Die Grundregel

Du haftest. Nicht OpenAI, nicht Microsoft, nicht der Toolanbieter.

Wer eine KI einsetzt, nutzt ein Werkzeug. Rechtlich ist das nicht anders als ein Taschenrechner mit Tippfehler oder ein Mitarbeiter, der sich vertut. Das Ergebnis wird dir zugerechnet, weil du es verwendet und veröffentlicht hast.

Der AI Act ändert daran nichts. Er regelt Produktsicherheit und Transparenz, nicht die zivilrechtliche Haftung gegenüber deinen Kunden. Die richtet sich weiter nach BGB, HGB und dem jeweiligen Vertrag.

Der Chatbot, der zu viel verspricht

Besonders heikel sind Zusagen im Kundendialog. Wenn dein Chatbot einen Rabatt, einen Liefertermin oder eine Eigenschaft zusichert, kann daraus je nach Gestaltung eine bindende Erklärung werden. Der Kunde durfte auf die Aussage vertrauen – dass intern eine KI antwortete, ist sein Problem nicht.

Absicherung: Der Bot bekommt eine klare Grenze. Keine Preiszusagen, keine Terminzusagen, keine Vertragsschlüsse. Stattdessen Weiterleitung an einen Menschen. Und der KI-Hinweis nach Artikel 50 hilft hier doppelt – er erfüllt nicht nur die Pflicht, sondern senkt auch das Vertrauen in verbindliche Zusagen.

Erfundene Fakten und Quellen

Sprachmodelle erzeugen plausibel klingende Falschaussagen. Bei Urteilen, Normen, Studien und Zahlen passiert das regelmäßig.

Wird so etwas veröffentlicht, drohen wettbewerbsrechtliche Abmahnungen und bei Aussagen über Dritte auch Ansprüche wegen Persönlichkeitsrechtsverletzung. Es gibt international bereits Sanktionen gegen Berufsträger, die ungeprüfte KI-Zitate eingereicht haben.

Vier Maßnahmen, die tatsächlich schützen

• Vier-Augen-Prinzip bei allem mit Außenwirkung. Nichts geht ungelesen raus.
• Zahlen und Zitate immer gegenprüfen. Das ist der Bereich mit der höchsten Fehlerquote.
• Chatbots eng begrenzen. Auskunft ja, Zusagen nein.
• Betriebshaftpflicht prüfen. Frag deinen Versicherer schriftlich, ob Schäden aus KI-gestützter Leistungserbringung gedeckt sind. Viele ältere Policen schweigen dazu.

Der Nachweis, dass du sorgfältig warst

Wenn doch etwas passiert, entscheidet oft die Frage, ob du organisatorisch sauber aufgestellt warst. Genau dafür sind KI-Inventar, Richtlinie und dokumentierte Schulung so wertvoll: Sie belegen, dass der Fehler ein Einzelfall war und kein Systemversagen.

Fristen im Überblick

Häufige Fragen

Kann ich die Haftung an den KI-Anbieter weitergeben?

In aller Regel nicht. Die Nutzungsbedingungen der großen Anbieter schließen die Haftung für Ergebnisse weitgehend aus und weisen die Verantwortung ausdrücklich dem Nutzer zu.

Hilft ein Haftungsausschluss auf meiner Website?

Gegenüber Verbrauchern nur sehr begrenzt. Ein Hinweis wie "Angaben ohne Gewähr" schützt nicht vor Ansprüchen aus fehlerhafter Beratung oder falschen Zusagen.

Was ist mit der neuen KI-Haftungsrichtlinie?

Der ursprüngliche Entwurf einer eigenen KI-Haftungsrichtlinie wurde von der EU-Kommission zurückgezogen. Es bleibt beim allgemeinen Haftungsrecht und der überarbeiteten Produkthaftungsrichtlinie.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Passend dazu

• KI-Chatbot kennzeichnen 2026: Pflicht, Hinweistexte und Beispiele
• KI-Beauftragter 2026: Pflicht oder nur sinnvoll?
• Claude Datenschutz 2026: Ist Anthropic Claude im Unternehmen DSGVO-konform?
• EU AI Act für Rechtsanwälte: Welche KI-Pflichten gelten in der Anwaltskanzlei?
• KI-Richtlinie für Unternehmen 2026: Pflicht? Kostenlose Vorlage
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Kurz gesagt

• Deine Rolle: Betreiber. Google ist GPAI-Anbieter.
• Kennzeichnung: Von Gemini erzeugte Bilder tragen SynthID-Wasserzeichen. Das ersetzt aber nicht deine eigene sichtbare Kennzeichnung nach Art. 50 Abs. 4, wenn du sie veröffentlichst.
• Größtes Risiko: Bei privaten Google-Konten werden Konversationen ausgewertet und teils von Menschen geprüft. Beruflich ist nur Gemini in Workspace oder über Vertex AI vertretbar.
• Seit wann: Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026.

Wofür Google Gemini typischerweise genutzt wird

In der Praxis begegnet uns Google Gemini vor allem in diesen Situationen:

• Recherche mit Websuche
• Texte in Google Docs
• Bild- und Dokumentenanalyse
• Gmail-Antworten

Entscheidend ist nicht das Tool selbst, sondern was mit dem Ergebnis passiert. Ein Entwurf, der nur intern gelesen wird, ist rechtlich etwas völlig anderes als ein Text, der veröffentlicht wird oder in eine Entscheidung über einen Menschen einfließt.

Datenschutz: der Punkt, an dem es meistens klemmt

Bei privaten Google-Konten werden Konversationen ausgewertet und teils von Menschen geprüft. Beruflich ist nur Gemini in Workspace oder über Vertex AI vertretbar.

