KI-Recht · AI Act · Unternehmen
Künstliche Intelligenz
& Recht
Der Einsatz von KI ist längst kein rechtsfreier Experimentierraum mehr. Seit dem 2. August 2026 gelten wesentliche Vorgaben des europäischen AI Act. Daneben bleiben Datenschutzrecht, Urheberrecht, Arbeitsrecht, Vertragsrecht und allgemeine Haftungsregeln entscheidend.
Aktualisiert am 5.10.2026 · Kanzlei Wrase in Hamburg · Beratung bundesweit
KI-System rechtlich prüfen lassen
Schildern Sie kurz, welches KI-System eingesetzt wird oder geplant ist, zu welchem Zweck es genutzt wird und welche Daten oder Inhalte verarbeitet werden.
040 228 682 10 →mail@lawst.de →
Eine Anfrage allein begründet keine Mandatsübernahme. Umfang und Kosten einer Beauftragung werden vorab geklärt. Hinweise zur Datenverarbeitung finden Sie in der Datenschutzerklärung.
- KI-Einsatz einordnen. Rolle, Systemtyp, Zweck und Risikokategorie bestimmen.
- Daten und Rechte prüfen. Datenschutz, Urheberrecht und Geschäftsgeheimnisse vor dem Einsatz klären.
- Pflichten umsetzen. Transparenz, KI-Kompetenz, interne Regeln und menschliche Kontrolle organisieren.
Kurzantwort
Was gilt 2026 nach dem EU AI Act?
Unternehmen dürfen KI einsetzen, müssen den Einsatz aber rechtlich einordnen. Der AI Act arbeitet risikobasiert und verteilt Pflichten nach Rolle und Systemtyp. Zusätzlich können DSGVO, Urheberrecht, Geheimnisschutz, Arbeitsrecht und Vertragsrecht greifen. Eine belastbare Prüfung beginnt deshalb nicht mit der Frage, ob KI allgemein erlaubt ist, sondern mit dem konkreten System, seinem Zweck, den verwendeten Daten und der Rolle des Unternehmens.
Die KI-Verordnung der Europäischen Union, der AI Act (Verordnung (EU) 2024/1689), ist das zentrale europäische Regelwerk für künstliche Intelligenz. Er gilt unmittelbar in den Mitgliedstaaten und unterscheidet Pflichten insbesondere nach dem Risiko eines KI-Systems und nach der Rolle des jeweiligen Unternehmens.
Die Anwendung erfolgt gestaffelt. Verbote bestimmter KI-Praktiken und Pflichten zur KI-Kompetenz gelten seit dem 2. Februar 2025. Die Regeln für General-Purpose-AI-Modelle gelten seit dem 2. August 2025. Seit dem 2. August 2026 greifen wesentliche weitere Bestimmungen einschließlich der Transparenzpflichten; besondere Hochrisiko-Regeln folgen teilweise später.
In Deutschland übernimmt die Bundesnetzagentur seit 2026 eine zentrale Rolle bei Marktüberwachung, Anlaufstelle und Beschwerdemöglichkeiten zur KI-Verordnung.
Welche Pflichten müssen Unternehmen beim KI-Einsatz prüfen?
Die wichtigste Vorfrage lautet, welche Rolle das Unternehmen im AI Act einnimmt. Wer ein fertiges KI-System lediglich im eigenen Betrieb verwendet, kann als Betreiber beziehungsweise Deployer andere Pflichten haben als ein Anbieter, Importeur oder ein Unternehmen, das ein Modell wesentlich verändert und unter eigenem Namen anbietet.
Rolle bestimmen
Anbieter, Betreiber, Importeur, Händler oder sonstige Beteiligung sauber voneinander abgrenzen.
System klassifizieren
Prüfen, ob verbotene Praxis, Hochrisiko-Anwendung, Transparenzfall oder typischer Minimalrisiko-Einsatz vorliegt.
Daten und Rechte prüfen
Personenbezogene Daten, Geschäftsgeheimnisse, urheberrechtlich geschützte Inhalte und Lizenzbedingungen bewerten.
Organisation aufsetzen
KI-Richtlinie, Freigaben, Schulung, Dokumentation, menschliche Kontrolle und Zuständigkeiten festlegen.
Gerade bei generativer KI sollte nicht nur das Tool selbst geprüft werden. Rechtlich relevant sind auch die konkrete Eingabe, die technische Konfiguration, die Weiterverwendung von Ergebnissen und die Frage, ob Beschäftigte das System innerhalb der vorgegebenen Unternehmensregeln nutzen.
Datenschutz und KI: Wann greift die DSGVO?
Verarbeitet ein KI-System personenbezogene Daten, bleibt die DSGVO vollständig anwendbar. Der AI Act ersetzt das Datenschutzrecht nicht. Unternehmen müssen insbesondere Zweck, Rechtsgrundlage, Datenminimierung, Transparenz und Löschkonzept prüfen.
