EU AI Act und KI im Unternehmen: Wie kleine Unternehmen KI sicher, datenschutzkonform und mit Strategie nutzen

In den Medien tauchen immer wieder Berichte über KI-Systeme auf, die scheinbar eigenständig handeln. Solche Meldungen schüren Ängste, und die Frage liegt nahe: Muss man sich davor fürchten?

Savas Kozluklu beantwortet das differenziert. Ein Risiko sieht er ohne Wenn und Aber, und eine Regulierung hält er für richtig. Gleichzeitig ist er überzeugt, dass sich die Entwicklung nicht mehr zurückdrehen lässt. KI-Agenten, also KI-Systeme, die eigenständig Aufgaben erledigen, werden immer zahlreicher. Er rechnet außerdem damit, dass KI künftig auch in Form von humanoiden Robotern und Haushaltsrobotern in unseren Alltag kommt.

Genau an dieser Stelle schlägt er die Brücke zum EU AI Act. Aus seiner Sicht ist der AI Act im Grunde nichts anderes als Produktsicherheit. Ähnlich wie beim Auto muss der Mensch geschützt werden, bevor ein Produkt auf den Markt kommt. Diese Logik gilt für Software ebenso wie für Roboter.

Sein Fazit fällt dennoch optimistisch aus. Risiken sind vorhanden, Chancen aber auch, und er sieht die Chancen klar im Vordergrund. Umkehren lässt sich die Entwicklung nicht mehr. Deshalb geht es darum, sinnvolle Leitplanken zu setzen.

Für kleine Unternehmen ist diese Einordnung hilfreich. Weder blinde Begeisterung noch lähmende Angst sind gute Ratgeber. Wer die Risiken kennt und bewusst mit ihnen umgeht, kann die Möglichkeiten der KI deutlich entspannter nutzen. Einer dieser Leitplanken, dem EU AI Act, widmet sich der nächste Abschnitt.

Der EU AI Act ist die europäische Verordnung über künstliche Intelligenz. Erste Regelungen greifen bereits seit Februar 2025, weitere Teile sind seitdem schrittweise hinzugekommen. Eine vollständige Schulung zum AI Act kann ein Podcast natürlich nicht ersetzen. Für den Einstieg hilft aber ein anschaulicher Vergleich.

Savas Kozluklu beschreibt den AI Act wie ein Sicherheitsdatenblatt. Wer sich eine Kreissäge kauft, bekommt Hinweise dazu, wie das Gerät sicher benutzt wird, zum Beispiel dass die Finger vom Sägeblatt fernzuhalten sind. Ähnlich gibt der AI Act vor, worauf beim Einsatz von KI zu achten ist, was veröffentlicht werden darf und was nicht.

Besonders eng ist dabei die Verbindung zum Datenschutz. Ob man ChatGPT, Gemini, Claude, Mistral oder ein anderes Tool nutzt: Immer stellt sich die Frage, welche personenbezogenen Daten gibt man ein. Gemeint sind alle Informationen, die sich einer bestimmten Person zuordnen lassen, etwa Namen, Adressen, Rechnungsbeträge oder Fotos. Der Grundgedanke lautet: Schütze dich selbst, aber schütze vor allem auch die Daten Dritter und gib sie nicht einfach preis.

Dabei unterscheidet man zwischen verschiedenen Arten von Tools. Es gibt KI-Lösungen, die datenschutzkonform aufgebaut sind und in denen personenbezogene Daten verarbeitet werden können, weil sie entsprechend abgesichert und verschlüsselt sind. Bei frei verfügbaren Standardversionen sieht das anders aus. Genau diesen Unterschied sollte man kennen, bevor man sich für ein Tool entscheidet.

Für Savas Kozluklu hat der AI Act deshalb auch einen ethischen Charakter. Er schützt Menschen davor, aus Unwissenheit Fehler zu machen, und bewahrt gleichzeitig Dritte vor den Folgen solcher Fehler.

Wie schnell es kritisch werden kann, zeigt ein Beispiel, das er im Gespräch schildert. Es beginnt ganz harmlos und mit den besten Absichten.

Ein kleines Unternehmen hat Liquiditätssorgen. Einige Kunden haben offene Rechnungen, es geht um Beträge im Bereich von 10.000, 20.000 oder 30.000 Euro. Eine Mitarbeiterin oder ein Mitarbeiter aus der Buchhaltung möchte helfen. Mahnungen wurden bereits mehrfach verschickt, das Geld ist trotzdem nicht eingegangen. Mit dem AI Act hat sich die Person nie beschäftigt, vom Datenschutz hat sie irgendwann einmal gehört.

