AI Act für kleine Unternehmen: Worauf bei ChatGPT, Claude oder Chatbots zu achten ist

Künstliche Intelligenz ist in kleine Unternehmen eingezogen, ohne dass immer eine geordnete rechtliche und technische Bewertung vorausging. Ein Geschäft nutzt ChatGPT für Produktbeschreibungen. Ein E-Shop testet Claude oder einen anderen KI-Assistenten für Kundenfragen, wobei ein Mensch die Antworten prüft. Ein Buchhaltungsbüro probiert ein Werkzeug aus, das Dokumente zusammenfasst. Ein Dienstleistungsunternehmen schreibt Angebote, E-Mails und Beiträge mit KI. Ein Arbeitgeber denkt über Software nach, die Lebensläufe "aussortiert".

Die erste Reaktion ist oft praktisch: Wenn es Zeit spart, warum nicht nutzen? Die zweite ist ängstlich: Ist es jetzt vielleicht verboten? Die richtige Antwort liegt in der Mitte. Der AI Act, also die Verordnung (EU) 2024/1689 über Künstliche Intelligenz, verbietet die Nutzung von Werkzeugen wie ChatGPT, Claude oder anderen KI-Assistenten nicht generell. Er setzt aber Regeln je nach Risiko, Rolle des Unternehmens und Ergebnis, das das System erzeugt.

Für ein kleines griechisches Unternehmen lautet die zentrale Frage nicht: "Soll ich KI stoppen?" Sie ist einfacher und ernster: Wo nutze ich sie, welche Daten gebe ich ein, wer kontrolliert das Ergebnis, muss der Kunde informiert werden und berührt meine Nutzung sensible Entscheidungen wie Einstellung, Bewertung, Kredit, Versicherung, Bildung oder Zugang zu Diensten?

Dieser Artikel ist ein praktischer Leitfaden. Er ist kein technisches Handbuch und ersetzt keine Rechtsberatung. Ziel ist, Fachleuten zu helfen zu unterscheiden, was alltägliche Nutzung mit geringem Risiko ist, was interne Regeln braucht und was ohne besondere Prüfung nicht geschehen sollte.

In der Praxis geht es rechtlich nicht darum, KI zu dämonisieren. Es geht um eine einfache Nutzungsrichtlinie: was in das Werkzeug eingegeben werden darf, wer das Ergebnis prüft, wann der Kunde informiert wird und wann eine rechtliche oder technische Bewertung erforderlich ist, bevor das System in den Alltag kommt.

Was der AI Act einfach gesagt ist

Der AI Act ist die erste einheitliche europäische Verordnung für Systeme Künstlicher Intelligenz. Die Europäische Kommission stellt ihn als risikobasierten Rahmen dar: Je größer das Risiko für Sicherheit, Gesundheit, Grundrechte oder wichtige Entscheidungen über Menschen ist, desto schwerer sind die Pflichten.

Nicht alle KI-Werkzeuge werden gleich behandelt. Ein Werkzeug, das Titel für soziale Netzwerke vorschlägt, hat nicht dasselbe Gewicht wie ein System, das Bewerber bewertet oder individualisierte Anweisungen ohne menschliche Aufsicht gibt.

Die Logik der Verordnung ist abgestuft. Bestimmte Praktiken sind verboten. Manche Systeme sind hochriskant und brauchen strenge Compliance. Manche haben vor allem Transparenzpflichten. Die meisten alltäglichen Werkzeuge mit geringem Risiko werden keinen schweren Aktenordner brauchen, aber das bedeutet nicht, dass sie ungeordnet verwendet werden dürfen.

Für kleine Unternehmen heißt das sehr konkret: Beginnen Sie nicht mit dem Namen des Werkzeugs, sondern mit der Nutzung. Dasselbe KI-Tool kann ein einfaches Hilfsmittel sein, wenn es einen E-Mail-Entwurf schreibt, aber viel sensibler werden, wenn es verwendet wird, um einen Kunden, Arbeitnehmer oder Bewerber von etwas Wichtigem auszuschließen.

Die Daten, die 2026 wichtig sind

Der AI Act ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Die offizielle Seite der Europäischen Kommission und der AI Act Service Desk zeigen, dass bereits seit dem 2. Februar 2025 die allgemeinen Bestimmungen, Begriffsbestimmungen, verbotenen Praktiken und die Pflicht zur AI Literacy gelten, also die Pflicht, dass Menschen, die KI nutzen oder betreiben, ein ausreichendes Verständnis für Nutzung und Risiken haben.