Besondere Vorsicht ist geboten, wenn Beschäftigtendaten, Kundendaten, Gesundheitsdaten oder andere sensible Informationen in externe KI-Dienste eingegeben werden. Je nach Nutzung können zusätzlich Informationspflichten, Auftragsverarbeitungsfragen, internationale Datentransfers oder eine Datenschutz-Folgenabschätzung relevant werden.
- Art. 5 DSGVO: Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung beachten.
- Art. 6 DSGVO: Für jede personenbezogene Verarbeitung eine tragfähige Rechtsgrundlage bestimmen.
- Art. 9 DSGVO: Besondere Kategorien personenbezogener Daten nur unter erhöhten Voraussetzungen verarbeiten.
- Art. 13 und 14 DSGVO: Transparenz gegenüber betroffenen Personen sicherstellen.
- Art. 22 DSGVO: Vollautomatisierte Entscheidungen mit erheblicher Wirkung gesondert prüfen.
- Art. 35 DSGVO: Bei voraussichtlich hohem Risiko prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.
Vertiefende Fragen gehören zugleich in den Bereich des Internet- und IT-Rechts.
Urheberrecht und KI: Training, Prompts und Outputs
Urheberrechtliche Fragen können an mehreren Stellen entstehen. Bereits die Beschaffung und Vervielfältigung von Trainingsmaterial kann relevant sein. Bei Text und Data Mining spielen insbesondere die gesetzlichen Schranken und mögliche Nutzungsvorbehalte eine Rolle. Zugleich müssen Unternehmen prüfen, ob Prompts oder hochgeladene Dateien fremde geschützte Inhalte enthalten.
Auch ein KI-Output ist nicht automatisch frei von Rechten Dritter. Wird ein Ergebnis veröffentlicht, sollte insbesondere bei Bildern, Texten, Musik, Videos, Marken oder Designs geprüft werden, ob konkrete geschützte Elemente übernommen wurden.
Mehr dazu: KI-Training mit Fotos – BGH prüft Kneschke gegen LAION sowie Anwalt für Urheberrecht.
KI im Arbeitsverhältnis und bei Bewerbungen
Unternehmen setzen KI zunehmend bei Recruiting, Personalplanung, Leistungsbewertung, Kommunikation und Dokumentenerstellung ein. Dabei treffen AI Act, Datenschutzrecht und Arbeitsrecht aufeinander.
KI-Systeme für Beschäftigung und Personalmanagement können nach dem AI Act als Hochrisiko-Anwendungen eingeordnet sein. Für viele dieser besonderen Hochrisiko-Pflichten gelten Übergangsfristen. Schon heute sollten Unternehmen deshalb prüfen, ob Systeme Entscheidungen über Bewerber oder Beschäftigte vorbereiten, welche Daten verwendet werden und ob eine menschliche Kontrolle tatsächlich wirksam bleibt.
Zusätzlich können Mitbestimmungsrechte des Betriebsrats eine Rolle spielen, insbesondere wenn technische Einrichtungen geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen. Auch Diskriminierungsrisiken nach dem AGG müssen berücksichtigt werden.
Haftung, Verträge und Geschäftsgeheimnisse bei KI
Der Einsatz eines KI-Systems beseitigt bestehende Verantwortlichkeiten nicht. Wer KI-Ergebnisse für Beratung, Verträge, Werbung, Produktinformationen oder geschäftliche Entscheidungen verwendet, muss weiterhin prüfen, ob die Ergebnisse rechtlich und tatsächlich tragfähig sind.
In Verträgen mit KI-Anbietern und Dienstleistern sollten unter anderem Leistungsumfang, Datenverwendung, Vertraulichkeit, Rechte an Ein- und Ausgaben, Haftung, Sicherheitsanforderungen und Löschung geregelt werden. Bei externen Systemen ist außerdem zu prüfen, ob vertrauliche Informationen oder Geschäftsgeheimnisse für Trainings-, Analyse- oder Verbesserungszwecke weiterverarbeitet werden dürfen.
Für interne Richtlinien empfiehlt sich eine klare Unterscheidung zwischen zulässigen Tools, freigegebenen Datenkategorien und verbotenen Eingaben. Das reduziert Datenschutzrisiken und zugleich Probleme mit Geheimnisschutz, Urheberrecht und fehlerhaften KI-Ausgaben.
Praxis-Checkliste: KI rechtssicher im Unternehmen einsetzen
Die rechtliche Prüfung sollte in einen praktikablen Unternehmensprozess übersetzt werden. Nicht jede Organisation benötigt dieselbe Dokumentation, aber die wesentlichen Entscheidungen sollten nachvollziehbar sein.
- KI-Inventar anlegen: Welche Systeme werden tatsächlich im Unternehmen genutzt, einschließlich frei zugänglicher Tools?
