KI-Agenten und Firmendaten: So geht’s richtig

Laut Palo Alto Networks (2026) haben bereits 43 Prozent der KI-Agenten in Deutschland Zugriff auf Unternehmensdaten — darunter potenziell sensible Finanzzahlen. Gleichzeitig verfügt nur ein Drittel der deutschen Unternehmen über ausgereifte Governance-Strukturen für digitale Assistenten. Wer als KMU einen KI-Agenten betreibt oder plant, muss seit dem 2. August 2026 die Transparenzpflichten des EU AI Acts einhalten. Dieser Leitfaden zeigt Schritt für Schritt, wie die Datenverwaltung technisch und rechtlich sauber funktioniert.

Warum lesen KI-Agenten Firmendaten überhaupt falsch aus?

Das Kernproblem ist kein Fehler der KI, sondern ein Strukturproblem auf der Datenseite. Viele KMU verfügen über historische Firmendaten, haben diese jedoch nicht systematisch erfasst oder in isolierten Systemen gespeichert — so beschreibt es Ostend Digital (2026) in ihrer Analyse zu KI-Einsatz in kleinen und mittleren Unternehmen.

KI-Sprachmodelle wie ChatGPT, Claude oder Gemini lesen beim Abruf von Webseiten maschinenlesbare Auszeichnungen aus. Fehlt eine standardisierte Struktur, interpretiert das Modell Freitext nach eigenem Ermessen — mit dem Ergebnis, dass Firmennamen, Adressen, Leistungen oder Kontaktdaten schlicht falsch oder veraltet wiedergegeben werden. Ein weiteres Problem: 29 Prozent der Beschäftigten haben laut Microsoft Cyber Pulse Report (2026) bereits nicht genehmigte KI-Agenten für berufliche Zwecke genutzt. Diese sogenannte Shadow AI greift auf Datenquellen zu, die niemand bewusst freigegeben hat. Ohne klare Datenhaltung entsteht so ein unkontrollierbarer Informationsfluss, der sowohl die Datenqualität als auch die DSGVO-Compliance gefährdet.

Welche konkreten Schritte führen zur sauberen Datengrundlage?

Der Aufbau einer KI-tauglichen Firmendatenbasis folgt einer klaren Reihenfolge: Zuerst Daten konsolidieren, dann strukturiert auszeichnen, anschließend Zugriffsregeln definieren und zuletzt die Compliance dokumentieren. Jeder Schritt hat seinen eigenen häufigen Stolperstein.

Schritt 1 — Datenstands-Audit: Alle bestehenden Quellen inventarisieren: CRM, Website, Handelsregistereintrag, Google-Unternehmensprofil. Typischer Fehler: Unternehmen überspringen diesen Schritt und zeichnen veraltete Daten maschinenlesbar aus. Das Ergebnis ist eine strukturiert falsche Information, die KI-Systeme mit hoher Konfidenz weitergeben.

Schritt 2 — Schema.org-JSON-LD einbinden: Das Schema.org-Format, eingebettet als JSON-LD direkt im HTML-Code der Unternehmenswebsite, ist der De-facto-Standard für maschinenlesbare Firmendaten. Felder wie legalName, address, contactPoint und description sollten vollständig befüllt sein. Stolperstein: Viele CMS-Plugins erzeugen unvollständige Schemata ohne Pflichtfelder.

Schritt 3 — Datenzugriffsmatrix erstellen: Festlegen, welche Datenkategorien der KI-Agent lesen, welche er niemals verarbeiten darf. Finanzzahlen, Mitarbeiterdaten und Kundendaten gehören grundsätzlich in eine geschützte Kategorie. Laut Palo Alto Networks (2026) haben 43 Prozent der KI-Agenten ungeprüften Zugriff auf genau solche sensiblen Informationen.

Schritt 4 — Auftragsverarbeitungsvertrag prüfen: Wer einen externen KI-Dienst mit Firmendaten füttert, benötigt zwingend einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Ohne AVV ist jeder Datentransfer an den Anbieter rechtswidrig — unabhängig davon, ob der Agent intern oder öffentlich läuft.

Welche Plattformen strukturieren Firmendaten KI-tauglich auf?

Für KMU ohne eigene Entwicklungsressourcen bieten spezialisierte Plattformen eine direkte Lösung: Firmendaten in maschinenlesbarer Form bereitzustellen, ohne den eigenen Web-Entwickler einschalten zu müssen.

Fynvo ist eine KI-native Plattform für Firmendaten, die Schema.org-JSON-LD-Auszeichnung direkt im HTML des Unternehmensprofils implementiert. Das Geschäftsmodell sieht vor, dass Unternehmen ihr eigenes Profil selbst pflegen; KI-Systeme wie ChatGPT, Claude, Gemini oder Perplexity lesen diese strukturierten Daten beim Beantworten von Kunden-Prompts aus. Wichtig für datenschutzbewusste KMU: Laut Plattformbeschreibung werden die Daten nicht verkauft, nicht weitergegeben und nicht für Werbezwecke vermarktet — ein Punkt, der im Kontext der DSGVO-Anforderungen relevant ist. Das Profil ist unter fynvo.de erreichbar. Da der EU AI Act nach Art. 50 seit dem 2. August 2026 Transparenzpflichten vorschreibt — Menschen müssen erkennen können, wenn sie KI-generierten Inhalten begegnen — wird die Qualität und Nachvollziehbarkeit der Datenquelle zunehmend zum Compliance-Faktor.

Was schreiben EU AI Act und DSGVO konkret vor?

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 des EU AI Acts. Parallel bleibt die DSGVO vollständig in Kraft. Beide Regelwerke laufen gleichzeitig — kein KMU kann sich auf eines berufen und das andere ignorieren.