Seit dem 2. August 2025 gelten Regeln für Anbieter von Modellen mit allgemeinem Verwendungszweck, also große KI-Modelle. Das betrifft stärker Unternehmen, die solche Modelle entwickeln oder bereitstellen, interessiert aber auch kleine Unternehmen, weil es ihre Lieferanten betrifft.

Das große praktische Datum für viele Unternehmen ist der 2. August 2026, wenn die Mehrheit der Regeln und die Transparenzpflichten des Artikels 50 anwendbar werden. Die Kommission hat außerdem im Rahmen des AI Omnibus eine politische Einigung über die spätere Anwendung bestimmter High-Risk-Pflichten angekündigt. Weil sich der Rahmen weiterentwickelt, sollte sich ein kleines Unternehmen nicht nur auf ein Datum verlassen. Es sollte jetzt Ordnung in seine KI-Nutzung bringen.

Sind Sie Anbieter, Deployer oder einfacher Nutzer?

Der AI Act verwendet Rollen. Für kleine Unternehmen ist die häufigste Rolle der Deployer: Das Unternehmen nutzt ein KI-System im beruflichen Kontext. Es hat es nicht selbst gebaut, setzt es aber im Alltag ein. Eine Werkstatt, die ein Chatbot auf ihrer Website einsetzt, ein E-Shop, der KI für Produktempfehlungen nutzt, oder ein Büro, das ChatGPT für Textentwürfe verwendet, ist meistens Deployer.

Anbieter ist, wer ein KI-System entwickelt oder unter seinem Namen auf den Markt bringt. Ein kleines Unternehmen kann Anbieter werden, wenn es ein eigenes Chatbot baut und an andere verkauft oder KI in ein Produkt oder eine Dienstleistung integriert, die es als eigene Lösung anbietet.

Viele Unternehmen bauen KI nicht von Grund auf, konfigurieren aber ein fertiges System stark: Sie laden eine Knowledge Base hoch, geben Anweisungen und stellen es Kunden gegenüber. Auch dann trägt das Unternehmen Verantwortung für Nutzung, Daten und Versprechen gegenüber dem Nutzer.

ChatGPT für Alltagsaufgaben: worauf achten?

Die Nutzung von ChatGPT oder ähnlichen Werkzeugen für Ideen, Textentwürfe, Übersetzungen, Zusammenfassungen oder interne Organisation ist meist risikoarm, solange keine sensiblen oder vertraulichen Daten eingegeben werden und ein menschlicher Check erfolgt. Das Problem ist nicht, dass Sie eine E-Mail mit KI geschrieben haben. Das Problem ist, Kundendaten, Verträge oder Geschäftsgeheimnisse zu kopieren, ohne zu wissen, wohin sie gehen und wie sie gespeichert werden.

Eine praktische Richtlinie für ein kleines Unternehmen kann kurz sein, muss aber klar sein. Sie sollte sagen, welche Werkzeuge erlaubt sind, für welche Nutzungen, was nicht eingegeben werden darf, wer die Nutzung in der Kundenkommunikation freigibt und wann eine Prüfung durch Verantwortliche oder Rechtsberater erforderlich ist.

Das Grundprinzip ist einfach: Je näher KI an einer Entscheidung ist, die einen Menschen betrifft, desto vorsichtiger muss das Unternehmen sein. Je unterstützender und interner die Nutzung ist, desto einfacher kann sie organisiert werden, ohne aber Vertraulichkeit zu ignorieren.

Chatbot auf Website oder E-Shop

Das Chatbot ist sensibler als ein internes Werkzeug, weil es mit Kunden spricht. Selbst wenn es einfache Fragen beantwortet, muss der Nutzer verstehen, dass er nicht mit einem Menschen spricht, wenn das nicht offensichtlich ist. Die Transparenzpflichten des Artikels 50 AI Act werden ab dem 2. August 2026 praktisch kritisch. Die Europäische Kommission veröffentlichte 2026 Entwürfe von Leitlinien zu Transparenzpflichten gerade für Systeme, die mit Menschen interagieren oder synthetische Inhalte erzeugen.

Für ein kleines Unternehmen ist die sicherste Lösung, den Nutzer von Anfang an klar zu informieren: "Sie sprechen mit einem automatisierten Assistenten. Bei Vertrags-, Zahlungs-, Beschwerde- oder Rechtsanspruchsfragen antwortet Ihnen ein Mensch." Es braucht keinen überlangen Text. Es darf aber nicht der Eindruck entstehen, ein Mensch kontrolliere jede Antwort, wenn das nicht geschieht.

