Vor ein paar Tagen habe ich mir meine eigenen Websites mit einer Frage im Kopf angeschaut: Muss ich meinen kleinen Wegweiser unten in der Ecke als KI kennzeichnen? Er fragt „Was suchst du?“ und schickt Besucher zum passenden Artikel. Die Antwort war schnell klar. Der Wegweiser ist keine KI, er folgt zwei festen Fragen, und das Suchfeld darin ist die ganz normale Website-Suche. Anders ist es bei meinen Analyse-Werkzeugen, dort schreibt tatsächlich eine KI das Ergebnis.
Genau an dieser Stelle verheddern sich gerade viele Betriebe. Seit dem 2. August 2026 gelten die Transparenzpflichten der EU-KI-Verordnung, dazu kommen Schulungspflicht und Datenschutz, und alles wird in einen Topf geworfen. Dabei hängt die Frage, was du tun musst, vor allem daran, wie du KI einsetzt.
Stand dieses Artikels ist der 7. Oktober 2026. Er ordnet die Lage für kleine und mittlere Betriebe ein und ist keine Rechtsberatung.
Die drei Arten, KI im Betrieb zu nutzen
Fast jeder Einsatz lässt sich einer von drei Gruppen zuordnen:
- Intern: Deine Leute schreiben Angebote, Mails oder Protokolle mit KI, fassen Unterlagen zusammen oder lassen sich Ideen liefern.
- Mit Kundendaten: In die KI wandern Namen, Adressen, Anfragen, Verträge oder andere Angaben über Menschen.
- Gegenüber Kunden: Kunden schreiben mit einem KI-Chat auf deiner Website, oder du veröffentlichst KI-Bilder, KI-Videos und KI-Texte.
Viele Betriebe sind in allen drei Gruppen unterwegs. Die Pflichten addieren sich dann, sie ersetzen sich nicht.
Intern: Hier geht es um die Schulung
Für den internen Einsatz greift vor allem Artikel 4 der KI-Verordnung. Wer KI im Betrieb einsetzt, muss Maßnahmen ergreifen, um die KI-Kompetenz der Leute zu fördern, die damit arbeiten. Seit der Neufassung im Juli 2026 ist klar, dass dafür kein Zertifikat nötig ist. Gefragt sind eine Schulung, die zur Rolle passt, Regeln für den Einsatz und ein Nachweis, wer was gelernt hat.
Wie du das in fünf Schritten aufsetzt, steht in meinem Artikel zur KI-Schulungspflicht.
Mit Kundendaten: Hier geht es um den Datenschutz
Sobald personenbezogene Daten in eine KI wandern, ist die Datenschutz-Grundverordnung die wichtigere Regel. Die KI-Verordnung ändert daran nichts. Für den Alltag heißt das:
- Kundendaten gehören nicht in kostenlose Privatkonten. Dafür braucht es Business-Zugänge, bei denen der Anbieter die Daten nicht zum Training nutzt.
- Mit dem Anbieter brauchst du einen Vertrag zur Auftragsverarbeitung. Die großen Anbieter stellen ihn für ihre Business-Tarife bereit, man muss ihn aber abschließen.
- Deine Datenschutzerklärung muss erwähnen, dass und wofür du KI einsetzt, wenn Kundendaten darüber laufen.
- Arbeiten in deinem Betrieb in der Regel mindestens 20 Personen ständig mit personenbezogenen Daten, brauchst du außerdem einen Datenschutzbeauftragten. Diese Grenze gilt unabhängig von KI, wird aber oft erst beim KI-Thema bemerkt.
Eine Sonderrolle haben Entscheidungen über Menschen. Wer KI über Bewerberinnen, Mieter oder die Kreditwürdigkeit von Kunden entscheiden lässt, bewegt sich in Bereichen, die die KI-Verordnung als hochriskant einstuft. Für solche Systeme gelten ab dem 2. Dezember 2027 strenge Pflichten. Für kleine Betriebe ist mein Rat hier eindeutig: Die Entscheidung bleibt beim Menschen, die KI darf höchstens zuarbeiten.
Gegenüber Kunden: Hier geht es um die Kennzeichnung
Diese Gruppe meinen die meisten, wenn sie von der neuen Kennzeichnungspflicht sprechen. Sie steht in Artikel 50 der KI-Verordnung und gilt seit dem 2. August 2026.
KI-Chat auf der Website
Wer mit einem KI-System schreibt, muss erkennen können, dass er mit einer KI spricht, sofern das nicht ohnehin offensichtlich ist. Die Pflicht trifft vor allem den Anbieter des Chat-Systems. Als Betrieb, der den Chat einbindet, achtest du darauf, dass der Hinweis sichtbar ist, zum Beispiel direkt im Chatfenster. Ein fester Fragebogen oder eine normale Suche wie mein Wegweiser ist keine KI und braucht keinen Hinweis.
