KI-Compliance im Unternehmen: 42 Rechts- und Normbereiche, die Geschäftsführer kennen sollten

Viele Unternehmen starten ihre KI-Initiativen mit einer einfachen Frage: Welches Tool nehmen wir?

ChatGPT, Microsoft Copilot, Gemini, Perplexity, eigene KI-Agenten, branchenspezifische Lösungen, Automatisierung in Vertrieb, HR, Controlling, Produktion oder Kundenservice. Die technische Auswahl steht oft im Mittelpunkt. Doch aus Sicht der Geschäftsführung ist eine andere Frage mindestens genauso wichtig:

Welche rechtlichen, regulatorischen und organisatorischen Pflichten lösen wir aus, sobald wir KI im Unternehmen einsetzen?

Die kurze Antwort lautet: deutlich mehr, als viele erwarten.

KI ist kein isoliertes Technologiethema. KI verarbeitet Daten, beeinflusst Entscheidungen, erzeugt Inhalte, verändert Arbeitsprozesse, greift in Produkte ein, nutzt IT-Infrastruktur, berührt Kunden, Mitarbeitende, Lieferanten und manchmal sogar regulierte Märkte. Deshalb reicht es nicht, nur auf den EU AI Act zu schauen. Der AI Act ist wichtig, aber er ist nur ein Baustein in einer deutlich größeren Compliance-Landschaft.

Für Geschäftsführer ist dabei nicht entscheidend, jedes Gesetz im Detail zu kennen. Entscheidend ist, frühzeitig zu erkennen, welche Rechtsbereiche im konkreten KI-Anwendungsfall relevant werden können. Genau darum geht es in diesem Beitrag.

Der häufigste Fehler: KI-Compliance wird zu eng gedacht

Viele Unternehmen reduzieren KI-Compliance auf drei Themen: Datenschutz, EU AI Act und Informationssicherheit. Das ist verständlich, aber gefährlich verkürzt.

Ein KI-System im Recruiting kann Datenschutzfragen auslösen, aber auch Diskriminierungsrisiken nach dem AGG und Mitbestimmungsrechte des Betriebsrats. Ein KI-System im Kundenservice kann Transparenzpflichten, Urheberrechtsfragen und Verbraucherschutz berühren. Eine KI-Komponente in einer Maschine kann Produktsicherheit, Produkthaftung, Cybersecurity und Konformitätsbewertung betreffen. Ein KI-Modell in einer Bank oder Versicherung kann zusätzlich aufsichtsrechtliche Anforderungen an Risikomanagement, Auslagerung, Modellvalidierung und Dokumentation auslösen.

Die entscheidende Frage lautet deshalb nicht: „Welche Gesetze gelten für KI allgemein?”

Die bessere Frage lautet: „Welche Regeln werden durch diesen konkreten KI-Einsatz ausgelöst?”

Das ist ein großer Unterschied. Es geht nicht darum, aus Vorsicht jedes KI-Projekt zu überregulieren. Es geht darum, Risiken systematisch einzuordnen und pragmatisch handhabbar zu machen.

Eine KI-Compliance-Landkarte statt juristischer Einzelprüfung

Aus Managementsicht hilft eine einfache Logik. Jeder KI-Use-Case sollte entlang weniger Prüffragen eingeordnet werden: Werden personenbezogene Daten verarbeitet? Werden Entscheidungen über Menschen vorbereitet oder getroffen? Wird KI in ein Produkt, eine Maschine, ein Medizinprodukt oder ein Fahrzeug integriert? Betrifft der Use Case kritische Infrastruktur, Finanzprozesse oder Versicherungsmodelle? Werden geschützte Inhalte genutzt oder erzeugt? Werden Mitarbeitende überwacht, bewertet oder gesteuert? Werden regulatorisch relevante Dokumente, Berichte oder Nachweise erzeugt?

Je mehr dieser Fragen mit Ja beantwortet werden, desto höher ist der Prüfbedarf.