Der zweite Punkt sind personenbezogene Daten. Ein Chatbot im E-Shop kann Namen, E-Mail, Bestellnummer, Adresse oder Problembeschreibung sammeln. Dann kommt die DSGVO ins Spiel. Die Datenschutzerklärung muss erklären, welche Daten zu welchem Zweck erhoben werden, wer der Anbieter ist, ob eine Übermittlung außerhalb der EU stattfindet und wie lange Gespräche gespeichert werden.

Der dritte Punkt ist die Grenze der Antworten. Ein Chatbot kann Öffnungszeiten, Rückgabepolitik, Bestellstatus oder grundlegende Hinweise nennen. Es darf keine Dinge versprechen, die das Unternehmen binden, wenn es dazu nicht berechtigt ist. Zum Beispiel ist der Satz "Sie haben sicher Anspruch auf Entschädigung" riskant. Besser ist: "Ich leite Ihr Anliegen zur Prüfung an die zuständige Abteilung weiter."

AI Literacy: die Pflicht, die viele übersehen

AI Literacy bedeutet nicht, dass alle Beschäftigten KI-Ingenieure werden müssen. Sie bedeutet, dass diejenigen, die KI im Namen des Unternehmens nutzen, ausreichendes Grundwissen haben müssen: was das Werkzeug kann, was es nicht kann, welche Risiken bestehen, wie personenbezogene Daten vermieden werden, wie Richtigkeit geprüft wird und wann menschliche oder rechtliche Bewertung verlangt wird.

Artikel 4 des AI Act gilt bereits seit dem 2. Februar 2025. Die offizielle Q&A der Europäischen Kommission erklärt, dass die Pflicht technische Kenntnisse, Erfahrung, Ausbildung und Nutzungskontext berücksichtigt. Ein kleines Unternehmen braucht also kein Konzernprogramm. Es muss aber zeigen können, dass es nicht jeden KI nach Belieben nutzen ließ.

Praktisch können ein zweistündiges internes Training, eine kurze Nutzungsrichtlinie und ein Nachweisregister für die erste Ordnung genügen. Wer wurde geschult? Welche Werkzeuge nutzt die Firma? Welche Daten sind verboten? Wer genehmigt eine neue Nutzung?

Fehler, die ein kleines Unternehmen vermeiden sollte

Der erste Fehler ist, ein persönliches Konto eines Mitarbeiters für Unternehmensarbeit zu nutzen. Wenn der Mitarbeiter geht oder Kundendaten eingegeben wurden, verliert das Unternehmen Kontrolle. Für Unternehmensnutzung braucht es Firmenkonten, Zugriffsrechte und Grundregeln.

Der zweite Fehler ist das unkritische Kopieren von Daten. Viele laden Rechnungen, Kundenlisten, Lebensläufe, E-Mails oder Verträge in KI hoch, weil sie "eine Zusammenfassung" wollen. Wenn Anbieter, Vertrag, Datenschutzrichtlinie und Speichereinstellungen nicht geprüft wurden, kann das Probleme mit DSGVO, Geschäftsgeheimnis und Vertraulichkeit schaffen.

Der dritte Fehler ist, KI-Text ohne Prüfung zu veröffentlichen. KI kann Fehler machen, Quellen erfinden, Gesetze verwechseln oder irreführend formulieren. Bei Artikeln, Werbung, rechtlichen Informationen, Preisen, Verkaufsbedingungen und Kundenantworten ist menschliche Prüfung nicht dekorativ. Sie ist notwendig.

Der vierte Fehler ist KI-Einsatz in HR ohne ernsthafte Prüfung. Automatische Bewertung von Lebensläufen oder Reihung von Bewerbern kann Hochrisikobereiche berühren. Das ist nicht dasselbe wie ein einfacher Entwurf einer Stellenanzeige.

Der fünfte Fehler ist, den AI Act mit der DSGVO zu verwechseln. Das eine ersetzt das andere nicht. Eine KI-Nutzung kann für den AI Act risikoarm sein, aber für die DSGVO problematisch, wenn personenbezogene Daten ohne Rechtsgrundlage oder Information eingegeben werden. Außerdem kann eine DPIA erforderlich sein, wenn die Verarbeitung mit neuen Technologien voraussichtlich ein hohes Risiko für Rechte und Freiheiten erzeugt.