- Rolle und Risiko bestimmen: AI-Act-Rolle und Risikokategorie je System dokumentieren.
- Daten prüfen: Personenbezogene Daten, sensible Daten, Geschäftsgeheimnisse und Kundendaten klassifizieren.
- Urheberrechte klären: Rechte an Trainingsmaterial, Uploads, Prompts und weiterverwendeten Outputs prüfen.
- Transparenz erfüllen: Kennzeichnungs- und Informationspflichten für Chatbots, Deepfakes oder sonstige KI-Inhalte prüfen.
- KI-Kompetenz sicherstellen: Mitarbeitende passend zu Funktion und Risiko schulen.
- Interne KI-Richtlinie einführen: Zulässige Systeme, verbotene Eingaben, Freigaben und Kontrollschritte festlegen.
- Verträge und Anbieter prüfen: Datenschutz, Datenverwendung, Vertraulichkeit, Haftung und Nutzungsrechte schriftlich absichern.
- 01→ EINORDNEN
System und Zweck erfassen
Tool, Einsatzbereich, Unternehmensrolle und betroffene Personen oder Daten bestimmen.
- 02→ PRÜFEN
Rechtliche Anforderungen klären
AI Act, Datenschutz, Urheberrecht, Verträge und interne Vorgaben zusammenführen.
- 03→ UMSETZEN
Regeln im Betrieb verankern
Zuständigkeiten, Schulung, Dokumentation und Freigaben praktisch ausgestalten.
Ihr Ansprechpartner
Rechtliche Begleitung von KI-Projekten
Bei KI-Projekten ist meist nicht ein einzelnes Gesetz entscheidend. Zu prüfen ist das Zusammenspiel von AI Act, Datenschutz, Urheberrecht, Vertragsrecht, Arbeitsrecht und bestehender Unternehmensorganisation. Die Kanzlei Wrase unterstützt bei der rechtlichen Einordnung konkreter KI-Anwendungen, der Prüfung von Risiken und der Gestaltung belastbarer Regelungen für den praktischen Einsatz.
Rechtsanwalt Björn Wrase
Kanzlei Wrase
Am Kaiserkai 69
20457 Hamburg · Deutschland
Häufige Fragen zum KI-Recht
Gilt der AI Act bereits?
Ja. Der AI Act ist seit dem 2. August 2026 in wesentlichen Teilen anwendbar. Einzelne Regelungen, insbesondere bestimmte Hochrisiko-Pflichten, greifen aufgrund der gestaffelten Anwendung später.
Muss jedes Unternehmen eine KI-Richtlinie haben?
Eine allgemeine gesetzliche Pflicht zu genau einem bestimmten Dokument besteht nicht für jedes Unternehmen. Eine klare interne KI-Richtlinie ist aber regelmäßig sinnvoll, um zugelassene Systeme, Datenkategorien, Freigaben, Kontrollpflichten und Verantwortlichkeiten festzulegen.
Dürfen Mitarbeiter ChatGPT oder andere generative KI im Unternehmen nutzen?
Grundsätzlich kann der Einsatz zulässig sein. Das Unternehmen sollte jedoch festlegen, welche Dienste verwendet werden dürfen und welche Daten nicht eingegeben werden dürfen. Datenschutz, Geschäftsgeheimnisse, Urheberrecht und vertragliche Verpflichtungen müssen berücksichtigt werden.
Müssen KI-generierte Inhalte gekennzeichnet werden?
Teilweise. Art. 50 AI Act enthält Transparenzpflichten für bestimmte KI-Systeme und Inhalte. Ob eine Kennzeichnung erforderlich ist, hängt vom konkreten System und vom Inhalt ab, etwa bei Deepfakes oder bestimmten zur Information der Öffentlichkeit veröffentlichten KI-Texten.
Ist KI zur Bewerberauswahl erlaubt?
Nicht pauschal verboten. Solche Anwendungen können jedoch als Hochrisiko-KI eingeordnet sein und zusätzlich Datenschutz-, Arbeits- und Diskriminierungsrecht berühren. Der konkrete Einsatz sollte daher vor Einführung geprüft werden.
Welche Daten sollten nicht ungeprüft in KI-Systeme eingegeben werden?
Besonders kritisch sind personenbezogene Daten, besondere Kategorien personenbezogener Daten, vertrauliche Mandats- oder Kundendaten, Geschäftsgeheimnisse sowie fremde urheberrechtlich geschützte Inhalte. Ob eine Eingabe zulässig ist, hängt vom System, Vertrag, Verarbeitungszweck und den technischen Einstellungen ab.
KI-Einsatz einordnen. Risiken beherrschbar machen.
Lassen Sie Ihr KI-Projekt rechtlich prüfen.
Schildern Sie System, Zweck und Einsatzkontext. Kanzlei Wrase klärt, welche Anforderungen tatsächlich relevant sind und welche nächsten Schritte sinnvoll sind.