KI rechtssicher nutzen: Der Compliance-Check für GenAI im Unternehmen

Von der KI-Strategie zur KI-Governance

Eine KI-Strategie schafft Orientierung. Sie beantwortet aber noch nicht, wie KI im Arbeitsalltag genutzt werden darf. Genau dort beginnt KI-Governance.

Die KPMG-Studie „Generative KI in der deutschen Wirtschaft 2026“ zeigt, warum Unternehmen die KI-Nutzung aktiver steuern müssen:

• 97 % der Unternehmen bewerten KI als relevant für ihr Geschäftsmodell und ihre künftige Wertschöpfung.

• 98 % haben bereits eine KI-Strategie.

• Aktiv durch das Top-Management gesteuert wird KI bislang aber nur bei 39 % der Unternehmen (KPMG 2026, S. 6, 12).

Ergänzend zeigt der Work Trend Index 2024: 60 % der Führungskräfte sagen, dass ihre Organisation keinen klaren Plan für die KI-Umsetzung hat (Microsoft/LinkedIn 2024).

Strategie schafft Orientierung. Governance schafft Regeln für den Alltag.

Dafür brauchen Unternehmen vor allem:

• freigegebene Tools und klare Nutzungsgrenzen

• Regeln für Daten, vor allem bei personenbezogenen, vertraulichen oder geschäftskritischen Informationen

• klare Zuständigkeiten in Fachbereich, IT, Datenschutz und Compliance

• Prüf- und Eskalationswege für sensible oder unklare Fälle

• Dokumentation und Schulung, damit Regeln im Alltag auch angewendet werden

Für die Praxis heißt das: Fachbereiche müssen wissen, wann sie KI-Ergebnisse verwenden dürfen. IT muss freigegebene Tools festlegen. Datenschutz und Compliance müssen bewerten, ob Datenverarbeitung, Dokumentation und Kontrolle ausreichen. Das gilt besonders bei Bewerbungsdaten, Finanzinformationen, Vertragsinhalten oder Compliance-relevanten Vorgängen.

Auch der EU AI Act erhöht den Druck, KI-Systeme je nach Einsatzbereich zu bewerten, zu dokumentieren und zu kontrollieren. KI pauschal zu erlauben, reicht dafür nicht.

Ohne diese Übersetzung bleibt KI nur Stückwerk: Teams nutzen einzelne Anwendungen, aber Regeln, Prüfwege und Verantwortlichkeiten sind nicht sauber festgelegt. Genau daraus entstehen Unsicherheit, uneinheitliche Nutzung und später auch Shadow AI.

Die neue Compliance-Lücke: produktive Nutzung ohne klare Integration

Viele Unternehmen nutzen generative KI längst nicht mehr nur testweise. Teams lassen Texte vorbereiten, Informationen zusammenfassen, Auswertungen einordnen oder fachliche Einschätzungen strukturieren. Kritisch wird es, wenn solche Ergebnisse in Arbeitsprozesse einfließen, ohne dass Datenregeln, Freigaben und Prüfwege geklärt sind.

Laut Bitkom setzen 36 % der befragten Unternehmen 2025 bereits KI ein, weitere 47 % planen oder diskutieren den Einsatz. Nur für 17 % ist KI kein Thema (Bitkom 2025a).

Die Lücke entsteht nicht auf dem Strategiepapier, sondern im Arbeitsalltag.

KPMG beschreibt genau diese Phase: Die wichtigste offene Aufgabe liegt in der besseren Integration von KI in bestehende Arbeitsprozesse. Gleichzeitig ist KI über marktnahe Bereiche, operative Kernprozesse und unterstützende Funktionen hinweg erst bei 0,6 % der Unternehmen fest etabliert und systematisch integriert (KPMG 2026, S. 19).

Aufgaben wie Recherchieren, Schreiben, Erklären und Beraten gehören laut Microsoft Research zu den häufigsten KI-Nutzungen (Microsoft Research 2025, S. 2–3). Genau dort beginnen Compliance-Fragen: wenn Mitarbeitende Vertragsauszüge strukturieren, Bewerbungsunterlagen zusammenfassen, Finanzdaten kommentieren oder fachliche Einschätzungen vorbereiten.