Praktischer Rahmen in 10 Schritten

Es braucht keine schwere Compliance-Abteilung. Es braucht einen Mindestrahmen, der einer Prüfung, Beschwerde oder einem Fehler standhält.

Am wichtigsten ist Konsequenz. Wenn die Richtlinie sagt "wir laden keine personenbezogenen Daten hoch", Beschäftigte es aber täglich tun, ist sie wenig wert. Wenn das Chatbot Rückgaben oder Entschädigungen ohne Menschen verspricht, hebt die Praxis die Regel auf.

Beispiele nach Unternehmensart

Die Logik ist dieselbe: Je näher KI an vertraulichen Daten oder einer Entscheidung liegt, die einen Menschen betrifft, desto strenger muss der Rahmen sein.

Was gehört in die KI-Nutzungsrichtlinie des Unternehmens?

Eine kleine KI-Nutzungsrichtlinie muss keine 30 Seiten haben. Sie kann 2-4 Seiten umfassen, wenn sie die Grundlagen klar beantwortet.

Erstens, welche Werkzeuge erlaubt sind. Zweitens, welche Nutzungen erlaubt sind: Textentwürfe, Ideen, Übersetzungen öffentlichen Materials, interne Organisation. Drittens, welche Nutzungen ohne Genehmigung verboten sind: personenbezogene Kundendaten, Finanzdaten, Lebensläufe, Gesundheitsdaten, Verträge, vertrauliche Dokumente, automatische Entscheidungen.

Viertens, wer das Ergebnis prüft. Jeder KI-Text, der veröffentlicht, an Kunden gesendet oder ein Recht beeinflusst, muss durch einen Menschen gehen. Fünftens, was geschieht, wenn ein Vorfall eintritt, etwa die falsche Eingabe einer Kundenliste in ein KI-Werkzeug. Die Richtlinie muss sofortige interne Meldung verlangen, nicht Verheimlichung.

Wann ein Jurist oder DPO erforderlich ist

Nicht jede einfache KI-Nutzung muss zum Anwalt. Besondere Prüfung ist aber erforderlich, wenn KI personenbezogene Daten in größerem Umfang verarbeitet, Entscheidungen über Menschen trifft oder beeinflusst, in Einstellungen genutzt wird, Kinder, Gesundheit, finanzielle Bewertung oder Zugang zu grundlegenden Diensten betrifft.

Der Datenschutzbeauftragte, soweit vorhanden, muss früh in Nutzungen einbezogen werden, die personenbezogene Daten berühren. Wenn es keinen DPO gibt, sollte zumindest eine verantwortliche Person im Unternehmen bestehen, die mit Technik, Recht oder IT-Anbieter zusammenarbeiten kann. Künstliche Intelligenz ist nicht nur ein rechtliches Thema, sondern auch ein organisatorisches.

Kleine Checkliste vor dem Kauf eines KI-Werkzeugs oder Chatbots

Bevor Sie für ein KI-Werkzeug bezahlen, verlangen Sie Antworten auf die Grundlagen:

1. Wo werden die Daten gehostet?
2. Werden unsere Daten zum Training des Modells verwendet?
3. Kann Training beziehungsweise Nutzung von Prompts deaktiviert werden?
4. Wird, soweit erforderlich, eine Auftragsverarbeitungsvereinbarung unterzeichnet?
5. Kann ich Chatverläufe löschen?
6. Gibt es Logs und Zugriffsrechte pro Nutzer?
7. Kann ich menschliche Freigabe vor kritischen Antworten einbauen?
8. Wie wird der Endnutzer informiert, dass er mit KI spricht?
9. Welche Unterstützung bietet der Anbieter für Compliance mit AI Act/DSGVO?
10. Was geschieht, wenn das Werkzeug Fehler macht oder Informationen offenlegt?

Wenn der Anbieter die Grundlagen nicht beantworten kann, ist ein niedriger Preis kein ausreichendes Argument. Das gefährlichste Werkzeug ist das, das in Produktion geht, ohne dass jemand weiß, was es tut.

FAQ

Kann ich ChatGPT in meinem Unternehmen verwenden?

Ja, aber mit Regeln. Für Ideen, Entwürfe und unterstützende Nutzung besteht meist kein Problem, wenn Sie keine personenbezogenen oder vertraulichen Daten eingeben und das Ergebnis prüfen.

Muss ich dem Kunden schreiben, dass ich KI verwendet habe?

