KI-Tools im Unternehmen einsetzen

01 Das Prinzip: Prüfen Sie den Vertrag, nicht das Tool

Neben Funktionen und Kosten gehört eine weitere Frage auf die Prüfliste: Erlaubt der gewählte Tarif die geplante geschäftliche Nutzung?

Aus dem Preis oder dem Namen eines Tarifs lässt sich die erlaubte Nutzung nicht ableiten. Prüfen Sie die geltenden Bedingungen für Ihren konkreten Einsatz, einschließlich Datenschutz und Weiterverwendung der Ergebnisse. Weil sich Bedingungen ändern können, finden Sie hier Prüffragen statt einer schnell veraltenden Tool-Tabelle.

Drei Ausgangsfragen für jedes KI-Tool im Unternehmen:

Darf ich das Tool geschäftlich nutzen? Und zwar für genau meinen Tarif — nicht für das Produkt allgemein.
Was passiert mit meinen Eingaben? Wird damit trainiert? Gibt es eine vertragliche Absicherung für Datenschutz?
Was darf ich mit dem Ergebnis machen? Gibt es Auflagen bei der Weiterverwendung — und wem gehören die Ergebnisse?

A Teil A — Die Basics

Diese Regeln gehören in jede interne Freigabe:

Keine personenbezogenen Daten ohne Freigabe: Kunden-, Mitarbeiter- und Bewerberdaten erst verarbeiten, wenn Rechtsgrundlage, Anbieterrolle und erforderliche Datenschutzmaßnahmen geklärt sind.

Geschäftsgeheimnisse schützen: Kalkulationen, Angebote, Verträge, Konstruktionsdaten.

Output nie ungeprüft übernehmen: KI-Antworten enthalten Fehler, die überzeugend klingen. Prüfen, bevor verwendet wird.

Firmen-Accounts statt Privat-Accounts, mit Zwei-Faktor-Authentifizierung.

Verantwortlichen benennen: Eine Person entscheidet, welche Tools freigegeben sind.

Mitarbeiter informieren: Halten Sie erlaubte Anwendungen, Grenzen und Ansprechpartner verständlich fest. Ergänzen Sie die Regeln um Einweisung und Übung passend zum Einsatz.

B Teil B — Acht Punkte für die Freigabe

1. „Pro" heißt nicht „geschäftlich erlaubt"

Ein Bezahltarif ist kein Freibrief. Prüfen Sie Nutzungsbedingungen und gegebenenfalls Ihren individuellen Vertrag: Ist genau die geplante Nutzung erlaubt, und welche Auflagen gelten? Dokumentieren Sie die Fundstelle für den konkreten Tarif.

2. „Nur intern" schützt nicht

Recherche für ein Angebot, eine Marktanalyse oder eine Kundenentscheidung gehört zur geschäftlichen Nutzung, auch ohne Veröffentlichung. Prüfen Sie zusätzlich, ob der Vertrag für interne Verwendung und externe Weitergabe unterschiedliche Vorgaben macht.

3. Gleicher Anbieter, zwei Verträge

Für Privat-, Business- und API-Angebote können unterschiedliche Bedingungen gelten, etwa zu Datennutzung, Haftung und Datenschutz. Prüfen Sie den tatsächlich abgeschlossenen Vertrag sowie die Einstellungen Ihrer Organisation.

4. Datentraining ist eine eigene Prüffrage

Prüfen Sie, ob Eingaben, hochgeladene Dateien oder Feedback zur Modellverbesserung verwendet werden und wer Zugriff erhält. Kontrollieren Sie Voreinstellungen, Ausnahmen und verfügbare Widerspruchsmöglichkeiten. Auch „Business“ oder „API“ ersetzt diese Prüfung nicht.

5. Datenschutz hängt von der Verarbeitung ab

Bei personenbezogenen Daten benötigen Sie eine passende Rechtsgrundlage. Verarbeitet der Anbieter Daten in Ihrem Auftrag, ist grundsätzlich ein Auftragsverarbeitungsvertrag (AVV) erforderlich. Ein AVV allein genügt nicht: Prüfen Sie auch Zweck, Datenumfang, Sicherheit und mögliche Drittlandtransfers. Der Tarifpreis entscheidet diese Fragen nicht. Rollen und AVV beim EDSA · Rechtsgrundlagen.

6. Persönliche Zugänge und erlaubte Automatisierung

Verwenden Sie persönliche Firmenzugänge für nachvollziehbare Berechtigungen. Prüfen Sie für Automatisierungen die ausdrücklich vorgesehenen Schnittstellen, Integrationen oder Service-Accounts sowie deren Bedingungen. Ein Web-Zugang oder eine API ist keine pauschale Erlaubnis für jeden automatisierten Einsatz.

