Checkliste: KI im Unternehmen rechtssicher einführen

Diese Checkliste führt Sie in elf Schritten durch die rechtlichen Fragen, die sich bei der Einführung von KI im Unternehmen stellen. Sie richtet sich an Projektverantwortliche, Geschäftsleitungen sowie Rechts-, Datenschutz- und IT-Abteilungen, die einzelne KI-Werkzeuge oder einen unternehmensweiten KI-Einsatz vorbereiten. Grundlage sind die KI-Verordnung (EU) 2024/1689 in der Fassung des Digital Omnibus (Verordnung (EU) 2026/1744), die DSGVO sowie deutsches Arbeits-, Urheber- und Vertragsrecht.

Praxistipp

Arbeiten Sie die Schritte nicht nur einmal ab. Wiederholen Sie die Prüfung bei jedem neuen Anwendungsfall, bei Wechsel des Anbieters und bei wesentlichen Updates eines Systems. Für eine erste Einordnung eignet sich unser AI-Act-Quick-Check.

Die Checkliste

Bestandsaufnahme
- Alle eingesetzten und geplanten KI-Systeme erfassen, einschließlich KI-Funktionen in Standardsoftware und privat genutzter Werkzeuge („Schatten-KI“).
- Je System festhalten: Anbieter, Version, Zweck, Fachbereich, Nutzerkreis, verarbeitete Datenarten, Ausgabeformen.
- Zuständige Person je System benennen.
- Ergebnis in einem fortlaufend gepflegten KI-Inventar dokumentieren.
Rolle und Risikoklasse bestimmen
- Rolle nach Art. 3 KI-VO festlegen: Anbieter, Betreiber, Einführer oder Händler.
- Prüfen, ob eigene Anpassungen, eine geänderte Zweckbestimmung oder eine Vermarktung unter eigener Marke zur Anbieterrolle führen (Art. 25 KI-VO).
- Verbotene Praktiken nach Art. 5 KI-VO ausschließen, einschließlich des ab 2. Dezember 2026 geltenden Verbots von „Nudification“-Anwendungen.
- Hochrisiko-Einordnung nach Art. 6 i. V. m. Anhang I und III KI-VO prüfen und eine Ausnahme nach Art. 6 Abs. 3 KI-VO dokumentieren.
- Geltungstermine beachten: Anhang III ab 2. Dezember 2027, Anhang I ab 2. August 2028.
Datenschutz und Datenschutz-Folgenabschätzung
- Rechtsgrundlage für jede Verarbeitung festlegen (Art. 6 DSGVO, bei besonderen Kategorien Art. 9 DSGVO).
- Prüfen, ob Eingaben zum Training des Anbietermodells genutzt werden, und dies vertraglich oder per Einstellung ausschließen.
- Rolle des Anbieters klären (Auftragsverarbeiter nach Art. 28 DSGVO oder eigener Verantwortlicher) und Drittlandtransfers nach Art. 44 ff. DSGVO absichern.
- Schwellwertanalyse und gegebenenfalls Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen.
- Automatisierte Einzelentscheidungen mit rechtlicher Wirkung vermeiden oder die Voraussetzungen des Art. 22 DSGVO sicherstellen.
- Verzeichnis von Verarbeitungstätigkeiten und Datenschutzhinweise ergänzen; Datenschutz durch Technikgestaltung (Art. 25 DSGVO) berücksichtigen.
Verträge und Anbieterprüfung
- Nutzungsbedingungen, Auftragsverarbeitungsvertrag und Service Levels des Anbieters prüfen.
- Regelungen zu Rechten an Eingaben und Ausgaben, Vertraulichkeit, Datenlöschung und Trainingsnutzung verhandeln.
- Gewährleistung, Haftungsbegrenzungen und Freistellung bei Rechtsverletzungen durch Ausgaben bewerten.
- Bei Hochrisiko-Systemen: Betriebsanleitung, Konformitätserklärung und Unterstützung bei Betreiberpflichten vertraglich absichern.
- Ausstiegsszenario und Datenportabilität regeln. Weitere Hinweise: KI-Einkauf und Anbieterprüfung.
Urheberrecht und Geschäftsgeheimnisse
- Festlegen, welche Inhalte in KI-Werkzeuge eingegeben werden dürfen; vertrauliche Informationen und fremde geschützte Werke nur nach Prüfung.
- Angemessene Geheimhaltungsmaßnahmen nach § 2 Nr. 1 lit. b GeschGehG dokumentieren, damit der Schutz als Geschäftsgeheimnis erhalten bleibt.