Auftragsverarbeitung: Im Google-Workspace-Vertrag als Auftragsverarbeitung geregelt, im privaten Konto nicht.

Die häufigste Stolperfalle

Viele nutzen beruflich das kostenlose Privatkonto. Das ist der häufigste stille DSGVO-Verstoß in kleinen Betrieben.

Musst du Inhalte aus Google Gemini kennzeichnen?

Von Gemini erzeugte Bilder tragen SynthID-Wasserzeichen. Das ersetzt aber nicht deine eigene sichtbare Kennzeichnung nach Art. 50 Abs. 4, wenn du sie veröffentlichst.

Die Grundregel aus Artikel 50: Menschen müssen erkennen können, dass sie mit einer KI sprechen oder KI-generierte Inhalte vor sich haben. Bei Deepfakes – also Bild, Ton oder Video, das real wirkt, es aber nicht ist – gilt die Offenlegungspflicht seit dem 2. August 2026 ausnahmslos. Für Systeme, die schon vorher im Einsatz waren, lief eine Schonfrist bis zum 2. Dezember 2026.

Hinweis zu GPAI-Modellen

Google Gemini basiert auf einem General-Purpose-AI-Modell. Die besonderen GPAI-Pflichten treffen seit dem 2. August 2025 den Anbieter, nicht dich als Nutzer. Für dich ist nur relevant, dass du die Transparenzinformationen des Anbieters kennst und weitergeben kannst.

Fristen im Überblick

Deine Checkliste für Google Gemini

• Prüfen, ob ein AV-Vertrag mit dem Anbieter besteht.
• In den Einstellungen das Training mit deinen Daten deaktivieren, soweit möglich.
• Schriftlich festlegen, welche Daten nicht eingegeben werden dürfen.
• Mitarbeiter kurz unterweisen und die Unterweisung dokumentieren – das erfüllt Artikel 4.
• Veröffentlichte KI-Inhalte auf Kennzeichnungspflicht prüfen.
• Das Tool in ein einfaches KI-Inventar eintragen.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Häufige Fragen

Ist die Nutzung von Google Gemini nach dem EU AI Act erlaubt?

Ja. Google Gemini ist kein verbotenes System nach Artikel 5. Erlaubt heißt aber nicht pflichtfrei: Als Betreiber musst du die KI-Kompetenz deiner Mitarbeiter sicherstellen und die Transparenzpflichten nach Artikel 50 einhalten.

Muss ich Texte oder Bilder aus Google Gemini kennzeichnen?

Von Gemini erzeugte Bilder tragen SynthID-Wasserzeichen. Das ersetzt aber nicht deine eigene sichtbare Kennzeichnung nach Art. 50 Abs. 4, wenn du sie veröffentlichst.

Brauche ich einen AV-Vertrag für Google Gemini?

Im Google-Workspace-Vertrag als Auftragsverarbeitung geregelt, im privaten Konto nicht. Sobald personenbezogene Daten verarbeitet werden, ist er nach Artikel 28 DSGVO Pflicht.

Ist Google Gemini ein Hochrisiko-KI-System?

In der normalen Anwendung nein. Hochrisiko wird es durch den Einsatzzweck: Wer Google Gemini zur Bewertung von Bewerbern, zur Kreditvergabe oder in vergleichbaren Bereichen nach Anhang III einsetzt, fällt unter die strengeren Regeln, die ab dem 2. Dezember 2027 greifen.

Passend dazu

• KI-Beauftragter 2026: Pflicht oder nur sinnvoll?
• EU AI Act für Arztpraxen: Welche KI-Pflichten gelten in der Arztpraxis?
• KI-Agenten im Unternehmen 2026: DSGVO, Haftung und EU AI Act – was jetzt gilt
• KI-Inventar erstellen: Die Liste, die der AI Act von dir verlangt
• Google Gemini Datenschutz 2026: Ist Gemini DSGVO-konform im Unternehmen?
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Das Wichtigste vorab

• Hochrisiko-Bereich: Ja, in Teilbereichen. Die Pflichten nach Anhang III greifen ab dem 2. Dezember 2027.
• Sonderrecht: § 203 StGB, Berufsordnung, SGB V sowie MDR, sobald die KI diagnostisch unterstützt.
• Wichtigste Sofortmaßnahme: Trennung ziehen zwischen Verwaltungs-KI (unkritisch) und medizinischer KI (streng reguliert) – und diese Trennung schriftlich festhalten.

Wo KI in der Arztpraxis eingesetzt wird

• Arztbriefe diktieren und strukturieren
• Termin-Chatbot
• Abrechnungsvorbereitung
• Patienteninformationen erstellen

Das größte Risiko in dieser Branche

Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO. Diagnoseunterstützende KI ist zugleich Medizinprodukt und potenziell Hochrisiko-KI.

Achtung: Hochrisiko-Anwendungen möglich

In diesem Bereich gibt es Anwendungen, die unter Anhang III des AI Act fallen. Der Digital Omnibus hat diese Pflichten auf den 2. Dezember 2027 verschoben – das ist eine Atempause, keine Entwarnung. Wer erst 2027 anfängt, schafft Risikomanagement, Dokumentation und menschliche Aufsicht nicht rechtzeitig.

Sonderrecht, das zusätzlich gilt

§ 203 StGB, Berufsordnung, SGB V sowie MDR, sobald die KI diagnostisch unterstützt.

Dieser Punkt wird oft übersehen: Der AI Act ersetzt keine bestehenden Vorschriften, er kommt obendrauf. In vielen Fällen ist das Fachrecht sogar strenger als der AI Act selbst.

Der schnellste sinnvolle Schritt

Trennung ziehen zwischen Verwaltungs-KI (unkritisch) und medizinischer KI (streng reguliert) – und diese Trennung schriftlich festhalten.

