebungen gibt es Änderungsvorhaben, daher bitte die aktuelle Fassung prüfen. Quelle: Verordnung (EU) 2024/1689 auf EUR-Lex. Dies ist keine Rechtsberatung.

Ja. Art. 4 des AI Act verlangt von Anbietern und Betreibern von KI-Systemen Maßnahmen, damit ihr Personal über ausreichende KI-Kompetenz verfügt. Eine bestimmte Schulung oder ein Zertifikat schreibt das Gesetz nicht vor; der Umfang richtet sich nach Vorkenntnissen und Einsatz. Quelle: Verordnung (EU) 2024/1689 auf EUR-Lex. Dies ist keine Rechtsberatung.

Teilweise. Art. 50 des AI Act verlangt, dass Anbieter KI-erzeugte Inhalte maschinenlesbar kennzeichnen und dass Betreiber Deepfakes sowie bestimmte veröffentlichte KI-Texte zu Themen von öffentlichem Interesse offenlegen. Für gewöhnliche Marketingtexte, die redaktionell geprüft wurden, gelten Ausnahmen. Der Einzelfall ist zu prüfen. Quelle: Verordnung (EU) 2024/1689 auf EUR-Lex. Dies ist keine Rechtsberatung.

Art. 5 des AI Act verbietet unter anderem Systeme, die Menschen durch unterschwellige oder manipulative Techniken beeinflussen, Schwächen bestimmter Gruppen ausnutzen, Menschen sozial bewerten (Social Scoring), Gesichtsbilder ungezielt aus dem Internet auslesen oder Emotionen am Arbeitsplatz und in Bildungseinrichtungen erkennen. Es gibt Ausnahmen. Quelle: Verordnung (EU) 2024/1689 auf EUR-Lex. Dies ist keine Rechtsberatung.

Das hängt von Daten, Anbieter und Vertrag ab. Kundendaten sind meist personenbezogen; eine Weitergabe an einen KI-Dienst braucht eine Rechtsgrundlage und in der Regel einen Auftragsverarbeitungsvertrag, außerdem sind Drittlandübermittlungen zu prüfen. Ohne diese Grundlagen sollten keine personenbezogenen Daten eingegeben werden. Quelle: DSGVO auf EUR-Lex. Dies ist keine Rechtsberatung.

In der Regel ja. Verarbeitet ein KI-Anbieter personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Viele Anbieter stellen dafür Standardverträge bereit. Quelle: DSGVO auf EUR-Lex. Dies ist keine Rechtsberatung.

Es gibt Programme des Bundes, der Länder und teils von Kammern oder der EU. Das Angebot, die Voraussetzungen und die Fristen ändern sich häufig und werden nicht pauschal zugesagt. Einen amtlichen Überblick bietet die Förderdatenbank des Bundes. Ein Anspruch auf Förderung besteht nicht.

Förderangebote für Handwerksbetriebe gibt es auf Landes- und Bundesebene, häufig im Rahmen allgemeiner Digitalisierungsprogramme. Aktuelle Programme und Voraussetzungen zeigen die Förderdatenbank des Bundes und die zuständige Handwerkskammer. Eine Förderzusage lässt sich vorab nicht geben.

Das lässt sich nur im Einzelfall beurteilen. Als Grundsatz bleibt, wer KI-Antworten nach außen verwendet, für deren Richtigkeit gegenüber Kunden verantwortlich; Haftungsausschlüsse der KI-Anbieter ändern daran im Verhältnis zu Dritten wenig. Wichtige Auskünfte sollten deshalb geprüft werden. Dies ist keine Rechtsberatung.

Berufsgeheimnisträger wie Steuerberater, Rechtsanwälte oder Ärzte dürfen geschützte Informationen nur weitergeben, soweit das Gesetz es zulässt (§ 203 StGB). Setzen sie KI-Dienste ein, müssen die beteiligten Dienstleister zur Verschwiegenheit verpflichtet sein, und die Daten brauchen besonderen Schutz. Quelle: § 203 StGB. Dies ist keine Rechtsberatung.