KI-Regulierung Deutschland 2026 für Unternehmen

Rechtsstand: September 2026

Wer im Unternehmen KI für Bewerbungen, Kundenservice, Softwareentwicklung oder Marketing einsetzt, muss seit August 2026 deutlich genauer hinschauen. Die KI-Regulierung Deutschland 2026 wird vor allem durch den EU AI Act bestimmt. Er gilt unmittelbar in allen EU-Mitgliedstaaten und betrifft nicht nur Entwickler eigener KI-Modelle. Auch Unternehmen, die externe KI-Tools einsetzen, können konkrete Pflichten treffen.

Entscheidend ist nicht, ob ein Tool als „KI“ beworben wird. Maßgeblich sind Funktion, Einsatzzweck, Rolle des Unternehmens und mögliche Auswirkungen auf Menschen. Für mittelständische Unternehmen und Startups in Stuttgart, Fellbach und der Region ist deshalb eine nüchterne Bestandsaufnahme sinnvoller als eine pauschale Freigabe oder ein generelles Verbot.

Was bei der KI-Regulierung in Deutschland 2026 gilt

Der EU AI Act folgt einem risikobasierten Ansatz. Je stärker ein KI-System Sicherheit, Grundrechte oder berufliche Chancen von Menschen beeinflussen kann, desto umfassender sind die Anforderungen. Daneben gelten weiterhin andere Rechtsbereiche, insbesondere Datenschutzrecht, Arbeitsrecht, Urheberrecht, Geschäftsgeheimnisschutz und gegebenenfalls Vorgaben zur IT-Sicherheit.

Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken verboten. Dazu zählen etwa Systeme zur sozialen Bewertung von Personen oder bestimmte manipulative Anwendungen, die Menschen erheblich beeinträchtigen können. Ebenfalls seit diesem Zeitpunkt gilt die Pflicht zur KI-Kompetenz. Unternehmen müssen dafür sorgen, dass Beschäftigte, die KI-Systeme bedienen oder ihre Ergebnisse verwenden, über ausreichende Kenntnisse verfügen. Wie umfangreich eine Schulung sein muss, hängt vom jeweiligen System, den Aufgaben der Mitarbeitenden und den möglichen Risiken ab.

Seit dem 2. August 2025 gelten zudem besondere Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. Das betrifft typischerweise die Hersteller großer Basismodelle, nicht ohne Weiteres jedes Unternehmen, das einen KI-Assistenten abonniert.

Seit dem 2. August 2026 ist der überwiegende Teil des EU AI Act anwendbar. Dazu gehören insbesondere die Vorgaben für viele Hochrisiko-KI-Systeme und Transparenzpflichten. Für einzelne Hochrisiko-Systeme, die als Sicherheitskomponente bestimmter regulierter Produkte eingesetzt werden, gelten abweichende spätere Zeitpunkte. Deshalb sollte ein Unternehmen nicht allein mit der Aussage arbeiten, der AI Act gelte „erst später“ oder „schon vollständig seit 2024“.

Welche KI-Systeme Unternehmen besonders prüfen sollten

Die Einordnung beginnt mit dem tatsächlichen Anwendungsfall. Ein Textassistent, der Formulierungsvorschläge für interne Entwürfe liefert und dessen Ergebnisse sorgfältig geprüft werden, ist anders zu bewerten als ein System, das Bewerbungen vorsortiert oder Beschäftigte anhand von Leistungsdaten bewertet.

Besondere Aufmerksamkeit verdienen KI-Systeme im Personalbereich. Systeme zur Analyse von Bewerbungen, zur Bewertung von Bewerbern, zur Steuerung von Beschäftigten oder zur Beeinflussung des Zugangs zu Beschäftigung können als Hochrisiko-KI-Systeme eingestuft sein. Das gilt nicht zwingend für jede unterstützende Funktion. Eine rein organisatorische oder eng begrenzte Hilfsfunktion kann unter Umständen anders einzuordnen sein. Sobald jedoch Personen profiliert oder ihre beruflichen Chancen wesentlich beeinflusst werden, steigt das rechtliche Risiko erheblich.

Auch KI im Kundenkontakt ist zu prüfen. Interagieren Menschen mit einem Chatbot oder einem vergleichbaren System, bestehen grundsätzlich Transparenzanforderungen. Nutzer sollen erkennen können, dass sie mit KI kommunizieren, soweit nicht offensichtlich ist, dass kein Mensch antwortet. Bei künstlich erzeugten oder manipulierten Bild-, Ton- und Videoinhalten können zusätzliche Kennzeichnungspflichten relevant sein. Dies betrifft etwa täuschend echt wirkende Werbevideos, synthetische Sprecherstimmen oder bearbeitete Bildinhalte.

Nicht jedes KI-Tool fällt damit in die Kategorie Hochrisiko. Für viele Anwendungen im Büroalltag steht eine andere Frage im Mittelpunkt: Welche Daten werden eingegeben, wer kann Ergebnisse verwenden, wie verlässlich sind sie und welche Kontrolle bleibt beim Menschen?

Anbieter, Betreiber oder bloßer Nutzer?

Die Pflichten unterscheiden sich nach der Rolle. Wer ein KI-System unter eigenem Namen entwickelt oder auf den Markt bringt, ist regelmäßig Anbieter und trägt weitreichende Verantwortung. Wer ein System im Unternehmen einsetzt, ist meist Betreiber. Betreiber können unter anderem verpflichtet sein, das System entsprechend der Anleitung zu verwenden, die menschliche Aufsicht sicherzustellen, Protokolle zu beachten und bei bestimmten Vorfällen zu reagieren.

