Ja: Wenn Ihr Unternehmen ChatGPT, Copilot, Gemini oder Midjourney beruflich nutzt, ist es regelmäßig Betreiber eines KI-Systems. Damit gilt Art. 4 der EU-VO 2024/1689 seit dem 2. Februar 2025 und verlangt Maßnahmen für ausreichende KI-Kompetenz im Team.
Letzte Aktualisierung: 16. Maerz 2026
Die wichtigste Fehlannahme im Mittelstand lautet: "Der AI Act betrifft doch vor allem OpenAI, Microsoft oder Google." Das ist zu kurz gedacht. Die Plattformanbieter haben eigene Pflichten, aber Ihr Unternehmen bleibt für den beruflichen Einsatz der Tools verantwortlich. Wenn Sie die Grundpflicht zuerst allgemein einordnen wollen, hilft unser Beitrag zur KI-Schulungspflicht nach Artikel 4; für die operative Umsetzung ist danach die AI-Act-Checkliste für Unternehmen der beste nächste Schritt.
Gilt der AI Act auch für ChatGPT im Unternehmen?
Ja. Der AI Act gilt nicht nur für Entwickler von KI-Systemen, sondern auch für Betreiber, also Unternehmen, die KI beruflich unter eigener Verantwortung einsetzen. Genau diese Konstellation erfasst der Betreiberbegriff in Art. 3 Nr. 4 der EU-VO 2024/1689: Wer ein KI-System im Rahmen einer beruflichen Taetigkeit nutzt, ist nicht bloss Anwender im alltagssprachlichen Sinn, sondern rechtlich ein eigener Pflichtentraeger.
Für die Praxis ist deshalb weniger wichtig, ob Sie ein Enterprise-Abo abgeschlossen haben oder ob das Modell von OpenAI, Microsoft oder Google stammt. Relevant ist, dass Mitarbeitende mit dem Tool arbeiten, Ergebnisse uebernehmen und das Unternehmen für diesen Einsatz den organisatorischen Rahmen setzt. Genau deshalb ist der Glossar-Beitrag zu Anbieter vs. Betreiber für viele Teams der wichtigste Startpunkt.
Die Folge ist klar: Sobald ChatGPT und vergleichbare Tools produktiv im Unternehmen genutzt werden, müssen Sie KI-Kompetenz nicht nur dulden, sondern strukturiert absichern. KI-Kompetenz bedeutet nach Art. 3 Nr. 56, dass betroffene Personen Chancen, Risiken und mögliche Schäden von KI verstehen und Systeme sachkundig einsetzen können.
Welche Tools sind konkret betroffen?
ChatGPT ist nur das sichtbarste Beispiel. Die Art.-4-Pflicht greift für praktisch jedes KI-System, das Ihr Unternehmen im Arbeitsalltag einsetzt, auch wenn das Tool als Assistent, Copilot oder Kreativplattform vermarktet wird.
| Tool | Typischer Unternehmenseinsatz | Warum der AI Act relevant ist | | --- | --- | --- | | ChatGPT | Texte, Zusammenfassungen, Recherche, Code, Analysen | Berufliche Nutzung macht Ihr Unternehmen regelmäßig zum Betreiber; Schulung zu Grenzen, Datenschutz, Freigaben und Output-Prüfung ist noetig. | | Microsoft 365 Copilot | E-Mails, Meetings, Dokumente, Tabellen, Praesentationen | Die tiefe Einbindung in die Unternehmens-IT erhoeht den Bedarf an Rollen, Nutzungsregeln und dokumentierter Schulung. | | Gemini | Recherche, Entwuerfe, Assistenz in Google-Workflows | Auch hier bleibt Ihr Unternehmen für den produktiven Einsatz und die Kompetenz der Mitarbeitenden verantwortlich. | | Midjourney | Marketingbilder, Kampagnen, Moodboards, Visuals | Neben Art. 4 sollten Teams Transparenz-, Urheberrechts- und Freigabefragen für synthetische Inhalte beherrschen. |
Der gemeinsame Nenner ist nicht die Marke, sondern der betriebliche Einsatz. Wenn Marketing mit Midjourney Bilder erstellt, HR mit Copilot Texte für Stellenanzeigen ueberarbeitet oder ein Vertriebsteam ChatGPT für Kundenmails verwendet, ist das kein Spielzeug mehr, sondern ein regulierungsrelevanter Prozess. Genau für diese Alltagspraxis lohnt sich später auch ein Blick in unsere FAQ, weil dort typische Grenzfälle knapp beantwortet werden.
