KI rechtssicher im Unternehmen einsetzen

Start › KI-Recht › KI rechtssicher einsetzen

Die meisten Unternehmen entwickeln keine KI, sondern nutzen sie: Chatbots, Copilot in Microsoft 365, Übersetzungs- und Transkriptionsdienste, KI-Funktionen in CRM- oder HR-Software. Rechtlich sind Sie dann Betreiber im Sinne des AI Act und Verantwortlicher im Sinne der DSGVO. Wir helfen Ihnen, die Einführung so zu gestalten, dass sie im Alltag funktioniert und einer Prüfung standhält.

ChatGPT und Copilot im Unternehmen: was rechtlich zu klären ist

Die erste Frage ist, welche Version eingesetzt wird. Bei Verbraucherkonten können Eingaben je nach Einstellung zum Training verwendet werden; ein Auftragsverarbeitungsvertrag fehlt meist. Business- und Enterprise-Angebote schließen das Training mit Kundendaten in der Regel vertraglich aus und bieten einen Vertrag nach Art. 28 DSGVO, teilweise mit Datenverarbeitung in der EU. Private Konten der Beschäftigten für dienstliche Zwecke sollten Sie ausdrücklich ausschließen.

Copilot für Microsoft 365 greift auf alle Inhalte zu, für die der jeweilige Nutzer berechtigt ist. Zu weit gefasste Freigaben in SharePoint oder Teams werden dadurch plötzlich sichtbar. Vor dem Rollout gehört deshalb das Berechtigungskonzept auf den Prüfstand.

KI-Richtlinie für Beschäftigte

Eine schriftliche KI-Richtlinie regelt, welche Werkzeuge freigegeben sind, welche Daten eingegeben werden dürfen und wie Ergebnisse zu prüfen sind. Typische Inhalte:

• Liste freigegebener Dienste und Konten, Verbot privater Accounts für dienstliche Daten
• Datenklassen: was nie eingegeben werden darf, etwa Geschäftsgeheimnisse, Gesundheitsdaten oder Mandantendaten ohne Freigabe
• Pflicht zur fachlichen Prüfung von Ergebnissen, bevor sie nach außen gehen
• Kennzeichnung von KI-Inhalten, wo Art. 50 AI Act oder Kundenverträge das verlangen
• Ansprechpartner und Meldeweg für Fehler und Vorfälle

Datenschutz bei KI-Tools

Für jede Verarbeitung personenbezogener Daten brauchen Sie eine Rechtsgrundlage nach Art. 6 DSGVO und einen Vertrag mit dem Anbieter. Sitzt der Anbieter in den USA, prüfen wir die Zertifizierung unter dem EU-US Data Privacy Framework oder die Standardvertragsklauseln. Bei Einsätzen mit hohem Risiko, etwa Auswertungen über Beschäftigte oder Kunden, ist eine Datenschutz-Folgenabschätzung nötig (Art. 35 DSGVO).

Geschäftsgeheimnisse und Vertraulichkeit

Geschäftsgeheimnisse sind nach dem GeschGehG nur geschützt, wenn Sie angemessene Geheimhaltungsmaßnahmen nachweisen. Wer zulässt, dass vertrauliche Unterlagen ungeprüft in externe Dienste kopiert werden, gefährdet diesen Schutz. Für Berufsgeheimnisträger gilt zusätzlich § 203 StGB; die Einbindung von Dienstleistern ist nur unter den Voraussetzungen des § 203 Abs. 3 StGB zulässig. Auch Geheimhaltungsvereinbarungen mit Kunden können die Nutzung externer KI ausschließen.

Urheberrecht bei KI-Ergebnissen

Rein KI-generierte Texte und Bilder sind in der Regel nicht urheberrechtlich geschützt, weil es an einer menschlichen Schöpfung fehlt. Sie dürfen sie verwenden, Wettbewerber aber auch. Umgekehrt kann ein Ergebnis fremde Werke enthalten; für die Veröffentlichung haften Sie. Für Marketing, Code und Produktdesign empfehlen wir eine Prüfroutine und eine Dokumentation des menschlichen Beitrags.

Betriebsrat und Mitbestimmung bei KI

Ob der Betriebsrat mitbestimmt, hängt von der Ausgestaltung ab. Das Arbeitsgericht Hamburg hat ein Mitbestimmungsrecht verneint, als Beschäftigte ChatGPT nur über eigene Browser-Konten nutzen durften und der Arbeitgeber keinen Zugriff auf Nutzungsdaten hatte (Beschluss vom 16.01.2024, 24 BVGa 1/24). Bei unternehmensweit lizenzierten Systemen wie Copilot, die Protokolldaten erzeugen, ist dagegen regelmäßig § 87 Abs. 1 Nr. 6 BetrVG berührt. Hinzu kommen Unterrichtungsrechte nach § 90 BetrVG und die Hinzuziehung eines Sachverständigen (§ 80 Abs. 3 BetrVG). Eine Rahmen-Betriebsvereinbarung für KI erspart Einzelverhandlungen bei jedem neuen Werkzeug.

Pflichten als Betreiber nach dem AI Act

Seit Februar 2025 müssen Sie Maßnahmen zur KI-Kompetenz Ihrer Beschäftigten ergreifen (Art. 4). Seit August 2026 gelten Transparenzpflichten: Deepfakes sowie KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Kontrolle sind zu kennzeichnen. Setzen Sie KI in einem Hochrisiko-Bereich ein, etwa zur Bewerberauswahl, treffen Sie ab dem 2. Dezember 2027 die Betreiberpflichten des Art. 26.

Checkliste für die Einführung

1. Einsatzzwecke und eingesetzte Tools erfassen, auch Schatten-IT.
2. Risikoklasse nach AI Act bestimmen.
3. Lizenz und Verträge prüfen: Training mit Kundendaten, Speicherort, Auftragsverarbeitung, Haftung.
4. Datenschutz-Dokumentation ergänzen, bei Bedarf Folgenabschätzung.
5. Berechtigungen und Datenklassen festlegen.
6. KI-Richtlinie erlassen und Betriebsrat beteiligen.
7. Schulung durchführen und dokumentieren.
8. Nach sechs Monaten Nutzung und Vorfälle auswerten.

Häufige Fragen

Dürfen Beschäftigte ChatGPT mit privatem Konto für die Arbeit nutzen?

Davon raten wir ab. Es gibt dann keinen Vertrag mit dem Anbieter, keine Kontrolle über die Daten und keinen Nachweis von Geheimhaltungsmaßnahmen.

Müssen wir KI-generierte Texte auf unserer Website kennzeichnen?

Nach Art. 50 Abs. 4 AI Act nur Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren und nicht redaktionell geprüft wurden. Deepfakes sind stets offenzulegen. Kundenverträge oder Plattformregeln können weiter gehen.

Reicht eine Einwilligung der Beschäftigten statt einer Betriebsvereinbarung?

Nein. Im Arbeitsverhältnis ist eine Einwilligung oft nicht freiwillig, und sie ersetzt keine Mitbestimmung.

Verwandte Themen

• AI Act im Überblick
• KI-Kompetenz nach Art. 4
• Microsoft 365 und Datenschutz
• Beschäftigtendatenschutz
• Geschäftsgeheimnisse
• KI im Personalbereich