Die folgenden 42 Rechts- und Normbereiche sind keine Checkliste, die in jedem KI-Projekt vollständig abgearbeitet werden muss. Sie sind eine Landkarte. Sie hilft, frühzeitig zu erkennen, wo Risiken liegen können und welche Experten einbezogen werden sollten.

1. EU AI Act / KI-Verordnung

Der EU AI Act ist der zentrale europäische Rechtsrahmen für Künstliche Intelligenz. Er unterscheidet unter anderem zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen, Transparenzpflichten und Anforderungen an General-Purpose-AI-Modelle. Für Unternehmen wird er besonders relevant, wenn KI in Bereichen wie Personal, Bildung, kritische Infrastruktur, Kreditwürdigkeit, Strafverfolgung, Medizin oder sicherheitsrelevanten Produkten eingesetzt wird. Geschäftsführer sollten vor allem wissen: Nicht jedes KI-Tool ist automatisch Hochrisiko-KI, aber jeder KI-Use-Case muss sauber eingeordnet werden.

2. KI-MIG / deutsches KI-Durchführungsgesetz

Das deutsche KI-Marktüberwachungsgesetz beziehungsweise KI-Durchführungsgesetz regelt die nationale Umsetzung des EU AI Act, insbesondere Zuständigkeiten, Aufsicht und Marktüberwachung. Für Unternehmen ist das relevant, weil sich daraus ergibt, welche Behörden zuständig sind und wie die praktische Durchsetzung in Deutschland organisiert wird. Besonders wichtig wird das für Anbieter, Betreiber und Importeure von KI-Systemen, die unter den AI Act fallen.

3. DSGVO

Die DSGVO bleibt einer der wichtigsten Rechtsrahmen für KI. Sie wird relevant, sobald personenbezogene Daten verarbeitet werden, etwa bei Kundendaten, Mitarbeiterdaten, Bewerberdaten, Gesundheitsdaten oder Nutzungsdaten. Besonders kritisch sind Profiling, automatisierte Entscheidungen, Zweckänderungen, Datenminimierung, Transparenz, Löschkonzepte und die Frage, ob Trainingsdaten rechtmäßig genutzt werden dürfen. Viele KI-Projekte scheitern nicht an der KI-Technik, sondern an unsauberen Datenprozessen.

4. BDSG

Das Bundesdatenschutzgesetz ergänzt die DSGVO in Deutschland. Besonders relevant ist es bei Beschäftigtendaten, Scoring, Videoüberwachung, Forschungskontexten und besonderen nationalen Datenschutzregeln. Für KI im Unternehmen wird das BDSG vor allem dann wichtig, wenn interne Daten von Mitarbeitenden genutzt werden oder KI-Systeme HR-Prozesse unterstützen.

5. Geschäftsgeheimnisgesetz

Das Geschäftsgeheimnisgesetz schützt vertrauliches Unternehmenswissen. KI wird hier relevant, wenn Mitarbeitende sensible Informationen in externe KI-Tools eingeben: Kundendaten, Kalkulationen, technische Zeichnungen, Quellcode, Strategiepapiere, M&A-Unterlagen oder interne Analysen. Ohne klare Regeln kann ein Unternehmen den Schutz von Geschäftsgeheimnissen gefährden. KI-Governance muss deshalb definieren, welche Informationen in welche Systeme eingegeben werden dürfen.

6. EU Data Act

Der EU Data Act regelt Datenzugang und Datennutzung, insbesondere bei vernetzten Produkten und digitalen Diensten. Für KI ist das relevant, weil hochwertige Daten der entscheidende Rohstoff für viele KI-Anwendungen sind. Betroffen sind insbesondere Maschinenbauer, IoT-Anbieter, Plattformen, Cloud-Nutzer und Unternehmen mit datenbasierten Geschäftsmodellen. Wer KI auf Basis von Produkt- oder Nutzungsdaten entwickeln möchte, muss klären, wem diese Daten zugänglich gemacht werden müssen und unter welchen Bedingungen sie genutzt werden dürfen.