Fristen im Überblick

Umsetzungsplan für Arztpraxen

• Schritt 1 – Inventar: Alle eingesetzten KI-Tools auflisten, auch die inoffiziellen.
• Schritt 2 – Einordnen: Pro Tool klären, ob nur interne Nutzung oder Außenwirkung vorliegt.
• Schritt 3 – Kennzeichnen: Chatbots und veröffentlichte KI-Inhalte mit Hinweis versehen.
• Schritt 4 – Schulen: Eine kurze Unterweisung, dokumentiert mit Datum und Teilnehmern.
• Schritt 5 – Regeln: Eine einseitige KI-Richtlinie, die sagt, was erlaubt und was verboten ist.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Häufige Fragen

Gilt der EU AI Act auch für kleine Arztpraxen?

Ja. Der AI Act kennt keine Untergrenze bei Mitarbeiterzahl oder Umsatz. Kleinstunternehmen profitieren nur von vereinfachter Dokumentation, nicht von einer Befreiung.

Ist KI in der Arztpraxis Hochrisiko-Technologie?

In Teilbereichen ja. Anwendungen nach Anhang III unterliegen den strengeren Pflichten, die ab dem 2. Dezember 2027 greifen. Reine Text- und Verwaltungsarbeit fällt nicht darunter.

Was passiert bei einem Verstoß?

Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Bei kleinen Betrieben gilt der jeweils niedrigere Betrag, und die Behörden müssen die Unternehmensgröße berücksichtigen.

Was ist der schnellste erste Schritt?

Trennung ziehen zwischen Verwaltungs-KI (unkritisch) und medizinischer KI (streng reguliert) – und diese Trennung schriftlich festhalten.

Passend dazu

• Google Gemini Datenschutz 2026: Ist Gemini DSGVO-konform im Unternehmen?
• KI-Richtlinie für Unternehmen 2026: Pflicht? Kostenlose Vorlage
• KI-Kennzeichnungspflicht auf Instagram, Facebook, TikTok und LinkedIn: Was Unternehmen 2026 unbedingt wissen müssen
• KI-Chatbot kennzeichnen 2026: Pflicht, Hinweistexte und Beispiele
• Microsoft Copilot Datenschutz 2026: DSGVO und AI Act im Unternehmen richtig umsetzen
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Zwei völlig verschiedene Pflichten

Artikel 50 wird oft als eine Regel behandelt, es sind aber zwei mit unterschiedlicher Reichweite.

Absatz 1 betrifft die Interaktion: Wenn ein Mensch mit einem KI-System spricht, muss er das erkennen können. Das trifft Chatbots, Voicebots und automatische Telefonassistenten. Diese Pflicht ist absolut – es gibt keine Ausnahme für kleine Unternehmen.

Absatz 4 betrifft erzeugte Inhalte: Bild, Ton oder Video, das echt wirkt, aber künstlich ist, muss als solches offengelegt werden. Reine Texte fallen nur darunter, wenn sie über Angelegenheiten von öffentlichem Interesse informieren.

Formulierungen, die du übernehmen kannst

• Chatbot: „Hier antwortet ein KI-Assistent. Für persönliche Beratung schreib uns an …“
• KI-Bild: „KI-generierte Darstellung“ – direkt an oder unter dem Bild.
• Produktvisualisierung: „Symbolbild, mit KI erstellt. Das gelieferte Produkt kann abweichen.“
• Video mit KI-Stimme: „Die Sprecherstimme in diesem Video wurde mit KI erzeugt.“
• Blogtext: „Dieser Beitrag wurde mit KI-Unterstützung erstellt und redaktionell geprüft.“

Wo der Hinweis stehen muss

Die Anforderung lautet: klar, deutlich und spätestens beim ersten Kontakt. Das schließt drei beliebte Lösungen aus.

Ein Hinweis, der nur im Impressum steht, reicht nicht – dort schaut niemand vor dem Chat. Ein Hinweis in der Datenschutzerklärung reicht ebenfalls nicht. Und grauer Text in Schriftgröße 8 unter einem Bild erfüllt „deutlich erkennbar“ nicht.

Der Hinweis gehört dorthin, wo der Inhalt ist: an das Bild, in das Chatfenster, in die Videobeschreibung und idealerweise auch als Einblendung.

Was nicht gekennzeichnet werden muss

Hier wird oft übertrieben. Nicht kennzeichnungspflichtig sind: interne Entwürfe, Übersetzungen, Rechtschreibkorrekturen, Zusammenfassungen für den Eigengebrauch und offensichtlich künstliche Illustrationen wie Comics oder abstrakte Grafiken.

Der Maßstab ist die Täuschungsgefahr. Wo niemand etwas für echt halten kann, entsteht auch keine Pflicht.

Was bei einem Verstoß droht

Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden – bei kleinen Unternehmen gilt der niedrigere Betrag, und die Behörden müssen die Größe berücksichtigen.

Realistischer als das Bußgeld ist für kleine Betriebe ohnehin die Abmahnung durch Wettbewerber. Ein fehlender Hinweis ist von außen sichtbar und damit leicht angreifbar.

Fristen im Überblick

Häufige Fragen

Muss ich jeden KI-geschriebenen Blogtext kennzeichnen?

Nach Artikel 50 Absatz 4 nur, wenn der Text der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dient. Ein normaler Produkttext fällt nicht darunter. Ein freiwilliger Hinweis schadet aber nie und wirkt souverän.

Reicht ein Hinweis im Impressum?

Nein. Der Hinweis muss dort erscheinen, wo der Inhalt wahrgenommen wird, und spätestens beim ersten Kontakt.