Dann muss klar sein, welche Informationen eingegeben werden dürfen, wie Ergebnisse geprüft werden und wer sie verantwortet. Die Compliance-Lücke entsteht dort, wo KI-Ergebnisse weiterverwendet werden, bevor diese Punkte geregelt sind.

Shadow AI als Symptom fehlender Steuerung

Shadow AI entsteht, wenn Mitarbeitende KI-Tools nutzen, die nicht freigegeben, geprüft oder in Unternehmensprozesse eingebunden sind. Dieses Muster wird als „Bring Your Own AI“ beschrieben: 78 % der KI-Nutzer nutzen eigene Tools bei der Arbeit (Microsoft/LinkedIn 2024).

Der Grund ist selten bewusster Regelbruch. Häufig passen Bedarf und Angebot nicht zusammen: Mitarbeitende wollen schneller arbeiten, finden aber keine freigegebene Lösung. Laut Bitkom stellen bislang nur 26 % der befragten Unternehmen ihren Beschäftigten einen Zugang zu generativen KI-Diensten bereit. 17 % planen das, 30 % können es sich grundsätzlich vorstellen (Bitkom 2025b).

Kritisch wird Shadow AI, sobald vertrauliche Informationen, personenbezogene Daten oder interne Dokumente in nicht freigegebene Systeme eingegeben werden.

Ein typisches Beispiel ist HR: Bewerbungsunterlagen, Beschäftigtendaten oder interne Dokumente werden in öffentliche KI-Tools kopiert, um Zusammenfassungen, Formulierungshilfen oder Einschätzungen zu erhalten. Der Nutzen ist unmittelbar sichtbar. Offen bleibt aber, ob diese Daten dort verarbeitet werden dürfen, wie lange sie gespeichert werden und wer das Ergebnis fachlich prüft.

Shadow AI ist damit kein reines IT-Thema. Sie betrifft Fachbereiche, Datenschutz, Compliance und Führung gleichermaßen. Wirksamer als pauschale Verbote sind vier Schritte:

1. freigegebene Alternativen für typische Anwendungsfälle

2. klare Regeln für erlaubte und verbotene Eingaben

3. definierte Eskalationswege für sensible Fälle

4. praxisnahe Schulungen, die typische Grenzfälle im Alltag abdecken

So lässt sich KI-Nutzung aus inoffiziellen Kanälen in kontrollierte Prozesse überführen.

Datenschutz, Regulierung, Fachlichkeit: die drei Risikoebenen

Nicht jeder KI-Einsatz im Unternehmen ist gleich riskant. Drei Fragen helfen bei der Einordnung:

• Sind sensible Daten betroffen?

• Fällt der Use Case unter besondere regulatorische Anforderungen?

• Kann ein falsches Ergebnis fachliche oder rechtliche Folgen haben?

Die KPMG-Studie zeigt, warum diese Einordnung wichtig ist: 82 % der Unternehmen sagen, dass regulatorische Vorgaben wie der EU AI Act ihren Umgang mit KI stark oder sehr stark beeinflussen. Zu den größten Hürden zählen außerdem Fehlinformationen sowie Datenschutz-, Sicherheits- und Compliance-Anforderungen (KPMG, 2026, S. 30).

Auch Deloitte nennt für Deutschland die Einhaltung regulatorischer Vorgaben (35 %) und Schwierigkeiten im Risikomanagement (29 %) als zentrale Hürden beim Einsatz generativer KI (Deloitte 2024b).

Pauschale Freigaben reichen deshalb nicht aus. Unternehmen müssen prüfen, welches Risiko bei welchem KI-Einsatz entsteht.

