Wir klären mit Ihnen, über welchen Weg Ihr Unternehmen KI nutzt, welche Daten hineindürfen und welche Regeln dafür gelten. Danach richten wir es ein und schulen Ihr Team.
Die meisten Beschäftigten nutzen KI längst, oft ohne dass die Geschäftsleitung davon weiß. Drei Punkte entscheiden, ob daraus ein Vorteil oder ein Problem wird.
So nennt man KI-Werkzeuge, die Beschäftigte privat und ohne Freigabe für die Arbeit nutzen. Kundendaten, Verträge oder Quellcode landen dann bei Anbietern, mit denen Ihr Unternehmen keinen Vertrag hat.
Jede Eingabe wird beim Anbieter des KI-Modells verarbeitet. Ob sie dort gespeichert oder zum Training genutzt wird, hängt von Vertrag und Einstellungen ab, nicht vom Werkzeug allein.
DSGVO, EU AI Act und Arbeitsrecht gelten auch dann, wenn nur ein Chat-Werkzeug genutzt wird. Wer sie kennt, kann KI breit einsetzen, statt sie zu verbieten.
Ein offizielles, geregeltes Werkzeug ist meist der wirksamste Schutz gegen Schatten-KI.
Welcher Weg passt, hängt davon ab, wie vertraulich Ihre Daten sind und was die KI leisten soll.
Große KI-Anbieter mit Firmenvertrag: Verarbeitung in der EU, kein Training mit Ihren Daten, Vertrag zur Auftragsverarbeitung. Schnell eingeführt und sehr leistungsfähig. Bei Anbietern mit Sitz außerhalb der EU bleibt ein rechtliches Restrisiko, das bewertet werden muss.
Europäische und deutsche Cloud-Anbieter betreiben offene KI-Modelle in Rechenzentren in Deutschland oder der EU. Gewählt von Behörden, Banken, Versicherungen und Gesundheitswesen, wenn die Daten unter europäischem Recht bleiben sollen.
Offene Modelle laufen auf eigenen Servern mit Grafikkarten, im eigenen Haus oder im Rechenzentrum. Es verlässt nichts das Unternehmen. Aufwand und Kosten für Hardware und Betrieb sind am höchsten.
Alltägliches über eine Cloud-KI, Vertrauliches über ein eigenes oder europäisches Modell. Bei größeren Unternehmen der häufigste Weg. Eine klare Einstufung der Daten legt fest, was wohin darf.
Unabhängig davon, wo die KI läuft, braucht Ihr Unternehmen diese fünf Bausteine.
Eine interne Regel, welche Werkzeuge erlaubt sind, welche Daten hineindürfen und wer Ergebnisse prüft. Kurz genug, dass sie gelesen wird.
Verarbeitet ein Anbieter personenbezogene Daten in Ihrem Auftrag, braucht es einen Vertrag nach Art. 28 DSGVO. Bei Anbietern außerhalb der EU zusätzlich eine Grundlage für die Übermittlung (Art. 44 ff. DSGVO).
Eine schriftliche Prüfung der Risiken vor dem Einsatz. Pflicht, wenn die Verarbeitung voraussichtlich ein hohes Risiko für Betroffene hat (Art. 35 DSGVO), etwa bei Gesundheits- oder Beschäftigtendaten.
Wer KI-Systeme einsetzt, ergreift Maßnahmen, um die KI-Kompetenz seiner Beschäftigten zu fördern (Art. 4, in der seit 27.07.2026 geltenden Fassung). Für Hochrisiko-Anwendungen, etwa bei Personalentscheidungen, kommen weitere Pflichten hinzu.
KI-Werkzeuge, die Verhalten oder Leistung der Beschäftigten auswerten können, sind mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Eine Betriebsvereinbarung schafft Klarheit für beide Seiten.
Fünf Schritte, einzeln buchbar oder als Programm.
Welche KI wird schon genutzt, offiziell und inoffiziell
Festlegen, welche Daten in welche KI dürfen
Cloud, europäische Cloud, eigener Betrieb oder Mischform
KI-Richtlinie, AVV, Folgenabschätzung, Betriebsvereinbarung
Werkzeug einrichten, Beschäftigte über die GAD Academy schulen
Beratung und Umsetzung aus einer Hand: GRC & Compliance für die Regeln, AI Solutions für die Technik.
Wir erfassen, welche KI-Werkzeuge im Einsatz sind und welche Daten dabei abfließen.
Anbieter und Modelle nach Datenschutz, Leistung und Kosten verglichen, mit schriftlicher Empfehlung.
Entwurf zur Freigabe durch die Geschäftsleitung, abgestimmt auf Ihre Datenklassen.
Prüfung der Anbieterverträge, Folgenabschätzung, Vorlage für die Betriebsvereinbarung.
Wir richten das Werkzeug ein, binden es an Ihre Systeme an oder bauen eine eigene KI im Rechenzentrum auf.
KI-Kompetenz für Beschäftigte und Führungskräfte über die GAD Academy, mit GAD Teilnahmebescheinigung.
Rechtsstand: DSGVO, BetrVG und EU AI Act in der am 19.10.2026 geltenden Fassung, Art. 4 EU AI Act geändert durch Verordnung (EU) 2026/1744. Diese Seite ersetzt keine Rechtsberatung im Einzelfall.
Ja, wenn das Unternehmen es regelt. Nötig sind ein Firmenvertrag mit dem Anbieter, eine KI-Richtlinie, die festlegt, welche Daten hineindürfen, und bei personenbezogenen Daten ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Private Konten für Firmendaten sollten ausgeschlossen sein.
Unternehmen, die KI-Systeme einsetzen, ergreifen Maßnahmen, um die KI-Kompetenz ihrer Beschäftigten zu fördern (Art. 4 in der Fassung der Verordnung (EU) 2026/1744). Verbotene Praktiken nach Art. 5 sind seit Februar 2025 untersagt. Für Hochrisiko-Anwendungen, etwa bei Personalentscheidungen, gelten zusätzliche Pflichten.
Wenn die KI personenbezogene Daten verarbeitet und dabei voraussichtlich ein hohes Risiko für die Betroffenen entsteht, ja (Art. 35 DSGVO). Das betrifft zum Beispiel Gesundheitsdaten, Beschäftigtendaten oder automatisierte Bewertungen von Personen.
Wenn das KI-Werkzeug geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen, hat der Betriebsrat ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG). Das ist bei vielen Werkzeugen der Fall, weil sie Eingaben und Nutzung protokollieren.
Ja, mit offenen Modellen auf eigenen Servern im eigenen Haus oder im Rechenzentrum. Die Modelle sind heute gut für Texte, Zusammenfassungen und Wissenssuche. Für sehr anspruchsvolle Aufgaben sind die großen Cloud-Modelle meist stärker. Viele Unternehmen kombinieren deshalb beide Wege.