Gilt das auch für Bilder auf Instagram?

Ja. Die Pflicht hängt am Inhalt, nicht an der Plattform. Die plattformeigene KI-Markierung ist hilfreich, ersetzt aber deinen eigenen Hinweis nicht zwingend.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Passend dazu

• ChatGPT-Schulung für Mitarbeiter: Was Unternehmen 2026 unbedingt dokumentieren sollten
• KI-Inventar erstellen: Die Liste, die der AI Act von dir verlangt
• Microsoft Copilot Datenschutz 2026: DSGVO und AI Act im Unternehmen richtig umsetzen
• KI-Richtlinie für Unternehmen 2026: Pflicht? Kostenlose Vorlage
• Google Gemini Datenschutz 2026: Ist Gemini DSGVO-konform im Unternehmen?
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Kurz gesagt

• Deine Rolle: Betreiber. Microsoft ist Anbieter; bei Copilot Studio kannst du zum Anbieter eines eigenen KI-Systems werden.
• Kennzeichnung: Interne Nutzung ist nicht kennzeichnungspflichtig. Sobald du damit gebaute Bots nach außen stellst, gilt Art. 50.
• Größtes Risiko: Copilot greift auf alles zu, was der jeweilige Nutzer im Microsoft-365-Tenant sehen darf. Falsch gesetzte SharePoint-Berechtigungen werden dadurch plötzlich sichtbar – "Oversharing" ist das meistunterschätzte Risiko.
• Seit wann: Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026.

Wofür Microsoft Copilot typischerweise genutzt wird

In der Praxis begegnet uns Microsoft Copilot vor allem in diesen Situationen:

• Word- und PowerPoint-Entwürfe
• Excel-Auswertungen
• Teams-Meetings zusammenfassen
• Outlook-Antworten vorschlagen

Entscheidend ist nicht das Tool selbst, sondern was mit dem Ergebnis passiert. Ein Entwurf, der nur intern gelesen wird, ist rechtlich etwas völlig anderes als ein Text, der veröffentlicht wird oder in eine Entscheidung über einen Menschen einfließt.

Datenschutz: der Punkt, an dem es meistens klemmt

Copilot greift auf alles zu, was der jeweilige Nutzer im Microsoft-365-Tenant sehen darf. Falsch gesetzte SharePoint-Berechtigungen werden dadurch plötzlich sichtbar – "Oversharing" ist das meistunterschätzte Risiko.

Auftragsverarbeitung: Über die Microsoft Products and Services Data Protection Addendum (DPA) bereits abgedeckt, wenn ein M365-Business-Vertrag besteht.

Die häufigste Stolperfalle

Meeting-Transkripte in Teams sind personenbezogene Daten. Ohne Information der Teilnehmer und ohne Betriebsvereinbarung wird die Aufzeichnung zum Mitbestimmungs- und Datenschutzthema.

Musst du Inhalte aus Microsoft Copilot kennzeichnen?

Interne Nutzung ist nicht kennzeichnungspflichtig. Sobald du damit gebaute Bots nach außen stellst, gilt Art. 50.

Die Grundregel aus Artikel 50: Menschen müssen erkennen können, dass sie mit einer KI sprechen oder KI-generierte Inhalte vor sich haben. Bei Deepfakes – also Bild, Ton oder Video, das real wirkt, es aber nicht ist – gilt die Offenlegungspflicht seit dem 2. August 2026 ausnahmslos. Für Systeme, die schon vorher im Einsatz waren, lief eine Schonfrist bis zum 2. Dezember 2026.

Hinweis zu GPAI-Modellen

Microsoft Copilot basiert auf einem General-Purpose-AI-Modell. Die besonderen GPAI-Pflichten treffen seit dem 2. August 2025 den Anbieter, nicht dich als Nutzer. Für dich ist nur relevant, dass du die Transparenzinformationen des Anbieters kennst und weitergeben kannst.

Fristen im Überblick

Deine Checkliste für Microsoft Copilot

• Prüfen, ob ein AV-Vertrag mit dem Anbieter besteht.
• In den Einstellungen das Training mit deinen Daten deaktivieren, soweit möglich.
• Schriftlich festlegen, welche Daten nicht eingegeben werden dürfen.
• Mitarbeiter kurz unterweisen und die Unterweisung dokumentieren – das erfüllt Artikel 4.
• Veröffentlichte KI-Inhalte auf Kennzeichnungspflicht prüfen.
• Das Tool in ein einfaches KI-Inventar eintragen.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Häufige Fragen

Ist die Nutzung von Microsoft Copilot nach dem EU AI Act erlaubt?

Ja. Microsoft Copilot ist kein verbotenes System nach Artikel 5. Erlaubt heißt aber nicht pflichtfrei: Als Betreiber musst du die KI-Kompetenz deiner Mitarbeiter sicherstellen und die Transparenzpflichten nach Artikel 50 einhalten.

Muss ich Texte oder Bilder aus Microsoft Copilot kennzeichnen?

Interne Nutzung ist nicht kennzeichnungspflichtig. Sobald du damit gebaute Bots nach außen stellst, gilt Art. 50.

Brauche ich einen AV-Vertrag für Microsoft Copilot?

Über die Microsoft Products and Services Data Protection Addendum (DPA) bereits abgedeckt, wenn ein M365-Business-Vertrag besteht. Sobald personenbezogene Daten verarbeitet werden, ist er nach Artikel 28 DSGVO Pflicht.

Ist Microsoft Copilot ein Hochrisiko-KI-System?

In der normalen Anwendung nein. Hochrisiko wird es durch den Einsatzzweck: Wer Microsoft Copilot zur Bewertung von Bewerbern, zur Kreditvergabe oder in vergleichbaren Bereichen nach Anhang III einsetzt, fällt unter die strengeren Regeln, die ab dem 2. Dezember 2027 greifen.

