Darf ich ChatGPT im Unternehmen nutzen – und dazu Claude, Gemini, Copilot oder Perplexity? Diese Frage taucht 2026 in fast jeder Mittelstands-Runde irgendwann auf. Meistens dann, wenn der Datenschutzbeauftragte die Stirn runzelt oder jemand aus dem Betriebsrat nachhakt. Die kurze Antwort lautet: Ja, Du darfst. Nur eben nicht einfach drauflos. Und wichtiger noch als das „Darf ich?“ ist eine zweite Frage, die viel seltener gestellt wird: Kann ich der Antwort überhaupt trauen, wenn es um mein Unternehmen geht?
Dieser Leitfaden nimmt beide Fragen ernst. Er erklärt in klarer Sprache, was die DSGVO und die KI-Verordnung ab August 2026 verlangen und wo die verbreiteten Standard-Tools an ihre Grenzen stoßen. Und er zeigt, wie ein Unternehmen KI so einsetzt, dass weder die Rechtsabteilung noch die Qualität der Ergebnisse zum Dauerproblem wird. Gedacht vor allem für kleine und mittlere Betriebe, die keine eigene Rechtsabteilung im Rücken haben.
Zwei Sorgen, die jeder Unternehmer bei KI hat und selten laut ausspricht
Wenn ein Geschäftsführer zögert, KI im Betrieb freizugeben, steckt fast immer eine von zwei Sorgen dahinter. Oft sind es beide.
Erstens: „Wo landen meine Daten, und mache ich mich damit angreifbar?“ Verträge, Kundendaten, Kalkulationen, Personalunterlagen. Sobald das in ein offenes Tool wandert, verliert das Unternehmen die Kontrolle darüber. Und die Gesetzgebung, die gerade nachzieht, macht diese Sorge nicht kleiner, sondern konkreter.
Zweitens: „Kann ich dem, was da rauskommt, überhaupt vertrauen?“ Eine KI, die selbstbewusst eine falsche Zahl nennt, ist im schlimmsten Fall gefährlicher als gar keine. Wer eine Antwort zu seinem eigenen Unternehmen bekommt, die plausibel klingt, aber frei erfunden ist, trifft womöglich eine teure Entscheidung auf falscher Grundlage.
Diese beiden Sorgen sind der rote Faden dieses Artikels. Denn die gute Nachricht ist: Beide lassen sich lösen. Die schlechte: mit den gängigen Standard-Tools nur zum Teil.
Sorge 1: Warum die kostenlose ChatGPT-Version (und die meisten anderen) zum Risiko wird
Das Problem ist selten das Tool selbst. Es ist die Art, wie es genutzt wird. Sobald ein Mitarbeiter Kundendaten, Verträge oder interne Strategiepapiere in die kostenlose Version von ChatGPT, Gemini oder Copilot tippt, verlassen diese Informationen in aller Regel den europäischen Rechtsraum. Und sie können obendrein zum Training der Modelle herangezogen werden.
Bei personenbezogenen Daten greift dann die DSGVO. Egal, ob der Anbieter aus den USA oder aus Europa kommt. Zwei Dinge sind hier ausschlaggebend.
Erstens fehlt bei kostenlosen Versionen fast immer ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Ohne diesen Vertrag steht die Verarbeitung personenbezogener Daten durch einen externen Dienst auf wackligen Beinen und ist rechtlich angreifbar. Und die Frage, die ein Prüfer als Erstes stellt, lautet: Auf welcher Rechtsgrundlage verarbeitest Du diese Daten überhaupt? Liegt eine Einwilligung vor, ein Vertrag, ein berechtigtes Interesse? Bei einem frei zugänglichen Tool ohne AVV lässt sich das kaum sauber beantworten.
Zweitens entsteht in der Praxis schnell Schatten-IT. Wenn das Unternehmen keine sichere, offizielle Lösung anbietet, greifen Mitarbeitende eigenmächtig zu frei verfügbaren Tools. Und dann weiß am Ende niemand mehr, welche Daten wo gelandet sind. Das ist die denkbar schlechteste Ausgangslage, wenn eine Aufsichtsbehörde nachfragt.
Der Kern der ersten Sorge ist also keine Technikfrage, sondern eine Kontrollfrage: Wo liegen die Daten, wer hat Zugriff, und kann ich das belegen? Und genau an dieser Stelle entscheidet sich mehr, als die meisten vermuten.