7. EU Data Governance Act

Der Data Governance Act schafft Regeln für Datenvermittlungsdienste, Datentreuhänder und freiwillige Datenteilung. Relevant wird er, wenn Unternehmen Datenräume nutzen, branchenspezifische Datenpools aufbauen oder vertrauenswürdige Datennutzung zwischen mehreren Organisationen ermöglichen wollen. Für KI-Projekte kann das besonders interessant sein, wenn einzelne Unternehmen nicht über genügend Daten verfügen und gemeinsame Datenökosysteme entstehen.

8. Urheberrechtsgesetz

Das Urheberrecht betrifft KI an mehreren Stellen: beim Training von Modellen, bei der Nutzung fremder Inhalte in Prompts, bei der Erzeugung von Texten, Bildern, Musik, Software oder Präsentationen und bei der Frage, wem KI-generierte Ergebnisse gehören. Für Unternehmen ist entscheidend, ob sie KI-Outputs kommerziell nutzen dürfen, ob fremde Rechte verletzt werden und welche Nutzungsbedingungen der Anbieter vorgibt. Besonders relevant ist das für Marketing, Produktdesign, Softwareentwicklung, Schulungen und Wissensmanagement.

9. Urheberrechts-Diensteanbieter-Gesetz

Das UrhDaG ist vor allem für Plattformen und Dienste relevant, auf denen Nutzer Inhalte hochladen oder veröffentlichen. Im KI-Kontext kann es wichtig werden, wenn KI-generierte Inhalte über Plattformen verbreitet werden oder wenn Plattformbetreiber automatisierte Erkennung, Moderation oder Filtermechanismen einsetzen. Für klassische Mittelständler ist dieser Bereich meist nur relevant, wenn sie selbst digitale Plattformen oder Community-Angebote betreiben.

10. UWG

Das Gesetz gegen den unlauteren Wettbewerb wird relevant, wenn KI in Marketing, Vertrieb, Preisgestaltung, Kundenansprache oder Kommunikation eingesetzt wird. Problematisch können irreführende Aussagen, verschleierte KI-Kommunikation, manipulatives Design, Fake-Bewertungen, Deepfakes oder automatisch erzeugte Werbeinhalte sein. Wer KI für vertriebliche Skalierung nutzt, braucht klare Leitplanken, damit Effizienz nicht in unlauteres Marktverhalten kippt.

11. GWB / Kartellrecht

Kartellrechtliche Fragen entstehen, wenn Algorithmen Preise koordinieren, Märkte beobachten, Wettbewerberdaten auswerten oder datengetriebene Marktmacht entsteht. KI kann Preisentscheidungen beschleunigen und Muster erzeugen, die wettbewerbsrechtlich kritisch sein können, auch ohne klassische Absprache. Besonders betroffen sind Plattformen, Händler, Marktplätze, datenintensive Geschäftsmodelle und Branchen mit hoher Preistransparenz.

12. Produkthaftungsrecht

Produkthaftung wird relevant, wenn KI Bestandteil eines Produkts ist oder ein Produkt durch KI-Funktionen beeinflusst wird. Wenn ein KI-gestütztes Produkt fehlerhaft arbeitet und dadurch ein Schaden entsteht, können Haftungsfragen entstehen. Besonders betroffen sind Maschinen, Fahrzeuge, Medizinprodukte, Softwareprodukte, Smart Devices, Industrieanlagen und sicherheitskritische Systeme. Geschäftsführer sollten früh klären, ob sie nur KI nutzen oder KI in ein eigenes Produkt integrieren.

13. Produktsicherheitsrecht

Produktsicherheit setzt früher an als Produkthaftung. Es geht nicht erst um Schadenersatz nach einem Vorfall, sondern um die Frage, ob ein Produkt sicher entwickelt, geprüft, dokumentiert und in Verkehr gebracht wird. KI kann hier relevant werden, wenn sie Sicherheitsfunktionen beeinflusst, Bedienentscheidungen verändert oder das Verhalten eines Produkts dynamisch anpasst. Gerade bei physischen Produkten darf KI nicht nur als Software-Feature betrachtet werden.

