Künstliche Intelligenz im Unternehmen

Ob Copilot, ChatGPT oder spezialisierte Branchenlösungen – Künstliche Intelligenz (KI) ist längst im Unternehmensalltag angekommen. Mitarbeitende nutzen KI-Tools zur Erstellung von Texten, zur Datenanalyse, zur Programmierung oder zur Unterstützung in der Kundenkommunikation. Viele Unternehmen haben darauf jedoch noch keine klare Antwort: Während einige den Einsatz aktiv fördern und eigene Systeme bereitstellen, untersagen andere den Gebrauch von KI weitgehend. In der Praxis führt letzteres häufig zum unkontrollierten Einsatz von „Schatten-KI“, bei der Mitarbeitende externe Tools heimlich oder geduldet nutzen – oft mit privaten Accounts und ohne unternehmensseitige Vorgaben zum Umgang insbesondere mit sensiblen Daten.

KI-VO: Rechtlicher Rahmen für den Einsatz von KI?

Mit der europäischen KI-Verordnung (KI-VO) etabliert die EU einen verbindlichen Rechtsrahmen für den Einsatz von KI-Systemen. Die Verordnung folgt einem risikobasierten Ansatz: Je höher das Risiko, desto strenger die Anforderungen. Sie unterscheidet insbesondere verbotene KI-Systeme (z.B. bestimmte Formen manipulativer oder überwachender Systeme), Hochrisiko-KI-Systeme (etwa im Personalwesen oder im Gesundheitsbereich), KI-Systeme mit begrenztem Risiko sowie KI mit minimalem Risiko.

Die KI-VO differenziert zwischen sog. Anbietern und Betreibern von KI-Systemen. Anbieter sind diejenigen, die ein KI-System entwickeln oder entwickeln lassen und es unter eigenem Namen oder eigener Handelsmarke entgeltlich oder unentgeltlich in Verkehr bringen oder in Betrieb nehmen. Betreiber sind hingegen diejenigen, die ein KI-System in eigener Verantwortung verwenden. Die private, rein persönliche Nutzung von KI durch Privatpersonen fällt nicht unter die KI-VO. Unternehmen hingegen gelten regelmäßig als Betreiber im Sinne der Verordnung und müssen die dort geregelten Anforderungen an Betreiber von KI-Systemen erfüllen.

Für Betreiber von KI-Systemen, die weder verboten noch als Hochrisiko-KI eingestuft sind, sieht die KI-VO in ihrer aktuellen Fassung nur wenige spezifische Pflichten vor: Zu diesen gehören insbesondere Transparenzanforderungen sowie die Pflicht, eine angemessene KI-Kompetenz sicherzustellen. Um die KI-Kompetenz bei den Arbeitnehmern zu schaffen, können Unternehmen gezielte Schulungen oder E-Learnings anbieten, um einen sicheren und regelkonformen Umgang mit KI-Systemen zu gewähren. Diese dienen zugleich als Nachweis, dass das Unternehmen seinen Organisationspflichten nachkommt. Daraus zu schließen, es bestehe nur ein begrenzter Handlungsbedarf, wäre jedoch ein Irrtum. Denn auch beim Einsatz von KI-Systemen müssen sämtliche „bekannten“ Anforderungen beachtet werden: Datenschutzrecht (insbesondere DSGVO), Schutz von Geschäftsgeheimnissen, Urheberrecht, Wettbewerbsrecht, IT-Sicherheit, arbeitsrechtliche Vorgaben und interne Compliance-Regeln.

Warum eine KI-Richtlinie Sinn macht

Auch wenn die KI-VO nur punktuelle Pflichten für bestimmte Systeme und Rollen formuliert, ist der Einsatz von KI im Unternehmen rechtlich und organisatorisch komplex. Ohne klare Vorgaben besteht ein erhebliches Risiko, dass einzelne Mitarbeitende eigenständig über den Einsatz bestimmter Tools entscheiden – mit der Folge, dass Daten unkontrolliert abfließen, rechtliche Vorgaben verletzt und Haftungsrisiken ausgelöst werden. Hinzu kommen Reputationsrisiken, z.B. wenn fehlerhafte oder gar diskriminierende KI-Ergebnisse nach außen wirken oder vertrauliche Informationen in KI-Modelle eingespielt werden.

Eine interne KI-Richtlinie bildet daher ein zentrales Instrument, um den Einsatz von KI zu ordnen, die Einhaltung rechtlicher Anforderungen sicherzustellen und die Verantwortung im Unternehmen klar zu verteilen. Sie schafft Transparenz, definiert Verantwortlichkeiten und macht den Umgang mit KI für Mitarbeitende nachvollziehbar. Konkrete Inhalte können je nach Unternehmensgröße und Branche variieren.

