KI im Unternehmen umsetzen

In vielen Unternehmen wird KI bereits im Arbeitsalltag genutzt. Neben besonderen Pflichten für Hochrisiko-KI-Systeme enthält die KI-Verordnung Anforderungen, die auch alltägliche Anwendungen betreffen. Art. 4 KI-Verordnung mit der Pflicht zur KI-Kompetenzvermittlung gilt grundsätzlich unabhängig von der Risikoklasse, genauso wie die Kennzeichnungspflichten des Art. 50 KI-Verordnung. Relevant können daher auch KI-Anwendungen für E-Mails, Übersetzungen, Bilder und Recherchen oder ein Chatbot auf der Website sein. Die KI-Verordnung verlangt für die Umsetzung keine komplizierte neue Organisation.

Zuerst einen Überblick schaffen

Gerade in kleinen Betrieben ist häufig nicht vollständig bekannt, wo bereits KI eingesetzt wird. Dazu gehören beispielsweise ChatGPT, Copilot, Bildgeneratoren und KI-Funktionen in Bürosoftware. Unternehmen sollten deshalb zunächst in einer einfachen Liste erfassen, welche KI-Anwendungen eingesetzt werden, für welche Aufgaben sie genutzt werden, welche Beschäftigten damit arbeiten und ob die Ergebnisse nur intern oder auch extern verwendet werden.
Dieser Überblick bildet die Grundlage für Schulungen und die Prüfung möglicher Kennzeichnungspflichten. Die daraus abgeleiteten Regeln sollten anschließend in einer internen KI-Richtlinie festgehalten werden.

Wann müssen KI-generierte Texte gekennzeichnet werden?

Die KI-Verordnung sieht vor, bestimmte KI-generierte Inhalte kenntlich zu machen. Nicht jeder mithilfe von KI erstellte Marketing- oder Websitetext fällt darunter. Betroffen sind vielmehr Veröffentlichungen, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Dazu können Nachrichten, politische Informationen oder Beiträge zu gesellschaftlich relevanten Themen gehören.

Regelmäßig nicht kennzeichnungspflichtig sind:
  • allgemeine Produkt- und Dienstleistungsbeschreibungen ohne Bezug zu Angelegenheiten von öffentlichem Interesse,
  • reine Rechtschreib-, Grammatik- oder Stilkorrekturen sowie
  • Texte, die menschlich geprüft oder redaktionell kontrolliert wurden und für die eine Person oder ein Unternehmen die redaktionelle Verantwortung übernimmt.
Eine mithilfe von KI formulierte Produktbeschreibung muss daher regelmäßig nicht gekennzeichnet werden. Wird dagegen ein weitgehend KI-generierter Beitrag zu einer politischen oder gesellschaftlichen Debatte ohne redaktionelle Prüfung veröffentlicht, kann ein Hinweis erforderlich sein, beispielsweise:
  • „Dieser Text wurde mithilfe künstlicher Intelligenz erstellt.“
  • „Dieser Beitrag enthält KI-generierte Inhalte.“

Wann müssen Bilder, Audioaufnahmen und Videos gekennzeichnet werden?

Eine Kennzeichnung ist erforderlich, wenn KI-generierte oder manipulierte Bilder, Audioaufnahmen oder Videos realistisch wirken und fälschlich für authentisch gehalten werden können. Solche Inhalte werden als Deepfakes bezeichnet. Erfasst sein können etwa künstlich erzeugte Interviews, synthetische Stimmen oder Bilder, die ein nicht stattgefundenes Ereignis beziehungsweise ein tatsächlich nicht vorhandenes Produkt als real darstellen.
Klar als nicht realistisch erkennbare Comics, Karikaturen oder abstrakte Illustrationen sind regelmäßig keine Deepfakes. Auch gewöhnliche Korrekturen wie Schärfen, Belichtung oder Farbanpassungen sind grundsätzlich nicht erfasst, solange dadurch kein irreführender Eindruck entsteht. Mögliche Hinweise sind:
  • „KI-generiertes Bild“
  • „Bild mit KI bearbeitet“
  • „Dieses Video enthält KI-generierte Inhalte.“
Bei Bildern bietet sich eine Bildunterschrift an. Bei Audio- und Videoinhalten sollte der Hinweis spätestens bei der ersten Wahrnehmung erfolgen. Alternativ können für Texte, Bilder und Videos auch die von der EU-Kommission frei zur Verfügung gestellten Hinweise bzw. Icons genutzt werden.

Wann muss auf eine KI-Interaktion hingewiesen werden?

