Künstliche Intelligenz (KI) und deutsches Recht: was für dein Unternehmen gilt

Was das Gesetz sagt

Die KI-Verordnung der EU gilt unmittelbar in Deutschland: Sie stuft KI-Systeme nach Risiko ein, verlangt Transparenz bei Chatbots und KI-generierten Inhalten und verbietet bestimmte Praktiken vollständig. Das deutsche Durchführungsgesetz, das KI-MIG, ist vom Bundestag beschlossen (11. Juni 2026), aber noch nicht in Kraft: Der Bundesrat entscheidet am 10. Juli 2026, ob er den Vermittlungsausschuss anruft. Auf EU-Ebene ist zudem eine Änderungsverordnung beschlossen (Digital Omnibus, noch nicht im Amtsblatt veröffentlicht): Sie verschiebt voraussichtlich die Pflichten für Hochrisiko-Systeme nach Anhang III auf Dezember 2027.

Was das für dich bedeutet

• Spricht ein Chatbot oder Sprachassistent mit deinen Kunden, müssen sie wissen, dass sie es mit einem KI-System zu tun haben. Ein klarer Hinweis am Anfang des Gesprächs genügt; er darf nur nicht fehlen oder so versteckt sein, dass der Kunde glaubt, mit einem Mitarbeiter zu schreiben. Diese Transparenzpflicht aus Art. 50 greift ab dem 2. August 2026.

  Beispiel: Ein Onlineshop lässt seinen Assistenten das Gespräch so eröffnen: „Ich bin der KI-Assistent des Hauses und helfe Ihnen bei Produkten und Bestellungen.“ Mehr braucht es für die Transparenz nicht.

• KI-generierte Inhalte müssen als solche erkennbar sein: Bild, Audio und Video brauchen eine maschinenlesbare Kennzeichnung, realistisch wirkende Deepfakes und KI-Texte zu Themen von öffentlichem Interesse zusätzlich einen sichtbaren Hinweis. Die Regel zielt auf Inhalte, die für eine reale Person oder ein reales Ereignis gehalten werden könnten.

  Beispiel: Nutzt du eine synthetische Stimme im Radiospot oder ein KI-generiertes Bild eines zufriedenen Kunden, kennzeichnest du beides als KI-generiert, damit niemand eine echte Person vermutet.

• Einige Praktiken sind seit dem 2. Februar 2025 komplett verboten, in der höchsten Bußgeldklasse: manipulative KI, die Verhalten spürbar zum Schaden der Nutzer lenkt, Social Scoring, das ungezielte Auslesen von Gesichtsbildern für Erkennungsdatenbanken und Emotionserkennung am Arbeitsplatz. Diese Verbote gelten unabhängig davon, wie klein dein Unternehmen ist.

  Beispiel: Ein Tool, das die Stimmung deiner Servicemitarbeiter im Kundentelefonat auswertet, ist keine Grauzone, sondern eine verbotene Praxis.

• Die Aufsicht in Deutschland regelt das KI-MIG: Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde mit einer unabhängigen KI-Marktüberwachungskammer, dazu kommen ein KI-Service-Desk für kleinere Unternehmen und mindestens ein Reallabor. Bis der Bundesrat das Gesetz passieren lässt, gilt die KI-Verordnung trotzdem: Die EU-Pflichten hängen nicht am deutschen Gesetz.

  Beispiel: Auch ohne in Kraft getretenes KI-MIG muss dein Chatbot ab dem 2. August 2026 offenlegen, dass er KI ist; nur die deutsche Aufsichtsstruktur ist noch in der Schwebe.

Was das Gesetz sagt

Die DSGVO gilt unmittelbar, das BDSG ergänzt sie national; für private Unternehmen sind in der Regel die Datenschutzbehörden der 16 Länder zuständig. KI-Anbieter, die Kundendaten für dich verarbeiten, sind Auftragsverarbeiter: Ohne Auftragsverarbeitungsvertrag (AVV, Art. 28) läuft nichts, und riskante Verarbeitungen brauchen vorab eine Datenschutz-Folgenabschätzung (Art. 35).

Was das für dich bedeutet

• Jede personenbezogene Angabe, die deine KI berührt, fällt unter die DSGVO: Telefonnummern, E-Mails, Chatverläufe, Sprachaufnahmen. Verarbeitet ein KI-Anbieter diese Daten in deinem Auftrag, verlangt Art. 28 Abs. 3 einen Vertrag, der ihn an deine Weisungen bindet. Ohne AVV gibst du Kundendaten ohne Rechtsgrundlage aus der Hand.