Passend dazu

• KI-Chatbot kennzeichnen 2026: Pflicht, Hinweistexte und Beispiele
• EU AI Act für Rechtsanwälte: Welche KI-Pflichten gelten in der Anwaltskanzlei?
• Claude Datenschutz 2026: Ist Anthropic Claude im Unternehmen DSGVO-konform?
• KI-Kennzeichnungspflicht auf Instagram, Facebook, TikTok und LinkedIn: Was Unternehmen 2026 unbedingt wissen müssen
• Microsoft Copilot Datenschutz 2026: DSGVO und AI Act im Unternehmen richtig umsetzen
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Das Wichtigste vorab

• Hochrisiko-Bereich: In der Regel nein. Es bleiben die allgemeinen Pflichten aus Artikel 4 und 50.
• Sonderrecht: § 203 StGB, § 43a BRAO und § 2 BORA. Die Verschwiegenheitspflicht ist berufsrechtlich zwingend.
• Wichtigste Sofortmaßnahme: Jede KI-Ausgabe mit Fundstelle gegenprüfen und die Prüfung dokumentieren – das ist zugleich der Nachweis der KI-Kompetenz nach Art. 4.

Wo KI in der Anwaltskanzlei eingesetzt wird

• Schriftsätze strukturieren
• Rechtsprechung recherchieren
• Verträge gegenlesen
• Mandantenkorrespondenz

Das größte Risiko in dieser Branche

KI-Halluzinationen bei Rechtsprechung. Es gibt international bereits Sanktionen gegen Anwälte, die erfundene Urteile zitiert haben.

Entwarnung beim Thema Hochrisiko

Die typischen Anwendungen in diesem Bereich fallen nicht unter Anhang III. Damit entfallen Risikomanagementsystem, Konformitätsbewertung und CE-Kennzeichnung. Übrig bleiben zwei Pflichten, die aber wirklich jeden treffen: KI-Kompetenz nach Artikel 4 und Transparenz nach Artikel 50.

Sonderrecht, das zusätzlich gilt

§ 203 StGB, § 43a BRAO und § 2 BORA. Die Verschwiegenheitspflicht ist berufsrechtlich zwingend.

Dieser Punkt wird oft übersehen: Der AI Act ersetzt keine bestehenden Vorschriften, er kommt obendrauf. In vielen Fällen ist das Fachrecht sogar strenger als der AI Act selbst.

Der schnellste sinnvolle Schritt

Jede KI-Ausgabe mit Fundstelle gegenprüfen und die Prüfung dokumentieren – das ist zugleich der Nachweis der KI-Kompetenz nach Art. 4.

Fristen im Überblick

Umsetzungsplan für Rechtsanwälte

• Schritt 1 – Inventar: Alle eingesetzten KI-Tools auflisten, auch die inoffiziellen.
• Schritt 2 – Einordnen: Pro Tool klären, ob nur interne Nutzung oder Außenwirkung vorliegt.
• Schritt 3 – Kennzeichnen: Chatbots und veröffentlichte KI-Inhalte mit Hinweis versehen.
• Schritt 4 – Schulen: Eine kurze Unterweisung, dokumentiert mit Datum und Teilnehmern.
• Schritt 5 – Regeln: Eine einseitige KI-Richtlinie, die sagt, was erlaubt und was verboten ist.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Häufige Fragen

Gilt der EU AI Act auch für kleine Rechtsanwälte?

Ja. Der AI Act kennt keine Untergrenze bei Mitarbeiterzahl oder Umsatz. Kleinstunternehmen profitieren nur von vereinfachter Dokumentation, nicht von einer Befreiung.

Ist KI in der Anwaltskanzlei Hochrisiko-Technologie?

In der Regel nein. Die üblichen Anwendungen sind nicht in Anhang III gelistet. Es bleiben die allgemeinen Pflichten.

Was passiert bei einem Verstoß?

Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Bei kleinen Betrieben gilt der jeweils niedrigere Betrag, und die Behörden müssen die Unternehmensgröße berücksichtigen.

Was ist der schnellste erste Schritt?

Jede KI-Ausgabe mit Fundstelle gegenprüfen und die Prüfung dokumentieren – das ist zugleich der Nachweis der KI-Kompetenz nach Art. 4.

Passend dazu

• KI-Agenten im Unternehmen 2026: DSGVO, Haftung und EU AI Act – was jetzt gilt
• Claude Datenschutz 2026: Ist Anthropic Claude im Unternehmen DSGVO-konform?
• KI-Beauftragter 2026: Pflicht oder nur sinnvoll?
• Microsoft Copilot Datenschutz 2026: DSGVO und AI Act im Unternehmen richtig umsetzen
• EU AI Act für Steuerberater: Welche KI-Pflichten gelten in der Steuerkanzlei?
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Was Artikel 4 wirklich verlangt

Artikel 4 des AI Act verlangt, dass Personen, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Die Vorschrift nennt bewusst keine Schulungsstunden und kein Zertifikat. Verlangt wird, dass die Menschen verstehen, was das Tool kann, wo es Fehler macht und welche Daten nicht hineingehören.

Diese Pflicht gilt bereits seit Februar 2025. Sie trifft jeden Betrieb, unabhängig von der Größe – auch Einzelunternehmer, die dann eben sich selbst schulen und das festhalten.