Warum der Serverstandort die entscheidende Frage ist und nicht nur ein Häkchen
„Wo liegen die Daten?“ klingt nach einer technischen Detailfrage. In Wahrheit hängt an der Antwort fast alles.
Steht der Server außerhalb der EU, und bei den großen US-Anbietern hinter ChatGPT, Gemini oder Copilot ist das der Regelfall, wird jede Verarbeitung personenbezogener Daten zu einem Drittlandtransfer nach Kapitel V der DSGVO. Der ist nicht per se verboten, aber an Bedingungen geknüpft. Es braucht eine gültige Grundlage, etwa eine DPF-Zertifizierung oder Standardvertragsklauseln. Fehlt die, ist der Transfer schlicht rechtswidrig, ganz unabhängig davon, wie nützlich das Tool ist.
Dazu kommt ein Punkt, der oft übersehen wird. Selbst mit gültiger Transfergrundlage unterliegen US-Anbieter dem US CLOUD Act. Der verpflichtet amerikanische Unternehmen, US-Behörden auf Anordnung Zugriff auf gespeicherte Daten zu gewähren, und zwar auch dann, wenn diese Daten physisch in einem europäischen Rechenzentrum liegen. Für einen deutschen Betrieb heißt das: Selbst „EU-Region“ ist keine Garantie für echte Datensouveränität, solange der Anbieter dem US-Recht unterliegt.
Deshalb reicht die Angabe „EU-kompatibel“ oder „Server in Europa“ nicht aus. Die belastbare Antwort lautet: Daten in Deutschland, bei einem europäischen Anbieter, der ausschließlich europäischem Recht unterliegt. Das ist der Unterschied zwischen einem abgehakten Formular und tatsächlicher Kontrolle. Und es ist der Grund, warum digitale Souveränität 2026 vom Marketingbegriff zum handfesten Compliance-Kriterium geworden ist.
Sorge 2: Warum Standard-KI über Dein Unternehmen halluziniert
Die zweite Sorge wird seltener diskutiert, ist im Alltag aber mindestens genauso teuer. ChatGPT, Claude, Gemini und Perplexity sind darauf trainiert, aus einem riesigen, allgemeinen Wissensschatz plausibel klingende Antworten zu erzeugen. Das macht sie brillant für allgemeine Aufgaben, aber unzuverlässig, sobald es um Dein konkretes Unternehmen geht.
Denn diese Modelle kennen Deine Zahlen nicht. Sie kennen Deine Verträge nicht, Deine Prozesse nicht, Deine Historie nicht. Fragst Du sie trotzdem etwas Unternehmensspezifisches, tun sie das, wofür sie gebaut sind. Sie raten plausibel. Das Ergebnis klingt souverän, ist mit einer Quelle aber nicht belegt und im Zweifel schlicht erfunden. Fachleute nennen das Halluzination. Für einen Unternehmer heißt es: eine Zahl im Angebot, die nie in seinen Systemen stand.
Dazu kommt eine bauartbedingte Grenze. Standard-Chatbots arbeiten mit einem begrenzten Kontextfenster. Je mehr Daten Du hineingibst, desto eher „vergessen“ sie den Anfang oder verlieren Details. Bei großen Dokumentenmengen, also genau dem, was ein Unternehmen hat, wird aus präziser Auskunft schnell grobe Schätzung.
Für die tägliche Arbeit heißt das: Standard-KI ist ein guter Assistent für Allgemeines, aber ein riskanter Ratgeber für alles, was aus Deinem eigenen Wissen kommen müsste. Und das ist meistens genau das, was zählt.
Was sich mit der KI-Verordnung ab August 2026 ändert
Zur DSGVO gesellt sich seit 2026 ein zweites Regelwerk: der EU AI Act, also die KI-Verordnung (Verordnung (EU) 2024/1689). In Kraft ist sie schon seit dem 1. August 2024, aber sie entfaltet ihre Wirkung stufenweise.
Der Stichtag, auf den es für die meisten Unternehmen ankommt, ist der 2. August 2026. Ab dann greifen die Transparenzpflichten nach Artikel 50, und die nationalen Aufsichtsbehörden fangen an durchzusetzen. Für den Mittelstand sind dabei vor allem zwei Punkte greifbar:
- Kennzeichnung von Chatbots und KI-Interaktionen: Wer einen Chatbot oder KI-Assistenten mit Kundenkontakt einsetzt, muss offenlegen, dass hier eine KI antwortet und kein Mensch.
