KI-Einführung im Unternehmen: rechtssicher in 7 Schritten

Die meisten KI-Einführungen beginnen nicht mit einem Projektplan, sondern mit einer Feststellung: „Wir nutzen das ja eigentlich schon.” Der Vertrieb formuliert Angebote mit ChatGPT, das Marketing generiert Bilder, und im Videokonferenz-Tool läuft seit dem letzten Update ein Meeting-Assistent mit. Die eigentliche Aufgabe lautet deshalb selten „KI einführen”, sondern KI-Nutzung in geordnete Bahnen bringen und gezielt ausbauen.

Dieser Leitfaden beschreibt den Ablauf, den wir mit mittelständischen Unternehmen gehen. Er ist bewusst auf Rechtssicherheit ausgerichtet — nicht, weil Compliance Selbstzweck wäre, sondern weil ungeklärte Datenschutz- und Mitbestimmungsfragen in der Praxis die häufigsten Gründe sind, warum KI-Projekte nach dem Pilot stecken bleiben.

Schritt 1: Bestandsaufnahme — was läuft schon?

Bevor Sie neue Anwendungsfälle auswählen, klären Sie den Ist-Zustand. Drei Quellen ergänzen sich:

• Befragung der Beschäftigten — anonym und mit der Zusage, dass bisherige Nutzung keine Konsequenzen hat. Nur so bekommen Sie ehrliche Antworten.
• Technische Auswertung — Proxy- oder DNS-Logs, SaaS-Discovery, installierte Browser-Erweiterungen.
• KI-Funktionen in vorhandener Software — Office-Suite, CRM, Ticketsystem, Videokonferenz. Viele Hersteller schalten Assistenten per Update frei.

Das Ergebnis gehört in ein KI-Register. Wie Sie inoffizielle Nutzung aufspüren, ohne ein Klima des Misstrauens zu erzeugen, beschreibt unser Beitrag zur Schatten-KI.

Schritt 2: Anwendungsfälle auswählen und einstufen

Nicht jede Idee ist ein guter Startpunkt. Bewährt hat sich eine einfache Matrix aus Nutzen (Zeitersparnis, Qualität, Engpass entschärft) und Risiko (Art der Daten, Auswirkung auf Personen, Fehlerfolgen). Für den Einstieg eignen sich Fälle mit hohem Nutzen und überschaubarem Risiko: Textentwürfe, Zusammenfassungen interner Dokumente, Recherche, Code-Assistenz.

Parallel prüfen Sie für jeden Fall die Einstufung nach dem EU AI Act:

Kategorie	Typische Beispiele	Folge für die Einführung
Verbotene Praktiken (Art. 5)	Emotionserkennung am Arbeitsplatz, Social Scoring	nicht einsetzen
Hochrisiko (Anhang III)	Bewerber-Screening, Leistungsbewertung, Kreditwürdigkeit	Betreiberpflichten nach Art. 26 ab 2. Dezember 2027 — Vorbereitung jetzt einplanen
Transparenzpflichtig (Art. 50)	Chatbots mit Kundenkontakt, KI-generierte Bilder und Videos	Hinweis- und Kennzeichnungspflichten seit 2. August 2026
Übrige Systeme	Textassistenz, Übersetzung, Zusammenfassungen	KI-Kompetenz nach Art. 4, DSGVO, interne Regeln

Besonders HR-Anwendungen landen schnell in der Hochrisiko-Kategorie. Details zur Abgrenzung finden Sie in unserem Überblick zu Hochrisiko-KI nach Anhang III; die aktuellen Fristen nach dem KI-Omnibus im Fristen-Ratgeber.