7. Eigene Verträge und Gesetze gehen vor

Geheimhaltungsvereinbarungen und Kundenverträge können die Eingabe von Projektdaten ausschließen. Der EU AI Act verlangt Maßnahmen zur Förderung der KI-Kompetenz, passend zu Personal und Einsatz; eine allgemeine Zertifikatspflicht folgt daraus nicht. Für bestimmte Anwendungen und Veröffentlichungen gelten Transparenzpflichten, etwa bei Deepfakes. Prüfen Sie den konkreten Anwendungsfall. EU-Kommission zu KI-Kompetenz · Transparenzpflichten.

8. Freigaben brauchen einen Prüfzeitpunkt

Beachten Sie Änderungsmitteilungen und die vereinbarten Fristen. Dokumentieren Sie Vertragsfassung und Prüfdatum. Prüfen Sie erneut bei Änderungen von Tarif, Funktionen oder Datenarten und setzen Sie zusätzlich einen festen Termin, beispielsweise halbjährlich.

Unbekannte Nutzung ist ein Risiko. Klären Sie, welche KI-Tools im Team tatsächlich eingesetzt werden. Verbinden Sie Regeln mit einer brauchbaren, freigegebenen Alternative und einem einfachen Weg für Rückfragen.

C Teil C — Wenn das Tool geschäftliche Nutzung verbietet

Klären Sie einen dieser vier Wege, bevor Sie das Tool geschäftlich einsetzen:

Option 1 Geeigneten Tarif wählen — Wechseln Sie nur, wenn die Vertragsbedingungen Ihren Einsatz erlauben und die Datenschutzprüfung bestanden ist. Ein teurerer Tarif ist dafür kein Nachweis.
Option 2 Geeignete Schnittstelle prüfen — Für automatisierte Abläufe kann eine API oder freigegebene Integration passen. Prüfen Sie Bedingungen und Gesamtkosten einschließlich Betrieb, Wartung und Zugriffsschutz.
Option 3 Alternative prüfen — Vergleichen Sie Lösungen, deren Bedingungen Ihren Einsatz erlauben. Testen Sie die fachliche Eignung; Datennutzung und Datenschutz bleiben eigenständige Prüfpunkte.
Option 4 Freigabe klären oder Nutzung stoppen — Lassen Sie eine abweichende Nutzung vertraglich bestätigen. Ist das nicht möglich, bleibt das Tool für diesen Zweck gesperrt. Eine interne Risikoentscheidung ersetzt keine vertragliche Erlaubnis.

Halten Sie die Entscheidung mit Vertragsfundstelle und Verantwortlichem fest. Offene Fragen zur Erlaubnis sollten vor der Freigabe geklärt werden.

D Teil D — Die Prüfliste zum Abhaken

Vor der Einführung (pro Tool und Tarif)

Erlaubt der konkrete Tarif die geschäftliche Nutzung? Klausel gelesen, Fundstelle und Prüfdatum notiert.

Datennutzung für Training, Feedback und menschliche Durchsicht geprüft; erforderliche Einstellungen gesetzt und dokumentiert.

Bei personenbezogenen Daten: Rechtsgrundlage, Anbieterrolle und Datenschutzmaßnahmen geprüft; bei Auftragsverarbeitung AVV abgeschlossen.

Auflagen für die Weiterverwendung der Ergebnisse geprüft (z. B. Kennzeichnung, Quellenangabe).

Ein Account pro Person, über Firmen-E-Mail — kein geteilter Login.

Kein Widerspruch zu eigenen Kundenverträgen oder Geheimhaltungsvereinbarungen.

Freigabe dokumentiert: wer, wann, welcher Tarif, welche Fassung der Bedingungen.

Bei der laufenden Nutzung

Nur freigegebene Datenarten in den freigegebenen Anwendungen verarbeiten; Geschäftsgeheimnisse zusätzlich vertraglich und technisch schützen.

Jeder Output wird fachlich geprüft, bevor er verwendet oder weitergegeben wird.

KI-generierte Inhalte werden gekennzeichnet, wo es gesetzlich oder vom Anbieter verlangt wird.

Wiederkehrend

Nutzungsbedingungen aller freigegebenen Tools regelmäßig erneut geprüft (fester Termin, z. B. halbjährlich).

Maßnahmen zur KI-Kompetenz auf Aufgaben und Risiken abgestimmt; Einweisungen und Übungen für die interne Nachvollziehbarkeit dokumentiert.

Tool-Liste aktuell: freigegeben / nur mit Auflagen / verboten — und im Team bekannt.

Neue Mitarbeiter erhalten die KI-Regeln beim Onboarding.

Dieses Dokument enthält bewusst keine Aussagen zu einzelnen Tools und Tarifen — genau die ändern sich laufend, und genau deshalb sind die Prüffragen wichtiger als jede Momentaufnahme. Es ersetzt keine Rechtsberatung. Erstellt: Juli 2026. Inhaltlich geprüft: 2026-09-15.

Diese Publikation stellt allgemeine Information dar und ersetzt keine individuelle rechtliche oder unternehmerische Beratung.