- Kennzeichnung KI-generierter Inhalte: Künstlich erzeugte oder manipulierte Inhalte, etwa Deepfakes, müssen als solche erkennbar sein.
Damit keine Panik aufkommt, eine Einordnung. Die besonders strengen Pflichten für Hochrisiko-KI-Systeme treffen die meisten kleinen und mittleren Betriebe schlicht nicht. Wer KI für E-Mails, Zusammenfassungen, Texte oder Auswertungen nutzt, bewegt sich normalerweise in den Kategorien mit begrenztem oder minimalem Risiko.
Lange war zudem offen, ob sich ein Teil der Hochrisiko-Pflichten verschiebt. Diese Unsicherheit hat sich inzwischen aufgelöst. Das EU-Parlament hat den Änderungstext am 16. Juni 2026 gebilligt, der Rat der EU hat das sogenannte Digital-Omnibus-Paket am 29. Juni 2026 final angenommen. Damit ist das Gesetzgebungsverfahren abgeschlossen, auch wenn die Amtsblatt-Veröffentlichung zuletzt noch ausstand. Für den Mittelstand bedeutet das eine spürbare Entlastung beim Zeitplan. Die zentralen Pflichten für Hochrisiko-KI-Systeme, die eigentlich ab dem 2. August 2026 hätten greifen sollen, verschieben sich deutlich nach hinten: für eigenständige Systeme (Anhang III) auf den 2. Dezember 2027, für in Produkte eingebettete Systeme wie bestimmte Medizinprodukte (Anhang I) auf den 2. August 2028. Die Pflicht zur Kennzeichnung KI-generierter Inhalte (Watermarking) wurde auf Ende 2026 terminiert, genannt wird der 2. Dezember 2026. Wichtig bleibt die Einordnung, die auch Fachleute betonen: „verschoben“ heißt nicht „abgesagt“. Die inhaltlichen Anforderungen bleiben bestehen, nur der Zeitplan verschiebt sich. Gleichzeitig hat das Paket den Katalog verbotener Praktiken in Artikel 5 erweitert, unter anderem um KI-Systeme zur Erzeugung von Missbrauchsdarstellungen.
Und noch etwas, das gern untergeht. Zwei Pflichten gelten schon länger. Seit Februar 2025 sind das die Pflicht zur KI-Kompetenz (Art. 4, also die Schulung der Leute, die KI bedienen) und das Verbot bestimmter KI-Praktiken (Art. 5). Wer hier bislang nichts unternommen hat, schleppt bereits offene Punkte mit sich herum.
Bei Verstößen drohen Bußgelder, und die sind gestaffelt: bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes bei Verstößen gegen Kernpflichten, zu denen die Transparenzpflichten gehören, und bis zu 35 Mio. € beziehungsweise 7 % bei verbotenen Praktiken. Für die meisten kleinen Unternehmen ist das theoretische Maximalbußgeld allerdings weniger das eigentliche Thema als die schlichte Unsicherheit im Alltag. Laut der Bitkom-Digitalstudie (März 2026) sind die Anforderungen an den Datenschutz mit 77 % die größte Hürde bei der Digitalisierung deutscher Unternehmen.
Dass diese Belastung gerade die Kleinen trifft, sehen auch Branchenverbände so. Der KI Bundesverband weist darauf hin, dass die Compliance-Anforderungen des AI Act kleine und mittlere Unternehmen überproportional treffen und dass Konformitätsbewertungen für KMU oft nur schwer zu stemmen sind. Genau deshalb lohnt es sich, von vornherein auf eine Lösung zu setzen, die diesen Aufwand abnimmt, statt ihn zu vergrößern.
Wichtig bleibt die Einordnung: Die KI-Verordnung ersetzt die DSGVO nicht, sie ergänzt sie. Die DSGVO war immer schon da und greift bei praktisch jeder KI-Anwendung, die personenbezogene Daten berührt, vom Ingenieurbüro mit 18 Leuten bis zur HR-Abteilung, die Bewerbungen vorsortieren lässt. Für den Arbeitsalltag bleibt die DSGVO damit der wichtigere Maßstab. Und für beide Regelwerke gilt dasselbe: Sie sind deutlich leichter einzuhalten, wenn Datenschutz nicht nachträglich abgesichert, sondern von Anfang an eingebaut ist.
Darf ich ChatGPT & Co. jetzt nutzen, ja oder nein?
Etwas differenzierter betrachtet:
Kostenlose Version (ChatGPT, Gemini, Copilot und andere), mit personenbezogenen oder vertraulichen Daten: Davon ist abzuraten. Kein AVV, unklare Datennutzung, Datenabfluss, und keine Bindung an Deine echten Unternehmensdaten.
Kostenlose Version, nur für allgemeine Aufgaben ohne sensible Daten (etwa eine Formulierung glätten, in der keine Firmen- oder Personendaten stecken): In der Regel unkritisch. Es braucht aber klare interne Regeln, damit diese Grenze auch gehalten wird.
Business- oder Enterprise-Version mit AVV und EU-Datenverarbeitung: Bedingt einsetzbar. Mit unterschriebenem AVV, EU-Region und vertraglichem Trainingsausschluss lässt sich die Datenschutz-Sorge entschärfen. Die zweite Sorge, Halluzination über Dein Unternehmen, bleibt allerdings bestehen, denn auch die Enterprise-Variante kennt Deine internen Daten nicht.
Eine speziell DSGVO-konforme europäische Lösung, die mit Deinem eigenen Wissen arbeitet: Der sauberste Weg, weil sie beide Sorgen zugleich löst. Datenschutz ist eingebaut, und die Antworten stammen aus Deinen verifizierten Quellen statt aus geratenem Allgemeinwissen.
Die Checkliste: 8 Punkte, bevor Du ein KI-Tool im Unternehmen einführst
- Gibt es eine Rechtsgrundlage für die Datenverarbeitung (Einwilligung, Vertrag oder berechtigtes Interesse)?
- Bietet der Anbieter einen unterschriebenen AVV nach Art. 28 DSGVO, und nicht bloß einen Link in den AGB?
- Wo stehen die Server konkret? EU-Region, idealerweise Deutschland, nicht nur „EU-kompatibel“.
- Werden Eingabedaten fürs Training verwendet? Der Ausschluss sollte vertraglich festgehalten sein.
- Gibt es klare Löschfristen für die verarbeiteten Daten?
- Bei US-Anbietern: Liegt eine DPF-Zertifizierung oder eine andere gültige Grundlage für den Drittlandtransfer vor?
- Arbeitet das System mit Deinen eigenen, verifizierten Daten, oder rät es auf Basis von Allgemeinwissen? Das ist der Punkt, der über die Verlässlichkeit der Ergebnisse entscheidet.
- Wem gehört der Anbieter, und welchem Recht unterliegt er? Ein Server in Deutschland nützt wenig, wenn dahinter ein US-Unternehmen oder ein Drittland-Anbieter steht, der auf behördliche Anordnung (etwa nach dem US CLOUD Act) Zugriff gewähren muss. Echte Datensouveränität heißt: europäischer Anbieter unter europäischem Recht, nicht nur ein europäischer Serverstandort. Eine vertiefende Broschüre dazu gibt es kostenlos unter maikit.ai/handout.
Wenn Du diese acht Punkte für ein Tool beantworten kannst, hast Du eine solide Grundlage geschaffen, rechtlich wie inhaltlich. Denn die beste Absicherung nützt wenig, wenn die KI am Ende falsche Zahlen über Dein eigenes Unternehmen ausgibt.
Für jede Unternehmensgröße, vom Solo-Betrieb bis zum größeren Mittelstand
Ein Konzern hat Juristen und eine IT-Abteilung, die bei Bedarf eine eigene KI-Architektur hochzieht. Ein Soloselbstständiger, eine Kanzlei mit acht Mitarbeitern oder ein Handwerksbetrieb hat das nicht. Und genau da sind beide Sorgen am größten: die rechtliche Unsicherheit und das Misstrauen gegenüber den Ergebnissen. Aber die Lösung, um die es hier geht, ist keine abgespeckte Variante nur für die Kleinen. Sie skaliert über die gesamte Bandbreite: vom Solo-Unternehmer über den kleinen und mittleren Betrieb bis zum größeren Mittelstand, und ebenso für einzelne Teams innerhalb eines Konzerns, die schnell und datenschutzkonform arbeiten wollen, ohne auf die zentrale IT zu warten.
Der Grund dafür liegt in der Funktionsweise. Das System ist zunächst bewusst „leer“ und wird erst dann schlau, wenn Du Dein eigenes Unternehmenswissen anbindest. Es lernt Deine Verträge, Deine Prozesse, Deine Zahlen und Deine Branche, und ist deshalb branchenunabhängig. Ob Ingenieurbüro, Steuerkanzlei, Handwerk, Handel oder Industrie: Die Intelligenz entsteht nicht aus einem vorgefertigten Modell, sondern aus Deinem Kontext. Genau das macht die Sache für kleine und mittlere Unternehmen so interessant. Sie bekommen eine Technologie in Konzernqualität, die sie sich als Eigenentwicklung nie leisten könnten, kontextbezogen auf ihr eigenes Wissen.
Für diese Bandbreite ist die einfachste Antwort meist nicht „ChatGPT irgendwie absichern“, sondern eine Lösung, die den Ballast von vornherein abnimmt. So eine Lösung ist zum Beispiel mAikit, ein KI-Ökosystem für den deutschen Mittelstand in seiner ganzen Breite, das beide oben genannten Sorgen nicht nur abmildert, sondern an der Wurzel packt.
Zur ersten Sorge, Datenschutz und Kontrolle: mAikit wird ausschließlich in Deutschland und Europa gehostet, bei IONOS, in einem nach ISO 27001 zertifizierten Rechenzentrum, und ist DSGVO-, EU-AI-Act- und EU-Data-Act-konform. Die oben aufgeworfene Frage „Wo liegen meine Daten, und warum ist das entscheidend?“ hat hier eine eindeutige Antwort: in Deutschland, bei einem europäischen Anbieter, der europäischem Recht unterliegt. Kein Drittlandtransfer, kein CLOUD-Act-Zugriff, kein Abfluss an fremde Trainingsmodelle. Der Unternehmer muss sich um AVV, Serverstandort und Trainingsausschluss nicht mehr einzeln kümmern. Das ist eingebaut, nicht nachgerüstet.
Zur zweiten Sorge, Verlässlichkeit statt Halluzination: Technisch steckt hinter mAikit ein Ansatz aus RAG- und Vektordatenbank-Technologie. Im Klartext: mAikit bindet Deine bestehenden Systeme an und beantwortet Fragen ausschließlich aus Deinen eigenen, verifizierten Quellen, mit Quellenangabe. Weil die Antworten an Dein Wissen gekoppelt sind, bleibt die KI halluzinationsarm und liefert auch bei großen Datenmengen präzise, nachprüfbare Werte statt geschätzter Zahlen, unabhängig vom Kontextfenster, an dem Standard-Chatbots scheitern. Wo es auf exakte Zahlen ankommt, rechnet das System nachvollziehbar auf Basis Deiner hinterlegten Daten, statt Werte zu schätzen. Das ist der Unterschied zwischen einer belastbaren Kalkulation und einer geratenen Zahl. Es senkt zugleich den Rechenaufwand und macht den Betrieb ressourcenschonender und planbarer, und zwar unabhängig davon, ob ein Solo-Betrieb oder ein Unternehmen mit mehreren Hundert Mitarbeitern damit arbeitet.
Und dank Plug-&-Work-Prinzip startest Du ohne eigene IT-Abteilung: einloggen, Systeme verbinden, loslegen, ab 25 € im Monat und 7 Tage kostenlos zum Ausprobieren.
Der Punkt ist nicht, dass es unbedingt dieses eine Tool sein muss. Sondern dass die sichere Variante für jede Unternehmensgröße eine ist, die Dir beide Sorgen abnimmt, die rechtliche wie die inhaltliche, statt sie Dir aufzubürden. Vom Solo-Betrieb bis zum größeren Mittelstand: Konzerntechnologie, die bislang den Großen vorbehalten war, wird so für alle nutzbar.
Fazit
Ja, Du darfst KI im Unternehmen nutzen. Aber die eigentliche Frage ist nicht „ChatGPT oder nicht“, sondern: Behalte ich die Kontrolle über meine Daten, und kann ich den Antworten trauen? Bei den kostenlosen Standard-Tools lautet die ehrliche Antwort zweimal Nein. Sie geben Deine Daten aus der Hand und raten über Dein Unternehmen, statt es zu kennen.
Eine von Anfang an DSGVO-konforme, europäische Lösung, die mit Deinem eigenen Wissen arbeitet, dreht beide Antworten um. Die Daten bleiben in Deutschland, und die Ergebnisse stammen aus Deinen verifizierten Quellen. Mit der KI-Verordnung ab August 2026 wird aus dieser Wahl ohnehin mehr als eine gute Idee. Wer jetzt ein sauberes Fundament legt, hat den Kopf frei für das, worum es eigentlich geht: die Arbeit.
Du willst wissen, wie sich das im Alltag anfühlt? Teste mAikit 7 Tage kostenlos – ohne Risiko, ohne Kleingedrucktes.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.