  Beispiel: Bevor du dein CRM an einen KI-Dienst anbindest, schließt du den AVV des Anbieters ab und prüfst, wo die Daten verarbeitet werden. Erst dann fließen echte Kundendaten.

• Läuft dein Kundendialog über die WhatsApp Business API, verarbeitet Meta die Daten als dein Auftragsverarbeiter, geregelt in den WhatsApp Business Data Processing Terms. Verantwortlich für die Daten bleibst aber du: Du brauchst die passende Rechtsgrundlage und eine saubere Information deiner Kunden.

  Beispiel: Ein Autohaus, das Leads per WhatsApp beantwortet, verweist in seiner Datenschutzerklärung auf die Verarbeitung über WhatsApp Business und holt für Werbenachrichten eine Einwilligung ein.

• Verarbeitungen mit voraussichtlich hohem Risiko brauchen vorab eine Datenschutz-Folgenabschätzung: typischerweise große Datenmengen, systematische Überwachung oder automatisierte Entscheidungen. Viele KI-Anwendungen wie Scoring, Profiling oder die automatisierte Bewerbervorauswahl fallen genau darunter.

  Beispiel: Willst du tausende Kunden automatisch nach Kaufverhalten bewerten lassen, dokumentierst du vorher in einer DSFA, welche Daten du nutzt und wie du die Betroffenen schützt.

• Deine Aufsichtsbehörde ist die Datenschutzbehörde deines Bundeslandes; der BfDI ist nur für Bundesbehörden und Telekommunikationsanbieter zuständig. Es lohnt sich, die eigene Behörde zu kennen, bevor die erste Beschwerde kommt.

  Beispiel: Den richtigen Ansprechpartner für dein Bundesland findest du über den Kontaktfinder auf der Website des BfDI.

Was das Gesetz sagt

Seit dem 1. Januar 2025 muss jedes inländische Unternehmen E-Rechnungen empfangen können. Beim Ausstellen läuft die Pflicht stufenweise an: Die Übergangsfrist für Papier und PDF endet für Unternehmen mit mehr als 800.000 Euro Vorjahresumsatz am 31. Dezember 2026, und ab dem 1. Januar 2028 gilt die E-Rechnungspflicht für alle inländischen B2B-Rechnungen. Eine E-Rechnung ist ein strukturiertes Format nach EN 16931, etwa XRechnung oder ZUGFeRD ab Version 2.0.1.

Was das für dich bedeutet

• Empfangen können musst du schon jetzt: Seit dem 1. Januar 2025 reicht dafür ein E-Mail-Postfach, und eine Zustimmung des Empfängers ist nicht nötig. KI kann eingehende E-Rechnungen direkt auslesen, prüfen und in die Buchhaltung übergeben, statt dass jemand PDFs abtippt.

  Beispiel: Eine eingehende XRechnung wird automatisch geparst, gegen die Bestellung geprüft und als Buchungsvorschlag abgelegt; ein Mensch gibt frei.

• Beim Ausstellen zählt dein Umsatz: Bis zum 31. Dezember 2026 dürfen noch alle Unternehmen Papier oder, mit Zustimmung des Empfängers, einfache PDF-Rechnungen stellen. Danach bleibt diese Übergangsoption nur Unternehmen mit höchstens 800.000 Euro Vorjahresumsatz, und zwar bis zum 31. Dezember 2027. Liegst du darüber, stellst du ab dem 1. Januar 2027 E-Rechnungen aus.

  Beispiel: Ein Autohaus mit 5 Millionen Euro Umsatz plant die Umstellung 2026, damit ab Januar 2027 jede B2B-Rechnung als E-Rechnung rausgeht.

• Ab dem 1. Januar 2028 gibt es keine Ausnahme mehr: Jede inländische B2B-Rechnung ist dann eine E-Rechnung, unabhängig vom Umsatz. Wer seine Rechnungsprozesse ohnehin anfasst, baut die Formate XRechnung oder ZUGFeRD gleich mit ein.

  Beispiel: Auch der kleine Zulieferer mit 300.000 Euro Umsatz stellt ab 2028 strukturierte E-Rechnungen an seine Geschäftskunden.

