KI-Richtlinien für Unternehmen: Warum Sie als Unternehmen handeln müssen und was in eine AI Guideline gehört

Ob Textentwürfe mit ChatGPT, Bildgenerierung für Marketingunterlagen oder automatisierte Datenanalysen: Künstliche Intelligenz ist im Arbeitsalltag von kleinen und mittleren Unternehmen (KMU) angekommen. Häufig geschieht die Nutzung jedoch ungesteuert im Rahmen einer sogenannten „Schatten-KI“ (Shadow AI). Mitarbeiter setzen private KI-Tools für berufliche Aufgaben ein – oft ohne böse Absicht, aber mit erheblichen rechtlichen und betrieblichen Risiken.

Mit dem Inkrafttreten des EU AI Acts (KI-Verordnung der EU) und den strengen Vorgaben der DSGVO sind Unternehmen gefordert, klare Spielregeln aufzustellen. Eine durchdachte KI-Richtlinie (AI Guideline) schützt Ihr Unternehmen vor Datenabflüssen, Urheberrechtsverletzungen und Haftungsfallen.

Hinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und Orientierung für Unternehmen im DACH-Raum. Er stellt keine Rechtsberatung im Einzelfall dar und ersetzt nicht die individuelle juristische Prüfung durch eine spezialisierte Rechtsanwaltskanzlei.

Warum jedes Unternehmen eine KI-Richtlinie braucht

Der Verzicht auf Regeln ist keine Option. Wer KI-Tools im Betrieb ohne Governance-Struktur gewähren lässt, setzt sich gleich mehreren Risikofeldern aus:

1. Pflicht zur KI-Kompetenz (Art. 4 EU AI Act): Seit August 2024 verpflichtet die EU-KI-Verordnung Anwender und Betreiber von KI-Systemen sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz (AI Literacy) verfügt. Eine Richtlinie bildet das Fundament dieser Schulungspflicht.
2. Abfluss von Betriebs- und Geschäftsgeheimnissen: Eingaben (Prompts) in öffentlich zugängliche KI-Modelle werden von den Anbietern häufig zu Trainingszwecken weiterverwendet. Wer vertrauliche Quellcodes, Finanzzahlen oder Kundendaten eingibt, riskiert den Verlust des rechtlichen Schutzes als Geschäftsgeheimnis (gemäß GeschGehG in Deutschland bzw. UWG in Österreich).
3. Verstöße gegen die DSGVO: Die Eingabe personenbezogener Daten (z. B. Namen von Kunden, Mitarbeiterdaten, medizinische Daten) in KI-Systeme ohne entsprechenden Auftragsverarbeitungsvertrag (AVV) oder ausdrückliche Einwilligung stellt einen eklatanten Datenschutzverstoß dar.
4. Haftung für Fehlinformationen („Halluzinationen“): KI-Systeme arbeiten wahrscheinlichkeitsbasiert und generieren gelegentlich Falschinformationen. Verlässt sich ein Mitarbeiter ungeprüft auf diese Ergebnisse, haftet im Außenverhältnis das Unternehmen für entstandene Schäden.

Die 5 zentralen Bausteine einer rechtssicheren KI-Richtlinie

Eine wirksame KI-Richtlinie sollte praxisnah gestaltet sein und den Mitarbeitern konkrete Verhaltensanker bieten. Aus juristischer und organisatorischer Sicht empfehlen sich folgende Kernbereiche:

                  ┌──────────────────────────────────────────┐
                  │      Zulässige vs. Verbotene Tools       │
                  └────────────────────┬─────────────────────┘
                                       │
                  ┌────────────────────┴─────────────────────┐
                  │      Datenschutz & Geheimhaltung         │
                  └────────────────────┬─────────────────────┘
                                       │
                  ┌────────────────────┴─────────────────────┐
                  │      Urheberrecht & Output-Nutzung       │
                  └────────────────────┬─────────────────────┘
                                       │
                  ┌────────────────────┴─────────────────────┐
                  │     Qualitätskontrolle (Human-in-Loop)   │
                  └────────────────────┬─────────────────────┘
                                       │
                  ┌────────────────────┴─────────────────────┐
                  │      Arbeitsrecht & Mitbestimmung        │
                  └──────────────────────────────────────────┘

1. Tool-Kategorisierung (Positiv- und Negativlisten)

Legen Sie explizit fest, welche KI-Anwendungen im Unternehmen erlaubt sind und welche nicht.

• Erlaubte Tools (Positivliste): Unternehmenslizenzen mit vertraglich zugesichertem Datenschutz (z. B. Enterprise-Versionen, bei denen Inputs nicht für das Modelltraining verwendet werden).
• Verbotene Tools (Negativliste): Private Lizenzen oder ungedeckte Freeware-Generatoren auf Dienstgeräten.