14. Cyber Resilience Act

Der Cyber Resilience Act bringt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. KI-Systeme und KI-gestützte Produkte müssen daher auch unter Sicherheitsaspekten betrachtet werden: Schwachstellenmanagement, Updates, sichere Entwicklung, Dokumentation und Meldepflichten. Relevant wird das besonders für Softwareanbieter, Maschinenbauer, IoT-Hersteller und Anbieter vernetzter Produkte. KI erhöht hier nicht nur den Nutzen, sondern auch die Angriffsfläche.

15. NIS2

NIS2 erweitert die Cybersicherheitspflichten für wichtige und besonders wichtige Einrichtungen. KI wird relevant, wenn sie in Unternehmen eingesetzt wird, die unter NIS2 fallen, oder wenn KI sicherheitskritische Prozesse unterstützt. Dazu gehören unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur, bestimmte Industriebranchen und größere Unternehmen in definierten Sektoren. KI-Governance und Informationssicherheit gehören hier zwingend zusammen.

16. BSIG

Das BSI-Gesetz und die darauf aufbauenden Vorgaben sind in Deutschland zentral für IT-Sicherheit, kritische Infrastrukturen und Vorgaben des Bundesamts für Sicherheit in der Informationstechnik. KI-Systeme, die in kritischen oder sicherheitsrelevanten IT-Umgebungen eingesetzt werden, müssen in bestehende Sicherheitsarchitekturen integriert werden. Besonders wichtig sind Risikoanalysen, Zugriffskontrollen, Protokollierung und sichere Betriebsprozesse.

17. KRITIS-Dachgesetz / CER-Umsetzung

Das KRITIS-Dachgesetz und die europäische CER-Logik betreffen die Resilienz kritischer Einrichtungen. Während NIS2 stärker auf Cybersicherheit zielt, geht es hier auch um physische und organisatorische Widerstandsfähigkeit. KI kann relevant werden, wenn sie in Energieversorgung, Wasser, Transport, Gesundheit oder anderen kritischen Bereichen eingesetzt wird. Ein Ausfall oder Fehlverhalten von KI-Systemen kann dort nicht nur wirtschaftliche Schäden verursachen, sondern Versorgungsrisiken.

18. DORA

DORA betrifft die digitale operationale Resilienz im Finanzsektor. Banken, Versicherungen, Zahlungsdienstleister und andere Finanzunternehmen müssen digitale Risiken systematisch steuern. KI wird relevant, wenn sie in Risikoanalyse, Kundenbewertung, Betrugserkennung, Prozessautomatisierung, IT-Betrieb oder Auslagerung eingebunden ist. Entscheidend ist nicht nur, ob die KI funktioniert, sondern ob sie robust, dokumentiert, kontrollierbar und auditierbar betrieben wird.

19. KWG

Das Kreditwesengesetz ist für Banken und Finanzdienstleister relevant. KI kann hier in Kreditentscheidungen, Risikomodellen, Geldwäscheprävention, Kundenkommunikation oder Prozessautomatisierung eingesetzt werden. Damit entstehen Anforderungen an Governance, Risikomanagement, Auslagerung und Dokumentation. Besonders kritisch sind Black-Box-Modelle in entscheidungsrelevanten Prozessen.

20. MaRisk / BAIT

MaRisk und BAIT konkretisieren aufsichtsrechtliche Anforderungen an Risikomanagement und IT in Banken. Für KI bedeutet das: Modelle, Daten, Auslagerungen, Berechtigungen, IT-Betrieb und Kontrollprozesse müssen nachvollziehbar sein. Wer KI in regulierten Finanzprozessen einsetzt, braucht nicht nur Innovation, sondern belastbare Modellsteuerung und klare Verantwortlichkeiten.

21. MiFID II / WpHG-Bezug

MiFID II und die nationalen Kapitalmarktregeln werden relevant, wenn KI in Anlageberatung, Geeignetheitsprüfung, Kundenprofilierung, Handelsprozessen oder Produktempfehlungen eingesetzt wird. KI darf hier nicht zu undurchsichtigen Empfehlungen führen, die nicht mehr nachvollzogen oder kontrolliert werden können. Besonders wichtig sind Dokumentation, Interessenkonflikte, Kundenschutz und die Erklärung von Empfehlungen.