Arbeitsrechtliche Umsetzung: Vom Papier zur gelebten Praxis

Eine KI-Richtlinie soll nicht nur „auf dem Papier“ bestehen, sondern muss im Arbeitsalltag wirksam implementiert werden. Hier spielt das Arbeitsrecht eine zentrale Rolle. Ist die Richtlinie einmal erstellt, stellt sich die Frage, wie sie gegenüber den Mitarbeitenden verbindlich eingeführt wird und wie ihre Einhaltung sichergestellt werden kann.

Auf individualrechtlicher Ebene kann die KI-Richtlinie als Teil der bestehenden Arbeitsordnung vor allen Dingen über das arbeitsvertragliche Weisungsrecht eingeführt werden. Bei weitergehenden Pflichten oder erheblichen Änderungen der Arbeitsbedingungen bietet sich eine ausdrückliche vertragliche Einbeziehung bzw. Vertragsergänzung an (z.B. durch Nachträge zu Arbeitsverträgen bzw. Anpassung der Vertragsmuster für neue Arbeitsverträge). Wichtig ist, die Verbindlichkeit klar zu kommunizieren und den Mitarbeitenden die Richtlinie in Textform zugänglich zu machen.

Soweit durch die KI-Richtlinie etwa das Verhalten der Mitarbeitenden geregelt, Leistung überwacht oder technische Einrichtungen eingesetzt werden, die zur Leistungs- und Verhaltenskontrolle geeignet sind, sind regelmäßig mitbestimmungsrechtliche Vorgaben nach Betriebsverfassungs- oder Landespersonalvertretungsgesetz zu beachten. Die Einführung und Ausgestaltung der Richtlinie sollte daher frühzeitig mit dem Betriebsrat bzw. Personalrat abgestimmt und gegebenenfalls in einer Betriebsvereinbarung festgehalten werden. Dies erhöht nicht nur die arbeitsrechtliche Verbindlichkeit, sondern auch die Akzeptanz am Arbeitsplatz.

Die KI-Richtlinie sollte zudem klar regeln, was als Verstoß gilt (z.B. Nutzung nicht freigegebener Tools, Eingabe vertraulicher Daten in externe Systeme, Missachtung dokumentierter Prozesse) und welche arbeitsrechtlichen Konsequenzen drohen. Je nach Schwere kommen arbeitsrechtliche Maßnahmen von der mündlichen Ermahnung über die Abmahnung bis hin zu verhaltensbedingten Kündigungen in Betracht. Transparente Verfahren, eine abgestufte Sanktionspraxis und dokumentierte Compliance-Prozesse helfen, Konflikte zu vermeiden und im Streitfall nachvollziehbar zu handeln.

Damit die KI-Richtlinie gelebt wird, braucht es zudem auch klare Zuständigkeiten (z.B. IT, Datenschutz, HR, Compliance) für die Überwachung der Einhaltung und die Bewertung neuer KI-Anwendungen. Etwaige technische Kontrollmaßnahmen müssen den arbeitsrechtlichen Vorgaben, insbesondere Persönlichkeitsrechten und Mitbestimmungsrechten, genügen. Zudem sollte festgelegt werden, wie die Richtlinie an rechtliche und technische Entwicklungen angepasst wird und wie Mitarbeitende über Änderungen informiert werden.

Jetzt handeln, um Risiken zu vermeiden und Chancen zu nutzen

Der Einsatz von KI im Unternehmen ist kein kurzfristiger Trend, sondern ein dauerhafter Strukturwandel. Unternehmen, die den Einsatz von KI nicht aktiv steuern, riskieren Rechtsverstöße und -verluste sowie Haftungsfälle. Eine durchdachte KI-Richtlinie ist daher kein „nice to have“, sondern ein zentrales Steuerungsinstrument. Sie reduziert Risiken, schafft Transparenz und ermöglicht es, KI dort einzusetzen, wo sie einen echten Mehrwert bietet, und das rechtssicher und kontrolliert. Wird sie unter Beachtung von Mitbestimmungsrechten, Transparenz- und Informationspflichten sowie klar geregelten Sanktionen verbindlich in die Arbeitsverhältnisse integriert, kann der Einsatz von KI im Unternehmen rechtssicher, fair gegenüber den Mitarbeitenden und nachhaltig gestaltet werden.