Die fünf Punkte, die auf die Seite gehören

• Welche Tools erlaubt sind. Eine kurze Positivliste. Alles, was nicht draufsteht, wird vorher abgesprochen.
• Welche Daten niemals hineingehen. Konkret werden: keine Klarnamen von Kunden, keine Gesundheitsdaten, keine Bewerbungsunterlagen, keine Zugangsdaten.
• Dass jedes Ergebnis geprüft wird. KI-Ausgaben sind Entwürfe, keine Endergebnisse. Die Verantwortung bleibt beim Menschen.
• Wann gekennzeichnet werden muss. Alles, was nach außen geht und KI-generiert ist, braucht einen Hinweis.
• Wer gefragt wird, wenn etwas unklar ist. Ein Name, eine E-Mail-Adresse. Ohne Ansprechpartner passiert im Zweifel das Falsche.

Der Teil, den fast alle vergessen

Eine Richtlinie allein erfüllt Artikel 4 noch nicht. Du brauchst den Nachweis, dass die Menschen sie kennen. Das ist unspektakulär: eine kurze Besprechung, ein Protokoll mit Datum und Teilnehmern, eine Unterschriftenliste.

Fünfzehn Minuten im Teammeeting reichen aus. Entscheidend ist, dass es dokumentiert ist. Ohne Nachweis existiert die Schulung im Zweifelsfall nicht.

Verbieten oder erlauben?

Ein pauschales KI-Verbot funktioniert in der Praxis nicht. Es führt nur dazu, dass Mitarbeiter private Konten auf privaten Geräten nutzen – und damit verlierst du jede Kontrolle und jede Nachvollziehbarkeit.

Der bessere Weg: klar erlauben, klar begrenzen. Wer weiß, was er darf, umgeht die Regel nicht.

Fristen im Überblick

Häufige Fragen

Brauchen auch Kleinstbetriebe eine KI-Richtlinie?

Der AI Act verlangt keine Richtlinie in Papierform, sondern KI-Kompetenz. Bei einem Ein-Personen-Betrieb genügt eine kurze Notiz für dich selbst. Sobald aber jemand anders mitarbeitet, ist die geschriebene Regel der einfachste Nachweis.

Muss der Betriebsrat zustimmen?

Sobald KI-Systeme das Verhalten oder die Leistung von Beschäftigten überwachen können, greift die Mitbestimmung nach § 87 BetrVG. Bei reinen Textwerkzeugen ist das meist nicht der Fall, bei Monitoring-Funktionen sehr wohl.

Wie oft muss geschult werden?

Es gibt keine gesetzliche Frequenz. Sinnvoll ist eine Auffrischung einmal jährlich und immer dann, wenn ein neues Tool eingeführt wird.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Passend dazu

• KI-Richtlinie für Unternehmen 2026: Pflicht? Kostenlose Vorlage
• ChatGPT-Schulung für Mitarbeiter: Was Unternehmen 2026 unbedingt dokumentieren sollten
• KI-Agenten im Unternehmen 2026: DSGVO, Haftung und EU AI Act – was jetzt gilt
• ChatGPT und der EU AI Act: Welche Pflichten gelten bei beruflicher Nutzung?
• KI-Chatbot kennzeichnen 2026: Pflicht, Hinweistexte und Beispiele
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Kurz gesagt

• Deine Rolle: Du bist in der Regel Betreiber ("Deployer"). Anbieter des GPAI-Modells ist OpenAI.
• Kennzeichnung: Texte, die du unverändert veröffentlichst, sind Deepfake-frei, aber bei Chatbots im Kundenkontakt greift die Offenlegungspflicht nach Art. 50 Abs. 1.
• Größtes Risiko: Eingaben können je nach Tarif zum Training genutzt werden. In den kostenlosen und Plus-Tarifen ist Training standardmäßig aktiv und muss aktiv abgeschaltet werden; Team-, Enterprise- und API-Zugänge trainieren…
• Seit wann: Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026.

Wofür ChatGPT typischerweise genutzt wird

In der Praxis begegnet uns ChatGPT vor allem in diesen Situationen:

• E-Mails und Angebote formulieren
• Blogtexte und Produkttexte entwerfen
• Protokolle zusammenfassen
• Code und Formeln erzeugen
• Kundenanfragen vorbeantworten

Entscheidend ist nicht das Tool selbst, sondern was mit dem Ergebnis passiert. Ein Entwurf, der nur intern gelesen wird, ist rechtlich etwas völlig anderes als ein Text, der veröffentlicht wird oder in eine Entscheidung über einen Menschen einfließt.

Datenschutz: der Punkt, an dem es meistens klemmt

Eingaben können je nach Tarif zum Training genutzt werden. In den kostenlosen und Plus-Tarifen ist Training standardmäßig aktiv und muss aktiv abgeschaltet werden; Team-, Enterprise- und API-Zugänge trainieren standardmäßig nicht mit.

Auftragsverarbeitung: Ein Data Processing Addendum ist über das OpenAI-Portal abschließbar und für jede berufliche Nutzung mit Personenbezug nötig.

Die häufigste Stolperfalle

Ein Mitarbeiter kopiert eine Bewerbung, eine Kundenliste oder eine Krankmeldung ins Chatfenster. Das ist eine Übermittlung personenbezogener Daten an einen Auftragsverarbeiter – ohne AV-Vertrag und ohne Rechtsgrundlage ein DSGVO-Verstoß, völlig unabhängig vom AI Act.

Musst du Inhalte aus ChatGPT kennzeichnen?

Texte, die du unverändert veröffentlichst, sind Deepfake-frei, aber bei Chatbots im Kundenkontakt greift die Offenlegungspflicht nach Art. 50 Abs. 1.

Die Grundregel aus Artikel 50: Menschen müssen erkennen können, dass sie mit einer KI sprechen oder KI-generierte Inhalte vor sich haben. Bei Deepfakes – also Bild, Ton oder Video, das real wirkt, es aber nicht ist – gilt die Offenlegungspflicht seit dem 2. August 2026 ausnahmslos. Für Systeme, die schon vorher im Einsatz waren, lief eine Schonfrist bis zum 2. Dezember 2026.