Warum Ihr Unternehmen trotz Standard-Tools Betreiber ist
Wer Standard-Tools einkauft oder freigibt, wird dadurch normalerweise nicht Anbieter, aber regelmäßig Betreiber. Die Anbieterpflichten von OpenAI, Microsoft, Google oder Midjourney entlasten Ihr Unternehmen deshalb nicht von Art. 4. Das Gesetz trennt sauber zwischen der Verantwortung für das System selbst und der Verantwortung für dessen Einsatz im Unternehmen.
Ihr Unternehmen uebernimmt den Einsatz "unter eigener Verantwortung", sobald es zum Beispiel:
- Konten, Lizenzen oder Freigaben für KI-Tools organisiert,
- Mitarbeitende die Tools für betriebliche Ergebnisse nutzen laesst,
- interne Regeln für Daten, Prompts, Freigaben oder Kennzeichnung setzt,
- KI-Output in Kundenkommunikation, Personalprozesse oder operative Entscheidungen uebernimmt.
Genau an dieser Stelle liegt das Kernmissverständnis vieler Teams. Sie kaufen kein eigenes Modell und gehen deshalb von "keiner eigenen Pflicht" aus. Der AI Act sieht das anders: Standardsoftware kann für den Anbieter ein Produkt sein und für Ihr Unternehmen zugleich ein regulierter Einsatzfall. Deshalb sollten Sie nicht nur auf Vertragsdokumente des Herstellers schauen, sondern den eigenen Rollout intern absichern.
Was müssen Unternehmen jetzt konkret tun?
Wenn Ihr Unternehmen ChatGPT und aehnliche Tools nutzt, brauchen Sie kein Grossprojekt, aber ein belastbares Minimum. Der pragmatische Standard lautet: Tools erfassen, Rollen klaeren, Schulung ausrollen, Nutzungsregeln dokumentieren und Nachweise sauber ablegen.
Die sinnvollste Reihenfolge sieht so aus:
- KI-Inventur erstellen: Erfassen Sie nicht nur offizielle Lizenzen, sondern auch Schattennutzung in Marketing, Vertrieb, HR, Assistenz, IT und Management.
- Rollen und Risikoniveau bestimmen: Nicht jede Person braucht denselben Tiefgang, aber alle relevanten Personen brauchen einen dokumentierten Mindeststandard.
- Schulung nach Art. 4 ausrollen: Vermitteln Sie rechtlichen Rahmen, Grenzen der Tools, typische Fehlerbilder, Datenschutz- und Freigaberegeln sowie Eskalationswege.
- Nutzungsregeln verbindlich machen: Definieren Sie, welche Daten eingegeben werden duerfen, wie Outputs geprüft werden und wann menschliche Freigabe Pflicht ist.
- Schulungsnachweis sichern: Halten Sie Inhalte, Datum, Zielgruppe, Version, Lernkontrolle und ein Schulungsnachweis pro Person nachvollziehbar fest.
Wichtig ist dabei die Abstufung nach Kontext. Ein Vertriebsteam, das ChatGPT für erste Textentwuerfe nutzt, braucht andere Fallbeispiele als HR-Mitarbeitende, die KI in Recruiting-Prozessen einsetzen. Art. 4 verlangt gerade keine Einheitsfolie für alle, sondern angemessene Maßnahmen "nach besten Kraeften" unter Beruecksichtigung von Kenntnissen, Erfahrung, Ausbildung und Nutzungskontext.
Wann ChatGPT, Copilot oder Midjourney über Art. 4 hinaus kritisch werden
Die normale Nutzung generativer KI ist nicht automatisch Hochrisiko-KI. Zusaetzliche Pflichten können aber entstehen, wenn KI nicht nur assistiert, sondern sensible Entscheidungen vorbereitet, beeinflusst oder wenn synthetische Inhalte nach aussen getragen werden.
Besonders aufmerksam sollten Unternehmen in vier Fällen werden:
- HR und Recruiting: Wenn KI Bewerbungen vorsortiert, Kandidaten bewertet oder Personalentscheidungen vorbereitet, kann ein Hochrisiko-Bezug nach Anhang III relevant werden.
