KI-Compliance bedeutet, den Einsatz künstlicher Intelligenz im Unternehmen regelkonform zu organisieren: Pflichten aus der EU-KI-Verordnung, DSGVO und Urheberrecht erfüllen, Risiken bewerten, Nutzung dokumentieren und Mitarbeitende schulen. Frameworks wie ISO/IEC 42001 liefern dafür die Systematik. Seit Februar 2025 gilt die Schulungspflicht nach Art. 4 der KI-Verordnung für praktisch jedes Unternehmen, das KI einsetzt.
Kaum ein Unternehmen arbeitet heute ohne KI: Texte entstehen mit Sprachmodellen, der Vertrieb nutzt Prognosetools, die Buchhaltung automatisiert Belegprüfungen. Was dabei oft fehlt, ist ein geordneter Rahmen. Wer haftet, wenn ein KI-Tool personenbezogene Daten in die USA schickt? Wer prüft, ob ein neues Tool überhaupt eingesetzt werden darf? Und welche Pflichten aus der KI-Verordnung gelten bereits heute?
Dieser Artikel ordnet das Thema KI-Compliance für kleine und mittlere Unternehmen: Er zeigt, welche Rechtspflichten aktuell gelten (Stand: September 2026), welche Frameworks bei der Umsetzung helfen und wie ein pragmatischer Fahrplan in sechs Schritten aussieht — ohne Konzernbürokratie.
Was bedeutet KI-Compliance konkret?
KI-Compliance umfasst alle Maßnahmen, mit denen ein Unternehmen sicherstellt, dass der Einsatz künstlicher Intelligenz gesetzeskonform, kontrolliert und nachvollziehbar erfolgt. Das klingt abstrakt, besteht in der Praxis aber aus vier greifbaren Bausteinen:
- Transparenz: Das Unternehmen weiß, welche KI-Systeme im Einsatz sind — inklusive der Tools, die Mitarbeitende auf eigene Faust nutzen (Schatten-KI).
- Rechtskonformität: Jedes eingesetzte System erfüllt die einschlägigen Vorgaben aus KI-Verordnung, DSGVO, Urheberrecht und Vertragsrecht.
- Risikokontrolle: Risiken wie Fehlentscheidungen, Datenabfluss oder diskriminierende Ergebnisse werden systematisch bewertet und behandelt.
- Verantwortlichkeit: Es ist geregelt, wer KI-Einsätze freigibt, wer sie überwacht und wer bei Vorfällen entscheidet.
Wichtig ist die Abgrenzung: KI-Compliance ist kein reines Rechtsthema und kein reines IT-Thema. Sie verbindet beides mit Organisationsfragen — ähnlich wie Datenschutz nach der DSGVO. Unternehmen, die bereits ein Managementsystem betreiben (etwa nach ISO 9001 oder ISO 27001), haben einen Startvorteil: Die Mechanik aus Risikobewertung, dokumentierten Regeln und regelmäßiger Überprüfung ist dieselbe.
Der Rechtsrahmen: mehr als nur die KI-Verordnung
Die EU-KI-Verordnung (AI Act, Verordnung (EU) 2024/1689) ist das bekannteste Regelwerk, aber nicht das einzige. Für die meisten KMU ergeben sich die praktisch relevanten Pflichten aus einem Zusammenspiel mehrerer Rechtsgebiete:
- KI-Verordnung: Verbotene Praktiken, Schulungspflicht (Art. 4), Transparenzpflichten für Chatbots und KI-generierte Inhalte (Art. 50), umfangreiche Pflichten für Hochrisiko-Systeme. Die meisten KMU sind Betreiber, nicht Anbieter — ihre Pflichten sind daher überschaubarer, aber real.
- DSGVO: Sobald personenbezogene Daten in ein KI-Tool fließen, gelten die üblichen Anforderungen: Rechtsgrundlage, Auftragsverarbeitungsvertrag, Drittlandtransfer-Prüfung, gegebenenfalls Datenschutz-Folgenabschätzung. In der Praxis ist die DSGVO bei KI-Vorfällen häufiger das Problem als die KI-Verordnung selbst.
- Urheberrecht und Geschäftsgeheimnisse: Wer vertrauliche Konstruktionsdaten oder Kundenlisten in ein öffentliches KI-Tool eingibt, riskiert den Schutz als Geschäftsgeheimnis nach dem GeschGehG. Bei KI-generierten Inhalten stellt sich zudem die Frage nach Nutzungsrechten.