22. EMIR

EMIR betrifft Derivate, Clearing und Reportingpflichten. KI kann hier relevant werden, wenn sie Risikobewertungen, Reportingprozesse, Transaktionsüberwachung oder automatisierte Entscheidungsprozesse unterstützt. Für Unternehmen außerhalb des klassischen Bankensektors kann EMIR relevant sein, wenn sie umfangreiche Derivategeschäfte absichern oder Finanzrisiken professionell steuern.

23. GwG

Das Geldwäschegesetz wird im KI-Kontext vor allem bei KYC-Prozessen, Transaktionsmonitoring, Sanktionslistenprüfung, Fraud Detection und Risikoklassifizierung relevant. KI kann hier sehr nützlich sein, aber auch Risiken erzeugen: falsche Treffer, Diskriminierung, mangelnde Nachvollziehbarkeit oder unklare Verantwortlichkeiten. Gerade bei Compliance-Prozessen darf KI nicht als reine Effizienzmaschine verstanden werden.

24. AMLA / AML-Paket / AML6

Die europäische Geldwäscheaufsicht und das neue AML-Paket verschärfen die Anforderungen an Geldwäscheprävention. KI wird relevant, wenn Unternehmen automatisierte Systeme zur Erkennung verdächtiger Aktivitäten einsetzen. Für Banken, Versicherer, Zahlungsdienste, Kryptodienstleister und bestimmte Nicht-Finanzunternehmen ist wichtig, dass KI-Ergebnisse überprüfbar bleiben und nicht zu unkontrollierten automatisierten Entscheidungen führen.

25. Basel IV / CRR / CRD-Bezug

Basel IV, CRR und CRD betreffen Eigenkapitalanforderungen, Risikomodelle und aufsichtsrechtliche Stabilität im Bankensektor. KI kann relevant werden, wenn sie Kreditrisiken, Ausfallwahrscheinlichkeiten, Portfoliorisiken oder Kapitalplanungen beeinflusst. Hier sind Modellvalidierung, Datenqualität, Governance und Nachvollziehbarkeit entscheidend. KI darf nicht dazu führen, dass Risikomodelle fachlich beeindruckend, aber aufsichtlich nicht belastbar sind.

26. VAG

Das Versicherungsaufsichtsgesetz betrifft Versicherungsunternehmen. KI kann in Tarifierung, Schadenbearbeitung, Betrugserkennung, Kundenservice, Risikomodellen und Underwriting eingesetzt werden. Damit entstehen Fragen zur Fairness, Nachvollziehbarkeit, Governance und Modellkontrolle. Besonders sensibel sind Entscheidungen, die Kunden wirtschaftlich erheblich betreffen.

27. Solvency II

Solvency II regelt unter anderem Kapitalanforderungen und Risikomanagement von Versicherungen. KI wird relevant, wenn sie in internen Modellen, Risikoprognosen, Kapitalplanung oder Schadenmodellierung eingesetzt wird. Entscheidend ist, dass KI-gestützte Modelle nicht nur bessere Prognosen versprechen, sondern auch validiert, dokumentiert und steuerbar bleiben.

28. Betriebsverfassungsgesetz

Das BetrVG ist bei KI im Unternehmen besonders wichtig. Der Betriebsrat kann mitbestimmungspflichtig sein, wenn KI-Systeme Arbeitsverhalten oder Leistung überwachen, Arbeitsprozesse verändern, Personalauswahl unterstützen oder technische Einrichtungen eingeführt werden, die zur Überwachung geeignet sind. Wer KI ohne Einbindung der Mitbestimmung einführt, riskiert Verzögerungen, Konflikte und Vertrauensverlust.