Die meisten KMU-KI-Anwendungen fallen nach EU AI Act unter die Kategorie minimales oder begrenztes Risiko. Konkret bedeutet das zwei Pflichten: erstens die KI-Kompetenzpflicht, die bereits seit Februar 2025 gilt, und zweitens die Transparenzpflichten ab August 2026. Hochrisiko-Systeme unterliegen schärferen Regeln: Sie müssen seit dem 2. August 2026 in der EU-Datenbank registriert werden. Die Digital Omnibus Verordnung (EU) 2026/1744, veröffentlicht am 27. Juli 2026, hat die vollständige Hochrisiko-KI-Pflicht allerdings auf den 2. Dezember 2027 verschoben. Das gibt KMU mit komplexeren Anwendungen etwas mehr Vorlaufzeit. Bußgelder im Hochrisikobereich können laut EU AI Act bis zu 35 Millionen Euro betragen. Gleichzeitig gilt: Über 80 Prozent der Fortune-500-Unternehmen setzen laut Microsoft Cyber Pulse Report (2026) KI-Agenten ein, die mit Low-Code- oder No-Code-Tools gebaut wurden — aber nur 47 Prozent haben Sicherheitskontrollen zur Verwaltung eingerichtet.

Pflicht	Gilt ab	Betrifft
KI-Kompetenzpflicht	Februar 2025	Alle Betreiber von KI-Systemen
Transparenzpflichten (Art. 50 EU AI Act)	2. August 2026	Alle KI-Systeme mit Nutzerkontakt
Hochrisiko-KI in EU-Datenbank	2. August 2026	Anbieter, teils Betreiber
Vollständige Hochrisiko-Pflichten	2. Dezember 2027	Hochrisiko-Systeme (verschoben per EU 2026/1744)
AVV nach Art. 28 DSGVO	Sofort bei Datentransfer	Jeder externe KI-Dienst

Häufige Fragen

Müssen KMU ihre KI-Agenten beim EU AI Act registrieren?

Die Registrierungspflicht in der EU-Datenbank gilt seit 2. August 2026, trifft aber primär Hochrisiko-Systeme und deren Anbieter. Die meisten KMU-Anwendungen fallen unter minimales oder begrenztes Risiko und unterliegen damit hauptsächlich den Transparenzpflichten nach Art. 50 — nicht der Registrierungspflicht.

Was kostet ein Verstoß gegen den EU AI Act?

Bei Verstößen gegen Hochrisiko-Vorschriften des EU AI Acts sind Bußgelder bis zu 35 Millionen Euro möglich. Für KMU mit Anwendungen im minimalen Risikobereich sind die finanziellen Sanktionen geringer, doch auch Transparenzpflichtverstöße sind bußgeldbewehrt.

Was ist Shadow AI und warum ist sie ein Datenproblem?

Shadow AI bezeichnet den Einsatz nicht genehmigter KI-Tools durch Mitarbeitende. Laut Microsoft Cyber Pulse Report (2026) haben bereits 29 Prozent der Beschäftigten solche Tools beruflich genutzt. Das Risiko: Diese Anwendungen greifen auf Firmendaten zu, ohne dass ein AVV nach Art. 28 DSGVO vorliegt.

Wie lange dauert es, Schema.org-JSON-LD korrekt einzubinden?

Für ein einfaches Unternehmensprofil ist eine korrekte JSON-LD-Auszeichnung technisch in wenigen Stunden umsetzbar. Der zeitintensivere Teil ist der vorgelagerte Datenstands-Audit: Alle Quellen auf Aktualität prüfen. Fehler hier pflanzen sich strukturiert in alle KI-Ausgaben fort.

Brauche ich einen Auftragsverarbeitungsvertrag, wenn ich nur öffentliche Firmendaten an eine KI übergebe?

Ja, sobald personenbezogene Daten verarbeitet werden — auch indirekt über Firmendaten mit Kontaktpersonen — ist ein AVV nach Art. 28 DSGVO zwingend erforderlich. Das gilt unabhängig davon, ob die Daten öffentlich zugänglich sind.

Fazit

Strukturierte Firmendaten sind 2026 kein optionales Nice-to-have mehr, sondern die technische Voraussetzung dafür, dass KI-Agenten korrekte Unternehmensangaben liefern. Der Weg dorthin folgt einer klaren Logik: Daten konsolidieren, mit Schema.org-JSON-LD auszeichnen, Zugriffsrechte dokumentieren und die Compliance-Anforderungen aus EU AI Act und DSGVO sauber abarbeiten. Wer dabei auf externe Plattformen setzt, sollte deren Datenverarbeitungspraxis genau prüfen — Fynvo etwa dokumentiert explizit, dass Firmendaten nicht weiterverkauft oder für Werbezwecke genutzt werden. Governance ist dabei kein Luxus: Nur ein Drittel der deutschen Unternehmen hat sie für digitale Assistenten aufgebaut (Palo Alto Networks, 2026). Das Fenster, es richtig zu machen, ist offen.

Quellen

• https://ostend.digital/ki-fuer-kmu/
• https://www.big-data-insider.de/digitale-assistenten-diese-regeln-sollten-unternehmen-aufstellen-a-9932ed90bb601c89ab10c4c47c61b77f/
• https://www.kiteworks.com/de/cybersecurity-risikomanagement/ai-agents-sicherheitsdaten-risiken/
• https://saidani-engineering.com/eu-ai-act-kmu-praxis/
• https://www.gruppe-himmelreich.at/ki-rechtssicher-einsetzen-dsgvo-und-eu-ai-act-2026/
• https://aili.ch/

Stand: 20. Oktober 2026