- Arbeitsrecht: Setzt ein Unternehmen KI zur Leistungs- oder Verhaltenskontrolle ein, hat der Betriebsrat — sofern vorhanden — ein Mitbestimmungsrecht.
Für regulierte Branchen kommen Spezialregeln hinzu, etwa aus dem Finanzaufsichtsrecht oder dem Medizinprodukterecht. Stand: September 2026.
Welche Pflichten aus der KI-Verordnung gelten wann?
Die KI-Verordnung tritt gestuft in Kraft. Durch die Digital-Omnibus-Verordnung (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) wurden die Fristen für Hochrisiko-Systeme nach hinten verschoben. Der aktuelle Stand (September 2026):
| Zeitpunkt | Pflicht | Wen es betrifft |
|---|---|---|
| Seit 02.02.2025 | Verbotene KI-Praktiken (Art. 5), Schulungspflicht / KI-Kompetenz (Art. 4) | Alle Anbieter und Betreiber von KI-Systemen |
| Seit 02.08.2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), Governance- und Sanktionsrahmen | Vor allem Modell-Anbieter; KMU meist nur mittelbar |
| Seit 02.08.2026 | Allgemeiner Anwendungsbeginn, u. a. Transparenzpflichten nach Art. 50: Chatbots kennzeichnen, KI-generierte Inhalte und Deepfakes offenlegen | Alle Unternehmen, die entsprechende Systeme einsetzen |
| Ab 02.12.2027 | Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III (z. B. KI im Recruiting, Kreditwürdigkeitsprüfung) | Anbieter und Betreiber solcher Systeme |
| Ab 02.08.2028 | Pflichten für Hochrisiko-KI in regulierten Produkten nach Anhang I (z. B. Maschinen, Medizinprodukte) | Hersteller entsprechender Produkte |
Die verschobenen Hochrisiko-Fristen sind keine Entwarnung: Wer etwa KI-gestützte Bewerberauswahl einsetzt, sollte die Anforderungen (Risikomanagement, Datenqualität, menschliche Aufsicht, Protokollierung) jetzt vorbereiten — die Umsetzung dauert erfahrungsgemäß deutlich länger als ein Quartal. Bei Verstößen drohen je nach Tatbestand Bußgelder bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes; Verstöße gegen die meisten übrigen Pflichten liegen bei bis zu 15 Mio. Euro oder 3 Prozent.
Frameworks im Vergleich: Welche Systematik hilft bei der Umsetzung?
Gesetze sagen, was gefordert ist — Frameworks liefern das Wie. Drei Ansätze sind für KMU relevant:
| Framework | Charakter | Stärke | Zertifizierbar? |
|---|---|---|---|
| ISO/IEC 42001:2023 | Managementsystem-Norm für KI (AIMS), Kapitel 4–10 plus 38 Controls in Anhang A | Vollständige Governance-Struktur: Rollen, Risikoprozess, Folgenabschätzung, Lieferantensteuerung | Ja |
| ISO/IEC 23894:2023 | Leitfaden für KI-Risikomanagement auf Basis von ISO 31000 | Konkretisiert den Risikoprozess: Identifikation, Bewertung, Behandlung KI-spezifischer Risiken | Nein (Leitfaden) |
| NIST AI Risk Management Framework | Freiwilliges US-Framework (Govern, Map, Measure, Manage) | Praxisnahe Funktionen und umfangreiches Playbook, gut für erste Strukturierung | Nein |
Für Unternehmen, die einen prüfbaren Nachweis gegenüber Kunden oder Auftraggebern brauchen, führt der Weg über ISO/IEC 42001 — sie ist derzeit die einzige zertifizierbare KI-Managementsystem-Norm. ISO/IEC 23894 ergänzt sie als methodisches Handwerkszeug für die Risikobewertung. Das NIST-Framework eignet sich als kostenfreier Einstieg, ersetzt aber keinen Nachweis.
Ehrlich gesagt werden muss auch: Keines dieser Frameworks ist ein Konformitätsnachweis nach der KI-Verordnung. Ein ISO-42001-Zertifikat belegt ein funktionierendes Managementsystem — die Konformitätsbewertung für Hochrisiko-Systeme nach der KI-Verordnung ist ein separates, gesetzlich geregeltes Verfahren.
