ChatGPT & Copilot im Unternehmen: Ab August 2026 verboten?

„Ich hab gelesen, der AI Act wird im August scharf – müssen wir ChatGPT jetzt abschalten?" Diese Frage kommt gerade in fast jedem Erstgespräch. Meist steckt eine Schlagzeile dahinter, die suggeriert, ab dem 2. August 2026 werde KI-Nutzung streng reguliert oder gar untersagt. Die Verunsicherung ist verständlich – die Antwort darauf ist aber deutlich entspannter, als die Panik-Headlines vermuten lassen.

Die kurze Antwort: Nein, verboten ist das nicht

ChatGPT, Microsoft Copilot, Claude, Gemini und Co. sind durch den EU AI Act nicht verboten – weder heute noch ab August 2026. Der AI Act reguliert KI nach Risiko, und generative Alltags-Tools fallen für typische Büroarbeit nicht in die verbotene Kategorie. Untersagt sind nur wenige, eng umrissene Praktiken wie Social Scoring, manipulative Systeme oder Emotionserkennung am Arbeitsplatz – nichts davon betrifft das Zusammenfassen einer E-Mail oder das Formulieren eines Angebots.

Was sich ändert, sind zwei überschaubare Pflichten. Und die eigentliche Hürde ist ohnehin eine andere – die gab es schon vorher, und sie heißt DSGVO. Der Reihe nach.

Warum die Verbots-Angst? Was am 2. August 2026 wirklich passiert

Der 2. August 2026 stand lange als das Datum im Kalender, an dem der AI Act „richtig scharf" wird – inklusive der strengen Pflichten für Hochrisiko-KI. Genau daher rührt die Sorge. Nur: Dieser schwere Teil ist verschoben. Mit dem im Juni 2026 beschlossenen Digital Omnibus wandern die Hochrisiko-Pflichten für eigenständige Systeme (Anhang III) auf den 2. Dezember 2027, für in Produkte eingebettete Systeme (Anhang I) auf den 2. August 2028.

Für die allermeisten KMU ist das ohnehin nicht der springende Punkt: Sie sind in der Regel keine Anbieter von Hochrisiko-KI, sondern Anwender (Deployer) von Standard-Tools. Die schwersten Pflichten fallen damit gar nicht auf Sie. Was am 2. August 2026 tatsächlich für Sie greift, ist überschaubar – und genau das schauen wir uns jetzt an. Den vollständigen Fristen-Überblick finden Sie im Leitfaden zum EU AI Act für KMU.

Die zwei Pflichten, die Sie wirklich betreffen

1. Transparenz (Art. 50) – ab 2. August 2026

Wer KI einsetzt, mit der Menschen interagieren, muss offenlegen, dass es sich um KI handelt. Praktisch heißt das:

• Chatbot auf der Website? Ein sichtbarer Hinweis, dass hier eine KI antwortet, genügt in der Regel.
• KI-generierte oder -bearbeitete Inhalte, insbesondere realistische Bilder, Audio oder Video („Deepfakes"), müssen als solche gekennzeichnet werden.

Für die meisten Unternehmen ist das mit ein paar klaren Hinweisen erledigt – kein Großprojekt, aber ein Punkt, den man aktiv abhaken sollte.

2. KI-Kompetenz (Art. 4) – gilt schon seit Februar 2025

Unternehmen, die KI-Systeme einsetzen, müssen für ein ausreichendes Maß an KI-Kompetenz ihrer Mitarbeitenden sorgen. Kein Zertifikatszwang, keine Prüfung – aber ein nachvollziehbares Mindestmaß an Schulung: Was dürfen die genutzten Tools, wo liegen ihre Grenzen, welche Daten gehören nicht hinein? Eine kurze, dokumentierte interne Einweisung erfüllt Art. 4 und verhindert zugleich die häufigsten Datenschutz-Pannen. Wie so eine Schulung aussieht und warum sie mehr bringt als das jährliche Pflicht-PDF, steht im Artikel zur Schatten-KI im Unternehmen.

Das war der AI-Act-Teil. Er ist, ehrlich gesagt, der einfachere.

Der eigentliche Knackpunkt ist nicht der AI Act – es ist die DSGVO

Die entscheidende Frage bei jedem KI-Tool lautet nicht „Ist es erlaubt?", sondern: Wohin fließen meine Daten? Sobald personenbezogene Daten – Kundennamen, Bewerbungen, Verträge – in ein KI-Tool gelangen, ist das eine Datenverarbeitung, die eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag (AVV) und Kontrolle über den Datenstandort braucht. Das gilt unabhängig vom AI Act und galt schon lange vorher.