29. Arbeitsrecht allgemein

Arbeitsrechtliche Fragen entstehen bei KI fast immer, sobald Mitarbeitende betroffen sind. Es geht um Direktionsrecht, Verantwortlichkeit, Haftung, Qualifizierung, Leistungsbewertung, Arbeitsplatzveränderungen und neue Anforderungen an Rollen. Besonders wichtig ist, dass KI nicht heimlich eingeführt wird. Akzeptanz entsteht durch Transparenz, klare Regeln und nachvollziehbare Entscheidungen.

30. AGG

Das Allgemeine Gleichbehandlungsgesetz ist relevant, wenn KI Bewerbungen vorsortiert, Mitarbeitende bewertet, Kunden klassifiziert oder Entscheidungen über Menschen unterstützt. KI kann bestehende Diskriminierungsmuster aus Daten übernehmen oder verstärken. Besonders kritisch sind Recruiting, Beförderung, Kreditvergabe, Versicherungstarife, Kundenpriorisierung und Scoring. Unternehmen müssen sicherstellen, dass Effizienz nicht zu systematischer Benachteiligung führt.

31. BFSG

Das Barrierefreiheitsstärkungsgesetz betrifft digitale Produkte und Dienstleistungen, die für Verbraucher relevant sind. KI wird wichtig, wenn Chatbots, digitale Assistenten, Apps, Plattformen oder Self-Service-Angebote eingesetzt werden. Unternehmen müssen prüfen, ob KI-gestützte Nutzeroberflächen barrierefrei zugänglich sind. Das ist nicht nur Compliance, sondern auch Marktöffnung: Barrierefreiheit verbessert digitale Kundenerlebnisse für viele Nutzergruppen.

32. MDR

Die Medical Device Regulation ist relevant, wenn KI Bestandteil eines Medizinprodukts ist oder medizinische Zwecke erfüllt. Das betrifft Diagnostik, Therapieunterstützung, Bildauswertung, klinische Entscheidungsunterstützung und Software as a Medical Device. Besonders wichtig sind klinische Bewertung, Risikomanagement, Qualitätssicherung, Dokumentation und Überwachung nach dem Inverkehrbringen.

33. IVDR

Die IVDR betrifft In-vitro-Diagnostika. KI wird relevant, wenn sie Laborwerte interpretiert, diagnostische Muster erkennt oder medizinische Entscheidungen auf Basis von Proben- und Labordaten unterstützt. Die Anforderungen sind hoch, weil fehlerhafte Ergebnisse unmittelbare Auswirkungen auf Diagnose und Behandlung haben können. Hier reicht ein technischer Proof of Concept nicht aus; erforderlich sind regulatorisch belastbare Nachweise.

34. SGB V

Das Sozialgesetzbuch V ist im Gesundheitswesen relevant, insbesondere bei gesetzlicher Krankenversicherung, Versorgung, Abrechnung und digitalen Gesundheitsangeboten. KI kann hier bei Versorgungspfaden, Abrechnungsprozessen, Qualitätssteuerung oder digitalen Anwendungen eingesetzt werden. Unternehmen im Gesundheitsmarkt müssen prüfen, ob ihr KI-Einsatz leistungsrechtliche, abrechnungsbezogene oder versorgungsrelevante Anforderungen berührt.

35. DiGA-Regelwerk / DiGAV

Digitale Gesundheitsanwendungen unterliegen besonderen Anforderungen, wenn sie als DiGA zugelassen und erstattungsfähig sein sollen. KI-Funktionen können dabei Nutzenbewertung, Datenschutz, Sicherheit, Interoperabilität und medizinische Evidenz berühren. Wer KI in einer Gesundheits-App nutzt, muss früh klären, ob daraus regulatorische Anforderungen entstehen, die weit über normale Softwareentwicklung hinausgehen.

36. § 203 StGB

§ 203 StGB schützt Privatgeheimnisse bei Berufsgeheimnisträgern, zum Beispiel Ärzten, Rechtsanwälten, Steuerberatern, Wirtschaftsprüfern, Psychotherapeuten und bestimmten Beratungsberufen. KI wird relevant, wenn vertrauliche Mandanten-, Patienten- oder Klientendaten in externe Systeme eingegeben werden. Hier geht es nicht nur um Datenschutz, sondern auch um strafrechtlich geschützte Vertraulichkeit.