• KI darf die Rechnung vorbereiten und prüfen, die Verantwortung bleibt bei dir. Eine formal falsche Rechnung ist kein Kavaliersdelikt: Sie kann beim Empfänger den Vorsteuerabzug gefährden und macht Korrekturläufe nötig.

  Beispiel: Die KI erstellt den Rechnungsentwurf aus dem Auftrag und validiert das Format gegen EN 16931; freigegeben und versendet wird von einem Menschen.

Was das Gesetz sagt

Irreführende geschäftliche Handlungen sind unlauter (§ 5 UWG), egal ob ein Mensch oder eine KI sie formuliert. Durchgesetzt wird das vor allem zivilrechtlich: Wettbewerber und Verbände wie die Wettbewerbszentrale mahnen ab und klagen. In der Preiswerbung gegenüber Verbrauchern muss der Gesamtpreis genannt werden (§ 3 PAngV).

Was das für dich bedeutet

• Was dein Chatbot oder deine KI-Anzeige behauptet, muss stimmen: Falsche Angaben zu Produkteigenschaften, Preisvorteilen oder deiner Qualifikation sind irreführend nach § 5 UWG. Das trifft auch übertriebenes KI-Marketing: Wer mit „KI-basiert“ wirbt, obwohl dahinter wenig KI steckt, führt genauso in die Irre.

  Beispiel: Behauptet deine generierte Anzeige einen Testsieg, den es nie gab, riskierst du eine Abmahnung; deshalb arbeitet die KI nur mit geprüften, echten Produktdaten.

• Das erste deutsche Urteil zu einem KI-Vertriebstool zeigt, wo die Grenze liegt: Das Landgericht Augsburg untersagte am 8. Januar 2026 (Az. 2 HK O 4274/25) die Werbung für ein KI-Akquise-System, das Kontaktdaten privater Verkäufer aus Portalen auslas. Kaltakquise ohne ausdrückliche Einwilligung ist unzumutbare Belästigung, und schon das Versprechen, das System vermeide „rechtliche Risiken“, war irreführend.

  Beispiel: Lass eine KI keine privaten Inserenten anschreiben, deren Nummern sie aus Portalen gezogen hat; genau dieses Modell wurde gerichtlich gestoppt.

• Wirbst du gegenüber Verbrauchern mit Preisen, muss der Gesamtpreis genannt und bei aufgeteilten Preisbestandteilen hervorgehoben werden (§ 3 PAngV). Eine KI, die Anzeigen oder Angebote generiert, braucht diese Regel fest im Prompt und in der Prüfung.

  Beispiel: Eine generierte Fahrzeuganzeige mit Monatsrate nennt immer auch den hervorgehobenen Gesamtpreis, nicht nur „ab 199 Euro im Monat“.

• Ab dem 2. August 2026 kommt die Kennzeichnungspflicht der KI-Verordnung dazu: Realistisch wirkende KI-Bilder und Deepfakes in deiner Werbung müssen als KI-generiert erkennbar sein. Eine fehlende Kennzeichnung können auch Wettbewerber als UWG-Verstoß angreifen.

  Beispiel: Ein täuschend echtes KI-Model in deiner Kampagne bekommt einen KI-Hinweis, bevor die Anzeige live geht.

Was das Gesetz sagt

KI für Einstellung, Kandidatenauswahl und Entscheidungen über Arbeitsverhältnisse ist Hochrisiko-KI nach Anhang III der KI-Verordnung. Führst du Tools ein, die Verhalten oder Leistung von Beschäftigten überwachen können, bestimmt der Betriebsrat mit (§ 87 Abs. 1 Nr. 6 BetrVG). Diskriminierende Ergebnisse einer KI-Auswahl verstoßen gegen das AGG.

Was das für dich bedeutet

• Sortiert eine KI Bewerbungen vor, rankt Kandidaten oder wirkt an Beförderungen und Kündigungen mit, gilt sie als Hochrisiko-System. Ab dem 2. August 2026 heißt das für dich als Betreiber: menschliche Aufsicht, Kontrolle der Eingabedaten, Protokollierung und Information der Betroffenen.

  Beispiel: Deine KI schlägt eine Shortlist vor, aber ein Recruiter sieht jede aussortierte Bewerbung ein und kann die Entscheidung kippen; kein Kandidat fliegt allein wegen eines KI-Scores raus.