- Scoring und wesentliche Dienstleistungen: Kreditprüfung, Versicherungsbewertung oder aehnliche Konstellationen verlangen eine deutlich strengere Prüfung als normale Office-Nutzung.
- Chatbots und externe Kommunikation: Bei KI-Interaktion mit Dritten oder bei bestimmten synthetischen Inhalten müssen Transparenzpflichten aus Art. 50 der EU-VO 2024/1689 geprüft werden.
- Sensible Daten und Rechte Dritter: Auch wenn das kein reines AI-Act-Thema ist, bleiben DSGVO-, Geheimnis- und Urheberrechtsrisiken bei ChatGPT, Copilot, Gemini und Midjourney operativ zentral.
Für die meisten Unternehmen ist die richtige Reihenfolge deshalb: zuerst Art. 4 sauber umsetzen, danach sensible Spezialfälle gesondert prüfen. Wer diesen Ablauf umkehrt und sofort nur über Hochrisiko-KI spricht, uebersieht oft die bereits heute geltende Grundpflicht für die breite Tool-Nutzung.
Schulung ist für ChatGPT-Nutzer die pragmatische Sofortmaßnahme
Wenn Ihre Kernfrage lautet "Wir nutzen ChatGPT im Unternehmen, müssen wir etwas tun?", ist die kuerzeste belastbare Antwort: ja, beginnen Sie mit einer dokumentierten Schulung. Genau deshalb ist Art. 4 für viele KMU weniger ein Technik- als ein Organisationsproblem.
Eine gute Basisschulung sollte mindestens diese Punkte abdecken:
- Was der AI Act seit dem 2. Februar 2025 von Betreibern verlangt.
- Welche KI-Tools Ihr Unternehmen konkret nutzt.
- Welche Daten, Prompts und Outputs kritisch sind.
- Wann menschliche Kontrolle, Freigabe oder Eskalation Pflicht ist.
- Wie Schulung und Nachweis im Unternehmen dokumentiert werden.
Unser Kurs ist genau für diesen ersten belastbaren Standard gebaut: 90 Minuten, auf Unternehmenspraxis zugeschnitten, mit Abschluss und Schulungszertifikat für den Nachweis im Team. Wenn Sie zunächst intern sortieren wollen, kombinieren Sie den Kurs mit der AI-Act-Checkliste und den schnellen Antworten aus der FAQ.
FAQ: ChatGPT im Unternehmen und AI Act
Gilt der AI Act auch für ChatGPT?
Ja. Wenn ChatGPT beruflich im Unternehmen genutzt wird, ist Ihr Unternehmen regelmäßig Betreiber eines KI-Systems und damit von Art. 4 erfasst. Die Pflicht gilt seit dem 2. Februar 2025 und betrifft die KI-Kompetenz der relevanten Personen im Unternehmen.
Müssen wegen Copilot alle Mitarbeitenden geschult werden?
Nicht zwingend jede Person im Unternehmen, aber alle Personen, die KI-Systeme im Auftrag des Unternehmens bedienen oder ihre Ergebnisse verantwortlich nutzen. Umfang und Tiefe der Schulung müssen sich an Rolle, Vorwissen und Nutzungskontext orientieren.
Ist ChatGPT, Gemini oder Midjourney automatisch Hochrisiko-KI?
Nein. Die normale Nutzung generativer KI ist nicht automatisch Hochrisiko-KI. Kritischer wird es erst, wenn KI in sensible Bereiche wie Recruiting, Kreditwuerdigkeit oder andere Entscheidungen über Personen eingebunden wird oder wenn besondere Transparenzpflichten greifen.
Reicht eine interne KI-Richtlinie ohne Schulung?
Nein. Eine Richtlinie ist sinnvoll, ersetzt aber keine Maßnahmen zur KI-Kompetenz. Art. 4 spricht ausdrücklich von Maßnahmen, die ein ausreichendes Kompetenzniveau sicherstellen sollen; reine Papierregeln ohne Training sind dafür regelmäßig zu schwach.
Braucht mein Unternehmen für ChatGPT-Nutzung einen formalen Nachweis?
Die Verordnung schreibt keinen bestimmten Titel oder ein bestimmtes Format vor. Praktisch sollten Sie trotzdem Schulungsinhalte, Teilnahmen, Versionen und Ergebnisse dokumentieren, weil genau das später den belastbaren Nachweis Ihrer Maßnahmen bildet.