DSGVO-Ampel für KI im Mittelstand · was Geschäftsführer im Sommer 2026 wirklich nachweisen müssen

Die Frage, die jede Geschäftsführung gerade stellt

Ein Team will Angebote vorbereiten, Unterlagen auswerten oder interne Fragen beantworten. Dabei treffen fachliche Arbeit, Vertraulichkeit, Datenschutz und persönliche KI-Kompetenz aufeinander. Ohne verständliche Regeln und erreichbare Zuständige beurteilt jede Person ihre Eingabe spontan für sich. Das Unternehmen braucht beides.

Was Artikel 4 EU AI Act wirklich verlangt

Artikel 4 verpflichtet Anbieter und Betreiber, Maßnahmen für ausreichende KI-Kompetenz der betreffenden Personen zu treffen. Vorwissen, Ausbildung, Nutzungskontext und betroffene Menschen sind dabei zu berücksichtigen. Daraus folgt kein einheitlicher Pflichtkurs für sämtliche Rollen. Originaltext beim AI Act Service Desk der EU-Kommission.

Für die betriebliche Praxis empfehlen wir, Lernziele und Inhalte an den verwendeten Aufgaben auszurichten und Teilnahme sowie tatsächliche Nachweise nachvollziehbar festzuhalten. Ein Zertifikat allein beantwortet nicht, ob jemand die Ergebnisse seines Arbeitsablaufs prüfen kann.

Die DSGVO-Ampel A/B/C im Detail

A: für die vorgesehene Verwendung freigegeben

Beispiele sind ein eigener veröffentlichter Produkttext oder ein synthetischer Übungsfall. Prüfen Sie trotzdem, ob Namen, vertrauliche Zusatzinformationen oder Rechte Dritter enthalten sind. „Im Internet gefunden“ und „für jede Nutzung freigegeben“ sind unterschiedliche Aussagen.

B: intern oder vertraulich

Interne Berichte, Konditionen und technische Unterlagen brauchen einen geklärten Umgang. Welche Information ist für die Aufgabe nötig? Wer darf sie sehen? Wo wird sie verarbeitet und gespeichert? Der konkrete Vertrag und die Einstellungen des eingesetzten Dienstes gehören zur Prüfung.

C: personenbezogen oder besonders schutzbedürftig

Personenbezug verlangt eine Prüfung von Zweck, Rechtsgrundlage und Schutzmaßnahmen. Eine Datenschutz-Folgenabschätzung ist nach Artikel 35 bei voraussichtlich hohem Risiko erforderlich. Ein einzelner Name im Dokument macht sie allein noch nicht nötig. Ein eigener Server ersetzt diese Prüfung ebenfalls nicht. DSGVO, insbesondere Artikel 5, 6 und 35.

Fehlt die Freigabe, verwenden Sie im Lernversuch geeignete synthetische Angaben oder klären den Datenweg vorab. Das ist eine praktische Stoppregel. Alle rechtlichen Anforderungen bewertet die Ampel nicht.

Was eine Lizenz-Rechnung wirklich bedeutet

Ein bezahltes Konto ist zunächst ein Zugang zu vereinbarten Funktionen. Ob diese für Ihren Fall passen, hängt von Vertrag, Rolle, Einstellungen, Datenweg und tatsächlicher Nutzung ab. Produktname und Preis reichen für die Entscheidung nicht aus.

Wer personenbezogene Daten im Auftrag verarbeiten lässt, muss die Anforderungen an Auftragsverarbeitung beachten. Ein Vertrag nach Artikel 28 ersetzt unter anderem weder eine passende Rechtsgrundlage noch die Prüfung etwaiger Drittlandübermittlungen. DSGVO, Artikel 28 und Kapitel V.

Für die Kalkulation betrachten Sie außerdem Einführung, Quellenpflege, menschliche Prüfung und laufenden Betrieb. Die früher hier genannten Lizenzspannen taugen nicht mehr als Beschaffungsgrundlage. Maßgeblich ist das konkrete Angebot mit seinem Leistungsumfang.