Schritt 3: Tools auswählen und Verträge prüfen

Der Unterschied zwischen privater und geschäftlicher Nutzung liegt fast immer im Vertrag, nicht in der Technik. Achten Sie bei der Auswahl auf:

• Business- oder Enterprise-Lizenz mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
• Kein Training mit Ihren Eingaben — vertraglich zugesichert, nicht nur als Opt-out-Schalter
• Speicherort und Drittlandtransfer — EU-Hosting oder tragfähige Grundlage für Übermittlungen in die USA
• Admin-Funktionen — zentrale Nutzerverwaltung, Protokollierung, Abschaltbarkeit einzelner Funktionen

Die vollständige Prüfliste mit acht Punkten finden Sie im Beitrag DSGVO-konforme KI: KI-Tools vor der Freigabe bewerten.

Wenn sensible Daten im Spiel sind oder Abhängigkeiten von US-Anbietern vermieden werden sollen, lohnt ein Blick auf souveräne KI-Lösungen mit Betrieb in Deutschland oder im eigenen Rechenzentrum.

Schritt 4: Datenschutz klären

Sobald personenbezogene Daten verarbeitet werden, gilt die DSGVO vollständig. Für jeden Anwendungsfall brauchen Sie eine Rechtsgrundlage, einen Eintrag im Verarbeitungsverzeichnis und eine Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist. Bei KI-Systemen, die Personen bewerten oder große Datenmengen auswerten, ist das häufig der Fall — und eine DSFA-Pflicht kann wiederum die Pflicht zur Benennung eines Datenschutzbeauftragten auslösen, unabhängig von der Zahl der Beschäftigten.

Ziehen Sie Ihren Datenschutzbeauftragten früh hinzu. Wer ihn erst nach dem Rollout informiert, baut die Konfiguration oft ein zweites Mal.

Schritt 5: Betriebsrat einbinden

Viele KI-Tools protokollieren Nutzung, Eingaben oder Ergebnisse — und sind damit objektiv geeignet, Verhalten oder Leistung zu überwachen. Das genügt für das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG. Bei KI-Themen kann der Betriebsrat außerdem nach § 80 Abs. 3 BetrVG einen Sachverständigen hinzuziehen.

Statt jedes Tool einzeln zu verhandeln, empfiehlt sich eine Rahmen-Betriebsvereinbarung KI: Sie regelt Grundsätze (keine Leistungskontrolle über KI-Protokolle, Transparenz, Schulung) und ein vereinfachtes Verfahren für neue Tools. Unternehmen ohne Betriebsrat übernehmen dieselben Grundsätze sinnvollerweise in ihre KI-Richtlinie.

Schritt 6: Regeln aufstellen und schulen

Zwei Dokumente tragen den laufenden Betrieb:

1. Eine KI-Richtlinie, die festlegt, welche Tools freigegeben sind, welche Daten nicht in Prompts gehören, wie Ergebnisse geprüft und wann KI-Inhalte gekennzeichnet werden.
2. Ein Schulungskonzept nach Art. 4 AI Act. Seit dem KI-Omnibus verlangt die Vorschrift, dass Unternehmen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu unterstützen — ein bestimmtes Niveau muss nicht garantiert werden. Ein Bußgeldtatbestand ist dafür weder im AI Act noch im deutschen KI-Marktüberwachungsgesetz vorgesehen. Dokumentierte Schulungen bleiben trotzdem der beste Nachweis, dass Sie Ihrer Sorgfalt nachgekommen sind. Mehr dazu im Ratgeber zur KI-Kompetenzpflicht.

Schulungen wirken am besten rollenbezogen: Die Geschäftsführung braucht Haftung und Strategie, die Fachabteilung den sicheren Umgang mit Prompts und Ergebnissen, die IT Konfiguration und Protokollierung.

Schritt 7: Pilot, Freigabe, Regelbetrieb

Starten Sie mit einer Pilotgruppe von fünf bis zwanzig Personen und einem klaren Zeitraum. Messen Sie, was Sie vorher als Nutzen definiert haben — und sammeln Sie gezielt Fehlerfälle: falsche Fakten, unpassende Formulierungen, Datenschutzbedenken.

Nach dem Pilot folgt eine dokumentierte Freigabe: Wer hat das Tool geprüft, unter welchen Auflagen ist es erlaubt, wann wird die Bewertung wiederholt? Ab diesem Punkt geht die Einführung in den Regelbetrieb über — mit festen Zyklen für die Aktualisierung des KI-Registers, Nachschulungen und den Check neuer Funktionen, die Hersteller per Update nachliefern.