Also kommt ChatGPT ins Spiel, und zwar in der kostenlosen Version. Die Person lädt eine Rechnung über 20.000 Euro hoch, samt Namen des Kunden, und bittet die KI um Hilfe. Heraus kommt eine überzeugende, vielleicht sogar juristisch sauber formulierte E-Mail, die direkt an den Kunden geht.

Der Kunde wundert sich jedoch über die Nachricht, recherchiert und kommt zu dem Schluss, dass sie mit KI erstellt wurde, höchstwahrscheinlich unter Verwendung seiner Daten. In dem von Savas Kozluklu beschriebenen Szenario dreht der Kunde den Spieß daraufhin um und geht rechtlich gegen das Unternehmen vor. Aus einer offenen Forderung von 20.000 Euro könnte dann plötzlich eine deutlich höhere Schadensersatzforderung werden.

Das Beispiel zeigt eindrücklich, dass nicht böser Wille das Problem ist, sondern fehlendes Wissen. Die Person wollte ihrem Arbeitgeber helfen und hat dabei unbemerkt vertrauliche Kundendaten in ein ungeeignetes Tool gegeben. Genau hier setzen der EU AI Act und der Datenschutz an: Sie sollen Mitarbeitende, Chefs und die betroffenen Dritten gleichermaßen schützen. Voraussetzung dafür ist, dass im Unternehmen klar ist, welche Daten in welches KI-Tool gehören und welche nicht.

Bei Themen wie Schulungen und Richtlinien denken viele zuerst an Unternehmen mit Mitarbeitern. Im Gespräch wird deutlich, dass die Regeln genauso für Einzelunternehmer, Solo-Selbstständige und Gründer gelten. Auch wer allein arbeitet, muss sich fragen: Lade ich hier gerade Fotos oder personenbezogene Daten in ein KI-Tool hoch, und ist das überhaupt zulässig?

Unternehmensgröße, Umsatz oder Mitarbeiterzahl spielen für den EU AI Act keine Rolle. Die Regeln greifen für natürliche Personen, also Einzelunternehmer und Freiberufler, ebenso wie für juristische Personen, etwa eine GmbH mit wenigen Beschäftigten.

Als Beispiel wird auch die Transparenzpflicht nach Artikel 50 des AI Act genannt, zu der auch die Kennzeichnung bestimmter KI-generierter Inhalte gehört. Auch diese Vorgabe betrifft kleine Betriebe genauso wie große.

Ein weiterer Punkt betrifft die sogenannte KI-Kompetenz, also das Wissen darüber, wie man KI sachkundig und verantwortungsvoll einsetzt. Nach Einschätzung des Gastes schreibt der Gesetzgeber eine Schulung nicht im klassischen Sinne verpflichtend vor. Aufbauen sollte man diese Kompetenz aber trotzdem, gerade im Zusammenspiel mit dem Datenschutz.

Für Solo-Selbstständige ist das eine wichtige Erkenntnis. Die Annahme „Das betrifft nur die Großen“ trägt nicht. Wer KI in seinem Geschäft nutzt, trägt dafür selbst die Verantwortung, ganz gleich, ob im Büro zwanzig Menschen sitzen oder nur eine Person.

Corinna Göring nutzt KI selbst und hält sie für einen echten Helfer. Ihre Einschätzung ist deutlich: Wer sich in den kommenden Jahren nicht mit KI beschäftigt, läuft Gefahr, mit seinem Unternehmen abgehängt zu werden. Entscheidend sei aber, wie intensiv und wofür man KI einsetzt.

Ein zentraler Punkt ist die Frage nach dem Anbieter. Viele bekannte KI-Tools stammen aus den USA. Dort gelten Gesetze wie der Patriot Act, die Behörden weitreichende Zugriffsmöglichkeiten eröffnen können. Das ist gerade dann relevant, wenn personenbezogene Daten verarbeitet werden.

Wer KI ausschließlich für Marketing oder das Schreiben von Texten ohne Personenbezug nutzt, bewegt sich nach Corinna Görings Einschätzung auf vergleichsweise sicherem Terrain. Anders sieht es im Unternehmenskontext aus, etwa wenn Videokonferenzen oder Telefonate transkribiert werden. Dann landen plötzlich zahlreiche Daten in einem gemeinsamen Zusammenhang. Diesem Thema widmet sich die vorherige Folge „Mein Freund, die KI“ ausführlich. Auch Tools wie Microsoft Copilot sieht sie kritisch, weil sie auf umfangreiche Unternehmensdaten aus verschiedenen Abteilungen zugreifen können.