Und genau hier steckt der Unterschied, der in vielen Unternehmen falsch verstanden wird – nicht der Preis eines Accounts entscheidet, sondern der Vertragstyp:

• Consumer-Account (ChatGPT Free/Plus/Pro, Claude Free/Pro/Max, der kostenlose Copilot): Eingaben werden standardmäßig fürs Modelltraining verwendet, es gibt keinen AVV. Auch der bezahlte Consumer-Tarif ist hier kein Freibrief – Sie zahlen mit Geld und mit Daten.
• Business-Vertrag (ChatGPT Team/Enterprise, Claude for Work/Enterprise, Microsoft 365 Copilot): Training auf Ihren Daten ist vertraglich ausgeschlossen, ein AVV nach Art. 28 DSGVO liegt vor, die Verarbeitung ist kontrolliert.

Die Faustregel für Ihre Belegschaft lautet deshalb nicht „bezahlt = sicher", sondern: Consumer-Account = potenzielle Trainingsdaten. Business-Vertrag mit AVV = kontrollierte Verarbeitung. Den vollständigen Rahmen dazu – Datenstandort, Drittland-Transfer, DPF – behandelt der Leitfaden DSGVO-konforme KI für Unternehmen.

Also: Dürfen wir ChatGPT & Copilot nutzen? Ja – wenn diese Punkte sitzen

Die praktische Erlaubnis hängt nicht am AI Act, sondern an Ihrer Umsetzung. Diese Checkliste bringt Sie in einen sauberen Zustand:

1. Business-Vertrag statt Consumer-Account. Der freigegebene KI-Zugang läuft über einen kommerziellen Tarif mit Trainingsausschluss und AVV – nicht über private Logins.
2. Keine sensiblen Daten in Consumer-Tools. Personenbezogene Daten, Geschäftsgeheimnisse und Code gehören niemals in einen privaten Free-Account.
3. Chatbot & KI-Inhalte kennzeichnen. Die Transparenzpflicht nach Art. 50 bis August 2026 umsetzen.
4. Kurze KI-Schulung dokumentieren. Erfüllt Art. 4 und senkt das Pannenrisiko.
5. Eine Richtlinie, die auf eine Seite passt. Welche Tools sind grün (freigegeben), gelb (nur ohne sensible Daten), rot (tabu)? Und an wen wendet man sich für ein neues Tool – mit einer Antwortzeit von Tagen, nicht Monaten?
6. Wo es sensibel wird: lokal denken. Für vertrauliche Daten ist eine selbst gehostete oder EU-Lösung der ruhigste Weg – dann verlässt das Eingemachte das Haus gar nicht erst. Warum lokale KI hier oft die souveränere Antwort ist, steht im Artikel Lokale KI vs. Cloud-Abhängigkeit.

Der Sweet Spot für viele KMU ist die Kombination: Cloud-KI mit Firmenvertrag für den Alltag, lokale KI für das Vertrauliche.

Copilot, ChatGPT, Claude, Gemini – kurz und ehrlich eingeordnet

Ein „Business-Vertrag" ist die halbe Miete, nicht die ganze. Bei den großen Anbietern lohnt der genaue Blick:

Microsoft 365 Copilot ist für viele der naheliegende Weg, weil er in Microsoft 365 integriert ist. Auf den kommerziellen Plänen werden Prompts, Antworten und Graph-Daten nicht zum Training der Foundation-Modelle verwendet, es gilt die EU Data Boundary, und der Data Protection Addendum dient als AVV. Zwei Dinge sollten Sie 2026 aber aktiv prüfen: Seit April 2026 ist bei neu angelegten Tenants ein „Flex Routing" standardmäßig aktiv, das EU-Daten bei Lastspitzen auch außerhalb der EU verarbeiten lässt. Und Microsoft nutzt seit Anfang 2026 Anthropic als Subprozessor für bestimmte Copilot-Funktionen – dessen Verarbeitung liegt ausdrücklich außerhalb der EU Data Boundary, der entsprechende Schalter ist bei neueren EU-Tenants oft voreingestellt. Beide Einstellungen gehören in Ihrer Admin-Konsole geprüft. Der praktisch größte Stolperstein bleibt aber ein anderer: Copilot zeigt jedem Nutzer alles, worauf er Zugriff hat – vorhandene Fehlfreigaben in SharePoint werden dadurch schlagartig sichtbar. Berechtigungshygiene ist hier Pflicht.

ChatGPT ist in den Varianten Team und Enterprise geschäftstauglich: kein Training auf Ihren Eingaben, EU-Datenresidenz verfügbar, Standardvertragsklauseln als Rückfallweg. Free, Plus und Pro sind dagegen Consumer-Produkte mit Opt-out-Mechanik – für Firmendaten ungeeignet.