Datenschutz

Datenschutz wird relevant, sobald personenbezogene, vertrauliche oder geschäftskritische Informationen in ein KI-System eingegeben werden. Dazu zählen u. a.:

• Bewerbungs- und Beschäftigtendaten

• Kundendaten

• Vertragsinhalte

• Finanz- und Steuerdaten

• Gesundheits- oder Sozialdaten

• interne Strategieinformationen

Je sensibler die Daten sind, desto klarer müssen Unternehmen festlegen, ob sie für den KI-Einsatz genutzt werden dürfen. Orientierung geben dabei Grundsätze wie Zweckbindung, Datenminimierung und Integrität gemäß Art. 5 DSGVO.

Regulierung

Bei der Regulierung zählt vor allem, wofür KI eingesetzt wird. Der EU AI Act folgt einem risikobasierten Ansatz. Nicht jede KI-Anwendung unterliegt denselben Anforderungen. Kritischer sind Use Cases, die Menschen, Rechte, Verträge, Finanzen oder Sicherheit betreffen.

Unternehmen sollten deshalb nicht nur prüfen, ob ein Tool technisch freigegeben ist. Sie müssen auch den konkreten Anwendungsfall einordnen. Eine KI-Anwendung im Recruiting, in der Personalverwaltung oder bei der Vorbereitung rechtlich relevanter Entscheidungen ist anders zu bewerten als ein Tool, das nur einen allgemeinen Text strukturiert (Europäisches Parlament/Rat 2024).

AI Act kompakt: Was Unternehmen zuerst prüfen sollten

• Wofür wird KI eingesetzt?

• Hat der Use Case Auswirkungen auf Personen, Rechte, Verträge, Finanzen oder Sicherheit?

• Könnte eine Hochrisiko-Anwendung betroffen sein?

• Greifen Transparenzpflichten?

• Sind Dokumentation und menschliche Kontrolle geregelt?

Eine erste Orientierung bietet der KI-Compliance-Kompass der Bundesnetzagentur. Er ersetzt keine rechtliche Prüfung.

Fachlichkeit und Qualität

Selbst ein datenschutzkonformer und regulatorisch eingeordneter KI-Einsatz kann fachlich problematisch sein. Generative KI kann Antworten liefern, die plausibel klingen, aber unvollständig, veraltet oder falsch sind.

Laut Enreach/YouGov sehen 47 % der befragten Unternehmensentscheider die Qualität der KI-Antworten als zentrale Herausforderung. 44 % nennen Datenschutz und Sicherheit (Enreach/YouGov 2024).

Gerade in HR, Finance, Legal, Compliance, Arbeitsschutz und Sustainability sowie in Steuerkanzleien reicht eine gut formulierte Antwort nicht aus. Unternehmen müssen wissen, worauf ein Ergebnis basiert, wie es geprüft wird und wer es fachlich verantwortet.

Im Alltag sind oft keine spektakulären KI-Fehler das Problem, sondern kleine fachliche Abweichungen: eine falsche steuerliche Einordnung, ein unvollständiger Vertragsentwurf oder eine verkürzte HR-Zusammenfassung. Genau solche Fehler können schnell rechtliche, finanzielle oder organisatorische Folgen haben.

KI-Compliance-Check: 7 Fragen für sichere GenAI-Nutzung

Bevor generative KI produktiv eingesetzt wird, sollten Unternehmen den konkreten Anwendungsfall prüfen. Nicht jeder Use Case ist gleich riskant. KPMG nennt die bessere Integration von KI in bestehende Arbeitsprozesse als wichtigste offene Aufgabe. Gleichzeitig zählen Fehlinformationen sowie Datenschutz-, Sicherheits- und Compliance-Anforderungen zu den größten Hürden (KPMG 2026, S. 19, 30).

Der KI-Compliance-Check macht aus allgemeinen KI-Risiken konkrete Freigabe- und Prüfentscheidungen.

Der Check bündelt sieben Prüffelder für eine erste Einordnung. Er ersetzt keine individuelle Rechtsprüfung. Er hilft aber, KI-Anwendungen nach Risiko, Datenlage, Tool-Freigabe und fachlicher Verantwortung zu bewerten.