2. Datenschutz & Vertraulichkeit von Daten

Formulieren Sie ein striktes Eingabeverbot für sensible Inhalte in nicht freigegebene KI-Systeme.

• Personenbezogene Daten: Kundennamen, Kontaktdaten, Bewerberunterlagen oder Mitarbeiterfeedbacks dürfen nicht in Standard-Chatbots eingegeben werden.
• Geschäftsgeheimnisse: Unveröffentlichte Finanzberichte, Strategiepapiere, Rezepturen oder geschützte Software-Codes sind als Prompt-Input unzulässig.

3. Urheberrecht, Kennzeichnung und transparente Nutzung

Das Urheberrecht schützt rein KI-generierte Werke nach aktuellem Rechtstand im DACH-Raum in der Regel nicht, da es an einer menschlichen Schöpfungshöhe fehlt.

• Nutzungsrechte: Prüfen Sie die AGB der KI-Anbieter. Einige Plattformen räumen gewerbliche Nutzungsrechte nur in kostenpflichtigen Abonnements ein.
• Transparenz: Legen Sie fest, ob und wann KI-generierte Inhalte (z. B. Blogbeiträge, Social-Media-Grafiken oder E-Mail-Entwürfe) gekennzeichnet werden müssen.

4. Menschliche Endkontrolle („Human-in-the-Loop“)

Künstliche Intelligenz ist ein Werkzeug zur Zuarbeit, kein eigenverantwortlich handelnder Mitarbeiter.

• Überprüfungspflicht: Mitarbeiter müssen verpflichtet werden, sämtliche von einer KI generierten Fakten, Berechnungen, rechtlichen Aussagen oder Programmiercodes eigenhändig auf Richtigkeit und Plagiate zu überprüfen.
• Verantwortungsübernahme: Die inhaltliche und rechtliche Verantwortung für das Arbeitsergebnis verbleibt lückenlos beim ausführenden Mitarbeiter bzw. der Führungskraft.

5. Arbeitsrechtliche Aspekte und Mitbestimmung

Bei der Einführung von KI-Richtlinien müssen die jeweiligen arbeitsrechtlichen Rahmenbedingungen im DACH-Raum beachtet werden:

• Österreich: Gemäß § 96 bzw. § 96a ArbVG (Arbeitsverfassungsgesetz) kann die Einführung von KI-Systemen zur Kontrolle der Arbeitnehmer oder zur Verarbeitung von Mitarbeiterdaten der Zustimmung des Betriebsrats im Rahmen einer Betriebsvereinbarung bedürfen.
• Deutschland: Hier greift das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG (Einführung und Anwendung von technischen Einrichtungen, die zur Überwachung bestimmt sind).

Übersicht: Do’s und Don’ts für die Mitarbeiter-Guideline

Hier eine vereinfachte Übersicht für KI-Richtlinien für Unternehmen. Sie können gerne einen Screenshot davon machen und die Übersicht ausdrucken.

Thema	Erlaubt / Empfohlen (Do)	Verboten / Risiko (Don’t)
Tool-Wahl	Nutzung freigegebener Unternehmens-Lizenzen	Nutzung privater KI-Accounts auf Dienstgeräten
Dateneingabe	Verwendung anonymisierter oder abstrakter Beispieldaten	Eingabe von Echtdaten (Kunden, Finanzen, Strategien)
Qualität	Kritische Prüfung aller KI-Outputs vor Weitergabe	Blinde Übernahme von Texten oder Rechenwegen
Transparenz	Kennzeichnung externer KI-Inhalte nach Firmenstandard	Täuschung über die Urheberschaft bei Kundenprojekten

Empfohlene Schritte zur Implementierung im Betrieb

1. Bestandsaufnahme durchführen: Ermitteln Sie, welche KI-Tools im Unternehmen aktuell bereits (formell oder informell) genutzt werden.
2. Interdisziplinäres Team bilden: Binden Sie IT-Verantwortliche, Datenschutzbeauftragte, die HR-Abteilung und (sofern vorhanden) den Betriebsrat frühzeitig ein.
3. Richtlinie einfach halten: Vermeiden Sie unverständliches Juristendeutsch. Die Guideline muss für jeden Mitarbeiter im Arbeitsalltag sofort nachvollziehbar sein.
4. Schulungen anbieten: Eine Richtlinie entfaltet nur Wirkung, wenn sie geschult wird. Kommen Sie damit der gesetzlichen Pflicht zur Förderung der KI-Kompetenz (EU AI Act) nach.
5. Juristische Feinabstimmung: Lassen Sie das finale Dokument von einer auf IT- und Arbeitsrecht spezialisierten Kanzlei prüfen, um individuelle Haftungsrisiken auszuschließen.

Hinweis: Dieser Artikel wurde mit Hilfe von KI umgeschrieben und verändert.