Hinweis zu GPAI-Modellen

ChatGPT basiert auf einem General-Purpose-AI-Modell. Die besonderen GPAI-Pflichten treffen seit dem 2. August 2025 den Anbieter, nicht dich als Nutzer. Für dich ist nur relevant, dass du die Transparenzinformationen des Anbieters kennst und weitergeben kannst.

Fristen im Überblick

Deine Checkliste für ChatGPT

• Prüfen, ob ein AV-Vertrag mit dem Anbieter besteht.
• In den Einstellungen das Training mit deinen Daten deaktivieren, soweit möglich.
• Schriftlich festlegen, welche Daten nicht eingegeben werden dürfen.
• Mitarbeiter kurz unterweisen und die Unterweisung dokumentieren – das erfüllt Artikel 4.
• Veröffentlichte KI-Inhalte auf Kennzeichnungspflicht prüfen.
• Das Tool in ein einfaches KI-Inventar eintragen.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Häufige Fragen

Ist die Nutzung von ChatGPT nach dem EU AI Act erlaubt?

Ja. ChatGPT ist kein verbotenes System nach Artikel 5. Erlaubt heißt aber nicht pflichtfrei: Als Betreiber musst du die KI-Kompetenz deiner Mitarbeiter sicherstellen und die Transparenzpflichten nach Artikel 50 einhalten.

Muss ich Texte oder Bilder aus ChatGPT kennzeichnen?

Texte, die du unverändert veröffentlichst, sind Deepfake-frei, aber bei Chatbots im Kundenkontakt greift die Offenlegungspflicht nach Art. 50 Abs. 1.

Brauche ich einen AV-Vertrag für ChatGPT?

Ein Data Processing Addendum ist über das OpenAI-Portal abschließbar und für jede berufliche Nutzung mit Personenbezug nötig. Sobald personenbezogene Daten verarbeitet werden, ist er nach Artikel 28 DSGVO Pflicht.

Ist ChatGPT ein Hochrisiko-KI-System?

In der normalen Anwendung nein. Hochrisiko wird es durch den Einsatzzweck: Wer ChatGPT zur Bewertung von Bewerbern, zur Kreditvergabe oder in vergleichbaren Bereichen nach Anhang III einsetzt, fällt unter die strengeren Regeln, die ab dem 2. Dezember 2027 greifen.

Passend dazu

• KI-Inventar erstellen: Die Liste, die der AI Act von dir verlangt
• KI-Richtlinie für Unternehmen 2026: Pflicht? Kostenlose Vorlage
• KI-Beauftragter 2026: Pflicht oder nur sinnvoll?
• KI-Chatbot kennzeichnen 2026: Pflicht, Hinweistexte und Beispiele
• EU AI Act für Steuerberater: Welche KI-Pflichten gelten in der Steuerkanzlei?
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Das Wichtigste vorab

• Hochrisiko-Bereich: In der Regel nein. Es bleiben die allgemeinen Pflichten aus Artikel 4 und 50.
• Sonderrecht: Berufsgeheimnis nach § 203 StGB und § 57 StBerG. Mandantendaten dürfen nur an Dienstleister, die vertraglich zur Verschwiegenheit verpflichtet sind.
• Wichtigste Sofortmaßnahme: Eine Kanzlei-KI-Richtlinie mit klarer Positivliste erlaubter Tools und dem Verbot, Mandantennamen einzugeben.

Wo KI in der Steuerkanzlei eingesetzt wird

• Mandantenschreiben formulieren
• Belege vorsortieren
• Fachliteratur durchsuchen
• Jahresabschluss-Erläuterungen entwerfen

Das größte Risiko in dieser Branche

Mandantendaten im Prompt. Bereits die Übermittlung an einen US-Dienst ohne Verschwiegenheitsverpflichtung kann strafbewehrt sein – deutlich schärfer als der AI Act selbst.

Entwarnung beim Thema Hochrisiko

Die typischen Anwendungen in diesem Bereich fallen nicht unter Anhang III. Damit entfallen Risikomanagementsystem, Konformitätsbewertung und CE-Kennzeichnung. Übrig bleiben zwei Pflichten, die aber wirklich jeden treffen: KI-Kompetenz nach Artikel 4 und Transparenz nach Artikel 50.

Sonderrecht, das zusätzlich gilt

Berufsgeheimnis nach § 203 StGB und § 57 StBerG. Mandantendaten dürfen nur an Dienstleister, die vertraglich zur Verschwiegenheit verpflichtet sind.

Dieser Punkt wird oft übersehen: Der AI Act ersetzt keine bestehenden Vorschriften, er kommt obendrauf. In vielen Fällen ist das Fachrecht sogar strenger als der AI Act selbst.

Der schnellste sinnvolle Schritt

Eine Kanzlei-KI-Richtlinie mit klarer Positivliste erlaubter Tools und dem Verbot, Mandantennamen einzugeben.

Fristen im Überblick

Umsetzungsplan für Steuerberater

• Schritt 1 – Inventar: Alle eingesetzten KI-Tools auflisten, auch die inoffiziellen.
• Schritt 2 – Einordnen: Pro Tool klären, ob nur interne Nutzung oder Außenwirkung vorliegt.
• Schritt 3 – Kennzeichnen: Chatbots und veröffentlichte KI-Inhalte mit Hinweis versehen.
• Schritt 4 – Schulen: Eine kurze Unterweisung, dokumentiert mit Datum und Teilnehmern.
• Schritt 5 – Regeln: Eine einseitige KI-Richtlinie, die sagt, was erlaubt und was verboten ist.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Häufige Fragen

Gilt der EU AI Act auch für kleine Steuerberater?

