KI ist längst in Ihrem Betrieb. So schaffen Sie Überblick und Rechtssicherheit.

Während Beratungen hört man diesen Satz häufig: „Ich glaube, manche im Team nutzen schon KI-Tools, aber genau weiß ich das ehrlich gesagt nicht.“ Dieser Satz klingt beiläufig. Er beschreibt in vielen österreichischen Betrieben jedoch eine Situation, die seit 2026 handfeste rechtliche Konsequenzen haben kann — sowohl aus der DSGVO als auch aus dem EU AI Act.

Was Schatten-KI ist und warum sie entsteht

Wenn Mitarbeiter KI-Anwendungen für ihre Arbeit nutzen, ohne dass die Geschäftsführung davon weiß, sprechen Datenschutzexperten von Schatten-KI. Meistens handelt es sich um einen Mitarbeiter im Vertrieb, der ChatGPT für Angebote nutzt, eine Assistentin, die Gesprächsnotizen zusammenfassen lässt, oder eine Teamleitung, die Microsoft Copilot ausprobiert hat und dabei geblieben ist.

Das geschieht nicht aus böser Absicht. Es geschieht, weil die Tools verfügbar, einfach zu bedienen und nützlich sind. Die meisten Betriebe haben dafür bisher keine interne Regelung gehabt — und genau das ist das Problem.

Warum fehlende Regelung zum DSGVO-Problem wird

Die DSGVO schreibt vor, dass personenbezogene Daten nur unter bestimmten Voraussetzungen an externe Dienste übermittelt werden dürfen. Wenn Ihre Mitarbeiter Kundennamen, Projektdetails oder Preiskalkulationen in ein KI-Tool eingeben, verlassen diese Daten das Unternehmen. Lokale KI-Modelle sind eine datenschutzkonforme Alternative, bei der Daten das Unternehmen nie verlassen.

Für diese Übermittlung braucht es eine Rechtsgrundlage: einen Auftragsverarbeitungsvertrag mit dem Tool-Anbieter (kurz AVV — ein Standardvertrag, der regelt, wie externe Dienstleister mit Ihren Daten umgehen dürfen) und eine interne Freigabe. Das Problem liegt nicht im Werkzeug selbst, sondern in der fehlenden Dokumentation. Wer nicht weiß, welche Tools im Betrieb genutzt werden, kann diese Voraussetzungen nicht erfüllen.

Ein konkretes Beispiel aus der Praxis

Ein Wiener Dienstleistungsbetrieb mit 22 Mitarbeitenden machte im Zuge einer internen Bestandsaufnahme eine unerwartete Entdeckung: Vier Teammitglieder nutzten seit mehreren Monaten ChatGPT für die Erstellung von Kundenangeboten. Kundennamen, Projektbeschreibungen und Preiskalkulationen waren dabei eingegeben worden. Ein AVV mit OpenAI existierte nicht.

Die Mitarbeiter hatten sich nichts dabei gedacht. Für das Unternehmen bedeutete die Bestandsaufnahme ein rasches Aufholen: die kostenlosen Accounts auf ein Business-Abo umstellen, einen AVV mit OpenAI abschließen, das Verarbeitungsverzeichnis nachziehen und eine interne Richtlinie erstellen. Das ist schnell gemacht und beseitigt die Datenschutzbedenken.

Die österreichische Datenschutzbehörde prüft 2026 aktiv

Die österreichische Datenschutzbehörde (DSB) hat für 2026 Schwerpunktprüfungen angekündigt und bereits im März erste Verfahren eingeleitet. Geprüft wird, ob AVVs mit externen Anwendungen vorhanden sind, ob technische und organisatorische Schutzmaßnahmen dokumentiert sind und wer im Betrieb auf welche Daten Zugriff hat.

Das bedeutet: „Wir wussten nicht, wer welche Tools nutzt“ reicht als Antwort auf eine Prüfung nicht aus. Der Aufwand für eine funktionierende Grundstruktur ist deutlich geringer als der Aufwand für die nachträgliche Regulierung.

Was Sie jetzt konkret tun können

Der erste Schritt ist keine rechtliche Großaktion, sondern eine interne Frage: Welche KI-Tools werden in Ihrem Betrieb von wem für welche Aufgaben verwendet? Ein kurzes Teamgespräch reicht. Ziel ist Transparenz, nicht Sanktionierung.

Darauf aufbauend empfehlen sich vier Maßnahmen:

1. Auftragsverarbeitungsverträge prüfen. Für jedes Tool, das personenbezogene Daten verarbeiten kann, sollte ein AVV vorhanden sein. Kostenlose oder private Accounts bieten in der Regel keinen AVV an und sind für die Verarbeitung personenbezogener Daten nicht vorgesehen. Für die geschäftliche Nutzung sind Business- oder Enterprise-Versionen erforderlich.

2. Verarbeitungsverzeichnis aktualisieren. Jeder KI-Tool-Einsatz mit personenbezogenen Daten muss im Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert sein: Zweck der Verarbeitung, Datenkategorien, Rechtsgrundlage und AVV-Partner.

3. KI-Policy einführen. Halten Sie schriftlich fest, welche Tools im Betrieb erlaubt sind, welche Daten damit verarbeitet werden dürfen und wer die Verantwortung trägt. Die WKO stellt dafür fertige Vorlagen für österreichische KMU zur Verfügung.

4. Mitarbeiter informieren. Nicht sanktionieren, sondern erklären: Was darf verwendet werden, was nicht, und warum. Das verhindert, dass neue Schatten-KI entsteht, während die alte gerade geregelt wird.