Kunden und andere Nutzer müssen zudem grundsätzlich erkennen können, wenn sie unmittelbar mit einer KI und nicht mit einem Menschen kommunizieren. Das betrifft in der Praxis beispielsweise KI-Chatbots auf der Unternehmenswebsite, Sprachagenten am Telefon oder auch automatisierte KI-Antworten per E-Mail.
Ein Hinweis kann etwa lauten: „Sie chatten mit einem KI-Assistenten“ oder „Sie sprechen mit einem KI-gestützten Sprachsystem“. Er sollte direkt beim ersten Kontakt angezeigt oder angesagt werden. Keine gesonderte Information ist regelmäßig erforderlich, wenn ein Mitarbeiter KI lediglich im Hintergrund zur Vorbereitung einer eigenen Antwort nutzt oder die KI-Interaktion offensichtlich ist. Die technische Informationspflicht trifft grundsätzlich den Anbieter des Systems. Unternehmen sollten bei eingekauften Lösungen dennoch prüfen, ob der Hinweis richtig eingestellt und tatsächlich sichtbar ist.

Wie lassen sich die Kennzeichnungspflichten einfach organisieren?

Für die meisten kleinen Unternehmen genügen klare interne Regeln:
  • KI-Texte zu öffentlichen Themen werden vor der Veröffentlichung menschlich geprüft.
  • Realistisch wirkende KI-Bilder erhalten eine Bildunterschrift.
  • KI-Videos und synthetische Stimmen werden zu Beginn gekennzeichnet.
  • Chatbots weisen beim ersten Kontakt auf die KI-Interaktion hin.

Beschäftigte praxisnah schulen und KI-Kompetenz vermitteln

Die Schulung sollte sich an der tatsächlichen Nutzung orientieren. Ein kleines Unternehmen benötigt nicht zwingend ein umfangreiches Schulungsprogramm. Häufig ist eine Kombination aus kurzer Grundsensibilisierung, interner Richtlinie und gezielten Vertiefungen ausreichend.
Insbesondere sollte vermittelt werden, welche KI-Anwendungen im Unternehmen genutzt werden dürfen, welche Daten nicht eingegeben werden dürfen, warum KI-Ausgaben falsch oder verzerrt sein können und nicht alle benötigen dieselbe Schulung.
Marketing und Kommunikation sollten sich vertieft mit Kennzeichnung, Quellen und Urheberrechten beschäftigen. Im Personalbereich stehen Datenschutz, Diskriminierungsrisiken und menschliche Entscheidungen im Vordergrund. Ein bestimmtes Schulungsformat, eine Mindestdauer oder ein externes Zertifikat schreibt die KI-Verordnung nicht vor. Besonders für kleine Unternehmen hat die Allianz für Cyber-Sicherheit ein Informationspaket mit Foliensätzen zur Schulung zusammengestellt. Das Informationspaket besteht im Wesentlichen aus vier Foliensätzen (Informationen und Empfehlungen für die Leitungsebene, Schulungsfolien für die Durchführung von Sensibilisierungsmaßnahmen als Vortrag oder zum Selbststudium, Hilfestellung für Schulungsleitende, Merkblatt mit den wichtigsten Punkten der Schulung)

Angrenzende Rechtgebiete immer im Blick haben

Neben der KI-Verordnung bleiben weitere Rechtsvorgaben wichtig:
  • Datenschutz und Geschäftsgeheimnisse: personenbezogene, vertrauliche oder geschäftskritische Informationen dürfen nur in dafür freigegebene Systeme eingegeben werden. Unternehmen sollten insbesondere prüfen, ob der Anbieter Eingaben für eigene Trainingszwecke nutzt.
  • Arbeitsrecht: Beim Einsatz im Personalbereich müssen Diskriminierungsrisiken, die Grenzen automatisierter Entscheidungen und mögliche Beteiligungsrechte des Betriebsrats beachtet werden.
  • Urheber- und Markenrecht: Eingaben und Ausgaben können Rechte Dritter verletzen. Quellen, Zitate, Bilder, Logos und Marken sollten deshalb vor der Verwendung kontrolliert werden. Rein KI-generierte Inhalte sind ohne hinreichende menschliche Gestaltung regelmäßig nicht selbst urheberrechtlich geschützt, aber deshalb nicht automatisch frei von fremden Rechten.

KI-Richtlinie als internes Regelwerk

Die Ergebnisse sollten in einer internen KI-Richtlinie zusammengeführt werden. Darin lässt sich einheitlich festlegen, welche Anwendungen freigegeben sind, welche Daten verarbeitet werden dürfen, wie KI-Ausgaben geprüft und gekennzeichnet werden und wer bei Fragen oder Vorfällen zuständig ist.
Die Muster-KI-Richtlinie der IHK Schwaben bietet hierfür eine erste Orientierung. Sie muss jedoch an die eingesetzten Systeme, betrieblichen Abläufe und konkreten Risiken des jeweiligen Unternehmens angepasst und regelmäßig aktualisiert werden.

Stand: 5. August 2026