KI-Verordnung 2026: Welche Pflichten gelten jetzt für Unternehmen – und wo drohen Haftungsrisiken?

18. Oktober 2026

Künstliche Intelligenz ist längst im Unternehmensalltag angekommen. Ob ChatGPT zur Texterstellung, Microsoft Copilot in der Büroorganisation oder KI-gestützte Systeme im Kundenservice: Immer mehr Unternehmen nutzen künstliche Intelligenz, um Arbeitsprozesse zu automatisieren und Kosten zu senken.

Doch mit dem Einsatz von KI entstehen auch rechtliche Pflichten. Die europäische KI-Verordnung (AI Act) schafft hierfür einen verbindlichen Rechtsrahmen. Unternehmen sollten deshalb prüfen, welche Anforderungen für ihre eingesetzten KI-Systeme gelten und wie sich rechtliche Risiken vermeiden lassen.

1. KI-Verordnung: Was Unternehmen wissen müssen

Die europäische KI-Verordnung, Verordnung (EU) 2024/1689, verfolgt einen risikobasierten Ansatz. Je nach Art und Einsatzgebiet eines KI-Systems gelten unterschiedliche Anforderungen.

Dabei unterscheidet die Verordnung insbesondere zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen und bestimmten KI-Anwendungen, für die besondere Transparenzpflichten vorgesehen sind.

Für Unternehmen ist entscheidend, welche Rolle sie einnehmen: Wer ein KI-System selbst entwickelt und unter eigenem Namen anbietet, unterliegt teilweise anderen Pflichten als ein Unternehmen, das ein fertiges System lediglich einsetzt.

Auch die konkrete Verwendung kann darüber entscheiden, ob ein KI-System als hochriskant einzustufen ist.

2. Transparenzpflichten beim Einsatz von KI

Artikel 50 der KI-Verordnung enthält besondere Transparenzpflichten für bestimmte KI-Systeme und deren Einsatz.

Dazu gehören insbesondere folgende Konstellationen:

KI-Chatbots: Bei KI-Systemen, die unmittelbar mit Menschen interagieren, muss grundsätzlich erkennbar sein, dass die Interaktion mit einer künstlichen Intelligenz erfolgt. Die Verordnung sieht hierfür Ausnahmen vor, etwa wenn dies aus Sicht einer angemessen informierten und aufmerksamen Person offensichtlich ist.

KI-generierte Inhalte: Für bestimmte synthetisch erzeugte oder manipulierte Inhalte bestehen Kennzeichnungs- beziehungsweise Offenlegungspflichten. Dabei ist zwischen den Pflichten der Anbieter und denen der Betreiber eines KI-Systems zu unterscheiden.

Deepfakes: Wer KI-generierte oder manipulierte Bild-, Ton- oder Videoinhalte einsetzt, die einen Deepfake darstellen, muss grundsätzlich offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Auch hier sieht die Verordnung besondere Regelungen und Ausnahmen vor.

KI-generierte Texte: Bei bestimmten KI-generierten oder manipulierten Texten, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, können Offenlegungspflichten bestehen. Eine allgemeine Kennzeichnungspflicht für jeden mit KI verfassten Unternehmenstext folgt daraus jedoch nicht.

Unternehmen sollten deshalb nicht pauschal sämtliche KI-Inhalte gleich behandeln, sondern die jeweils einschlägigen Anforderungen prüfen.

3. ChatGPT und Microsoft Copilot im Unternehmen: Was ist erlaubt?

Der Einsatz von ChatGPT, Microsoft Copilot und vergleichbaren KI-Anwendungen ist nicht grundsätzlich verboten.

Allerdings können sich aus dem Datenschutzrecht, dem Schutz von Geschäftsgeheimnissen, dem Urheberrecht und arbeitsrechtlichen Vorschriften zusätzliche Anforderungen ergeben.

Besonders relevant sind folgende Fragen:

• Dürfen Mitarbeiter personenbezogene Daten in KI-Anwendungen eingeben?

• Wie werden vertrauliche Kundeninformationen und Geschäftsgeheimnisse geschützt?

• Welche vertraglichen Regelungen bestehen mit dem jeweiligen KI-Anbieter?

• Wer kontrolliert KI-generierte Ergebnisse vor ihrer Verwendung?

• Welche internen Regeln gelten für den Einsatz von KI am Arbeitsplatz?

Unternehmen sollten insbesondere verhindern, dass Mitarbeiter sensible Informationen ohne ausreichende Prüfung an externe KI-Dienste übermitteln.

Eine unternehmensinterne KI-Richtlinie kann hierfür einen wichtigen Beitrag leisten.

4. KI im Personalwesen: Besondere rechtliche Risiken

Besondere Aufmerksamkeit verdient der Einsatz künstlicher Intelligenz im Personalbereich.

KI-Systeme, die beispielsweise Bewerbungen bewerten, Kandidaten auswählen oder Entscheidungen über Beschäftigte unterstützen, können unter bestimmten Voraussetzungen als Hochrisiko-KI-Systeme eingestuft werden.

Neben den Anforderungen der KI-Verordnung sind insbesondere die Datenschutz-Grundverordnung, das Allgemeine Gleichbehandlungsgesetz und gegebenenfalls betriebliche Mitbestimmungsrechte zu beachten.

Ein wesentliches Risiko besteht darin, dass KI-Systeme bestehende Verzerrungen übernehmen und dadurch diskriminierende Ergebnisse erzeugen.

