KI im Unternehmen ist längst kein Zukunftsthema mehr. Viele Unternehmen nutzen bereits KI-Anwendungen oder denken über deren Einsatz nach. Dabei geht es nicht nur um bekannte Systeme wie Microsoft Copilot oder ChatGPT. Auch zahlreiche bestehende Anwendungen enthalten inzwischen KI-Funktionen, etwa in Office-Programmen, Kommunikations-Tools, Bewerbermanagementsystemen, CRM-Systemen, Übersetzungsdiensten, Suchfunktionen oder Fachsoftware.
Aus Datenschutzsicht ist der Einsatz von KI nicht grundsätzlich problematisch. Er sollte aber bewusst gesteuert werden. Das gilt insbesondere dann, wenn personenbezogene Daten, Beschäftigtendaten, Kunden- oder Mandantendaten, vertrauliche Unternehmensinformationen oder Geschäftsgeheimnisse verarbeitet werden.
Aktueller Anlass: KI-Verordnung und Datenschutzleitlinien
Auf europäischer Ebene entwickelt sich der Rechtsrahmen für KI weiter. Am 27. Juli 2026 ist der AI Omnibus in Kraft getreten. Die Verordnung soll die Umsetzung der KI-Verordnung vereinfachen und sieht unter anderem Anpassungen bei Fristen und Umsetzungsfragen vor.
Für Unternehmen bleibt außerdem das Thema KI-Kompetenz wichtig. Die KI-Verordnung sieht vor, dass Anbieter und Betreiber von KI-Systemen Maßnahmen zur Förderung von KI-Kompetenz bei Personen treffen, die mit KI-Systemen umgehen. Aus Datenschutzsicht ist dabei besonders relevant, dass Beschäftigte die Chancen, Grenzen und Risiken von KI im jeweiligen Einsatzkontext verstehen und wissen, welche Daten in KI-Systemen verwendet werden dürfen und welche nicht.
Daneben hat der Europäische Datenschutzausschuss im Juli 2026 neue Leitlinien zu Anonymisierung sowie zu Web Scraping im Kontext generativer KI veröffentlicht. Diese betreffen vor allem datenintensive KI-Anwendungen. Sie zeigen aber auch allgemein, worauf es bei KI-Projekten datenschutzrechtlich ankommt: Rechtsgrundlage, Transparenz, Datenminimierung, Zweckbindung, technische Schutzmaßnahmen und eine realistische Bewertung, ob Daten tatsächlich anonym sind.
Warum Unternehmen ihre KI-Nutzung prüfen sollten
Viele Unternehmen gehen davon aus, dass KI erst dann ein Datenschutz- oder Compliance-Thema wird, wenn ein großes KI-Projekt offiziell eingeführt wird. In der Praxis beginnt die KI-Nutzung aber häufig früher.
Einzelne Beschäftigte nutzen frei verfügbare Tools, bestehende Software erhält neue KI-Funktionen oder Fachabteilungen testen Anwendungen ohne zentrale Freigabe. Dadurch kann KI bereits im Unternehmen eingesetzt werden, ohne dass dies zentral bekannt, geprüft oder dokumentiert ist.
Ein kurzer Selbstcheck hilft, Transparenz über die tatsächliche KI-Nutzung im Unternehmen zu gewinnen und unklare oder informelle Nutzungen frühzeitig zu erkennen.
Selbstcheck: Diese Fragen sollten Unternehmen klären
Für eine erste interne Einordnung können insbesondere folgende Fragen hilfreich sein:
- Welche KI-Anwendungen werden im Unternehmen bereits genutzt oder getestet?
- Gibt es klare interne Vorgaben für den Einsatz?
- Ist geregelt, welche Daten in KI-Anwendungen eingegeben werden dürfen und welche nicht?
- Besteht bereits eine KI-Richtlinie oder sollte diese aktualisiert werden?
- Sind Beschäftigte für den verantwortungsvollen und datenschutzkonformen Einsatz von KI sensibilisiert?
- Sind relevante KI-Anwendungen in der Datenschutzdokumentation berücksichtigt?
- Gibt es einen Prozess zur Prüfung und Freigabe neuer KI-Anwendungen?
Diese Fragen müssen nicht zwingend in einem großen Projekt beantwortet werden. Häufig reicht zunächst eine pragmatische Bestandsaufnahme, um zu erkennen, wo bereits klare Regelungen bestehen und wo nachgesteuert werden sollte.
Besondere Vorsicht bei erhöhten Datenschutzrisiken
Nicht jede KI-Nutzung ist gleich kritisch. Einfache Formulierungshilfen ohne personenbezogene oder vertrauliche Inhalte sind anders zu bewerten als KI-Systeme, die in sensiblen Bereichen eingesetzt werden.
Besonderes Augenmerk sollte auf Einsatzbereiche gelegt werden, in denen erhöhte datenschutzrechtliche Risiken bestehen. Dazu zählen insbesondere Personalprozesse, Bewerbermanagement, Leistungs- oder Verhaltensbewertung, Kundenkommunikation, automatisierte Entscheidungen, sensible Daten, Gesundheitsdaten sowie KI-Anwendungen mit Zugriff auf interne Wissensdatenbanken oder größere Datenbestände.
In solchen Fällen sollte genauer geprüft werden, welche Daten verarbeitet werden, welche Anbieter beteiligt sind, ob eine Datenschutz-Folgenabschätzung erforderlich ist und wie Betroffene transparent informiert werden. Soweit darüber hinaus eine umfassende rechtliche Bewertung nach der KI-Verordnung erforderlich ist, sollte diese gesondert erfolgen.
Praktische Empfehlung: KI strukturiert ermöglichen
Unternehmen sollten KI-Nutzung nicht pauschal untersagen, sondern strukturiert ermöglichen. Dafür sind insbesondere drei Bausteine sinnvoll.
Erstens sollte bekannt sein, welche KI-Anwendungen im Unternehmen eingesetzt oder getestet werden. Zweitens sollten klare interne Regeln bestehen, welche Daten in KI-Systeme eingegeben werden dürfen und welche nicht. Drittens sollten Beschäftigte verständlich und praxisnah für den verantwortungsvollen Umgang mit KI sensibilisiert werden.
Eine KI-Richtlinie, eine Freigabeliste für KI-Anwendungen und kurze datenschutzbezogene KI-Kompetenz-Materialien können hierfür eine gute Grundlage sein. Wichtig ist, dass diese Unterlagen nicht nur formal bestehen, sondern zum tatsächlichen Arbeitsalltag passen.
Fazit
KI kann Unternehmen erheblich unterstützen. Damit der Einsatz rechtssicher und praxistauglich bleibt, sollten Unternehmen ihre KI-Nutzung jedoch kennen, steuern und dokumentieren.
Die aktuellen Entwicklungen rund um KI-Verordnung, KI-Kompetenz und Datenschutzleitlinien sind ein guter Anlass, bestehende Vorgaben aus Datenschutzsicht zu überprüfen und bei Bedarf anzupassen.