• Hat dein Betrieb einen Betriebsrat, holst du ihn vor dem Rollout an den Tisch: Technische Einrichtungen, die Verhalten oder Leistung der Beschäftigten überwachen können, unterliegen der Mitbestimmung. Ohne Einigung ist die Einführung rechtswidrig, und der Betriebsrat kann sie per Unterlassung stoppen.

  Beispiel: Ein KI-Tool, das Antwortzeiten und Abschlussquoten im Vertrieb auswertet, führst du erst nach einer Betriebsvereinbarung ein.

• Bewertet die KI Bewerber verzerrt, haftest du, nicht der Tool-Anbieter: Benachteiligungen wegen Alter, Geschlecht, Herkunft oder anderer AGG-Merkmale lösen Entschädigungsansprüche aus. Die systematische automatisierte Bewerberbewertung verlangt zudem regelmäßig eine Datenschutz-Folgenabschätzung.

  Beispiel: Fällt auf, dass dein Screening ältere Bewerber systematisch schlechter bewertet, richten sich die AGG-Ansprüche gegen dein Unternehmen; deshalb testest du das Tool vor dem Einsatz auf Verzerrungen.

• Emotionserkennung am Arbeitsplatz ist keine Grauzone, sondern seit dem 2. Februar 2025 eine verbotene Praxis in der höchsten Bußgeldklasse. Das gilt für Bewerbungsgespräche genauso wie für den laufenden Betrieb.

  Beispiel: Eine Software, die im Videointerview die Nervosität der Kandidaten analysiert, darfst du nicht einsetzen, auch nicht als „Zusatzsignal“.

Was das Gesetz sagt

Das KI-MIG setzt auf ein hybrides Modell: Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde, die bestehenden Fachaufsichten behalten aber ihre Zuständigkeit. Im Finanzsektor ist das die BaFin. Für den Kfz-Handel gibt es kein eigenes KI-Gesetz; dort gilt der allgemeine Rahmen.

Was das für dich bedeutet

• Für Finanzdienstleister wird die BaFin Marktüberwachungsbehörde für Hochrisiko-KI und baut 2026 ihr Aufsichtskonzept dafür auf. Schon heute beaufsichtigt sie den KI-Einsatz über die bestehenden Regelwerke; wer im Finanzsektor KI einführt, plant die BaFin also von Anfang an als Ansprechpartner ein.

  Beispiel: Eine Fondsgesellschaft, die Kundenanfragen mit KI beantwortet, dokumentiert den Einsatz so, dass sie ihn der BaFin jederzeit erklären kann.

• Die BaFin hat im Dezember 2025 eine Orientierungshilfe zu IKT-Risiken beim KI-Einsatz veröffentlicht, eingebettet in die DORA-Anforderungen. Ihre Erwartungen: KI-Ergebnisse müssen dem Risiko angemessen erklärbar und überprüfbar sein, Entscheidungen dürfen nicht diskriminieren, und die Abhängigkeit von wenigen Cloud- und KI-Anbietern ist als Konzentrationsrisiko zu managen.

  Beispiel: Ein Zahlungsdienstleister hält fest, wie sein Betrugsmodell zu einer Entscheidung kommt, und hat einen Plan für den Fall, dass der KI-Anbieter ausfällt.

• KI ist im deutschen Bankensektor längst Alltag: Bei den großen Banken stieg die Nutzung generativer KI von rund 40 Prozent Ende 2024 auf über 60 Prozent im ersten Quartal 2025, typischerweise für Chatbots, Transaktionsüberwachung, Betrugserkennung und Risikomodelle. Die Aufsicht schaut entsprechend genau hin, auch auf Gleichlaufrisiken, wenn viele Institute ähnliche Modelle nutzen.

  Beispiel: Wer als kleineres Institut nachzieht, profitiert davon, dass die Aufsichtserwartungen schon formuliert sind, und baut Erklärbarkeit von Anfang an ein.

• Für Autohäuser und den Kfz-Handel gibt es kein eigenes KI-Gesetz. Es gilt der allgemeine Rahmen: Chatbot-Transparenz nach Art. 50 KI-VO ab dem 2. August 2026, AVV und DSGVO für Lead- und WhatsApp-Daten, § 5 UWG für generierte Werbung und § 3 PAngV für Preisangaben.

  Beispiel: Ein Autohaus braucht keine Sondergenehmigung für seinen KI-Assistenten; es hakt die allgemeine Liste ab: KI-Hinweis im Chat, AVV mit dem Anbieter, Gesamtpreis in jeder Anzeige.