In der Beratung erlebt sie immer wieder, dass neue Kunden acht, neun oder zehn KI-Tools nutzen, ohne sich je Gedanken über den Datenschutz gemacht zu haben. Das kann schnell nach hinten losgehen. Beschwert sich zum Beispiel eine betroffene Person und verlangt Auskunft darüber, wo ihre Daten verarbeitet werden und wo sie liegen, muss das Unternehmen diese Fragen beantworten können. Ohne Überblick wird das schwierig, und dann stehen nicht nur die DSGVO, sondern auch der AI Act im Raum.

Die Konsequenz ist einfach: Vor dem Einsatz sollte feststehen, zu welchem Zweck und für welche Anwendung die KI genutzt wird. Dabei gibt es durchaus Möglichkeiten, auf Lösungen mit deutscher oder europäischer Grundlage zu setzen.

In der Praxis hört Savas Kozluklu oft dieselbe Frage: Welches KI-Tool kannst du mir empfehlen? Seine Antwort überrascht viele. Bei einem KI-Projekt im Unternehmen geht es nur zu einem kleinen Teil um die KI selbst. Im Mittelpunkt stehen der Mensch und die Veränderung, die die Einführung mit sich bringt.

Er teilt ein KI-Projekt deshalb grob auf. Rund 70 Prozent sind Change, also Veränderung im Denken und Arbeiten. Menschen müssen dort abgeholt werden, wo sie stehen. Sie brauchen Sicherheit und Mut, um die KI als Unterstützung zu begreifen. Etwa 10 Prozent betreffen die IT, also Infrastruktur und Sicherheit. Und nur rund 20 Prozent drehen sich tatsächlich um KI, wobei es auch dort nicht um ein Durcheinander aus vielen Tools geht, sondern um ein oder zwei gezielt eingesetzte Werkzeuge und eine klare Strategie.

Eng damit verbunden ist der Begriff der Selbstverantwortung. Wer die Entwicklung verschläft und keine KI-Kompetenz aufbaut, bekommt über kurz oder lang Schwierigkeiten. Die Schuld daran trägt dann nicht die KI, sondern die eigene Entscheidung, sich nicht damit zu beschäftigen.

Wie viel die Einführung bewirken kann, zeigt ein Kunde, den Savas Kozluklu bei der Transformation begleitet. Dieser erzählte ihm, dass er dank der Zusammenarbeit endlich wieder in Ruhe mit der Familie Weihnachten feiern konnte. Gleichzeitig wurden Umsatzpotenziale freigesetzt: Bis August hatte das Unternehmen nach Angaben des Gastes bereits rund 95 Prozent seiner Ziele beziehungsweise des Vorjahresumsatzes erreicht.

Für den Gast ist das der eigentliche Wert der KI: Sie gibt Menschen Zeit zurück. Damit das gelingt, braucht es allerdings eine Strategie, statt einfach blind loszulegen.

Um KI-Projekte strukturiert anzugehen, arbeitet Savas Kozluklu mit einem Modell, das er die „4 K“ nennt.

Das erste K steht für Klarheit. Gemeinsam mit dem Kunden wird erarbeitet, wo das Unternehmen steht, wohin es will und welches Ziel mit KI erreicht werden soll. Ohne diesen „KI-Nordstern“ testet man unzählige Tools und kommt trotzdem nicht voran.

Das zweite K ist die KI-Kompetenz. Sie beginnt beim EU AI Act und reicht bis zur Frage, wie man richtig promptet. Ein Prompt ist die Anweisung, die man einer KI gibt. Zwar kann man mit KI inzwischen ganz natürlich sprechen, doch wer sauber und präzise formuliert, arbeitet effizienter und spart Zeit. Zur KI-Kompetenz gehört ausdrücklich auch der Datenschutz.

Das dritte K betrifft die KI-Infrastruktur. Hier geht es um Datenschutz, KI-Richtlinien und Leitlinien sowie um die Frage, welche Tools im Unternehmen erlaubt sind. Außerdem sollte geklärt werden, wer verantwortlich ist. Ähnlich wie ein Datenschutzbeauftragter kann ein KI-Beauftragter dabei helfen, die eingesetzte KI-Landschaft zu überblicken und eine KI-Richtlinie aufzubauen. Dieser Bereich überschneidet sich teilweise mit der KI-Kompetenz.