Für Geschäftsführung und Bereichsleitungen wird damit sichtbar, welche Anwendungen freigegeben, zurückgestellt oder vertieft geprüft werden sollten. Fachbereiche, IT, Datenschutz und Compliance erhalten eine gemeinsame Grundlage für die Bewertung.

Trusted AI im Arbeitsalltag: Warum Regeln allein nicht reichen

Der Compliance-Check ist der Einstieg. Wirksam wird er erst, wenn Mitarbeitende die Regeln im konkreten Fall anwenden können. Denn Vertrauen entsteht nicht durch eine Richtlinie im Intranet, sondern im Arbeitsalltag: bei der Tool-Auswahl, bei der Dateneingabe, bei der Prüfung von Ergebnissen und bei der Entscheidung, wann ein Fall eskaliert werden muss.

KPMG beschreibt Trusted AI als Voraussetzung für skalierbare KI-Nutzung. In der Praxis ist diese Steuerung aber noch nicht durchgehend verankert. Erst 33 % der Unternehmen steuern Trusted AI strategisch und unternehmensweit. Gleichzeitig zeigt die Studie:

• 84 % schätzen ihre Mitarbeitenden zwar grundsätzlich gut vorbereitet ein,

• nur 29 % sehen sie bereits sehr gut vorbereitet.

• 51 % setzen auf strukturierte, unternehmensweite KI-Weiterbildungsprogramme (KPMG 2026, S. 26–31).

Auch der Stifterverband sieht deutliche Kompetenzlücken. 79 % der befragten Führungskräfte sagen, dass ihren Mitarbeitenden grundlegende KI-Kompetenzen fehlen. Besonders häufig betrifft das:

• der Automatisierung von Arbeitsprozessen (40 %),

• der Modell- und Toolauswahl (32 %) sowie

• beim datenbasierten Handeln, etwa mit Blick auf Compliance (23 %) (Stifterverband/McKinsey 2025, S. 5).

Für Unternehmen heißt das: Regeln müssen so formuliert sein, dass Mitarbeitende sie anwenden können. Für HR Operations, Fachbereiche und Bereichsleitungen muss klar sein, welche KI-Nutzung erlaubt, prüfpflichtig oder ausgeschlossen ist. Eine HR-Auswertung, eine steuerliche Einschätzung oder eine Compliance-relevante Zusammenfassung braucht andere Prüf- und Freigabeschritte als ein allgemeiner Formulierungsvorschlag.

Schulungen sind deshalb mehr als ein formaler Nachweis. Sie helfen Mitarbeitenden, typische Grenzfälle zu erkennen:

• Welche Daten dürfen eingegeben werden?

• Wann braucht es eine Vier-Augen-Prüfung?

• Wann muss Datenschutz, IT oder Compliance eingebunden werden?

• Und wann ist KI für den Vorgang ungeeignet?

So wird aus Governance gelebte Praxis. KI wird nicht nur erlaubt, sondern verständlich geregelt, geprüft und verantwortet.

Woran Unternehmen geeignete KI-Unterstützung im Fachbereich erkennen

Je stärker KI in Fachprozesse rückt, desto weniger reicht ein allgemeines KI-Tool allein. In HR, Finance, Legal, Compliance, Arbeitsschutz und Sustainability sowie in Steuerkanzleien geht es um geprüfte Inhalte, kontrollierte Datenverarbeitung, klare Freigaben und fachlich belastbare Ergebnisse.

Für sensible Fachbereiche zählt weniger die Geschwindigkeit der Antwort als die Frage, ob die Lösung zum Prozess, zu den Daten und zur fachlichen Verantwortung passt.

Geeignete KI-Unterstützung im Fachbereich sollte deshalb fünf Anforderungen erfüllen:

• Fachkontext: Die Lösung arbeitet mit Inhalten, Regeln und Begriffen des jeweiligen Bereichs.

• Datenkontrolle: Sensible Informationen bleiben in freigegebenen Systemen und Prozessen.