- Berücksichtigen, dass rein KI-generierte Ergebnisse mangels persönlicher geistiger Schöpfung (§ 2 Abs. 2 UrhG) regelmäßig keinen Urheberrechtsschutz genießen.
- Ausgaben vor der Veröffentlichung auf Übernahmen fremder Werke, Marken und Persönlichkeitsrechte prüfen.
- Bei eigenem Training: Nutzungsvorbehalte nach § 44b Abs. 3 UrhG beachten; das LG München I hat mit Urteil vom 11. November 2025 (Az. 42 O 14139/24, nicht rechtskräftig) entschieden, dass die Memorisierung von Liedtexten im Modell nicht von der Text-und-Data-Mining-Schranke gedeckt ist.
Arbeitsrecht und Betriebsrat
- Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG prüfen, wenn das System Verhalten oder Leistung auswerten kann.
- Betriebsrat rechtzeitig nach § 90 Abs. 1 Nr. 3 BetrVG unterrichten; Sachverständigenhinzuziehung nach § 80 Abs. 3 Satz 2 BetrVG einplanen.
- Bei Hochrisiko-Systemen am Arbeitsplatz: Information von Arbeitnehmervertretern und Beschäftigten nach Art. 26 Abs. 7 KI-VO.
- Rahmenbetriebsvereinbarung zu KI erwägen. Vertiefung: KI im Arbeitsverhältnis.
KI-Richtlinie
- Zugelassene Werkzeuge und Freigabeprozess für neue Anwendungen festlegen.
- Verbotene Eingaben (personenbezogene Daten, Geschäftsgeheimnisse, Mandanten- oder Kundendaten) konkret benennen.
- Pflicht zur menschlichen Prüfung von Ergebnissen und Regeln zur Kennzeichnung aufnehmen.
- Zuständigkeiten, Meldewege bei Vorfällen und Folgen von Verstößen regeln. Unterstützung: Entwicklung von KI-Richtlinien.
Schulung und KI-Kompetenz
- Kompetenzbedarf je Rolle ermitteln: Geschäftsleitung, Fachanwender, Entwickler, menschliche Aufsicht.
- Schulungen nach Art. 4 KI-VO durchführen; seit dem Digital Omnibus ist die KI-Kompetenz zu fördern, ein bestimmtes Niveau muss nicht mehr sichergestellt werden.
- Teilnahme, Inhalte und Datum dokumentieren.
- Auffrischung bei neuen Werkzeugen oder Rechtsänderungen planen.
Kennzeichnung und Transparenz
- Chatbots und Sprachassistenten so gestalten, dass Nutzer die Interaktion mit KI erkennen (Art. 50 Abs. 1 KI-VO).
- Als Anbieter generativer Systeme maschinenlesbare Markierung umsetzen (Art. 50 Abs. 2 KI-VO; Übergangsfrist bis 2. Dezember 2026 für vor dem 2. August 2026 in Verkehr gebrachte Systeme).
- Deepfakes und KI-Texte zur Information der Öffentlichkeit offenlegen (Art. 50 Abs. 4 KI-VO).
- Den freiwilligen Code of Practice der Kommission zur Markierung und Kennzeichnung (endgültige Fassung vom 10. Juni 2026) als Orientierung nutzen. Vertiefung: Kennzeichnungspflicht.
Dokumentation
- Einordnungsentscheidungen, insbesondere zu Rolle, Risikoklasse und Ausnahmen, schriftlich begründen.
- Datenschutzunterlagen, Verträge, Schulungsnachweise und Freigaben zentral ablegen.
- Bei Hochrisiko-Systemen: Betriebsanleitung, Protokolle (Aufbewahrung mindestens sechs Monate, Art. 26 Abs. 6 KI-VO) und gegebenenfalls Grundrechte-Folgenabschätzung (Art. 27 KI-VO) vorhalten.
Monitoring und Anpassung
- Ergebnisse regelmäßig auf Fehler, Verzerrungen und unerwünschte Effekte prüfen. Hinweise zu Bias beachten.
- Vorfälle erfassen; bei Hochrisiko-Systemen Anbieter und Marktüberwachungsbehörde nach Art. 26 Abs. 5 KI-VO informieren.
- Updates der Anbieter auf geänderte Funktionen und Bedingungen prüfen.
- Rechtsentwicklungen verfolgen: Aufsicht durch die Bundesnetzagentur nach dem KI-MIG, neue Produkthaftungsregeln für Software ab Dezember 2026, Leitlinien der Kommission.
- Inventar, Richtlinie und Schulungen mindestens jährlich überprüfen.