KI-Bilder und KI-Videos
Bilder, Videos oder Tonaufnahmen, die mit KI erzeugt oder verändert wurden und echte Menschen, Orte oder Ereignisse so zeigen, dass man sie für echt halten könnte, müssen als KI-Inhalt erkennbar sein. Für viele Branchen ist das relevanter, als es klingt. Ein Immobilienfoto mit virtuell eingerichtetem Wohnzimmer zeigt einen echten Raum in einem Zustand, den es so nie gab, und dürfte darunter fallen. Unabhängig davon kann ein solches Bild auch wettbewerbsrechtlich zum Problem werden, wenn es Käufer in die Irre führt.
Für Inhalte, die vor dem 2. August 2026 entstanden sind, verlangen die Leitlinien der EU-Kommission keine nachträgliche Kennzeichnung. Die Leitlinien sind allerdings nicht verbindlich, und der Nachweis des Erstellungsdatums liegt bei dir.
KI-Texte
Hier ist die Lage entspannter, als viele glauben. Eine Kennzeichnung verlangt die Verordnung bei KI-Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, etwa Politik, Gesundheit oder Sicherheit. Sie entfällt, wenn ein Mensch den Text geprüft hat und redaktionell dafür geradesteht. Dein Blogartikel über Badsanierung oder dein Angebotstext fallen in aller Regel nicht darunter. Öffentlich gepostet heißt noch nicht von öffentlichem Interesse.
Die Prüfliste für deinen Betrieb
- Liste alle KI-Werkzeuge auf, die bei dir genutzt werden, auch die, die einzelne Leute privat mitbringen.
- Ordne jedes Werkzeug einer der drei Gruppen zu: intern, mit Kundendaten, gegenüber Kunden.
- Prüfe für die Gruppe mit Kundendaten Zugänge, Verträge und Datenschutzerklärung.
- Prüfe für die Gruppe gegenüber Kunden, ob Chat-Hinweise sichtbar sind und KI-Bilder gekennzeichnet werden.
- Schule alle, die mit KI arbeiten, passend zu ihrer Rolle, und halte das fest.
- Leg fest, wer im Haus für das Thema zuständig ist und wer neue Werkzeuge freigibt.
Wenn du das nicht allein sortieren willst
Ich gehe diese Liste mit Betrieben gemeinsam durch: Im KI-Check erfasse ich, welche KI wo im Einsatz ist, und lege fest, was zu tun ist und wer im Haus dafür zuständig ist. Im Workshop schule ich das Team an den eigenen Abläufen, mit Teilnahmebestätigung. Die rechtliche Freigabe im Einzelfall bleibt bei deinem Datenschutzbeauftragten oder Anwalt. Wie der KI-Check abläuft und was er kostet, steht auf der Seite KI-Check und Team-Workshop. Lass uns unverbindlich sprechen, damit wir sehen, wo ihr steht und wie ich euch weiterhelfen kann: Lass uns sprechen
Häufige Fragen
Muss ich jeden Text kennzeichnen, den ich mit KI geschrieben habe?
Nein. Die Kennzeichnungspflicht für Texte betrifft KI-Texte, die über Angelegenheiten von öffentlichem Interesse informieren und nicht von einem Menschen redaktionell verantwortet werden. Für normale Werbe- und Fachtexte eines Betriebs gilt sie in aller Regel nicht. Freiwillig offen damit umzugehen, ist trotzdem eine gute Haltung.
Ist ein Chatbot, der nur feste Antworten gibt, auch eine KI?
Nicht im Sinne der Verordnung, wenn er nur vorgegebenen Pfaden folgt und keine eigenen Antworten erzeugt. Sobald ein Sprachmodell die Antworten formuliert, ist es ein KI-System, und der Hinweis gehört ins Chatfenster.
Ab wann gelten die Kennzeichnungspflichten?
Seit dem 2. August 2026. Für Anbieter von KI-Systemen, die schon vorher auf dem Markt waren, gilt für die technische Markierung erzeugter Inhalte eine Übergangsfrist bis zum 2. Dezember 2026.
Brauche ich für den KI-Einsatz einen Datenschutzbeauftragten?
Nicht wegen der KI. Die Pflicht hängt an der Zahl der Personen, die in deinem Betrieb ständig mit personenbezogenen Daten arbeiten, in der Regel ab 20. Wer knapp darunter liegt, braucht keinen, muss die Datenschutzregeln aber trotzdem einhalten.
Wer im Betrieb sollte für das Thema zuständig sein?
Eine Person, die den Überblick über die Werkzeuge hat und neue freigibt, oft die Geschäftsführung selbst oder jemand aus der Organisation. Wichtig ist weniger der Titel als die Regel, dass niemand neue KI-Werkzeuge mit Kundendaten nutzt, ohne dass diese Person davon weiß.