Die häufigsten Fehler

• Mit dem Tool statt mit dem Problem anfangen. Eine Lizenz für alle ohne konkreten Anwendungsfall erzeugt Kosten, aber selten Nutzen.
• Verbot statt Alternative. Wer private KI-Accounts verbietet, ohne eine freigegebene Lösung anzubieten, verlagert die Nutzung nur ins Verborgene.
• Datenschutz und Betriebsrat zu spät. Beides lässt sich nachholen, kostet dann aber Wochen und oft einen zweiten Rollout.
• Kein Verantwortlicher. Ohne eine Person, die Register, Freigaben und Schulungen zusammenhält, versandet die Struktur nach wenigen Monaten.

Wer steuert die Einführung?

Die Schritte oben lassen sich intern umsetzen, wenn jemand Zeit und Fachwissen mitbringt. In vielen mittelständischen Unternehmen fehlt genau diese Kapazität. Ein externer KI-Beauftragter übernimmt dann die Koordination — von der Bestandsaufnahme über Richtlinie und Schulung bis zur laufenden Pflege des Registers — und arbeitet dabei mit Datenschutzbeauftragtem, IT und Betriebsrat zusammen. Was das kostet, sehen Sie auf unserer Preisseite.

Häufige Fragen

Wie lange dauert die Einführung von KI im Unternehmen? +

Für einen klar abgegrenzten Anwendungsfall wie einen Chat-Assistenten mit Business-Lizenz rechnen mittelständische Unternehmen typischerweise mit einigen Wochen bis zur geregelten Freigabe — der größte Zeitblock sind Vertragsprüfung, Datenschutz-Bewertung und gegebenenfalls die Abstimmung mit dem Betriebsrat. Komplexere Vorhaben mit eigenen Daten oder Integrationen in Fachsysteme dauern entsprechend länger.

Welche Gesetze muss ich bei der KI-Einführung beachten? +

Im Kern drei Regelwerke: die DSGVO, sobald personenbezogene Daten verarbeitet werden; den EU AI Act mit der KI-Kompetenzpflicht nach Art. 4, den Transparenzpflichten nach Art. 50 (seit 2. August 2026) und — für Hochrisiko-Anwendungsfälle nach Anhang III — den Betreiberpflichten ab dem 2. Dezember 2027; sowie das Betriebsverfassungsgesetz, weil KI-Systeme regelmäßig zur Leistungs- oder Verhaltenskontrolle geeignet sind (§ 87 Abs. 1 Nr. 6 BetrVG).

Brauche ich für die KI-Einführung einen KI-Beauftragten? +

Gesetzlich vorgeschrieben ist er nicht. In der Praxis braucht die Einführung aber eine Person, die Inventar, Freigaben, Schulungen und Fristen zusammenhält. Ob das intern jemand nebenbei übernimmt oder ein externer KI-Beauftragter, hängt von Unternehmensgröße und Anzahl der Anwendungsfälle ab.

Muss der Betriebsrat bei der Einführung von KI zustimmen? +

Wenn ein KI-System objektiv geeignet ist, Verhalten oder Leistung von Beschäftigten zu überwachen, hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht — auf eine Überwachungsabsicht kommt es nicht an. Seit 2021 kann er nach § 80 Abs. 3 BetrVG bei KI-Themen zudem einen Sachverständigen hinzuziehen. Eine Rahmen-Betriebsvereinbarung zu KI spart später Einzelverhandlungen pro Tool.

Womit fange ich bei der KI-Einführung an? +

Mit einer ehrlichen Bestandsaufnahme: Welche KI-Tools werden bereits genutzt — auch inoffiziell? Fast immer ist KI längst im Haus, über private Chatbot-Accounts oder KI-Funktionen in vorhandener Software. Erst danach lohnt sich die Auswahl neuer Anwendungsfälle.