Typische Fehler bei der Einführung

Das Projekt startet mit der Toolauswahl, ohne vorher Einsatzzweck und Datenarten festzulegen. Die rechtliche Prüfung kommt dann zu spät.
Kostenlose Versionen von KI-Diensten werden mit Unternehmensdaten genutzt, obwohl deren Bedingungen eine Trainingsnutzung erlauben.
Der Betriebsrat wird erst nach dem Rollout beteiligt; die Folge sind Unterlassungsansprüche und Projektstopps.
Ein Werkzeug wird für Bewerberauswahl freigegeben, ohne die Hochrisiko-Einordnung nach Anhang III Nr. 4 KI-VO zu prüfen.
Schulungen finden statt, werden aber nicht dokumentiert.

So unterstützen wir Sie

Begleitung der gesamten Einführung oder einzelner Schritte der Checkliste
Einordnung von Rolle und Risikoklasse mit schriftlicher Begründung
Datenschutzprüfung und Datenschutz-Folgenabschätzung
Prüfung und Verhandlung von Verträgen mit KI-Anbietern
Entwurf von KI-Richtlinie und Betriebsvereinbarung
Schulungen zur KI-Kompetenz mit Teilnahmenachweis

Häufige Fragen

In welcher Reihenfolge sollten die Schritte bearbeitet werden?

Bestandsaufnahme und Risikoeinordnung stehen am Anfang, weil sich daraus der Umfang aller weiteren Prüfungen ergibt. Datenschutz, Verträge und Betriebsratsbeteiligung laufen in der Praxis meist parallel.

Gilt die Checkliste auch für einzelne Werkzeuge wie Übersetzungs- oder Schreibassistenten?

Ja, in verkürzter Form. Bei Werkzeugen mit geringem Risiko stehen Datenschutz, Vertragsbedingungen, Geschäftsgeheimnisschutz, KI-Richtlinie und Schulung im Vordergrund.

Wer sollte im Unternehmen für die Checkliste verantwortlich sein?

Eine Person oder ein kleines Team, das Recht, Datenschutz, IT und Fachbereich zusammenbringt. Eine gesetzliche Pflicht zur Benennung eines KI-Beauftragten besteht nicht; mehr dazu unter KI-Beauftragter.

Was ändert sich durch die neue Produkthaftung für Software?

Die Produkthaftungsrichtlinie (EU) 2024/2853 erfasst Software einschließlich KI ausdrücklich als Produkt. Die Umsetzungsfrist läuft bis 9. Dezember 2026; der Bundestag hat das deutsche Umsetzungsgesetz am 8. Oktober 2026 beschlossen. Unternehmen, die KI-gestützte Produkte anbieten, sollten Haftungsrisiken und Versicherungsschutz prüfen. Vertiefung: Produkthaftung für Software und KI.