KI-Compliance umsetzen: der Fahrplan in sechs Schritten
Für ein mittelständisches Unternehmen ohne eigene Rechtsabteilung hat sich folgendes Vorgehen bewährt:
- KI-Inventar erstellen (Woche 1–2): Alle eingesetzten KI-Tools erfassen — auch die inoffiziellen. Eine kurze Abfrage in den Abteilungen plus ein Blick in die IT-Ausgaben deckt meist 80 Prozent auf. Pro Tool festhalten: Zweck, Datenarten, Anbieter, Nutzerkreis.
- Risikoklassen zuordnen (Woche 2–3): Jedes System grob nach der Logik der KI-Verordnung einordnen: verboten, Hochrisiko, transparenzpflichtig oder minimales Risiko. Die meisten Bürotools landen in den letzten beiden Kategorien.
- Sofortpflichten abarbeiten (Woche 3–6): Schulungspflicht nach Art. 4 erfüllen, Kennzeichnung von Chatbots und KI-Inhalten regeln, DSGVO-Basics je Tool prüfen (AV-Vertrag, Drittlandtransfer).
- KI-Richtlinie verabschieden (Woche 4–8): Verbindliche Regeln für erlaubte und verbotene Nutzung, Datenregeln und einen Freigabeprozess für neue Tools festlegen.
- Risikoprozess etablieren (Woche 8–12): Für relevante Systeme eine strukturierte Risikobewertung durchführen, Maßnahmen ableiten, Verantwortliche benennen.
- Regelbetrieb verankern: Jährliche Überprüfung, Schulungsauffrischung, Aufnahme neuer Tools nur über den Freigabeprozess. Wer den Nachweis formalisieren will, baut die Punkte 1–6 zum Managementsystem nach ISO/IEC 42001 aus.
Der Aufwand hängt stark von der KI-Nutzung ab. Ein Dienstleister mit zehn Mitarbeitenden und drei Standardtools kommt mit wenigen Personentagen aus; ein Softwarehaus, das eigene KI-Funktionen anbietet, muss deutlich mehr investieren.
Wer ist im Unternehmen zuständig?
Die KI-Verordnung schreibt — anders als die DSGVO beim Datenschutzbeauftragten — keine bestimmte Rolle vor. Bewährt hat sich in KMU ein schlankes Modell:
- Geschäftsführung: Trägt die Gesamtverantwortung, verabschiedet die KI-Richtlinie und entscheidet über Hochrisiko-Einsätze. Diese Verantwortung ist nicht delegierbar.
- KI-Koordinator (Teilzeitrolle): Pflegt das KI-Inventar, betreut den Freigabeprozess, organisiert Schulungen. Oft übernimmt das der QMB, der IT-Leiter oder der Informationssicherheitsbeauftragte in Personalunion.
- Datenschutzbeauftragter: Prüft jedes neue Tool auf DSGVO-Konformität — er ersetzt den KI-Koordinator aber nicht, weil viele KI-Risiken (Fehlentscheidungen, Urheberrecht, Bias) keine Datenschutzfragen sind.
- Fachabteilungen: Melden neue Tools über den Freigabeprozess und setzen die Nutzungsregeln im Alltag um.
Ein eigener „AI Officer" in Vollzeit ist in Unternehmen unter 250 Mitarbeitenden fast nie nötig. Entscheidend ist, dass die Rolle klar benannt ist und Zeit dafür eingeplant wird — als Faustwert je nach KI-Intensität zwischen zwei und acht Stunden pro Monat im Regelbetrieb.
Ehrliche Einordnung: Was ein Zertifikat leistet — und was nicht
Ein Zertifikat nach ISO/IEC 42001 belegt gegenüber Kunden, Partnern und Versicherern, dass ein Unternehmen seinen KI-Einsatz systematisch steuert. Das ist bei Ausschreibungen und in Lieferantenbewertungen zunehmend ein Pluspunkt, weil Auftraggeber ihre eigene Compliance auf die Lieferkette ausdehnen.
Drei Grenzen sollten Sie kennen, bevor Sie investieren:
- Kein gesetzlicher Konformitätsnachweis: Das Zertifikat ersetzt keine Konformitätsbewertung nach der KI-Verordnung. Für Hochrisiko-Systeme bleibt das gesetzliche Verfahren mit eigenen Anforderungen bestehen.