Claude trennt genauso: for Work, Enterprise und API unterliegen den Commercial Terms und sind vom Training ausgeschlossen; die Consumer-Pläne (Free, Pro, Max) trainieren standardmäßig mit, sofern nicht widersprochen wird.

Gemini ist über Google Workspace mit Enterprise-Zusagen nutzbar; auch hier gilt: das kostenlose Consumer-Gemini ist eine andere Welt als der lizenzierte Workspace-Einsatz.

Das Muster ist bei allen gleich: Der Name des Tools entscheidet wenig, der Vertrag und die Konfiguration entscheiden fast alles.

Fazit: Der AI Act ist kein Verbot, sondern ein Anlass, es richtig aufzusetzen

Sie müssen ChatGPT und Copilot wegen des AI Act nicht abschalten. Sie sollten die Gelegenheit aber nutzen, den KI-Einsatz einmal sauber aufzustellen: freigegebene Tools über Business-Verträge, klare Linie zwischen Consumer und kommerziell, ein bisschen Transparenz nach Art. 50, eine kurze Schulung nach Art. 4 – und für das Vertrauliche eine Lösung, bei der die Daten im Haus bleiben. Wer das jetzt ordnet, hat die August-Frist entspannt im Griff und muss später nichts hektisch nachrüsten.

Hinweis: Dieser Beitrag bietet eine fachliche Orientierung, ersetzt aber keine Rechtsberatung. Für die verbindliche Bewertung Ihres konkreten Falls ziehen Sie bitte fachkundigen Rechtsrat hinzu.

Häufige Fragen

Ist ChatGPT im Unternehmen ab August 2026 verboten? Nein. Der EU AI Act verbietet keine generativen Alltags-Tools wie ChatGPT, Microsoft Copilot, Claude oder Gemini. Verboten sind nur wenige, klar benannte Praktiken (etwa Social Scoring oder Emotionserkennung am Arbeitsplatz). Für normale Nutzung ändern sich ab dem 2. August 2026 vor allem zwei überschaubare Pflichten: Transparenz (Art. 50) und KI-Kompetenz (Art. 4, bereits seit Februar 2025).

Darf ich Microsoft Copilot DSGVO-konform im Unternehmen nutzen? Ja – mit Microsoft 365 Copilot (Business oder Enterprise), einem Data Protection Addendum als AVV und aktivierter EU Data Boundary. Der kostenlose Consumer-Copilot ist dafür nicht geeignet. Wichtig 2026: Prüfen Sie in den Tenant-Einstellungen das standardmäßig aktive „Flex Routing" (Verarbeitung außerhalb der EU bei Lastspitzen) und den Anthropic-Subprozessor-Schalter.

Was muss ich wegen des AI Act für ChatGPT & Co. konkret tun? Zwei Dinge: Erstens Transparenz nach Art. 50 – kennzeichnen, wenn Menschen mit KI interagieren (z. B. ein Website-Chatbot) und wenn Inhalte KI-generiert sind. Diese Pflicht gilt ab dem 2. August 2026. Zweitens KI-Kompetenz nach Art. 4 – eine kurze, dokumentierte Schulung Ihrer Mitarbeitenden. Das gilt schon seit dem 2. Februar 2025.

Consumer-Account oder Business-Vertrag – worin liegt der Unterschied? Im Vertragstyp, nicht im Preis. Consumer-Accounts (ChatGPT Free/Plus/Pro, Claude Free/Pro/Max, Copilot für Privatkonten) nutzen Eingaben standardmäßig fürs Training und bieten keinen AVV. Erst die kommerziellen Verträge (ChatGPT Team/Enterprise, Claude for Work/Enterprise, Microsoft 365 Copilot) schließen Training vertraglich aus und liefern einen Auftragsverarbeitungsvertrag.

Sollte ich ChatGPT im Unternehmen einfach verbieten? Meist nein. Ein reines Verbot verlagert die Nutzung nur auf Privatgeräte, wo Sie keinerlei Sichtbarkeit haben. Wirksamer ist ein offizieller, benutzbarer Weg (Business-Vertrag oder lokale Lösung) plus eine klare Ein-Seiten-Richtlinie.

---

Sie wollen KI im Unternehmen nutzen, ohne die Kontrolle über Ihre Daten zu verlieren? Der Souveränitäts-Check schafft in einer Woche Klarheit: Welche KI-Tools sind bei Ihnen im Einsatz, wo fließen heute Daten ab, was fällt unter den EU AI Act – und welcher Weg (Business-Vertrag, EU-Hosting oder lokale Lösung) passt zu Ihrem Schutzbedarf. → Jetzt unverbindliches Erstgespräch anfragen