Der Nachweis-Pfad für Artikel 4 in vier Bausteinen

Die folgenden Bausteine sind unsere Empfehlung für nachvollziehbare betriebliche Praxis. Sie sind keine vollständige rechtliche Checkliste und kein pauschaler Erfüllungsnachweis.

1. Verständliche Regeln: Welche Aufgaben, Daten und Werkzeuge sind im festgelegten Umfang erlaubt? Wer beantwortet offene Fragen?
2. Passende Grundlagen: Die Beteiligten lernen Möglichkeiten, typische Fehler und die menschlichen Prüfpunkte ihrer Arbeit kennen.
3. Vertiefung nach Rolle: Wer entwickelt, nutzt oder freigibt, braucht die dafür passende praktische Fähigkeit.
4. Weiterführung: Änderungen, Fehler und neue Funktionen werden zum Anlass für erneute Prüfung und Lernen. Zuständigkeit und nächster Termin stehen fest.

Wann diese Ampel-Logik NICHT passt

Bei sensiblen Daten, folgenreichen Entscheidungen oder besonderen fachlichen Anforderungen reicht eine schnelle Farbsortierung nicht aus. Die zuständigen Fachpersonen müssen den konkreten Einsatz beurteilen.

Entscheidungen mit erheblichen Folgen

Was wird mit dem KI-Ergebnis entschieden, und wer ist davon betroffen? Der konkrete Einsatzzweck gehört in die fachliche Prüfung.

Regulierte Tätigkeiten

Welche besonderen Regeln gelten in Ihrer Branche und für diese Aufgabe? Eine allgemeine Ampel kann diese Einordnung nicht vorwegnehmen.

Komplexe Datenübermittlungen

Welche Anbieter, Zugriffe und Speicherorte sind beteiligt? Die Prüfung muss die tatsächlichen Datenwege und Vertragsbedingungen erfassen.

Auch die Einstufung einer Anwendung nach der KI-Verordnung folgt ihrem vorgesehenen Zweck und den jeweiligen Voraussetzungen. Ein Stichwort wie Personal, Kredit oder Gesundheit ersetzt diese Einordnung nicht.

Drei Fragen, bevor Sie die nächste KI-Lizenz unterschreiben

1. Welche konkrete Aufgabe soll sich verbessern, und welche Informationen braucht sie tatsächlich?
2. Welche Datenwege, Zugriffe und Vertragsbedingungen sind für genau diesen Einsatz geklärt?
3. Wer kann Ergebnisse prüfen, eine Freigabe erteilen und bei einem Fehler eingreifen?

Bleibt eine Antwort offen, halten Sie sie als konkrete nächste Arbeit fest. So wird aus einer allgemeinen Unsicherheit eine klärbare Voraussetzung.

Was wir konkret in den Lehrgängen tun

Im AIM arbeiten Sie an Ihrem eigenen Fall. Sie prüfen Quellen, Ergebnisse und Fehlerfälle und erarbeiten Regeln für Datenverwendung, menschliche Prüfung und Verantwortung. Dazu gehört ein Entwurf Ihrer KI-Policy.

Das AIM-Zertifikat dokumentiert nachgewiesene praktische Kompetenz. Der Ergebnisstand des Falls und seine betriebliche Freigabe werden getrennt betrachtet. Ob der Fall im Unternehmen bereits eingesetzt werden darf, entscheidet die zuständige Stelle. Vorbereitung und Nachweise im heutigen AIM.

Fazit · eine ruhige Schublade im Herbst

Die entscheidende Arbeit geschieht im Alltag: verständliche Regeln, passende Fähigkeiten und nachlesbare Entscheidungen. Eine Ampel hilft, Fragen früh zu erkennen; sie ersetzt weder die Verantwortung im Unternehmen noch die Prüfung des konkreten Einsatzes.

Dieser Beitrag ordnet die Methode allgemein ein. Für die rechtliche Beurteilung Ihres Vorhabens sind die zuständigen Fachpersonen und die jeweils geltenden Vorgaben maßgeblich.