Ob E-Mail-Entwurf, Übersetzung, Angebotskalkulation oder Programmcode: Generative KI ist in vielen Betrieben längst Arbeitsalltag. Oft weiß die Geschäftsführung allerdings nicht genau, wer welche Tools wofür einsetzt. In der Beratung von Unternehmen im Großraum Nürnberg, Fürth und Erlangen begegnet uns dieses Bild immer wieder: Die Belegschaft ist schneller als die Organisation. Es gibt weder klare Freigaben noch klare Verbote, und Schulungen finden allenfalls sporadisch statt.
Rechtlich ist dieser Zustand riskant. Seit Februar 2025 gelten erste Pflichten der europäischen KI-Verordnung (AI Act), seit August 2026 kommen Transparenzpflichten hinzu, und seit Ende Juli 2026 regelt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) die deutsche Aufsicht. Daneben stehen Datenschutz, Geschäftsgeheimnisschutz, Haftungsfragen und die Mitbestimmung des Betriebsrats.
Eine verbindliche KI-Richtlinie bündelt diese Anforderungen in einem Regelwerk. Sie schafft Rechtssicherheit für das Unternehmen und gibt den Beschäftigten Orientierung, was erlaubt ist und was nicht. Warum Arbeitgeber jetzt handeln sollten und was eine gute Richtlinie ausmacht, zeigt dieser Beitrag.
Schatten-KI: Das Risiko, das Sie nicht sehen
Das größte Problem ist selten die KI, die ein Unternehmen bewusst einführt. Es ist die KI, von der es nichts weiß. Man spricht von „Schatten-KI“: Beschäftigte nutzen frei verfügbare Chatbots mit privaten Accounts, um sich die Arbeit zu erleichtern. Das geschieht meist in bester Absicht, aber ohne jede Kontrolle.
Die Folgen können erheblich sein. Wer Kundendaten, Bewerbungsunterlagen oder interne Kalkulationen in ein kostenloses KI-Tool kopiert, überträgt diese Informationen an einen Drittanbieter, häufig auf Server außerhalb der EU. Je nach Nutzungsbedingungen darf der Anbieter die Eingaben sogar zum Training seiner Modelle verwenden. Was einmal eingegeben wurde, lässt sich praktisch nicht mehr zurückholen.
Hinzu kommt die Qualitätsfrage. KI-Systeme liefern überzeugend formulierte Ergebnisse, die dennoch falsch sein können. Erfundene Quellen, fehlerhafte Berechnungen oder veraltete Rechtsangaben fallen bei ungeprüfter Übernahme oft erst auf, wenn das Angebot beim Kunden liegt oder der Vertrag unterschrieben ist. Gegenüber Kunden und Geschäftspartnern haftet dann das Unternehmen, nicht das KI-Tool.
Ein pauschales KI-Verbot ist trotzdem keine Lösung. Es lässt sich kaum kontrollieren, verlagert die Nutzung auf private Smartphones und verschenkt echte Produktivitätsgewinne, während Wettbewerber KI geordnet einsetzen. Der sinnvollere Weg ist ein klarer Rahmen: Das Unternehmen stellt geprüfte Werkzeuge bereit und legt fest, wie sie genutzt werden dürfen. Genau das leistet eine KI-Richtlinie. Sie macht aus einem unkontrollierten Risiko einen gesteuerten Prozess.
Der AI Act gilt schon heute – auch für Unternehmen, die KI nur nutzen
Viele Arbeitgeber gehen davon aus, die KI-Verordnung (Verordnung (EU) 2024/1689) betreffe nur Softwarehersteller. Das ist ein Irrtum. Wer KI-Systeme in eigener Verantwortung beruflich einsetzt, ist „Betreiber“ im Sinne der Verordnung und hat eigene Pflichten. Das gilt für den Handwerksbetrieb mit Chatbot ebenso wie für den Industriezulieferer mit KI-gestützter Personalplanung.
Bereits seit dem 2. Februar 2025 gilt Art. 4 KI-VO zur KI-Kompetenz. Durch die Digital-Omnibus-Verordnung (EU) 2026/1744, die am 27. Juli 2026 in Kraft getreten ist, wurde diese Pflicht abgeschwächt: Betreiber müssen kein bestimmtes Kompetenzniveau mehr sicherstellen, sondern Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Die Pflicht als solche besteht aber fort. Ein eigener Bußgeldtatbestand knüpft daran zwar nicht an. Die Bundesnetzagentur weist jedoch darauf hin, dass fehlende KI-Kompetenz im Schadensfall als Verletzung organisatorischer Sorgfaltspflichten gewertet werden kann. Eine KI-Richtlinie samt dokumentierter Schulungen ist der naheliegende Nachweis, dass das Unternehmen seiner Förderpflicht nachkommt.