Wenn der Kunde mit einem KI-System interagiert, etwa mit einem Chatbot, muss er klar informiert werden, wenn es nicht offensichtlich ist. Bei Inhalten von öffentlichem Interesse und synthetischen Inhalten ist besondere Aufmerksamkeit bei Transparenzpflichten erforderlich.

Wenn ich ein fertiges Chatbot eines Drittanbieters nutze, haftet nur der Anbieter?

Nein. Der Anbieter hat eigene Pflichten, aber das Unternehmen trägt Verantwortung dafür, wie es das System installiert, welche Daten es sammelt, was es dem Kunden sagt, welche Grenzen es setzt und ob es DSGVO und Verbraucherschutzregeln einhält.

Muss ich eine DPIA durchführen?

Nicht immer. Eine Bewertung ist erforderlich, wenn die Verarbeitung, insbesondere mit neuen Technologien, voraussichtlich ein hohes Risiko für Rechte und Freiheiten schafft. Ein Chatbot mit einfachen FAQ braucht vielleicht keine DPIA, während KI für HR, Kundenprofiling oder sensible Daten sie erfordern kann.

Kann ich Kundendaten in ChatGPT eingeben?

Nur wenn es eine klare Rechtsgrundlage, Information, einen geeigneten Anbieter, vertragliche Garantien und technische Maßnahmen gibt. Für kleine Unternehmen ist der sicherste praktische Grundsatz: Keine personenbezogenen Daten in öffentliche KI-Werkzeuge ohne besondere Genehmigung und Anonymisierung.

Ist es rechtswidrig, KI für Einstellungen zu nutzen?

Es ist nicht generell rechtswidrig, aber ein Hochrisikobereich. Automatische Sortierung, Bewertung oder Ablehnung von Bewerbern kann erhebliche Pflichten und Diskriminierungsrisiken schaffen. Das sollte nicht ohne besondere rechtliche und technische Prüfung erfolgen.

Fazit

Der AI Act ist nicht gekommen, um die Produktivität kleiner Unternehmen zu bremsen. Er ist gekommen, um dort Grenzen zu setzen, wo Künstliche Intelligenz Menschen, Daten und Rechte beeinflusst. Schreiben Sie auf, welche Werkzeuge Sie nutzen. Schulen Sie Ihre Menschen. Laden Sie personenbezogene Daten nicht ohne Prüfung hoch. Informieren Sie klar, wenn der Kunde mit einem Chatbot spricht. Und lassen Sie KI keine Entscheidungen über Menschen treffen, ohne besondere Bewertung.

Künstliche Intelligenz kann einem kleinen Unternehmen helfen, schneller zu arbeiten. Aber das Vertrauen des Kunden lässt sich nicht automatisieren. Es entsteht durch Transparenz, Kontrolle und Verantwortung.

Quellen und Recherchehinweise

• European Commission, AI Act regulatory framework: Europäische Kommission - AI Act regulatory framework
• AI Act Service Desk, Timeline for the implementation of the EU AI Act: AI Act Service Desk - Umsetzungszeitplan
• EUR-Lex, Regulation (EU) 2024/1689 Artificial Intelligence Act: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32024R1689
• AI Act Service Desk, Article 2 Scope: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-2
• AI Act Service Desk, Article 4 AI literacy: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-4
• European Commission, AI Literacy Questions & Answers: Europäische Kommission - Fragen zu AI Literacy
• European Commission, first AI Act rules applicable: https://digital-strategy.ec.europa.eu/en/news/first-rules-artificial-intelligence-act-are-now-applicable
• European Commission, guidelines on prohibited AI practices: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-prohibited-artificial-intelligence-ai-practices-defined-ai-act
• European Commission, consultation on transparency obligations under Article 50 AI Act: https://digital-strategy.ec.europa.eu/en/consultations/consultation-draft-guidelines-transparency-obligations-under-ai-act
• European Commission, draft guidelines on transparency obligations under Article 50: https://digital-strategy.ec.europa.eu/en/library/draft-guidelines-implementation-transparency-obligations-certain-ai-systems-under-article-50-ai-act
• European Commission, General-purpose AI obligations under the AI Act: https://digital-strategy.ec.europa.eu/en/factpages/general-purpose-ai-obligations-under-ai-act
• European Commission, General-Purpose AI Code of Practice: https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai
• Hellenic Data Protection Authority, responsibilities and duties: https://www.dpa.gr/en/hdpa/responsibilities_duties_powers
• Hellenic Data Protection Authority, Data Protection Impact Assessment: Griechische Datenschutzbehörde - Datenschutz-Folgenabschätzung DPIA