Vorsicht ist geboten, wenn ein extern bezogenes System erheblich verändert, unter eigener Marke angeboten oder für einen neuen Zweck eingesetzt wird. Dann kann sich die rechtliche Rolle ändern. Gerade bei individuell konfigurierten KI-Lösungen, etwa für Personalentscheidungen oder Bonitätsbewertungen, sollte dies vor dem produktiven Einsatz geprüft werden.

Datenschutz und Arbeitsrecht bleiben eigenständige Prüfsteine

Der EU AI Act ersetzt die Datenschutz-Grundverordnung nicht. Werden personenbezogene Daten in ein KI-System eingegeben, verarbeitet oder aus KI-Ergebnissen abgeleitet, ist zusätzlich eine datenschutzrechtliche Grundlage erforderlich. Unternehmen sollten insbesondere prüfen, ob Daten an einen externen Anbieter übermittelt werden, ob eine Auftragsverarbeitungsvereinbarung nötig ist, wo die Daten verarbeitet werden und ob Eingaben zum Training verwendet werden können.

Ein verbreiteter Fehler ist die Nutzung öffentlicher KI-Dienste mit vertraulichen Kunden-, Mitarbeiter- oder Projektdaten. Auch wenn ein Tool praktisch hilfreich ist, dürfen Geschäftsgeheimnisse und personenbezogene Daten nicht ohne geeignete rechtliche und technische Absicherung eingegeben werden. Eine interne Richtlinie sollte daher klar regeln, welche Tools freigegeben sind, welche Daten tabu sind und wann eine Freigabe durch IT, Datenschutz oder Rechtsabteilung erforderlich ist.

Im Arbeitsverhältnis kommen weitere Fragen hinzu. KI kann die Leistung oder das Verhalten von Beschäftigten mittelbar auswerten, selbst wenn dies nicht das erklärte Ziel des Systems ist. Besteht ein Betriebsrat, können Mitbestimmungsrechte betroffen sein, etwa wenn technische Einrichtungen zur Überwachung geeignet sind. Bei automatisierten Entscheidungen mit erheblichen Auswirkungen auf einzelne Personen ist außerdem das Datenschutzrecht besonders sorgfältig zu beachten. Eine formale menschliche Bestätigung genügt nicht, wenn sie die KI-Empfehlung faktisch nie hinterfragt.

KI-Regulierung Deutschland 2026: Praktische Schritte für Unternehmen

Eine gute Umsetzung beginnt nicht mit umfangreichen Richtlinien, sondern mit einem vollständigen Überblick. Erfasst werden sollten nicht nur selbst entwickelte Anwendungen, sondern auch eingekaufte Software mit KI-Funktionen. Viele Unternehmen nutzen KI bereits über Office-Anwendungen, CRM-Systeme, Recruiting-Plattformen, Sicherheitstools oder Kundenservice-Lösungen, ohne diese Funktionen gesondert bewertet zu haben.

Für jeden Anwendungsfall sollten Zweck, verwendete Daten, betroffene Personengruppen, Anbieter, eingesetzte Modellversion und verantwortliche Fachstelle dokumentiert werden. Danach lässt sich die Risikokategorie fundierter bewerten. Bei höheren Risiken ist zu klären, ob die erforderliche Dokumentation des Anbieters vorliegt und welche Betreiberpflichten im konkreten Betrieb umgesetzt werden müssen.

Praktisch bewährt sich eine klare Freigabelogik. Niedrigriskante Anwendungen mit anonymen oder öffentlich verfügbaren Daten können häufig nach einer kurzen Prüfung zugelassen werden. Anwendungen mit personenbezogenen Daten, vertraulichen Informationen oder Auswirkungen auf Beschäftigte und Kunden benötigen dagegen eine vertiefte rechtliche, technische und organisatorische Bewertung. Entscheidend ist, dass diese Unterscheidung nachvollziehbar festgehalten wird.

Ebenso wichtig ist die KI-Kompetenz der Mitarbeitenden. Eine allgemeine Präsentation über Chancen und Risiken reicht bei sensiblen Anwendungen regelmäßig nicht aus. Beschäftigte müssen verstehen, wann Ergebnisse fehlerhaft oder verzerrt sein können, welche Daten sie nicht eingeben dürfen und wann eine menschliche Prüfung zwingend ist. Führungskräfte benötigen zusätzlich Klarheit darüber, wer Entscheidungen verantwortet und wie Beschwerden oder Fehlerfälle behandelt werden.

Typische Fehler, die vermeidbar sind

Häufig scheitert die Umsetzung nicht an fehlender Technik, sondern an unklaren Zuständigkeiten. Wenn Fachabteilungen eigenständig Tools buchen, IT keine Übersicht hat und Datenschutz erst nach einem Vorfall eingebunden wird, entstehen unnötige Risiken. Ein weiterer Fehler ist die Annahme, eine Datenschutzerklärung des Anbieters genüge als interne Rechtsgrundlage.

Auch zu pauschale Verbote sind selten eine tragfähige Lösung. Sie führen oft dazu, dass Mitarbeitende auf nicht freigegebene Dienste ausweichen. Besser ist ein kontrollierter Rahmen mit zugelassenen Werkzeugen, klaren Datenregeln, angemessenen Schulungen und einem Verfahren für neue Anwendungsfälle.

Wer KI im Personalbereich, im Kundenkontakt oder zur Bewertung von Personen einsetzen möchte, sollte die rechtliche Einordnung vor dem Start prüfen lassen. Die frühe Prüfung schafft Handlungssicherheit und verhindert, dass ein technisch sinnvolles Projekt später unter Zeitdruck umgebaut werden muss. Für eine individuelle Bewertung von KI-Systemen, Vertragsunterlagen und internen Prozessen kann eine rechtliche Beratung den passenden Rahmen setzen.