Ebenfalls seit Februar 2025 gelten die Verbote des Art. 5 KI-VO. Für Arbeitgeber besonders relevant ist das Verbot, Emotionserkennungssysteme am Arbeitsplatz einzusetzen, soweit keine medizinischen oder Sicherheitsgründe vorliegen. Ab dem 2. Dezember 2026 kommen neue Verbote hinzu, etwa die Erzeugung realistischer intimer Darstellungen identifizierbarer Personen ohne deren Einwilligung. Verstöße gegen Art. 5 können mit Bußgeldern von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes geahndet werden.
Seit dem 2. August 2026 gelten außerdem die Transparenzpflichten des Art. 50 KI-VO. Betreiber müssen Deepfakes offenlegen. KI-generierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sind grundsätzlich zu kennzeichnen, sofern sie keiner redaktionellen Kontrolle unterlegen haben. Das betrifft vor allem Marketing und Öffentlichkeitsarbeit.
Besonders streng reguliert ist KI im Personalwesen. Systeme zur Bewerberauswahl, zur Leistungs- und Verhaltensbewertung oder zur Entscheidung über Beförderungen und Kündigungen gelten nach Anhang III Nr. 4 KI-VO als Hochrisiko-KI. Für ihre Betreiber sieht Art. 26 KI-VO unter anderem eine menschliche Aufsicht durch geschulte Personen, die Kontrolle der Eingabedaten, die Aufbewahrung von Protokollen und die vorherige Information von Arbeitnehmervertretern und betroffenen Beschäftigten vor. Der Digital Omnibus hat den Geltungsbeginn dieser Pflichten vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Aufgeschoben ist aber nicht aufgehoben: Wer heute ein Recruiting-Tool einkauft, sollte die künftigen Anforderungen schon jetzt vertraglich und organisatorisch einplanen.
Auch die Aufsicht steht inzwischen. Nach dem KI-MIG vom 22. Juli 2026 ist grundsätzlich die Bundesnetzagentur zuständige Marktüberwachungsbehörde. Sie fungiert zugleich als zentrale Beschwerdestelle, an die sich jeder wenden kann, auch die eigenen Beschäftigten.
Datenschutz, Geschäftsgeheimnisse und Haftung: Hier wird es schnell teuer
Unabhängig vom AI Act gelten die bekannten Regeln weiter – und sie sind bei der Nutzung von KI besonders schnell verletzt.
Datenschutzrechtlich ist jede Eingabe personenbezogener Daten in ein KI-Tool eine Verarbeitung im Sinne der DSGVO. Verantwortlich ist das Unternehmen, auch wenn ein einzelner Mitarbeiter eigenmächtig handelt. Erforderlich sind eine Rechtsgrundlage, bei externen Anbietern in aller Regel ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und bei Übermittlungen in Drittländer zusätzliche Garantien nach Art. 44 ff. DSGVO. Mit einem privaten Gratis-Account lässt sich nichts davon erfüllen. Setzt das Unternehmen KI im Personalbereich ein, ist zudem häufig eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig. Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Beschäftigte erheblich beeinträchtigen, sind nach Art. 22 DSGVO grundsätzlich unzulässig. Die Bußgelder der DSGVO reichen bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.
Weniger bekannt, aber ebenso gravierend ist das Risiko für Geschäftsgeheimnisse. Das Geschäftsgeheimnisgesetz schützt Informationen nur, wenn sie Gegenstand angemessener Geheimhaltungsmaßnahmen sind (§ 2 Nr. 1 lit. b GeschGehG). Können Beschäftigte Konstruktionsdaten, Preiskalkulationen oder Kundenlisten ungehindert in öffentliche KI-Dienste einfügen, wird es im Streitfall schwer, solche Maßnahmen nachzuweisen. Im schlimmsten Fall entfällt der gesetzliche Schutz. Eine KI-Richtlinie mit klaren Eingabeverboten ist deshalb Teil eines tragfähigen Geheimnisschutzkonzepts. Für Berufsgeheimnisträger wie Steuerberater oder Ärzte kommt die strafbewehrte Verschwiegenheitspflicht nach § 203 StGB hinzu.