- Akkreditiert vs. nicht akkreditiert: Zertifikate aus dem nicht akkreditierten Bereich — wie sie KCERT ausstellt — sind günstiger und schneller, werden aber nicht überall anerkannt. Bei öffentlichen Ausschreibungen oder Konzern-Einkaufsrichtlinien, die ausdrücklich eine akkreditierte Zertifizierung verlangen, brauchen Sie eine akkreditierte Stelle. Für den Nachweis gegenüber mittelständischen Geschäftspartnern reicht die nicht akkreditierte Variante häufig aus — klären Sie das vorab mit dem Adressaten des Nachweises.
- Kein Ersatz für gelebte Praxis: Ein Zertifikat ohne funktionierenden Freigabeprozess und ohne geschulte Mitarbeitende ist wertlos — im Ernstfall zählt, was tatsächlich umgesetzt wurde.
Sinnvoll ist die Reihenfolge: erst die Compliance-Basics (Inventar, Richtlinie, Schulung), dann bei Bedarf die Zertifizierung als formalisierter Nachweis.
Häufige Fragen
Ja, in Grundzügen. Die Schulungspflicht nach Art. 4 der KI-Verordnung gilt seit dem 2. Februar 2025 für alle Unternehmen, die KI-Systeme einsetzen — unabhängig von der Größe. Dazu kommen die Transparenzpflichten nach Art. 50 (seit 2. August 2026) und die DSGVO-Anforderungen bei personenbezogenen Daten. Der Umfang der Maßnahmen darf aber risikoangemessen sein: Ein Fünf-Personen-Betrieb mit zwei Standardtools braucht kein Konzern-Compliance-Programm.
Der Sanktionsrahmen ist gestaffelt: Verstöße gegen verbotene Praktiken (Art. 5) können bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes kosten, Verstöße gegen die meisten übrigen Pflichten bis zu 15 Mio. Euro oder 3 Prozent. Für KMU sehen Art. 99 ff. Erleichterungen vor. In Deutschland ist die Durchsetzungsstruktur noch im Aufbau; das nationale Durchführungsgesetz war im September 2026 noch nicht verabschiedet.
Nein. Die DSGVO deckt nur den Umgang mit personenbezogenen Daten ab. KI-spezifische Risiken wie diskriminierende Ergebnisse, Halluzinationen in Kundenkommunikation, Urheberrechtsfragen bei generierten Inhalten oder der Abfluss von Geschäftsgeheimnissen in öffentliche Tools fallen nicht darunter. Die Datenschutz-Dokumentation ist aber eine gute Basis: Verzeichnis von Verarbeitungstätigkeiten und AV-Verträge lassen sich für das KI-Inventar weiterverwenden.
KI-Compliance zielt auf die Einhaltung externer Vorgaben: Gesetze, Verordnungen, Vertragspflichten. KI-Governance ist der breitere Begriff und umfasst zusätzlich selbst gesetzte Regeln: ethische Leitplanken, Qualitätsansprüche, strategische Entscheidungen über den KI-Einsatz. In der Praxis verschwimmen die Begriffe — ein Managementsystem nach ISO/IEC 42001 deckt beides ab, weil es rechtliche Pflichten und eigene Ziele in einem System zusammenführt.
Gesetzlich vorgeschrieben ist die Rolle nicht — anders als der Datenschutzbeauftragte nach DSGVO. Sinnvoll ist trotzdem eine benannte Person, die das KI-Inventar pflegt, den Freigabeprozess betreut und Schulungen organisiert. In KMU übernimmt das meist der QMB, die IT-Leitung oder der Informationssicherheitsbeauftragte als Teilaufgabe mit etwa zwei bis acht Stunden pro Monat. Wichtig ist die klare Benennung, nicht der Titel.
Ja, indirekt. Die Norm verlangt genau die Strukturen, die auch die KI-Verordnung voraussetzt: Risikobewertung, Folgenabschätzung, dokumentierte Prozesse, Schulungen und Lieferantensteuerung. Wer ein KI-Managementsystem betreibt, hat die organisatorischen Hausaufgaben weitgehend erledigt. Ein rechtlicher Konformitätsnachweis nach der KI-Verordnung ist das Zertifikat aber nicht — insbesondere die Konformitätsbewertung für Hochrisiko-Systeme bleibt ein eigenes Verfahren.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT