KI-Compliance-Selbsttest 2026: Zehn Fragen, mit denen KMU ihre Lage selbst prüfen

Auf einen Blick: Zehn Fragen, mit denen ein KMU in einer Stunde herausfindet, wo es bei KI-Compliance steht. Abgedeckt sind Art. 4 KI-Kompetenzpflicht (seit 02.02.2025), Art. 50 KI-VO Transparenz (ab 02.08.2026), DSGVO Art. 35 DSFA, Art. 28 AVV, Art. 22 Automatisierte Entscheidung, Art. 30 Verfahrensverzeichnis und das OLG-Hamm-Urteil vom 12.05.2026 zur Chatbot-Haftung.

Die meisten KMU, die KI einsetzen, wissen nicht, ob sie compliant sind. Sie ahnen es. Sie hoffen es. Aber sie haben keinen strukturierten Test, mit dem sie es belastbar prüfen könnten. Der Selbsttest in diesem Artikel ist genau dafür da. Zehn Fragen, klar formuliert, mit Rechtsgrundlage und konkreter Handlungsempfehlung bei Nein-Antwort. Eine Stunde Zeit reicht, wenn die relevanten Personen am Tisch sitzen: Geschäftsführung, IT-Verantwortlicher, Datenschutzkoordinator. Wer den Test ehrlich beantwortet, weiß am Ende, wo die nächsten zwei bis drei Monate liegen.

Die Reihenfolge folgt einer Logik. Erst die seit Februar 2025 geltenden Pflichten, dann die ab August 2026 greifenden, dann die DSGVO-Themen mit neuer Brisanz bei KI-Einsatz, dann zwei Vertrags- und Sicherheitsfragen, am Ende das OLG-Hamm-Urteil als Sonderfall für Bot-Betreiber.

Frage 1: Schulst Du Deine Mitarbeiter zur KI-Kompetenz und dokumentierst Du das?

Rechtsgrundlage: Art. 4 KI-VO, seit 02.02.2025 in Kraft.

Die KI-Kompetenzpflicht ist die erste Vorschrift der KI-Verordnung, die scharf gestellt wurde. Sie verlangt von jedem Anbieter und jedem Betreiber, dafür zu sorgen, dass Personen, die mit der KI arbeiten, über ausreichende Kompetenz verfügen. Ausreichend heißt: angemessen zur Funktion und Risikoklasse des Systems.

Praktisch bedeutet das: Wer ChatGPT, Claude, Copilot oder Gemini einsetzt, muss seinen Mitarbeitern beibringen, was diese Tools können, wo sie halluzinieren, wann Datenschutz greift, welche Aussagen freigegeben werden dürfen. Ohne Dokumentation ist die Pflicht zwar nominell erfüllt, aber im Streitfall nicht nachweisbar.

Bei Nein-Antwort: Erstelle eine Schulungs-Tabelle. Spalten: Person, Datum, Inhalt, Prüfungs-Nachweis. Zwei bis vier Stunden Grundschulung pro Mitarbeiter reichen als Startpunkt.

Frage 2: Sind Deine KI-generierten Inhalte als solche gekennzeichnet?

Rechtsgrundlage: Art. 50 KI-VO, tritt am 02.08.2026 in Kraft.

Du hast nicht mehr viel Zeit. Ab dem 02.08.2026 muss jeder Nutzer eines Chatbots vor Beginn der Interaktion erfahren, dass er mit einer KI spricht. KI-generierte Bilder, Audios und Videos, die echte Inhalte vortäuschen könnten, müssen als KI-generiert gekennzeichnet werden. Deepfakes sowieso.

Konkret: Auf Deiner Website gehört vor die erste Bot-Eingabe ein Hinweis ("Du chattest mit einem KI-Assistenten"). Bei KI-Bildern für Newsletter und Blog überlegst Du Dir, wann der Hinweis dazumuss. Bei rein dekorativen Bildern eher nicht, bei realistischen Szenen, die als Foto wirken könnten, schon.

Bei Nein-Antwort: Liste alle Berührungspunkte auf, an denen Kunden mit KI-Inhalten in Kontakt kommen (Chatbot, Werbe-Visuals, KI-Newsletter, KI-Voice-Bots). Bis 01.08.2026 sollte jeder Punkt einen Transparenz-Hinweis haben. Bußgeldrahmen: bis 15 Mio EUR oder 3 Prozent Welt-Umsatz nach Art. 99 Abs. 4 KI-VO.

Frage 3: Hast Du für KI-Anwendungen mit hohem Risiko eine DSFA durchgeführt?

Rechtsgrundlage: Art. 35 DSGVO.

Die DSFA ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten Betroffener mit sich bringt. BayLDA und BfDI haben in ihren Listen klargestellt: KI-gestützte automatisierte Entscheidungen, systematische Profilbildung, biometrische Identifikation und umfangreiche Bewerber-Auswertungen sind typische DSFA-Fälle.

Eine DSFA enthält nach Art. 35 Abs. 7 DSGVO eine Beschreibung der Verarbeitung, eine Notwendigkeitsprüfung, eine Risikobewertung und konkrete Abhilfemaßnahmen. Wer das nicht hat und in einem DSFA-pflichtigen Bereich KI einsetzt, hat ein scharfes Bußgeldrisiko: bis 10 Mio EUR oder 2 Prozent Welt-Umsatz nach Art. 83 Abs. 4 DSGVO.

Bei Nein-Antwort: Liste alle KI-Anwendungen auf. Prüfe gegen die Aufsichtsbehörden-Listen. Pro DSFA-pflichtige Anwendung zwei bis vier Tage Bearbeitungszeit. Das CNIL-PIA-Tool oder die GDD-Vorlage geben die Struktur.

Frage 4: Hast Du Auftragsverarbeitungsverträge mit allen KI-Anbietern?

Rechtsgrundlage: Art. 28 DSGVO.

Sobald Du personenbezogene Daten an einen externen KI-Dienst weitergibst, ist dieser Auftragsverarbeiter. Ein schriftlicher Vertrag nach Art. 28 DSGVO ist Pflicht. Ohne AVV ist die Verarbeitung formal rechtswidrig.

Das Problem in der Praxis: Bei den meisten Standard-Tarifen fehlt der AVV. Claude Pro (20 EUR/Mo) hat keinen AVV. Claude Team (30 EUR/User/Mo) hat einen. ChatGPT Plus (23 EUR/Mo) hat keinen AVV. ChatGPT Team (25 USD/User/Mo) hat einen. Bei Microsoft Copilot for M365 (30 EUR/User/Mo) ist der AVV über Microsoft als Hauptpartner abgedeckt. Wer private Pro-Accounts der Mitarbeiter mitbenutzen lässt, sammelt sich dieses Problem ein.

Bei Nein-Antwort: Inventarisiere alle KI-Tools mit Personendaten. Prüfe pro Tool den AVV-Status. Wenn nein, upgrade oder wechsle. Plane zwei bis vier Wochen ein, weil teilweise Anbieter-Approval nötig ist.

Frage 5: Triffst Du automatisierte Einzelentscheidungen ohne menschliche Prüfung?

Rechtsgrundlage: Art. 22 DSGVO.

Art. 22 DSGVO verbietet im Grundsatz Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und rechtliche Wirkung entfalten. Typische Beispiele: Bewerber-Vorauswahl, Kreditentscheidungen, Versicherungstarife, Zugangs-Beschränkungen.

Wenn ein KI-System eine solche Entscheidung trifft und kein Mensch sie nachprüft, ist das nur in engen Ausnahmen erlaubt: Einwilligung, gesetzliche Erlaubnis oder Vertragsnotwendigkeit. In allen drei Fällen müssen geeignete Schutzmaßnahmen bestehen, vor allem das Recht auf menschliche Prüfung. Durch die Omnibus-Trilog-Einigung vom 07.05.2026 sind die Anhang-III-Pflichten der KI-VO auf den 02.12.2027 verschoben, die DSGVO-Pflicht aus Art. 22 gilt jetzt schon.

Bei Nein-Antwort: Bei KI für Bewerber-Scoring, Kunden-Bewertung oder Zugangs-Entscheidungen einen menschlichen Prüf-Schritt einbauen. Dokumentiere, wer die Prüfung wann gemacht hat. Liefere Betroffenen auf Anfrage die Logik der Entscheidung.

Frage 6: Sind Deine KI-Tools im Verzeichnis der Verarbeitungstätigkeiten?

Rechtsgrundlage: Art. 30 DSGVO.

Das Verzeichnis von Verarbeitungstätigkeiten ist die Inventar-Liste aller datenverarbeitenden Vorgänge im Betrieb. Jede KI-Anwendung mit Personenbezug muss dort erfasst sein: Zweck, Kategorien Betroffener, Datenkategorien, Empfänger, Löschfristen, technische und organisatorische Maßnahmen.

In der Praxis fehlen KI-Tools in den meisten Verzeichnissen. Sie wurden schleichend eingeführt: Mitarbeiter haben angefangen, ChatGPT zu nutzen. Der HR-Verantwortliche hat Copilot installiert. Der Vertrieb hat einen Chatbot eingebunden. Nichts davon stand jemals auf einer Liste.

Bei Nein-Antwort: KI-Inventur durchführen. Bereichsleiter fragen, alle Tools ins Verzeichnis. Quartalsweise aktualisieren, weil sich die KI-Landschaft schneller ändert als klassische IT.

Frage 7: Liegt eine dokumentierte Schulungsbasis für Deine Mitarbeiter vor?

Rechtsgrundlage: Art. 4 KI-VO in Verbindung mit Nachweispflichten.

Frage 1 hat geprüft, ob Du schulst. Frage 7 prüft, ob die Dokumentation Audit-fest ist.

Mindestumfang: Liste pro Mitarbeiter mit Datum, Inhalt, Prüfungs-Nachweis. Inhalte: Tool-Bedienung, Datenschutz, Halluzinations-Erkennung, branchenspezifische Anwendung, Eskalations-Regeln. Awareness-Schulung ein bis zwei Stunden, Anwender-Schulung vier bis acht Stunden, Power-User-Schulung 16 bis 40 Stunden.

Bei Nein-Antwort: Drei Stufen trennen. Awareness für alle, Anwender-Schulung für aktive Nutzer, Power-User-Schulung für KI-Verantwortliche. Die QCG-Förderung nach § 82 SGB III deckt typischerweise 25 bis 100 Prozent der Lehrgangskosten ab, je nach Unternehmensgröße. Bildungsgutschein für arbeitslose Mitarbeiter über § 81 SGB III.

Frage 8: Hast Du ein Sicherheits-Konzept für KI-Datenverarbeitung?

Rechtsgrundlage: Art. 32 DSGVO.

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Bei KI-Tools heißt das: Zugriffsrechte sind klar geregelt, kritische Eingaben werden geloggt, Vorfälle führen zu definierten Reaktionen.

In Audit-Mandanten sehen wir regelmäßig drei Schwachstellen. Mitarbeiter teilen sich Accounts (Shared Logins) und der Audit-Trail verschwindet. Es gibt keine Logging-Architektur, niemand kann nachvollziehen, was wann an die KI ging. Es gibt keinen Incident-Response-Plan, falls jemand sensible Daten in die falsche KI gekippt hat.

Bei Nein-Antwort: Drei Standard-Prozesse definieren. Jeder Mitarbeiter hat einen eigenen Account, keine Shared Logins. Bei Diensten mit Audit-Log-Funktion ist diese aktiviert. Eskalations-Pfad für KI-Vorfälle (wer wird informiert, wer entscheidet, wer dokumentiert).

Frage 9: Sind Vertraulichkeit und Geheimhaltung mit Deinen KI-Anbietern vertraglich abgesichert?

Rechtsgrundlage: Vertragsrecht, ergänzt durch DSGVO und GeschGehG.

Der AVV nach Art. 28 DSGVO regelt Datenschutz, aber nicht alle Geschäftsgeheimnisse. Wer Strategie-Papiere, Preiskalkulationen oder Patent-Vorentwürfe in eine KI eingibt, sollte vertraglich geregelt haben, dass diese Inhalte vertraulich behandelt werden und nicht ins Trainingsmaterial fließen.

Bei Anthropic Claude Team und Enterprise werden Kundendaten standardmäßig nicht zum Training verwendet. Bei OpenAI gilt das ab Plus aufwärts, ein Blick in die Account-Einstellungen ist Pflicht. Bei der gratis-ChatGPT-Version ist es umgekehrt: Daten können zum Training verwendet werden, sofern nicht aktiv opt-out gewählt wird. Bei kritischen Geschäftsgeheimnissen reicht die Standard-Privacy-Policy oft nicht. Hier sind individuelle NDA-Vereinbarungen sinnvoll, vor allem im Enterprise-Tarif möglich.

Bei Nein-Antwort: Pro KI-Anbieter prüfen, ob Trainings-Opt-out aktiv ist. Privacy-Policy mit Blick auf Geschäftsgeheimnisse lesen. Bei sensiblen Themen Zusatz-NDAs verhandeln. Wer keine Zeit für Vertragslektüre hat, sollte Geschäftsgeheimnisse grundsätzlich nicht in Cloud-LLMs eingeben.

Frage 10: Hast Du nach dem OLG-Hamm-Urteil Deinen Chatbot überprüft?

Rechtsgrundlage: OLG Hamm, Urteil vom 12.05.2026, Az. 4 UKl 3/25, in Verbindung mit §§ 3, 5 UWG.

Das OLG Hamm hat im Mai 2026 entschieden, dass der Betreiber eines KI-Chatbots wettbewerbsrechtlich für jede Aussage des Bots haftet. Auch für Halluzinationen. Auch bei vorhandenem Disclaimer. Die Revision zum BGH ist zugelassen, aber bis ein anderslautendes BGH-Urteil vorliegt, gilt das OLG-Hamm-Urteil als Maßstab.

Praktisch bedeutet das: Jede Chatbot-Aussage, die irreführend oder unlauter sein könnte, ist ein potenzielles Abmahn-Risiko. Wer einen Bot ohne Retrieval-Augmented-Generation (RAG) und ohne harte Themenfilter betreibt, sammelt diese Risiken regelrecht ein.

Bei Nein-Antwort: Wer einen Chatbot live hat, der unkontrolliert frei generiert, sollte die Architektur überprüfen. Wissensbasis fest verankern, No-Go-Themen filtern, Audit-Log einrichten, Konfidenz-Schwelle einbauen. Wer die Details über die KI-Chatbot-Checkliste nachlesen will, findet dort die zehn Schritte als kompakte Anleitung. Wer die Verantwortung an einen KI-Beauftragten abgeben möchte, hat dort die Rolle beschrieben.

Praxis-Beispiel: Klempner und Partner GmbH, Nürnberg

Klempner und Partner GmbH ist ein Sanitär- und Heizungsunternehmen mit 18 Mitarbeitern in Nürnberg. Geschäftsführer Markus Klempner nutzt seit März 2026 ChatGPT Plus für Angebots-Texte. Buchhalterin Andrea Henn arbeitet mit Copilot für M365 an Rechnungen und Mahnungen. Disponent Ole Sieg hat einen FAQ-Bot über Make.com mit OpenAI-API gebaut, der Erstgespräch-Anfragen auf der Website beantwortet. Im Mai 2026 hat Klempner den Selbsttest gemacht. Ergebnis:

Klempners Zeitschätzung: 35 Arbeitsstunden über zwei Monate, davon 12 für den Bot-Umbau. Investition: ChatGPT-Team-Upgrade 75 USD/Mo (drei User), Make.com-Bot-Umbau einmalig rund 2.500 EUR. Ergebnis: dokumentierte, im Audit nachweisbare Compliance-Lage bis Ende August 2026.

Was wir in der Praxis sehen

Wer das unterschätzt, riskiert nicht den großen Knall, sondern die schleichende Eskalation. Eine Aufsichtsbehörden-Anfrage hier, eine Abmahnung dort, ein Bewerber, der nach Art. 15 DSGVO Auskunft verlangt, und plötzlich liegt die halbe Geschäftsführung in Compliance-Themen statt im Geschäft.

In Beratungsmandanten sehen wir zwei Muster. KMU haben die Hochrisiko-Themen (Bewerber-Scoring, Bonität, Zugangs-Entscheidungen) gar nicht und sind compliance-technisch viel weiter, als sie selbst dachten. Frage 5 mit "Ja unkritisch", Frage 3 mit "nicht relevant", und plötzlich löst sich ein Großteil des Sorgenbergs auf. Oder: KMU haben einen Chatbot live, der durch das OLG-Hamm-Urteil ein scharfes Risiko geworden ist, und wussten nichts davon. Hier ist Frage 10 oft der teuerste Posten.

Der Selbsttest ersetzt keinen Audit durch einen Datenschutzbeauftragten oder Rechtsanwalt. Aber er liefert die Vorarbeit, sodass der externe Audit nicht bei null anfängt. Wer die Tabelle mit den zehn Antworten vor sich liegen hat, spart im Beratungsgespräch zwei bis vier Stunden Honorar.

Was nach dem Selbsttest kommt

Drei Schritte sind sinnvoll. Die Tabelle mit den Antworten und Maßnahmen wird zum lebenden Dokument, quartalsweise aktualisiert. Die Maßnahmen mit hoher Dringlichkeit (typisch Frage 1, 4, 10) bekommen Verantwortliche und Deadlines. Wer keinen internen KI-Beauftragten hat, überlegt sich, ob die Rolle besetzt werden sollte: bei KMU unter 50 Mitarbeitern reicht oft eine Teilzeit-Rolle des Datenschutzkoordinators, bei größeren KMU eine dedizierte Stelle.

Wer den Selbsttest ehrlich beantwortet, hat in einer Stunde mehr Klarheit als nach drei Stunden Anwaltsgespräch, weil das Anwaltsgespräch sonst genau diese Vorarbeit leistet.

Häufige Fragen

Reicht der Selbsttest als Compliance-Nachweis vor einer Aufsichtsbehörde?

Nein. Der Selbsttest ist Vorarbeit, kein formaler Nachweis. Er hilft Dir, Lücken systematisch zu identifizieren und priorisierte Maßnahmen abzuleiten. Der formale Compliance-Nachweis kommt aus der dokumentierten Umsetzung der Maßnahmen: Schulungslisten, AVV-Verträge, DSFA-Dokumente, Verarbeitungsverzeichnis, Sicherheitskonzept. Diese Dokumente entstehen erst nach dem Selbsttest, nicht durch ihn.

Wie oft sollte der Selbsttest wiederholt werden?

Mindestens quartalsweise, weil KI-Landschaft und Rechtslage sich schnell ändern. Bei jeder neuen KI-Anwendung im Betrieb sofort. Bei Änderungen in der KI-VO oder DSGVO sofort, das war 2026 mehrfach der Fall (Omnibus-Trilog-Einigung 07.05.2026, OLG-Hamm-Urteil 12.05.2026). Wer den Test einmal jährlich macht, ist immer hinterher.

Was ist der Unterschied zwischen Frage 1 und Frage 7?

Frage 1 prüft, ob überhaupt geschult wird. Frage 7 prüft, ob die Dokumentation der Schulungen Audit-fest ist. Das sind zwei verschiedene Pflichten. Wer schult, aber nicht dokumentiert, hat den Streitfall vor einer Aufsichtsbehörde verloren, weil er den Nachweis nicht führen kann. Beide Fragen müssen mit Ja beantwortet werden, sonst greift Art. 4 KI-VO formal nicht.

Was passiert, wenn die DSFA nach Art. 35 DSGVO ein hohes Restrisiko zeigt?

Dann musst Du nach Art. 36 DSGVO die zuständige Aufsichtsbehörde konsultieren. Das passiert in der Praxis selten, weil die meisten DSFA-Maßnahmen das Restrisiko unter die Konsultations-Schwelle bringen. Wenn die Behörde konsultiert wird, bekommst Du innerhalb von acht Wochen (Art. 36 Abs. 2 DSGVO) eine Stellungnahme. Bis dahin solltest Du die kritische Verarbeitung nicht starten oder mit erhöhter Vorsicht betreiben.

Über den Autor

Dr. Jens Aichinger ist promovierter Wirtschaftspädagoge und Inhaber von SkillSprinters, einem DEKRA-zertifizierten Bildungsträger. Er entwickelt seit 2024 KI-gestützte Weiterbildungs- und Prozessautomatisierungslösungen für den Mittelstand. Über Skill-Sprinters läuft auch der Digitalisierungsmanager, eine 4-monatige geförderte Weiterbildung.

30 Minuten Klarheit kosten nichts. Wenn Du KI im Betrieb einsetzt oder überlegst einzusetzen, kommt es nicht auf das Tool an. Es kommt auf die Frage: wo entstehen Risiken, wo Hebel? In 30 Minuten gehen wir Deine konkrete Lage durch und Du weißt, wo Du anfangen solltest. Termin reservieren oder kostenlosen KI-Schnupperkurs starten.

Zuletzt geprüft am 26. Mai 2026.