Auch das Urheberrecht spielt eine Rolle. Rein KI-generierte Inhalte sind mangels persönlicher geistiger Schöpfung regelmäßig nicht urheberrechtlich geschützt. Das Unternehmen kann Konkurrenten dann nicht ohne Weiteres untersagen, solche Texte oder Bilder zu übernehmen. Umgekehrt können KI-Ausgaben fremde Rechte verletzen und Abmahnungen nach sich ziehen.
Schließlich die Haftung: Gegenüber Kunden steht das Unternehmen für Fehler seiner Beschäftigten ein, auch wenn diese auf KI zurückgehen. Der Rückgriff auf den Mitarbeiter ist durch die Grundsätze der privilegierten Arbeitnehmerhaftung stark eingeschränkt. Bei leichter Fahrlässigkeit haftet er gar nicht, bei mittlerer nur anteilig. Ohne klare Regeln wird es zudem schwer, einem Beschäftigten überhaupt grobe Fahrlässigkeit vorzuwerfen. Für die Geschäftsführung selbst kann eine fehlende KI-Governance als Organisationsmangel gewertet werden.
Der Betriebsrat gehört von Anfang an mit an den Tisch
In Betrieben mit Betriebsrat ist eine KI-Einführung ohne dessen Beteiligung kaum möglich. Zentral ist § 87 Abs. 1 Nr. 6 BetrVG. Danach bestimmt der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt dafür die objektive Eignung zur Überwachung; auf eine Überwachungsabsicht des Arbeitgebers kommt es nicht an. Da KI-Anwendungen regelmäßig Nutzungs- und Protokolldaten erzeugen, ist bei unternehmensweit bereitgestellten Tools in aller Regel eine Betriebsvereinbarung erforderlich. Führt der Arbeitgeber das System ohne Zustimmung des Betriebsrats ein, droht ein Unterlassungsanspruch. Kommt keine Einigung zustande, entscheidet die Einigungsstelle.
Eine Ausnahme hat das Arbeitsgericht Hamburg anerkannt (Beschluss vom 16. Januar 2024 – 24 BVGa 1/24). Der Arbeitgeber hatte die Nutzung von ChatGPT über private, browserbasierte Accounts der Beschäftigten lediglich erlaubt und dafür Nutzungsregeln aufgestellt. Weil er auf die anfallenden Nutzungsdaten keinen Zugriff hatte, verneinte das Gericht ein Mitbestimmungsrecht nach Nr. 6. Die Nutzungsregeln betrafen nach seiner Auffassung zudem das mitbestimmungsfreie Arbeitsverhalten und nicht die Ordnung des Betriebs nach Nr. 1. Arbeitgeber sollten diese erstinstanzliche Entscheidung jedoch nicht überbewerten. Sobald das Unternehmen eigene Lizenzen bereitstellt oder KI in seine IT-Systeme integriert, sieht die Lage anders aus.
Daneben bestehen weitere Beteiligungsrechte. Nach § 90 Abs. 1 Nr. 3 BetrVG ist der Betriebsrat rechtzeitig über die Planung von Arbeitsverfahren und Arbeitsabläufen einschließlich des Einsatzes von KI zu unterrichten. Muss er die Einführung oder Anwendung von KI beurteilen, gilt die Hinzuziehung eines Sachverständigen nach § 80 Abs. 3 Satz 2 BetrVG als erforderlich; die Kosten trägt der Arbeitgeber. Auswahlrichtlinien für Einstellungen, Versetzungen und Kündigungen bedürfen nach § 95 Abs. 2a BetrVG auch dann der Zustimmung des Betriebsrats, wenn sie mithilfe von KI aufgestellt oder angewendet werden. Die bloße Einführung generativer KI ist dagegen regelmäßig keine Betriebsänderung nach § 111 BetrVG, solange sie nicht mit Personalabbau oder einer grundlegenden Umorganisation einhergeht.
In der Praxis bewährt sich eine Rahmenbetriebsvereinbarung zu KI. Sie legt Grundsätze, ein Verfahren für die Freigabe neuer Anwendungen und Regeln zur Auswertung von Nutzungsdaten fest, häufig verbunden mit dem Ausschluss einer Leistungs- und Verhaltenskontrolle. Neue Tools lassen sich dann zügig über Anlagen ergänzen, ohne jedes Mal von vorn zu verhandeln. In Betrieben ohne Betriebsrat kann der Arbeitgeber die Richtlinie im Rahmen seines Weisungsrechts nach § 106 GewO erlassen.