Unternehmen sollten deshalb frühzeitig prüfen, ob ihre Personalsoftware KI-basierte Entscheidungsfunktionen enthält und welche rechtlichen Folgen sich daraus ergeben.

5. Wer haftet für Fehler künstlicher Intelligenz?

Die Verwendung künstlicher Intelligenz entbindet Unternehmen nicht von ihren bestehenden rechtlichen Verpflichtungen.

Wer KI-generierte Informationen ungeprüft übernimmt, kann sich beispielsweise mit fehlerhaften Kundeninformationen, Datenschutzverstößen, Urheberrechtsverletzungen oder vertraglichen Haftungsansprüchen konfrontiert sehen.

Welche Haftungsfolgen eintreten, hängt vom konkreten Sachverhalt und den jeweils anwendbaren gesetzlichen Vorschriften ab.

Besonders problematisch ist der Einsatz von KI dort, wo Entscheidungen erhebliche Auswirkungen auf Kunden, Beschäftigte oder Geschäftspartner haben.

Deshalb sollten Unternehmen klare Verantwortlichkeiten festlegen und sicherstellen, dass kritische KI-Ergebnisse angemessen kontrolliert werden.

6. Welche Maßnahmen sollten Unternehmen jetzt ergreifen?

Für einen rechtssicheren KI-Einsatz empfiehlt sich ein strukturiertes Vorgehen.

Erstens: KI-Anwendungen erfassen. Unternehmen sollten dokumentieren, welche KI-Systeme bereits eingesetzt werden und welche Geschäftsbereiche betroffen sind.

Zweitens: Rechtliche Risiken prüfen. Dabei sind insbesondere die KI-Verordnung, Datenschutz, Geschäftsgeheimnisse, Urheberrecht und Arbeitsrecht zu berücksichtigen.

Drittens: Zuständigkeiten festlegen. Verantwortlichkeiten für die Auswahl, Einführung und Überwachung von KI-Systemen sollten klar geregelt sein.

Viertens: Mitarbeiter informieren und schulen. Beschäftigte müssen wissen, welche KI-Anwendungen sie nutzen dürfen und welche Daten nicht eingegeben werden sollten. Die Anforderungen an KI-Kompetenz nach Artikel 4 der KI-Verordnung sind dabei zu berücksichtigen.

Fünftens: Interne KI-Richtlinien entwickeln. Eine praxisgerechte Richtlinie kann festlegen, welche Anwendungen zugelassen sind, welche Kontrollen erforderlich sind und wie mit Fehlern umzugehen ist.

7. Fazit: KI-Compliance wird zur Unternehmensaufgabe

Die europäische KI-Verordnung macht deutlich, dass künstliche Intelligenz nicht nur eine technische, sondern auch eine rechtliche Herausforderung ist.

Unternehmen müssen nicht auf sämtliche künftigen Anforderungen warten, bevor sie handeln. Schon heute können Datenschutz, Vertraulichkeit, Transparenz und interne Verantwortlichkeiten eine rechtliche Prüfung erforderlich machen.

Wer KI-Systeme frühzeitig erfasst, Risiken bewertet und klare Regeln für deren Nutzung entwickelt, schafft eine bessere Grundlage für einen rechtssicheren Einsatz künstlicher Intelligenz.

Anwaltliche Beratung zur KI-Verordnung und KI-Compliance

Sie setzen ChatGPT, Microsoft Copilot oder andere KI-Systeme in Ihrem Unternehmen ein?

Wir unterstützen Unternehmen bei der rechtlichen Prüfung ihrer KI-Anwendungen, der Umsetzung einschlägiger Anforderungen der europäischen KI-Verordnung und der Erstellung interner KI-Richtlinien.

Eine frühzeitige rechtliche Prüfung hilft, Risiken zu erkennen und die Einführung neuer KI-Anwendungen auf eine verlässliche Grundlage zu stellen.

Nehmen Sie Kontakt auf und lassen Sie den KI-Einsatz in Ihrem Unternehmen rechtlich prüfen.

KI-Anwalt Fabian Fritsch

Zugegegen: Es gibt die Fachanwaltschaft für künstliche Intelligenz noch nicht, daher ist  der Versuch, die Begrifflichkeit "KI-Anwalt" mit Leben zu füllen, von Visionen, eigenem Interesse und dem Aufbau eigener Erfahrungen geprägt. Fabian Fritsch gründete die Kanzlei Hafencity im Bedürfnis, Unternehmern und Verbrauchern im "Bankrecht 2.0" ein zuverlässiger Begleiter zu sein. gerade im Bank- und Kapitalmarktrecht steigt die Bedeutung von künstlicher Intelligenz rasant.

So fügten sich nach erfolgreicher Kanzleigründ sehr schnell Berührungspunkte zum Recht der Künstlichen Intelligenz ein. Fritsch vertritt  aktuell Opfer von KI-Einsätzen im Bereich von Accountsperrungen, bei Problemen mit Paypal und anderen Zahlungsdienstleistern und im Konflikt mit NEO-Brokern wie Trade Republik oder im Themengebiet Bitcoin-Handel.

Breiten Raum nimmt auch die Vertretung geschädigter Mandanten durch Cyberkriminalität und Identitätsmissbrauch ein, insbesonder bei Auseinandersetzungen mit Banken nach Phishing und anschließendem Kreditkarten-/Onlinebetrug.

Zur Mandantschaft gehören neben geschädigten Verbrauchern auch mittelständische Unternehmer und selbständig Tätige, die KI intensiv in ihre Abläufe einbinden und dabei auf rechtskonforme Lösungen angewiesen sind.