KI-Compliance – KI-Lösungen

Drei-Ampel-Modell für KI-Prompts

Jede Eingabe in ein KI-Tool braucht eine datenklassen-bezogene Schnelleinordnung – binäres „personenbezogen ja/nein” reicht nicht:

Ampel	Datenart	Konsequenz
🟢 Grün	Keine personenbezogenen Daten	Auch kostenlose Tools zulässig
🟡 Ampel 1	Personenbezogene Daten (Art. 4 DSGVO)	AVV + EU-Hosting nötig, sonst anonymisieren
🔴 Ampel 2	Besondere Kategorien (Art. 9)	Auch mit AVV: nur Self-Hosting oder EU-Spezialanbieter
🔴 Ampel 3	Berufsgeheimnisse (§ 203 StGB)	Strafrecht – nie in öffentliche Tools, auch mit AVV strafbar für Ärzte, Anwälte, Steuerberater

Die Tool-Compliance-Matrix

Die meisten KMU-Compliance-Probleme entstehen nicht durch fehlende Regeln, sondern durch falsch gewählte Tarife. Beispiele:

Tool / Variante	AVV	Training	Ampel
ChatGPT Free / Plus (privat)	❌	Standard an / opt-out	🔴
ChatGPT Team / Enterprise	✅	Aus / nie	🟢 (Ampel 1)
Claude Team	✅ (seit 01/2026 in Commercial Terms)	Nie	🟢 (Ampel 1, aber ohne EU-Hosting/Zero-Data-Retention – das bleibt Enterprise vorbehalten)
Claude Enterprise / AWS Bedrock EU	✅	Nie	🟢 (Ampel 1)
Copilot in M365 Business	✅	Nein	🟢 (Ampel 1)
Mistral Le Chat Teams (FR)	✅	Aus	🟢 + CLOUD-Act-frei
Aleph Alpha (DE)	✅	Aus	🟢 + BSI-C5-Testat
DeepSeek	❌	Datenabfluss CN	🔴 – rote Linie für Geschäftsdaten

Die vollständige Matrix mit allen Tarif-Fallen findest Du im Themenbereich KI-Tools im Unternehmen. Stand der Matrix: 07/2026.

Drei Nachweise, die ab 02.08.2026 prüffähig sein müssen

Der EU AI Act wird oft als „Bußgeld-Monster” gezeichnet. Für KMU als Deployer reduziert sich die operative Pflicht auf einen kleinen, aber konkreten Stapel:

AI-Literacy-Nachweis (Art. 4) – wer hat wann an welcher Schulung teilgenommen, welche KI-Tools im Einsatz, welche Risiken vermittelt.
Risikoregister – Liste aller KI-Anwendungen mit Risikoklasse, Datenart, AVV-Status, Aufsichtsbehörde, Verantwortlichkeit.
KI-Policy-Minimum – 2–4 Seiten, was erlaubt ist, was verboten, Eskalationsweg, Meldepflicht bei Vorfällen.

Mehr als das verlangt der EU AI Act für die meisten KMU-Deployer nicht. Mehr braucht es auch nicht – aber weniger ist Bußgeldrisiko.

DSGVO-Prüfprogramm bei KI-Einführung (7 Punkte)

Vor dem Rollout eines KI-Tools – umgesetzt in 2–3 Wochen:

#	Pflicht	Frist	Aufwand
1	AVV/DPA mit KI-Anbieter abschließen (Art. 28), Training-Opt-out verifizieren	Vor erstem Einsatz	Tag 1
2	DPF-Status des Anbieters prüfen + TIA dokumentieren (bei US-Anbietern)	Vor erstem Einsatz	Tag 1
3	KI-Nutzungsrichtlinie erstellen	Vor Rollout	Tag 3–5
4	VVT-Eintrag ergänzen	Vor Rollout	Tag 5–7
5	Datenschutzerklärung aktualisieren (Art. 13/14)	Vor Rollout	Tag 5–7
6	AI-Literacy-Schulung durchführen + Teilnahmeliste (Art. 4 KI-VO)	Vor Rollout	Tag 8–10
7	Pilotphase mit 2–3 Mitarbeitenden, dann Rollout	Woche 2–3	1–2 Wochen

Alle sieben Punkte in einen Ordner „KI-Einführung [Tool] [Jahr]” – das ist der Nachweis bei Behördenprüfung.

Vertiefungen

DSGVO & KI → – Drei formale Pflichten, CLOUD-Act-Prüfung, AVV-Klauseln, Datenklassen-Beispiele
EU AI Act → – Risikoklassen, Digital Omnibus (Hochrisiko-Frist auf Dez 2027 verschoben), Provider vs. Deployer, AI Literacy, Bußgeldstruktur
Pseudonymisierung & Anonymisierung → – wie Ampel 1 technisch gelöst wird: Erkennung in Stufen, gemessene Qualität, Grenzen auf gescannten Unterlagen

Was abgedeckt wird

DSGVO für KI-Tools (siehe Vertiefung)
EU AI Act Risikoklassifikation (siehe Vertiefung)
NIS2 falls relevant (kritische Infrastruktur, Kunden mit hohen Anforderungen)
Branchenspezifisches: Medizinprodukte, Finanzaufsicht, KRITIS – nicht alleine, sondern mit dem für Dich passenden Fachanwalt

Wie das praktisch aussieht

Gemeinsam entsteht ein Compliance-Inventar – eine Tabelle aller eingesetzten KI-Tools mit: Anbieter, Zweck, Datenklassen, Rechtsgrundlage, Risikoklasse, AVV-Status, Aufsichtsbehörde. Lebendiges Dokument, kein einmaliger Audit-Bericht.

Was dieser Ansatz nicht ist

Anwaltlich. Bei Streitfragen führt der Weg an Fachanwälte für IT-Recht / Datenschutz.