Was eine wirksame KI-Richtlinie regeln sollte
Eine gute KI-Richtlinie ist kein Verbotskatalog, sondern eine praxistaugliche Gebrauchsanweisung. Am Anfang steht eine Bestandsaufnahme: Welche KI-Anwendungen sind bereits im Einsatz, offiziell und inoffiziell? Welche davon berühren Personalentscheidungen oder kommunizieren nach außen? Erst auf dieser Grundlage lassen sich die Risiken sinnvoll einordnen.
Inhaltlich sollte die Richtlinie zunächst festlegen, welche Tools für dienstliche Zwecke freigegeben sind. Bewährt hat sich eine Positivliste geprüfter Anwendungen mit Unternehmenslizenz, verbunden mit dem Verbot, private Accounts dienstlich zu nutzen. Ebenso wichtig sind klare Regeln zu den Eingaben. Ein einfaches Ampelsystem hilft im Alltag: Öffentliche Informationen dürfen eingegeben werden, interne nur in freigegebene Tools, personenbezogene Daten und Geschäftsgeheimnisse nur in ausdrücklich dafür zugelassene Systeme oder gar nicht.
Für die Ergebnisse braucht es eine Prüfpflicht. KI-Ausgaben sind Entwürfe. Sie dürfen erst nach eigenverantwortlicher Kontrolle verwendet werden, bei rechtlich oder wirtschaftlich bedeutsamen Inhalten nach dem Vier-Augen-Prinzip. Die Richtlinie sollte außerdem die Kennzeichnungspflichten nach Art. 50 KI-VO und die verbotenen Praktiken nach Art. 5 KI-VO ausdrücklich aufgreifen, etwa Deepfakes von Kollegen oder Kunden.
Hinzu kommen organisatorische Regeln: ein fester Ansprechpartner für KI-Fragen, ein Freigabeprozess für neue Anwendungen unter Einbindung von Datenschutz und IT sowie ein Meldeweg für Fehler und Datenpannen. Schulungen sollten verpflichtend sein und dokumentiert werden. Das erfüllt zugleich die Förderpflicht nach Art. 4 KI-VO.
Schließlich sollte die Richtlinie die arbeitsrechtlichen Folgen von Verstößen benennen. Das ist keine bloße Drohkulisse. Eine Abmahnung oder Kündigung setzt eine klar erkennbare Pflichtverletzung voraus. Nur wenn die Regeln eindeutig formuliert und den Beschäftigten nachweislich bekannt gemacht wurden, lassen sich Verstöße im Ernstfall auch sanktionieren. Eine Richtlinie, die unbeachtet im Intranet liegt, hilft wenig. Sinnvoll ist deshalb eine dokumentierte Kenntnisnahme, etwa per Unterschrift oder digitaler Bestätigung.
Weil sich Technik und Rechtslage schnell ändern, gehört eine regelmäßige Überprüfung dazu, mindestens einmal im Jahr.
Fazit: Regeln schaffen, bevor etwas passiert
KI im Betrieb lässt sich nicht aufhalten, aber sie lässt sich steuern. Eine durchdachte KI-Richtlinie schützt Unternehmensdaten und Geschäftsgeheimnisse, dokumentiert die Erfüllung der Pflichten aus dem AI Act und schafft die Grundlage für eine reibungslose Zusammenarbeit mit dem Betriebsrat. Zugleich gibt sie den Beschäftigten die Sicherheit, KI produktiv nutzen zu dürfen, ohne unbewusst gegen Regeln zu verstoßen.
Die Verschiebung der Hochrisiko-Pflichten auf Dezember 2027 verschafft Zeit. Arbeitgeber sollten sie nutzen, statt abzuwarten. Wer jetzt Bestandsaufnahme macht, Regeln aufstellt und schult, ist auf die kommenden Anforderungen vorbereitet und vermeidet teure Fehler.
Sie möchten eine KI-Richtlinie für Ihr Unternehmen erstellen, eine Betriebsvereinbarung zu KI verhandeln oder prüfen lassen, welche Pflichten aus dem AI Act für Sie gelten? Wir beraten Arbeitgeber in Nürnberg, Fürth, Erlangen und der gesamten Metropolregion zu allen arbeitsrechtlichen Fragen rund um den Einsatz künstlicher Intelligenz. Sprechen Sie uns an.
