KI im Betrieb sicher nutzen

Gratis oder Business: Der Tarif macht den Unterschied

Ob ein Tool zu Firmendaten passt, hängt oft weniger vom KI-Modell ab als vom Tarif. Dasselbe Tool kann im Gratis-Tarif andere Regeln haben als im Business-Tarif. Das ist unsere Beobachtung aus den Anbieterangaben, die wir geprüft haben, kein Gesetz.

Häufig bei Gratis- und Privat-Tarifen

• Kein Vertrag zur Auftragsverarbeitung
• Eingaben können zum Training genutzt werden, oft mit einem Schalter zum Abschalten
• Anmeldung mit einem privaten Konto
• Kein Einfluss auf den Speicherort

Häufig bei Business-, Team- und API-Tarifen

• Vertrag zur Auftragsverarbeitung verfügbar
• Laut Anbieter kein Training mit Eingaben
• Die Firma verwaltet die Konten, nicht die einzelne Person
• Speicherort teils wählbar, zum Beispiel die EU

„Häufig“ heißt nicht „immer“: Lies die Angaben für genau deinen Tarif nach. Die deutschen Datenschutzbehörden empfehlen außerdem Firmenkonten und Firmengeräte statt privater Konten. Quelle: Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz (PDF)

Drei Beispiele aus dem Alltag

Angebot im Malerbetrieb

Ein Malerbetrieb lässt sich einen Angebotstext für einen Fassadenanstrich formulieren, ohne Kundennamen, Adresse oder Fotos vom Haus. Vorsicht: Auch ohne Namen lässt sich eine Person oft aus dem Zusammenhang erkennen, etwa an Straße und Termin. Den Namen zu löschen reicht laut den Datenschutzbehörden deshalb oft nicht. Quelle: Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz (PDF)

Bewerbungen vorsortieren

Eine Firma lässt eine KI Bewerbungen zusammenfassen. Wen sie einlädt oder absagt, entscheidet ein Mensch, der den Vorschlag wirklich prüft. Menschen haben grundsätzlich das Recht, keiner Entscheidung unterworfen zu werden, die nur automatisch fällt und sie erheblich betrifft (Art. 22 DSGVO). Ein Mensch, der nur pro forma zustimmt, reicht laut den Datenschutzbehörden nicht. Quelle: Datenschutz-Grundverordnung (EUR-Lex), Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz (PDF)

Meeting-Recorder im Kundengespräch

Eine Agentur will Videocalls mit einem KI-Recorder mitschreiben lassen. Vorher sagt sie allen Teilnehmenden Bescheid und fragt nach ihrer Zustimmung. In Deutschland ist es strafbar, das nichtöffentlich gesprochene Wort eines anderen unbefugt aufzunehmen (§ 201 StGB). Quelle: § 201 Strafgesetzbuch

Pflichten kurz erklärt

KI-Kompetenz im Team

Seit 2. Februar 2025 müssen Firmen, die KI beruflich einsetzen, dafür sorgen, dass ihre Leute damit umgehen können (Art. 4 AI Act). Ein festes Niveau oder ein Zertifikat ist laut EU-Kommission nicht vorgeschrieben; eine interne Übersicht über Schulungen und Anleitungen ist möglich. Das gilt laut Kommission auch, wenn das Team nur Texte mit einem Chat-Tool schreibt, zum Beispiel mit einem Hinweis auf erfundene Fakten. Die Behörden kontrollieren das seit 2. August 2026. Quelle: EU-Kommission: Fragen und Antworten zur KI-Kompetenz (englisch), EU-Kommission: AI Omnibus in Kraft (27.07.2026, englisch)

Deepfakes und KI-Texte kennzeichnen

Seit 2. August 2026 muss deutlich gekennzeichnet werden, wenn jemand beruflich Deepfakes veröffentlicht. Das sind echt wirkende KI-Bilder, -Videos oder -Tonaufnahmen, die echten Personen, Orten oder Ereignissen ähneln. KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, brauchen ebenfalls einen Hinweis, außer ein Mensch hat sie inhaltlich geprüft und trägt die redaktionelle Verantwortung (Art. 50 Abs. 4 AI Act). Der 2. Dezember 2026 betrifft vor allem die Anbieter: Tools, die schon vor dem 2. August 2026 auf dem Markt waren, müssen ihre Inhalte bis dahin maschinenlesbar markieren. Ab demselben Tag sind KI-Systeme verboten, die ohne Einwilligung intime Bilder erzeugen. Quelle: EU-Kommission: Fragen und Antworten zu Art. 50 (englisch), AI Act Service Desk: Ab wann gilt was? (englisch)

Datenpanne: 72 Stunden

Gelangen Daten über Menschen an Unbefugte, etwa durch ein gehacktes KI-Konto, muss die Firma das der Datenschutzbehörde unverzüglich und möglichst binnen 72 Stunden melden, außer es entsteht voraussichtlich kein Risiko für die Betroffenen. Jede Panne wird intern dokumentiert. Ein Anbieter, der für die Firma Daten verarbeitet, muss ihr eine Panne unverzüglich melden (Art. 33 DSGVO). Quelle: Datenschutz-Grundverordnung (EUR-Lex)

Datenschutzbeauftragter

In Deutschland braucht eine Firma einen Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit der automatischen Verarbeitung von Personendaten beschäftigt sind. Unabhängig von der Zahl ist er unter anderem Pflicht, wenn eine Datenschutz-Folgenabschätzung nötig ist (§ 38 BDSG). Die ist beim KI-Einsatz laut den Datenschutzbehörden „vielfach“ nötig. In der ganzen EU gilt außerdem Art. 37 DSGVO. Quelle: § 38 Bundesdatenschutzgesetz, Datenschutzkonferenz: Orientierungshilfe KI und Datenschutz (PDF), Datenschutz-Grundverordnung (EUR-Lex)