Ja. Der AI Act kennt keine Untergrenze bei Mitarbeiterzahl oder Umsatz. Kleinstunternehmen profitieren nur von vereinfachter Dokumentation, nicht von einer Befreiung.

Ist KI in der Steuerkanzlei Hochrisiko-Technologie?

In der Regel nein. Die üblichen Anwendungen sind nicht in Anhang III gelistet. Es bleiben die allgemeinen Pflichten.

Was passiert bei einem Verstoß?

Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Bei kleinen Betrieben gilt der jeweils niedrigere Betrag, und die Behörden müssen die Unternehmensgröße berücksichtigen.

Was ist der schnellste erste Schritt?

Eine Kanzlei-KI-Richtlinie mit klarer Positivliste erlaubter Tools und dem Verbot, Mandantennamen einzugeben.

Passend dazu

• KI-Beauftragter 2026: Pflicht oder nur sinnvoll?
• Google Gemini Datenschutz 2026: Ist Gemini DSGVO-konform im Unternehmen?
• ChatGPT-Schulung für Mitarbeiter: Was Unternehmen 2026 unbedingt dokumentieren sollten
• KI-Agenten im Unternehmen 2026: DSGVO, Haftung und EU AI Act – was jetzt gilt
• KI-Kennzeichnungspflicht auf Instagram, Facebook, TikTok und LinkedIn: Was Unternehmen 2026 unbedingt wissen müssen
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Warum ohne Inventar nichts funktioniert

Jede Pflicht aus dem AI Act hängt davon ab, welche Systeme du einsetzt und wofür. Ohne Übersicht kannst du weder einschätzen, ob etwas Hochrisiko ist, noch ob eine Kennzeichnung nötig wird. Du kannst auch keine Mitarbeiter schulen, wenn du nicht weißt, worauf.

Dazu kommt der praktische Grund: Wenn eine Aufsichtsbehörde nachfragt oder ein Kunde in einer Ausschreibung wissen will, wie du KI einsetzt, ist diese Liste das Erste, was du vorlegst. Wer sie hat, wirkt organisiert. Wer sie nicht hat, wirkt ahnungslos.

Was die meisten vergessen

Die offensichtlichen Tools fallen jedem ein: ChatGPT, vielleicht Copilot. Übersehen werden fast immer die eingebauten KI-Funktionen in Software, die schon lange läuft.

Der Rechtschreibassistent im Browser. Die automatische Textvorschlagsfunktion im CRM. Die Bildbearbeitung in Canva. Der Spamfilter mit Lernfunktion. Die Terminvorschläge im Kalender. Die Übersetzungsfunktion im Shopsystem. Nichts davon wurde bewusst als „KI eingeführt“ – alles davon ist es.

Die sechs Spalten, die reichen

Mehr braucht es nicht. Eine Tabelle in Excel oder Google Sheets genügt vollkommen. Wichtig ist nur, dass sie existiert und ein Datum trägt.

• Tool: Name und Anbieter.
• Wer nutzt es: Person oder Abteilung.
• Wofür: ein Satz, konkret.
• Daten: Gehen personenbezogene Daten hinein? Ja oder nein.
• Außenwirkung: Sehen Kunden das Ergebnis?
• AV-Vertrag: vorhanden, nicht nötig oder offen.

So gehst du praktisch vor

Frag nicht „welche KI nutzt ihr?“ – darauf kommt meistens „keine“. Frag stattdessen: „Wo lässt du dir bei der Arbeit etwas vorschlagen, zusammenfassen, übersetzen oder erzeugen?“ Diese Frage bringt die Wahrheit ans Licht.

Geh anschließend die Rechnungen der letzten zwölf Monate durch. Jedes Software-Abo, das seit 2023 dazugekommen ist, hat mit hoher Wahrscheinlichkeit eine KI-Funktion.

Wie oft aktualisieren?

Einmal im Quartal reicht für die meisten Betriebe. Setz dir einen wiederkehrenden Termin. Wichtiger als Perfektion ist, dass das Datum der letzten Prüfung aktuell ist – das ist der Nachweis, dass du das Thema systematisch behandelst.

Fristen im Überblick

Häufige Fragen

Ist ein KI-Inventar gesetzlich vorgeschrieben?

Als eigenständige Pflicht steht es nicht wörtlich im AI Act. Es ist aber die praktische Voraussetzung, um die Pflichten aus Artikel 4 und Artikel 50 überhaupt erfüllen zu können, und bei Hochrisiko-Systemen wird die Dokumentation ausdrücklich verlangt.

Muss ich auch kostenlose Tools eintragen?

Ja, gerade die. Kostenlose Zugänge sind datenschutzrechtlich meist die riskantesten, weil dort in der Regel kein AV-Vertrag besteht und Eingaben zum Training genutzt werden.

Reicht eine einfache Excel-Tabelle?

Vollkommen. Es gibt keine Formvorschrift. Eine gepflegte Tabelle ist besser als jede teure Software, die niemand aktualisiert.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Passend dazu

• KI-Agenten im Unternehmen 2026: DSGVO, Haftung und EU AI Act – was jetzt gilt
• Claude Datenschutz 2026: Ist Anthropic Claude im Unternehmen DSGVO-konform?
• Google Gemini Datenschutz 2026: Ist Gemini DSGVO-konform im Unternehmen?
• KI-Beauftragter 2026: Pflicht oder nur sinnvoll?
• ChatGPT-Schulung für Mitarbeiter: Was Unternehmen 2026 unbedingt dokumentieren sollten
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.