Die europäische KI-Verordnung ist seit ihrer Verabschiedung das zentrale Regelwerk für den Einsatz künstlicher Intelligenz in der EU. Im Juni 2026 hat das EU-Parlament mit deutlicher Mehrheit Änderungen beschlossen, die die Anforderungen an bestimmte Systeme weiter verschärfen. Für Unternehmen ist das keine abstrakte Rechtsfrage: Betroffen ist der ganz normale Arbeitsalltag, sobald Mitarbeitende Sprachmodelle für Texte, Auswertungen oder Kundenkommunikation nutzen.
Der praktische Kern der Änderungen sind konkrete Übergangsfristen. Systeme, die als Hochrisiko eingestuft werden, müssen die neuen Anforderungen je nach Kategorie bis zum 2. Dezember 2027 beziehungsweise bis zum 2. August 2028 erfüllen. Das klingt weit weg, ist es aber nicht: Wer heute eine KI-Anwendung aufbaut, entscheidet jetzt über die Architektur, mit der er in zwei Jahren geprüft wird.
Nicht jede ChatGPT-Version ist für Firmendaten geeignet
Der häufigste Fehler in der Praxis ist der unbedachte Griff zur kostenlosen Version. Für die Verarbeitung von Unternehmensdaten kommen realistisch nur die Team- und Enterprise-Varianten in Frage, und auch die nur unter Bedingungen: Es braucht einen Auftragsverarbeitungsvertrag mit dem Anbieter, eine Verarbeitung innerhalb der EU und die abgeschaltete Nutzung der Eingaben für das Modelltraining.
Kostenlose Zugänge und private Plus-Abos erfüllen diese Kriterien nicht. Wer sie trotzdem für interne Unterlagen, Kundendaten oder Bewerbungen nutzt, verarbeitet personenbezogene Daten ohne tragfähige Grundlage. Das Problem daran ist selten böser Wille, sondern fehlende Klarheit: In vielen Unternehmen nutzen Mitarbeitende längst KI-Werkzeuge, ohne dass jemand die Freigabe erteilt oder auch nur davon weiß.
Schulungspflicht: seit Februar 2025 in Kraft
Bereits seit Februar 2025 gilt die Verpflichtung, Mitarbeitende zu schulen, die mit KI-Systemen arbeiten. Diese Pflicht wird in der Praxis oft übersehen, weil sie keine Investition in Technik verlangt, sondern in Organisation. Verlangt wird ein angemessenes Verständnis dafür, wie die eingesetzten Systeme funktionieren, wo ihre Grenzen liegen und welche Daten hineingehören und welche nicht.
Dazu kommen Dokumentationspflichten und, je nach Anwendungsfall, eine Datenschutz-Folgenabschätzung. Verstöße gegen die Datenschutz-Grundverordnung können mit Bußgeldern von bis zu 35 Millionen Euro geahndet werden. Der wirtschaftliche Schaden entsteht in der Regel aber früher und leiser: durch abgebrochene Projekte, gesperrte Werkzeuge und Vertrauensverlust bei Kunden.
Warum die Antwort meist in der Architektur liegt
Die regulatorischen Anforderungen verändern nicht nur Verträge, sondern die technische Infrastruktur. Wer Modelle in der eigenen Umgebung betreibt oder in einer kontrollierten Cloud-Instanz arbeitet, hat eine deutlich einfachere Nachweislage: Verlassen sensible Daten den geschützten Bereich nicht, entfällt ein großer Teil der Fragen zu Drittlandtransfers und Weiterverarbeitung.
Für viele mittelständische Unternehmen ist genau das der pragmatische Weg. Es geht nicht darum, jede KI-Nutzung zu verbieten oder alles selbst zu bauen. Es geht darum, für die Fälle mit sensiblen Inhalten eine Umgebung zu haben, in der Datenschutz nicht von den Nutzungsbedingungen eines Anbieters abhängt, sondern von der eigenen Architektur.
Was Unternehmen jetzt konkret tun sollten
Der erste Schritt ist eine ehrliche Bestandsaufnahme: Welche KI-Werkzeuge sind im Haus tatsächlich im Einsatz, wer nutzt sie wofür, und welche Daten gelangen dabei nach außen? In fast jedem Unternehmen fällt diese Liste länger aus als erwartet.
Darauf aufbauend braucht es drei Dinge: eine verbindliche Regelung, welche Werkzeuge für welche Inhalte freigegeben sind, die vertragliche und technische Absicherung der freigegebenen Werkzeuge, und eine Schulung, die Mitarbeitende in die Lage versetzt, die Regeln im Alltag auch anzuwenden. Wer diese Grundlage jetzt schafft, muss sie später nicht unter Zeitdruck nachrüsten.