37. StVG / Straßenverkehrsrecht

Das Straßenverkehrsrecht wird relevant, wenn KI in Fahrerassistenzsystemen, Flottensteuerung, Mobilitätsdiensten, Fahrzeugdatenanalyse oder automatisiertem Fahren eingesetzt wird. Besonders kritisch sind sicherheitsrelevante Entscheidungen, Haftungsfragen, Daten aus Fahrzeugen und die Abgrenzung zwischen Assistenz und Automatisierung. Unternehmen im Automotive-Umfeld müssen KI immer im Zusammenspiel mit Sicherheits- und Zulassungspflichten betrachten.

38. AFGBV

Die Autonome-Fahrzeuge-Genehmigungs-und-Betriebs-Verordnung konkretisiert Anforderungen für autonome Fahrzeuge in Deutschland. KI ist hier zentral, weil autonome Fahrfunktionen ohne komplexe Datenverarbeitung und Entscheidungslogik kaum denkbar sind. Relevant sind Genehmigung, Betrieb, technische Aufsicht, Datenaufzeichnung und Sicherheitsanforderungen. Für Unternehmen im Mobilitätsbereich ist das ein hochregulierter KI-Anwendungsfall.

39. Maschinenverordnung

Die Maschinenverordnung betrifft Maschinen und Sicherheitsbauteile. KI wird relevant, wenn Maschinen lernende oder adaptive Funktionen enthalten, Sicherheitsfunktionen beeinflussen oder durch Softwareentscheidungen ihr Verhalten verändern. Für Maschinenbauer ist entscheidend, KI nicht nur als digitales Add-on zu betrachten. Wenn KI in die Funktion einer Maschine eingreift, wird sie Teil der Sicherheits- und Konformitätsbewertung.

40. CSRD / ESRS

Die CSRD und die europäischen Nachhaltigkeitsstandards betreffen die Nachhaltigkeitsberichterstattung. KI wird relevant, wenn Unternehmen Nachhaltigkeitsdaten erfassen, bewerten, plausibilisieren oder Berichte automatisiert erstellen. Die Herausforderung liegt in Datenqualität, Nachvollziehbarkeit und Verantwortlichkeit. KI kann Reporting effizienter machen, aber sie entbindet die Geschäftsführung nicht von der Verantwortung für korrekte Angaben.

41. HGB / AO-Aufbewahrungspflichten

Handels- und steuerrechtliche Aufbewahrungspflichten werden relevant, wenn KI geschäftsrelevante Unterlagen erzeugt, verarbeitet oder verändert. Dazu können Angebote, Verträge, Buchungsunterlagen, Entscheidungsdokumentationen, Protokolle, Reports oder steuerlich relevante Auswertungen gehören. Unternehmen müssen klären, welche KI-Outputs aufbewahrungspflichtig sind und wie Nachvollziehbarkeit, Versionierung und Integrität sichergestellt werden.

42. Vertragsrecht / AGB-Recht

Fast jeder KI-Einsatz beginnt mit einem Vertrag: Nutzungsbedingungen, SaaS-Verträge, Auftragsverarbeitungsverträge, Lizenzbedingungen, Haftungsbeschränkungen, Audit-Rechte, Vertraulichkeit und Rechte an Outputs. Gerade bei KI-Anbietern ist entscheidend, ob Daten zum Training verwendet werden dürfen, welche Verfügbarkeit zugesichert wird, wer für Fehler haftet und ob das Unternehmen die erzeugten Inhalte kommerziell nutzen darf. Vertragsprüfung ist deshalb kein Nebenthema, sondern ein zentraler Bestandteil von KI-Governance.

Was Geschäftsführer daraus ableiten sollten

Die zentrale Botschaft lautet: KI-Compliance ist kein einzelnes Projekt der Rechtsabteilung. Sie ist eine Führungsaufgabe.