• Prüfbarkeit: Quellen, Vorlagen oder Antwortgrundlagen sind nachvollziehbar.

• Freigaben: Es ist klar geregelt, wer Ergebnisse prüft und freigibt.

• Alltagstauglichkeit: Die Lösung passt in bestehende Abläufe und erzeugt keine neue Schattennutzung.

Die KPMG-Studie 2026 macht deutlich, dass Technologie- und Partnerwahl in sensiblen oder geschäftskritischen Datenkontexten mehr ist als eine Effizienzfrage. Unternehmen müssen Kontrolle über Modelle, Datenflüsse und Betriebslogiken behalten.

Dazu passt ein weiterer Befund: Unternehmen sehen sich bei technologischer Infrastruktur und Strategie vergleichsweise besser vorbereitet, deutlich schwächer aber bei Talent sowie Risiko- und Governance-Management (Deloitte 2024a).

Für Entscheider:innen wird damit die Auswahlfrage konkreter: Eine geeignete Lösung muss zu den Abläufen des Fachbereichs passen – mit strukturierten Daten, geprüften Inhalten, klaren Rollen, dokumentierten Freigaben und menschlicher Prüfung.

Praxisbeispiel HR: Struktur vor Automatisierung

HR zeigt besonders klar, worauf es bei KI im Fachbereich ankommt. Viele Aufgaben sind dokumentenbasiert und wiederholen sich. Gleichzeitig betreffen sie oft personenbezogene Daten, vertrauliche Informationen oder rechtlich sensible Inhalte. HR ist deshalb ein naheliegender KI-Einsatzbereich – aber mit hohem Prüfbedarf.

Die Grundlage ist eine strukturierte Daten- und Dokumentenbasis. Eine digitale Personalakte kann HR-Dokumente zentral bündeln, Prozesse transparenter machen und Zuständigkeiten nachvollziehbarer organisieren. Erst darauf lassen sich KI-gestützte Abläufe sinnvoll aufsetzen.

Das gilt etwa für standardisierte HR-Dokumente. Vorlagen, Textbausteine und Stammdaten können die Erstellung beschleunigen. Die Qualität entsteht aber nicht durch Automatisierung allein. Sie entsteht durch geprüfte Vorlagen, aktuelle Daten, klare Freigaben und fachliche Prüfung im HR-Team.

Die Logik lässt sich auf andere Fachbereiche übertragen: Auch in Finance, Legal, Compliance, Arbeitsschutz und Sustainability sowie in Steuerkanzleien kommt es darauf an, ob KI auf geprüfte Inhalte zugreift, Daten im richtigen System bleiben und Ergebnisse von fachlich zuständigen Personen bewertet werden.

Passende Haufe-Lösungen im Überblick

Haufe-Lösungen können an verschiedenen Stellen dieser Fachbereichslogik ansetzen – bei der Datenbasis, der Dokumentenerstellung, standardisierten Anfragen oder fachnaher KI-Unterstützung. Im HR-Kontext gehören dazu zum Beispiel:

• Haufe Digitale Personalakte als Grundlage für strukturierte HR-Dokumente und nachvollziehbare Prozesse

• Haufe HR Dokumentengenerierung mit KI-Funktionen, die den Prozess beschleunigen

• Haufe HR Assistant für standardisierte HR-Anfragen auf Basis gepflegter Inhalte

• CoPilot HR im Haufe Personal Office für fachnahe KI-Unterstützung im HR-Kontext

Fazit: KI-Compliance macht KI skalierbar

Generative KI ist in Unternehmen angekommen. Die Frage ist nicht mehr, ob sie genutzt wird, sondern wie sie im Arbeitsalltag gesteuert wird.

KI ist strategisch gesetzt, aber Steuerung, Integration und Trusted AI sind vielerorts noch nicht durchgängig verankert. Technische Verfügbarkeit allein reicht nicht. Unternehmen müssen klären, welche Tools freigegeben sind, welche Daten verarbeitet werden dürfen, wie Ergebnisse geprüft werden und wer sie verantwortet.