Das vierte K steht für KI kontinuierlich optimieren. Mitarbeitende und Selbstständige sollen immer auf dem aktuellen Stand bleiben. Wer einen KI-Agenten oder ein agentisches System entwickelt hat, muss dieses pflegen und schrittweise verbessern.

Corinna Göring betont dazu, wie schnell sich das Feld entwickelt. Anders als bei einer Website, die man früher einmal baute und dann jahrelang liegen ließ, funktioniert das bei KI nicht. Wer KI einsetzt, muss dranbleiben.

Ein Thema, das viele Unternehmer überrascht, ist der Schulungsnachweis. Wer KI nutzt, sollte nachweisen können, dass er sich die nötige Kompetenz angeeignet hat. Das gilt für Mitarbeitende ebenso wie für Einzelunternehmer.

Savas Kozluklu ordnet das so ein: Der Gesetzgeber schreibt einen solchen Nachweis nicht ausdrücklich als Pflicht vor. Nach seiner Erfahrung verlangen Behörden ihn jedoch. Kommt es zu einer Prüfung, ist es deshalb hilfreich, belegen zu können, dass man als Betreiber sein Bestmögliches getan hat. „Betreiber“ ist im AI Act der Fachbegriff für diejenigen, die ein KI-System in eigener Verantwortung nutzen, also zum Beispiel ein Unternehmen, das ChatGPT im Arbeitsalltag einsetzt.

Wichtig ist dabei eine Unterscheidung. Ein solcher Schulungsnachweis ist kein Zertifikat im klassischen Sinne, denn Zertifikate dürfen nur bestimmte Institute ausstellen. Es handelt sich vielmehr um einen namentlichen Nachweis über eine Schulung im Sinne des EU AI Act. Savas Kozluklu bietet solche Schulungen für Selbstständige und Unternehmen an.

Ein häufiger Irrtum betrifft die Frage, für wen der Nachweis gilt. Er bezieht sich nicht auf das Unternehmen als juristische Person. Wenn also die Geschäftsführung einer Firma eine Schulung absolviert hat, gilt dieser Nachweis nicht automatisch für die gesamte Belegschaft. Corinna Göring und ihr Gast sind sich da einig: Der Nachweis gilt immer für jede einzelne Person.

Hat ein Betrieb zehn Mitarbeitende, die KI nutzen, müssen sich also alle zehn qualifizieren. Für kleine Unternehmen lohnt es sich deshalb, frühzeitig einen Überblick zu gewinnen, wer im Team welche KI-Tools einsetzt, und die Schulungen entsprechend einzuplanen.

Wer jetzt denkt, das Thema sei zu groß für den eigenen Betrieb, bekommt von Savas Kozluklu einen ermutigenden Rat. Der erste Schritt lautet: keine Angst haben. Weder vor der KI noch vor dem Datenschutz noch vor dem EU AI Act. Man sollte zwar wissen, was man tut, aber Angst ist kein guter Ausgangspunkt.

Für den Start empfiehlt er eine Methode, die bewusst einfach gehalten ist und ohne externe Beratung funktioniert. Schau dir in deinem Unternehmen an, wo der größte Engpass liegt. Nicht mehrere Baustellen auf einmal, sondern nur der eine Punkt, der dich am meisten ausbremst. Notiere dir täglich, wo es hakt. Wiederholt sich dasselbe Problem immer wieder, stellst du dir die Frage: Was könnte KI hier für mich tun?

Seine Formel dafür ist so einprägsam, dass er sie im Gespräch gleich mehrfach wiederholt: ein Engpass, ein Prozess, ein Tool. Mehr braucht es für den Anfang nicht. Das Geheimnis liegt nicht darin, möglichst viel gleichzeitig auszuprobieren, sondern darin, sich auf eine Sache zu konzentrieren und diese konsequent umzusetzen.

Das Ergebnis muss nicht spektakulär sein. Es bildet aber ein solides Fundament, auf dem sich später aufbauen lässt.

Sein Vorschlag für die Praxis: Schreib dir eine Woche lang auf, wo die größten Engpässe liegen, und fang mit dem wichtigsten an. Denn komplexe Dinge einfach und leicht zu machen, ist sowohl im Datenschutz als auch bei der KI der beste Weg. Und wer dabei gleich im Blick behält, welche Daten in das gewählte Tool fließen, verbindet den Einstieg von Anfang an mit dem Datenschutz.