Das bedeutet nicht, dass Geschäftsführer jedes Detail selbst prüfen müssen. Aber sie müssen sicherstellen, dass KI-Anwendungen nicht unkontrolliert im Unternehmen wachsen. Genau das passiert aktuell in vielen Organisationen. Mitarbeitende nutzen externe Tools, Fachbereiche starten Pilotprojekte, IT-Abteilungen testen Copilots, Marketing erzeugt Inhalte, HR experimentiert mit Bewerberauswahl, Controlling automatisiert Reports. Oft entsteht dabei eine Schatten-KI, bevor Governance, Datenschutz, Informationssicherheit und Mitbestimmung sauber geklärt sind.

Der pragmatische Weg ist nicht, KI zu stoppen. Der pragmatische Weg ist, KI sichtbar, bewertbar und steuerbar zu machen.

Ein gutes Vorgehen beginnt mit einem KI-Use-Case-Inventar. Welche KI-Systeme werden bereits genutzt? Welche Daten fließen hinein? Welche Entscheidungen werden beeinflusst? Welche Anbieter sind beteiligt? Welche Risiken entstehen für Kunden, Mitarbeitende, Produkte, Geschäftsgeheimnisse und Compliance? Danach werden die Use Cases priorisiert: niedriges Risiko, mittleres Risiko, hohes Risiko. Nicht jeder Chatbot braucht ein Großprojekt. Aber ein KI-System, das Bewerber bewertet, medizinische Hinweise gibt, Kreditrisiken einschätzt oder Maschinen steuert, braucht eine andere Tiefe der Prüfung.

Die wirtschaftliche Perspektive: Compliance als Beschleuniger

Viele Führungskräfte erleben Regulierung als Bremse. Bei KI ist das zu kurz gedacht. Gute KI-Governance ist ein Beschleuniger, weil sie Klarheit schafft.

Wenn Mitarbeitende wissen, welche Tools sie nutzen dürfen, welche Daten tabu sind und welche Freigabeprozesse gelten, sinkt Unsicherheit. Wenn Fachbereiche wissen, welche Use Cases schnell umsetzbar sind und welche intensiver geprüft werden müssen, steigen Geschwindigkeit und Qualität. Wenn Kunden, Aufsicht, Betriebsrat oder Geschäftspartner nachvollziehen können, wie KI eingesetzt wird, entsteht Vertrauen.

Der wirtschaftliche Schaden entsteht nicht durch Compliance. Der wirtschaftliche Schaden entsteht durch ungeprüfte Experimente, spätes Stoppen von Projekten, Reputationsrisiken, Datenschutzvorfälle, Betriebsratskonflikte, fehlerhafte Outputs, unklare Haftung und fehlende Nachweise.

KI braucht Tempo. Aber Tempo ohne Steuerung ist kein Fortschritt, sondern Risiko.

Fazit: Der AI Act ist wichtig. Aber er ist nicht die ganze Geschichte.

Unternehmen, die KI professionell einsetzen wollen, sollten nicht nur fragen, welches Modell am leistungsfähigsten ist. Sie sollten fragen, welcher Use Case welchen rechtlichen und organisatorischen Rahmen braucht.

Die 42 Rechts- und Normbereiche in diesem Beitrag zeigen: KI ist ein Querschnittsthema. Datenschutz, IT-Sicherheit, Arbeitsrecht, Produkthaftung, Urheberrecht, Finanzaufsicht, Medizinrecht, Maschinenrecht, Reporting und Vertragsrecht können je nach Anwendung relevant werden.

Das Ziel ist nicht, jedes KI-Projekt mit juristischer Komplexität zu überladen. Das Ziel ist, früh genug die richtigen Fragen zu stellen.

Denn am Ende wird sich KI in Unternehmen nicht durchsetzen, weil sie spektakulär ist. Sie wird sich dort durchsetzen, wo sie wirksam, sicher, nachvollziehbar und verantwortbar eingesetzt wird.

Genau darin liegt die Führungsaufgabe. Wer dabei strukturierte Unterstützung sucht, findet im Modell des Interim CAIO einen bewährten Einstieg — oder liest zunächst, welche fünf Fehler Unternehmen im Mittelstand bei KI vermeiden sollten.